Active Directory.pdf - Gattner

738 Kapitel 19: Active Directory-Verbunddienste
Der AD FS-Web-Agent wird als ISAPI-Erweiterung mit IIS 7.0 (Internet Information Services, Internetinformationsdienste)
implementiert. Der AD FS-Web-Agent unterstützt zwei unterschiedliche
Anwendungstypen:
• Ansprüche unterstützende Anwendungen Anwendungen, die speziell für das Abfragen von
Ansprüchen geschrieben oder geändert wurden, werden als Ansprüche unterstützende Anwendungen
bezeichnet. Bei Ansprüchen unterstützenden Anwendungen kann der AD FS-Web-Agent
Ansprüche einer Anwendung direkt zur Verfügung stellen, die für deren Verwendung programmiert
ist (typischerweise Autorisierungsinformationen zu einem Benutzer, der einen bestimmten
Anspruch stellt).
• Windows-Token-basierte Anwendungen Ältere Anwendung, auch Legacyanwendungen genannt,
sind nicht für die Verarbeitung von Ansprüchen programmiert. Autorisierungsentscheidungen dieser
Anwendungen basieren auf Sicherheitskennungen (Security Identifiers, SIDs) des Sicherheitsprinzipals
und Zugriffssteuerungslisten (Access Control List, ACL). In solchen Fällen kann die
Anwendung so konfiguriert werden, dass ein Windows NT-Sicherheitstoken für den Benutzer
erstellt wird, der eine Anforderung sendet, die mit einem Benutzer des Ressourcenpartner-Verzeichnisdiensts
übereinstimmt. Um den Zugriff auf die Anwendung einzuschränken, müssen
anschließend die Zugriffssteuerungslisten der Ressource konfiguriert werden, auf die zur Verwendung
des Windows NT-Sicherheitstokens zugegriffen wird.
Server, auf denen einer der AD FS-Web-Agents installiert ist, werden auch als AD FS-fähige Webserver
bezeichnet.
AD FS-Bereitstellungsentwürfe
Active Directory-Verbunddienste lassen sich in vielen unterschiedlichen Situationen bereitstellen und
können verwendet werden, um den Zugriff auf eine Vielzahl unterschiedlicher Anwendungen an verschiedenen
Speicherorten und auf verschiedenen Serverplattformen zu ermöglichen. Die verschiedenen
AD FS-Bereitstellungen können jedoch grundsätzlich in die folgenden Szenarien unterteilt
werden:
• Business-to-Business (B2B)
• Business-to-Employee (B2E)
• Business-to-Consumer (B2C)
Diese Geschäftsszenarien werden bei der Installation oder Konfiguration der AD FS-Komponenten
nicht als Konfigurationsoptionen angezeigt. Tatsächlich bieten die AD FS mehr als eine Option für
die Implementierung der Geschäftsszenarien. Es gibt drei AD FS-Bereitstellungsentwürfe:
• Web-SSO-Entwurf In einem Web-SSO-Szenario wird mindestens eine webbasierte Anwendung
von einer Organisation bereitgestellt, auf die Benutzer innerhalb und außerhalb der Organisation
zugreifen müssen. Die Implementierung der AD FS ermöglicht den Benutzerzugriff auf diese
Anwendungen nach einmaliger Authentifizierung. Die Web-SSO-Bereitstellungsoption eignet
sich sowohl für B2E- als auch für B2C-Szenarien.
• Federated-Web-SSO-Entwurf Bei einer Federated-Web-SSO-Lösung gewähren zwei Organisationen
oder zwei Sicherheitsbereiche innerhalb einer Organisation den Benutzern einer anderen
Organisation Zugriff auf Anwendungen in der Organisation. Die Bereitstellungsoption Federated-
Web-SSO eignet sich für B2B-Szenarien.