Active Directory.pdf - Gattner

Überblick über die AD FS 737
4. Zusammenfassen der Ansprüche in einem digital signierten Sicherheitstoken. Das Sicherheitstoken
wird dem Webclient zur Verfügung gestellt, der den Zugriff auf die Anwendung in der
Ressourcenorganisation anfordert.
Wird ein Verbunddienst als Ressourcenpartner konfiguriert, ermöglicht dieser den Zugriff auf die
Webanwendung. Der Verbunddienst des Ressourcenpartners führt die folgenden Aufgaben aus:
1. Überprüfen von Sicherheitstoken. Wenn der Benutzer ein Sicherheitstoken vom Verbundserver
des Kontopartners bereitstellt, wird durch eine Überprüfung der Anspruchsinformationen des
Benutzers durch den Ressourcenverbunddienst sichergestellt, dass diese von einem vertrauenswürdigen
Kontopartner stammen.
2. Zuordnen eingehender Ansprüche in entsprechende Ansprüche der Ressourcenorganisation. Ein
eingehender Anspruch kann zum Beispiel darauf hinweisen, dass der Benutzer zur Gruppe der leitenden
Vertriebsangestellten gehört. In diesem Fall ordnet der Ressourcenverbunddienst diese
Information einem Anspruch zu, der die Webanwendung veranlasst, den für leitende Vertriebsangestellte
erforderlichen Zugriff zu gewähren.
3. Zusammenfassen der Organisationsansprüche in einem neuen, digital signierten Sicherheitstoken,
das an den Webclient zurückgegeben wird. Diese Token werden anschließend vom Webclient an die
Webanwendung übertragen.
Verbundansprüche
Verbundansprüche werden durch den Verbunddienst erstellt. Hierbei handelt es sich um Assertionen
für einen Benutzer, die auf Informationen aus einem LDAP-Verzeichnisspeicher basieren. Die Ansprüche
werden in Attributen eines bestimmten Benutzers gespeichert und können Informationen zu Gruppen,
in denen der Benutzer Mitglied ist, oder andere attributbezogene Informationen enthalten, z.B.
den Benutzertitel. Diese Ansprüche werden vom Ressourcenverbunddienst zum Treffen von Autorisierungsentscheidungen
verwendet.
Verbunddienstproxy
Ein Verbunddienstproxy ist ein weiterer Rollendienst, der separat auf einem Windows Server 2008-
Computer installiert werden kann. Der Server, der den Verbunddienstproxy-Dienst hostet, wird auch
als Verbundserverproxy bezeichnet. In der Regel wird der Verbundserverproxy in einem Umkreisnetzwerk
bereitgestellt, um so einen Verbundserver des Kontopartners, des Ressourcenpartners oder beide
zu schützen. Durch die Implementierung eines Verbundserverproxys kann die Offenlegung der Verbundserver
im Internet vermieden werden.
Die Kommunikation zwischen Verbundserverproxy und einem geschützten Verbunddienst erfolgt im
Namen des Clients. Wenn ein Kontopartner durch den Verbundserverproxy geschützt wird, sammelt
dieser zunächst Anmeldeinformationen von Benutzern des Browserclients und leitet dann die Anforderung
an den Verbunddienst weiter. Wird ein Ressourcenpartner durch den Verbundserverproxy
geschützt, leitet dieser Anforderungen von und für webbasierte Anwendungen an den Verbunddienst
weiter.
AD FS-Web-Agents
AD FS-fähige Webserver verbrauchen Sicherheitstoken und lassen den Benutzerzugriff auf eine
Webanwendung entweder zu oder verweigern diesen. Zu diesem Zweck benötigt der AD FS-fähige
Webserver eine Beziehung mit einem Ressourcenverbunddienst, damit er den Benutzer bei Bedarf an
den Verbunddienst weiterleiten kann. Der AD FS-Web-Agent ermöglicht dabei die Verbindung zwischen
der Anwendung und dem Verbunddienst.