Active Directory.pdf - Gattner

748 Kapitel 19: Active Directory-Verbunddienste
Digitale Signaturen werden für Sicherheitstoken auch innerhalb des Kontopartners verwendet,
wenn mehr als ein Verbundserver verwendet wird. In diesem Fall werden anhand der digitalen
Signaturen die Quelle und die Integrität der Sicherheitstoken überprüft, die von anderen Verbundservern
des Kontopartners ausgestellt werden. Die Überprüfung der digitalen Signaturen erfolgt
durch Verifizierungszertifikate. Jedes Tokensignaturzertifikat enthält einen privaten Schlüssel, der
dem Zertifikat zugewiesen ist.
Hinweis Ist mehr als ein Verbundserver in einer Serverfarm vorhanden, kann allen Verbundservern
dasselbe Tokensignaturzertifikat oder jedem Verbundserver ein eindeutiges Zertifikat zugewiesen werden.
Für eine einfachere und kostengünstigere Bereitstellung sollte auf allen Verbundservern dasselbe
Tokensignaturzertifikat installiert werden. Weitere Informationen zur Planung der Bereitstellung einer
Verbundserverfarm finden Sie im Entwurfshandbuch für Active Directory-Verbunddienste unter http://
technet2.microsoft.com/windowsserver/de/library/b0f029cb-65ab-44fb-bcfc-
5aa02314e06e1031.mspx?mfr=true.
• Verifizierungszertifikat Ein Verifizierungszertifikat wird verwendet, um sicherzustellen, dass ein
Sicherheitstoken von einem zulässigen Verbundserver ausgestellt und nicht geändert wurde.
Eigentlich ist ein Verifizierungszertifikat das Tokensignaturzertifikat eines anderen Verbundservers.
Um verifizieren zu können, dass ein Sicherheitstoken von einem bestimmten Verbundserver
ausgestellt und nicht geändert wurde, muss der Verbundserver über ein Verifizierungszertifikat für
den Verbundserver verfügen, der das Sicherheitstoken ausgestellt hat. Wenn beispielsweise der
Verbundserver von Adatum ein Sicherheitstoken ausstellt und an einen Verbundserver der Woodgrove
Bank sendet, muss der Verbundserver der Woodgrove Bank über ein Verifizierungszertifikat
(Tokensignaturzertifikat von Verbundserver von Adatum) verfügen. Im Gegensatz zu einem
Tokensignaturzertifikat enthält ein Verifizierungszertifikat nicht den privaten Schlüssel, der dem
Zertifikat zugewiesen ist.
Die Ressourcenpartner und Web-Agents, die dem Verbundserver vertrauen, müssen dem Zertifikat
der Stammzertifizierungsstelle für die Verifizierungszertifikate vertrauen. Zudem müssen Zertifikatssperrlisten
(Certificate Revocation List, CRL) für Ressourcenpartner und Web-Agents
zugänglich sein, die dem Verbundserver vertrauen.
Hinweis Der Ressourcenverbundserver muss auf das Tokensignaturzertifikat für den Kontoverbundserver
zugreifen können. Beim Erstellen eines Kontopartners auf dem Ressourcenverbundserver wird
das Zertifikat importiert.
• SSL-Serverauthentifizierungszertifikat Für einen sicheren Datenverkehr zwischen Webdiensten und
Webclients bzw. dem Verbundserverproxy verwendet der Verbundserver ein SSL-Serverauthentifizierungszertifikat.
Alle Verbundserverproxys und Web-Agents müssen der Stammzertifizierungsstelle für alle SSL-
Serverauthentifizierungszertifikate vertrauen und die CRLs müssen für sämtliche Zertifikate in
der Kette – vom Serverauthentifizierungszertifikat bis zum Zertifikat der Stammzertifizierungsstelle
– verfügbar sein. Darüber hinaus muss der im Serverauthentifizierungszertifikat verwendete
Antragstellername mit dem DNS-Namen (Domain Name System) der Verbunddienstendpunkt-
URL (Uniform Resource Locator) in der Vertrauensrichtlinie übereinstimmen.