Active Directory.pdf - Gattner

760 Kapitel 19: Active Directory-Verbunddienste
Wenn es sich bei dem Anspruch beispielsweise um einen Gruppenanspruch handelt (d.h. der Web-
Agent des Ressourcenpartners trifft Autorisierungsentscheidungen anhand der Gruppe, zu der der
Benutzer gehört), werden die Gruppeninformationen aus dem Verzeichnisdienst vom Verbundserver
extrahiert und dem Client als Teil des Sicherheitstokens zur Verfügung gestellt.
Über die für den Kontopartner erstellten Organisationsansprüche werden die verschiedenen Kriterien
festgelegt, die im Anspruch enthalten sein werden. Der Verbunddienst unterstützt drei
Anspruchstypen:
• Identitätsansprüche Identitätsansprüche werden standardmäßig während der Verbunddienstinstallation
konfiguriert. Mithilfe von Identitätsansprüchen wird sichergestellt, dass ein bestimmter
Benutzer von einem vertrauenswürdigen Verzeichnisspeicher eines Verbundpartners authentifiziert
wurde. Es gibt drei Identitätsanspruchstypen:
UPN-Ansprüche stehen für einen Kerberos-Benutzerprinzipalnamen (User Principal Name,
UPN), z.B.: benutzer@adatum.com. Nur ein Anspruch darf vom Typ UPN sein. Bei der Kontopartnerkonfiguration
können mehrere UPN-Domänen und -Suffixe angegeben werden, die
vom Kontopartner zugelassen werden. Bei Empfang einer UPN-Identität, deren Domänenteil
nicht in der Liste aufgeführt ist, wird die Anforderung abgelehnt.
E-Mail-Anforderungen stehen für RFC 2822-E-Mail-Namen der Form benutzer@adatum.com.
Nur ein Anspruch darf den E-Mail-Anspruchstyp aufweisen. Bei der Kontopartnerkonfiguration
können mehrere E-Mail-Domänen und -Suffixe angegeben werden, die vom Kontopartner
zugelassen werden. Wie auch bei UPN-Ansprüchen wird bei Empfang einer E-Mail-Identität,
deren Domänenteil nicht in der Liste aufgeführt ist, die Anforderung abgelehnt.
Allgemeine Namensansprüche stehen für eine beliebige Zeichenfolge, die für die Personalisierung
verwendet wird, z.B. John Smith oder Mitarbeiter von Adatum. Nur ein Anspruch darf
vom Typ allgemeiner Name sein. Beachten Sie, dass es keinen Mechanismus gibt, durch den
die Eindeutigkeit des allgemeinen Namensanspruchs sichergestellt werden kann. Daher sollte
dieser Anspruchstyp bei Autorisierungsentscheidungen mit Vorsicht eingesetzt werden. Bei
der Kontopartnerkonfiguration kann festgelegt werden, ob allgemeine Namensansprüche vom
Kontopartner empfangen werden können oder nicht.
Hinweis Die drei Identitätsansprüche sind möglicherweise nicht zugeordnet; sie werden jedoch übergeben,
wenn sie aktiviert sind. Ist in einem Token mehr als einer der drei Identitätsanspruchstypen vorhanden
ist, werden die Identitätsansprüche in der folgenden Reihenfolge nach Priorität geordnet: UPN,
E-Mail und allgemeiner Name.
• Gruppenansprüche Gruppenansprüche gehören zu dem Anspruchstyp, bei dem eine Gruppenmitgliedschaft
in den AD DS oder AD LDS einer bestimmten Autorisierungsrolle zugeordnet wird.
Zum Beispiel könnte die Gruppe FinanzManager einem Gruppenanspruch des Kontopartners
zugeordnet werden. Anschließend trifft die Webanwendung auf der Seite des Ressourcenpartners
basierend auf diesem Gruppenanspruch Autorisierungsentscheidungen. Bei der Ressourcenpartnerkonfiguration
können mehrere eingehende Gruppenansprüche angegeben werden, die vom
Kontopartner zugelassen werden. Darüber hinaus lassen sich Autorisierungs-Manager-Rollen mit
Gruppenansprüchen verknüpfen, die zur Autorisierung der Webanwendung verwendet werden
dürfen.
• Benutzerdefinierte Ansprüche Benutzerdefinierte Ansprüche enthalten benutzerdefinierte Informationen
zu einem Benutzer, z.B. die Personalnummer eines Mitarbeiters.