Active Directory.pdf - Gattner

731
K A P I T E L 1 9
Active Directory-Verbunddienste
Inhalt dieses Kapitels:
Überblick über die AD FS. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 732
Implementieren der AD FS. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 744
Zusammenfassung. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 775
Empfohlene Vorgehensweisen. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 775
Zusätzliche Ressourcen. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 775
Die Active Directory-Domänendienste (Active Directory Domain Services, AD DS) bieten einen
leistungsstarken Verzeichnisdienst für den Schutz und die Verwaltung unternehmensinterner Netzwerkressourcen.
Darüber hinaus können Benutzer außerhalb des Unternehmens die AD DS zur
Authentifizierung von Benutzeranforderungen für den Webzugriff, Remoteverbindungen zu Exchange
Server-Systemen und Remotezugriffsverbindungen verwenden. Da sich bei den AD DS jedoch alle
Benutzerkonten an einem zentralen Speicherort befinden, können die Active Directory-Domänendienste
nur auf Benutzer mit vorhandenen Konten ausgeweitet werden.
Viele Organisationen pflegen Partnerschaften und Arbeitsbeziehungen mit anderen Organisationen,
bei denen Benutzer der einen Organisation auf Informationen oder Anwendungen einer anderen Organisation
zugreifen müssen. Durch die Einrichtung von Gesamtstrukturvertrauensstellungen können
die AD DS so erweitert werden, dass diese Zugriffsanforderungen erfüllt werden. Gesamtstrukturvertrauensstellungen
setzen jedoch voraus, dass die Domänencontroller beider Organisationen miteinander
kommunizieren können. Besteht zwischen den Organisationen lediglich eine öffentliche Internetverbindung,
führt die Einrichtung von Gesamtstrukturvertrauensstellungen zu Sicherheitslücken.
Die Active Directory-Verbunddienste (Active Directory Federation Services, AD FS) wurden von
Microsoft speziell für einige dieser Zugriffsszenarien zwischen Organisationen entwickelt. Die erstmalig
mit Windows Server 2003 R2 veröffentlichten Active Directory-Verbunddienste bieten einen
sicheren Zugriff auf webbasierte Anwendungen innerhalb einer Organisation und zwischen Organisationen,
unabhängig von externen oder Gesamtstrukturvertrauensstellungen zwischen diesen Organisationen.
Mit den AD FS erhalten IT-Abteilungen vollständige Verwaltungsautonomie und können
gleichzeitig die Zusammenarbeit zwischen Organisationen ermöglichen. Beispielsweise kann jede
Organisation in einem B2B-Szenario, das eine AD FS-Konfiguration mit Federated-Web-SSO
umfasst, auf für andere Organisationen transparente Weise eigene Benutzer- und Gruppenkonten verwalten.
Darüber hinaus kann jede Organisation den Zugriff auf selbst bereitgestellte webbasierte
Anwendungen verwalten. Mithilfe der AD FS wird so der Zugriff über Benutzerkonten einer Organisation
auf die Anwendung der anderen Organisation ermöglicht, während die IT-Abteilungen beider
Organisationen weiterhin über die vollständige administrative Steuerung verfügen.
Zudem ermöglichen die AD FS Benutzern eine webbasierte einmalige Anmeldung (Single Sign-On,
SSO) beim Zugriff auf Extranetwebsites oder über Verbundpartnerschaften zugängliche Sites im
Internet.