网上关于如何在SharePoint中配置Claims based authentication的文章非常多，在SharePoint 2010时代，我自己也写过几篇。不过，这些文章大部分都只集中于一个特定的主题，比如怎么配置ADFS和SharePoint之间的Trust，怎么部署自己开发的Claim Provider等等，很少有文章就如何完整地部署一个Claim AuthN的环境，而不只是配置Web Application，还有怎么配置User Profile, My Site等等，给出一个完整的说明。我的上一个项目正好是关于Claim AuthN的，这篇文章算是对项目的一个总结。
配置Identity Provider
使用Claims based authentication的第一步，当然是配置SharePoint和Identity Provider之间的信任关系了。网上这样的文档非常多。如果是ADFS，可以参考官方文档，照着来基本错不了。其他的Identity Provider，配置起来也是大同小异，没什么可说的。我自己以前曾经写过一篇如何配置自己开发的Identity Provider的文章，也可以参考。多个Web Application是可以共用一个Trusted Identity Provider设置的，只要配置好相应的realm就可以了。为Trusted Token Issuer添加新的realm，可以用下面的PowerShell代码：
[code lang=”powershell”]
$uri = New-Object System.Uri("http://intranet.contoso.com")
$ap = Get-SPTrustedIdentityTokenIssuer
$ap.ProviderRealms.Add($uri, "urn:SharePoint:Intranet")
$ap.Update()
[/code]
配置Claim Provider
由于默认的Claim Provider其实什么都不做，一旦启用了Claims AuthN，用户的权限管理就会有麻烦。一般启用了Claims AuthN之后，都需要部署定制的Claim Provider，来做用户搜索或名字解析。关于Claim Provider的开发和部署也没有太多好说的，网上的资料很多，Codeplex上也有相应的开源项目。在Claim Provider部署成功之后，可以用下面的PowerShell命令，来关联Trusted Identity Provider和Claim Provider。
[code lang=”powershell”]
$sts = Get-SPTrustedIdentityTokenIssuer
$sts.ClaimProviderName = "ClaimProviderInternalName"
$sts.Update()
[/code]
配置User Profile
配置好Web Application和Claim Provider之后，基本上Claims based authentication就可以用了。但是，如果想使用User Profile，例如想显示用户的display name，支持People Search等，就还需要配置User Profile Synchronization。
配置User Profile Synchronization Connection的时候，Athentication Provider Type需要选择Trusted Claims Provider Authentication以及相应的Trusted Identity Provider。User Profile里的Claim User Identifier属性需要map到作为Identifier的Claim上，比如Trusted Claims Provider配置为使用email地址作为Identifier，那么在User Profile里，Claim User Identifier就需要map到mail这个AD属性上。参考下面两幅图：
另外，如果想在My Site URL里避免名字冲突，或者不想将用户的Windows Logon Name显示在My Site URL里的话，可以改变User name这个属性的mapping。例如，如果想在My Site URL里使用email地址的话，可以将User name map到AD的mail属性，参考下图。
完成了上面的设置之后，执行一次Full Sync，用户的User Profile就会得到更新了。
最后
完成了上面所有的配置之后，一个完整的，基于Claims based authentication的SharePoint环境基本上就完成了。如果想要在People Picker中隐藏默认的Windows Authentication的选项，可以执行一个简单的PowerShell命令，有详细的官方文档介绍，这里就不赘述了。