Active Directory.pdf - Gattner

Überblick über die AD FS 741
normalerweise für Verbundvertrauensstellungen zwischen zwei Organisationen gewählt, um Benutzern
in der einen Organisation (der Kontopartnerorganisation) den Zugriff auf durch AD FS geschützte
Webanwendungen in der anderen Organisation (der Ressourcenpartnerorganisation) zu gewähren.
Bei einem typischen Federated-Web-SSO-Entwurf stellt eine Organisation eine Anwendung bereit,
auf die Benutzer in der anderen Organisation zugreifen müssen. In einer Verbundvertrauensstellung
wird diese Organisation als Ressourcenpartner bezeichnet. Der Ressourcenpartner ist für den Schutz
der Anwendung verantwortlich. Hierzu muss die Organisation sicherstellen, dass nur autorisierte
Benutzer auf die Anwendung zugreifen können. Zudem hat die Ressourcenorganisation die Möglichkeit,
verschiedene Zugriffsebenen zu konfigurieren, sodass bestimmte Benutzer auf mehr Anwendungskomponenten
und Aktionen Zugriff haben als andere Benutzer. Der Ressourcenpartner in
Abbildung 19.3 ist die Woodgrove Bank.
Die Benutzerkonten, für die der Zugriff auf die Anwendung in der Ressourcenpartnerorganisation
erforderlich ist, werden beim Federated-Web-SSO-Entwurf von der anderen Organisation gehostet.
Diese wird auch als Kontopartner bezeichnet. Der Kontopartner möchte die vollständige Steuerung
der Benutzer- und Gruppenkonten in seiner Organisation behalten sowie die für andere Organisationen
verfügbaren Informationen zu Benutzern einschränken. In Abbildung 19.3 ist die Organisation
Adatum der Kontopartner.
Bei der Implementierung eines Federated-Web-SSO-Entwurfs müssen beide Organisationen mindestens
einen Verbundserver und die Ressourcenorganisation zusätzlich einen Webserver konfigurieren,
auf dem die Anwendung und der AD FS-Web-Agent ausgeführt wird. Darüber hinaus können beide
Organisationen einen Verbundserverproxy implementieren.
Hinweis Abbildung 19.3 zeigt die im Federated-Web-SSO-Entwurf enthaltenen AD FS-Komponenten. Zur
Vereinfachung der Grafik werden keine Verbunddienstproxys dargestellt. Stellt die Organisation keinen Verbundserverproxy
bereit, wird für die Kommunikation zwischen Client und Verbundserver der Verbundserverproxy
verwendet.
Adatum
Kontopartner
Verbundvertrauensstellung
Woodgrove Bank
Ressourcenpartner
7
AD DS-
Domänencontroller
4
10
Ressourcenverbundserver
6
3
9
Kontoverbundserver
INTERNET
5
2
Webserver
Abbildung 19.3
Entwurf
8
1 11
Client
Gegenseitiger Zugriff auf Webanwendungen von Organisationen durch den Federated-Web-SSO-