Active Directory.pdf - Gattner

Implementieren der AD FS 751
Tabelle 19.1
Vorteile und Nachteile der Zertifizierungsstellenoptionen (Fortsetzung)
Selbstsignierte Zertifikate Vorteile:
• Selbstsignierte Zertifikate können ohne Public Key-Infrastruktur bereitgestellt werden.
• Zertifikate sind kostenlos.
Nachteile:
• Es sind keine zentralisierten Sperrlisten verfügbar. Wenn die Sicherheit des privaten
Zertifikatsschlüssels gefährdet ist, muss jede vertrauende Partei manuell benachrichtigt
werden, damit diese künftig anstatt des vorhandenen ein neues Zertifikat verwendet.
• Clientcomputer vertrauen dem selbstsignierten Zertifikat nicht automatisch, folglich
müssen diesen ggf. Zertifikate für die vertrauenswürdige Stammzertifizierungsstelle
hinzugefügt werden.
• Selbstsignierte Zertifikate sind nicht Teil einer Zertifikatsvertrauensliste, daher muss
jedes selbstsignierte Zertifikat von einer vertrauenswürdigen Partei ausdrücklich als
vertrauenswürdig eingestuft werden.
Da eine größere Anzahl an Clients auf die SSL-Zertifikate zugreifen wird, die den Webservern und
Verbundservern zugewiesen sind, wird empfohlen, für sämtliche SSL-Zertifikate eine öffentliche
Zertifizierungsstelle zu nutzen. Die Tokensignaturzertifikate müssen nur von den Servern als vertrauenswürdig
eingestuft werden, die AD FS-Rollendienste ausführen. In diesem Fall wird empfohlen,
entweder eine interne Zertifizierungsstelle oder ein selbstsigniertes Zertifikat zu verwenden.
Wenn es sich bei der Organisation um einen Kontopartner handelt, der voraussichtlich zahlreiche
Ressourcenpartner haben wird und eine zentralisierte Sperren- und Vertrauensverwaltung benötigt,
ist eine interne Zertifizierungsstelle in der Regel die beste Wahl. Wird die Organisation nur mit
wenigen Ressourcenpartnern arbeiten, sind selbstsignierte Zertifikate häufig besser geeignet, da
diese kostengünstiger und weniger komplex sind.
Implementieren der AD FS in einem Federated-Web-SSO-Entwurf
Nachdem sichergestellt ist, dass alle Anforderungen an die Umgebung erfüllt sind, kann nun die
Installation der AD FS-Komponenten durchgeführt werden. In diesem Abschnitt werden die entsprechenden
Vorgehensweisen beschrieben.
Implementieren des Federated-Web-SSO-Entwurfs – Übersicht
Zur Implementierung des Federated-Web-SSO-Entwurfs müssen die folgenden Schritte ausgeführt
werden:
Vorbereiten der Umgebung
1. Installieren der Serverrolle Webserver (IIS) auf allen an der AD FS-Bereitstellung beteiligten
Servern. Wenngleich diese Serverrolle auch im Rahmen der AD FS-Serverrollenbereitstellung
installiert werden kann, sollte dieser Schritt vorher ausgeführt werden, wenn Sie die erforderlichen
Serverzertifikate vor der AD FS-Installation konfigurieren möchten.
Hinweis In den folgenden Abschnitten sind die Schritte zur Installation der Rolle Webserver (IIS) nicht
enthalten. Weitere Informationen finden Sie in der Onlinehilfe zum Server-Manager und den Internetinformationsdiensten.