Active Directory.pdf - Gattner

Implementieren der AD FS 771
Anschließend verwendet der Web-Agent die Informationen im Anspruch zur Suche nach einem zugehörigen
AD DS-Benutzerkonto oder einer zugehörigen Benutzergruppe. Mithilfe des AD DS-Kontos
erstellt der Web-Agent dann ein Zugriffstoken und gewährt basierend auf der Benutzer- oder Gruppenkonto-SID
entsprechende Berechtigungen.
Für den Zugriff auf Token-basierte Anwendungen ist die Konfiguration der Organisationsansprüche
auf dem Ressourcenverbundserver erforderlich, auf dem der Organisationsanspruch einem Ressourcenbenutzer
oder einer Ressourcengruppe zugeordnet wird. Bei der Woodgrove Bank kann zum
Beispiel der Organisationsanspruch KundenManager der Gruppe KundenManager@Woodgrove-
Bank.com zugeordnet werden (siehe Abbildung 19.14).
Abbildung 19.14 Verwenden des Anspruchs durch Token-basierte Anwendungen über die Zuordnung einer
Ressourcengruppe zu einem Organisationsanspruch
Ressourcenbenutzer- bzw. Ressourcengruppenkonten können auf zwei Arten für den Zugriff auf
Token-basierte Anwendungen implementiert werden:
• Verwenden von Benutzer- und Gruppenkonten aus der Gesamtstruktur, in der der AD FS-Ressourcenverbundserver
installiert ist, oder aus einer vertrauenswürdigen Domäne. Diese Option ist in
einer B2E-Bereitstellung hilfreich, da die Mitarbeiter wahrscheinlich über Konten in der Gesamtstruktur
verfügen, in der sich bereits die Active Directory-Verbunddienste befinden. Möglicherweise
nutzen sie für die Authentifizierung gegenüber anderen webbasierten Ressourcen dieselben
Anmeldeinformationen. Darüber hinaus kann diese Option gewählt werden, wenn ein Federated-
Web-SSO-Entwurf mit Gesamtstrukturvertrauensstellung verwendet wird, da die Gesamtstruktur
des Umkreisnetzwerks den Benutzerkonten aus der internen Gesamtstruktur vertraut.
• Verwenden von Ressourcenbenutzer- und Ressourcengruppenkonten. Das Erstellen von Ressourcenkonten
und -gruppen in der Ressourcengesamtstruktur dient dem Zweck, die Autorisierung
gegenüber Token-basierten Anwendungen zu ermöglichen. Bei der Verwendung von Ressourcenbenutzer-
und Ressourcengruppenkonten werden die Konten nicht für die Authentifizierung eingesetzt –
eine Benutzerauthentifizierung gegenüber dem Kontoverbundserver ist weiterhin erforderlich und
auch der normale Vorgang zum Erstellen von Ansprüchen findet nach wie vor Anwendung.