Active Directory.pdf - Gattner

Implementieren der AD FS 773
Die Installation des Web-SSO-Entwurfs erfordert die folgenden Schritte:
1. Vorbereiten der Umgebung. Dieser Schritt umfasst die Installation der Serverrolle Webserver (IIS)
auf jedem Computer und die Konfiguration der Webserverzertifikate sowie der Rollendienste Verbunddienst
und Verbunddienstproxy.
2. Konfigurieren des Verbundservers anhand der folgenden Schritte:
a. Konfigurieren der Vertrauensrichtlinie. Die Schritte stimmen mit denen zur Konfiguration der
Vertrauensrichtlinie im Federated-Web-SSO-Entwurf überein.
b. Konfigurieren der Organisationsansprüche. Der Verbundserver fungiert im Web-SSO-Entwurf
als Kontopartner und auch als Ressourcenpartner. Folglich werden die Organisationsansprüche
entweder über die AD DS oder die AD LDS gefüllt.
c. Hinzufügen und Konfigurieren von Kontospeichern. Die Benutzerkonten müssen entweder
in den AD DS oder den AD LDS gespeichert werden. Daher muss mindestens ein Kontospeicher
zum Verbundserver hinzugefügt werden. Sobald Benutzer auf die Anwendung zugreifen,
werden diese gegenüber dem Kontospeicher authentifiziert, um die Erstellung des Sicherheitstokens
zu starten.
d. Erstellen von Anspruchszuordnungen für die Anwendung. Der Organisationsanspruch muss
Ansprüchen zugeordnet werden, die von der Anwendung verarbeitet werden können. Ähnlich
wie beim Federated-Web-SSO-Entwurf ist bei Verwendung von Windows NT-Token-basierten
Anwendungen die Einrichtung von Ressourcengruppen erforderlich. Hierzu können AD
DS-Konten in der Gesamtstruktur, in der der Verbundserver bereitgestellt ist, oder Ressourcenkonten
verwendet werden.
e. Hinzufügen und Konfigurieren einer Anwendung. Wie der Ressourcenpartner ermöglicht die
Anwendung den Zugriff auf die freigegebene Ressource. Die Anwendung muss dem Verbunddienst
hinzugefügt werden, sodass der Verbundserver Clientanforderungen an den entsprechenden
Webserver umleiten kann.
Implementieren eines Federated-Web-SSO-Entwurfs mit
Gesamtstrukturvertrauensstellung
Bei der AD FS-Bereitstellung besteht ebenfalls die Möglichkeit, den Federated-Web-SSO-Entwurf
mit Gesamtstrukturvertrauensstellung zu implementieren. Der Federated-Web-SSO-Entwurf mit
Gesamtstrukturvertrauensstellung wird weiterhin – wie dies auch bei der Web-SSO-Bereitstellung der
Fall ist – hauptsächlich für B2E- bzw. B2C-Bereitstellungen verwendet, allerdings erfordert er zwei
AD DS-Gesamtstrukturen und ist somit komplexer. Der Federated-Web-SSO-Entwurf mit Gesamtstrukturvertrauensstellung
wird hauptsächlich verwendet, um den Einsatz von Windows NT-Tokenbasierten
Anwendungen zu ermöglichen, die Autorisierungsentscheidungen anhand von Benutzeranmeldeinformationen
aus der internen Gesamtstruktur treffen. Bei Verwendung einer Gesamtstrukturvertrauensstellung
ist die Erstellung von Ressourcenbenutzer- oder Ressourcengruppenkonten im
Umkreisnetzwerk der AD DS-Gesamtstruktur nicht mehr erforderlich.
Ein Federated-Web-SSO-Entwurf mit Gesamtstrukturvertrauensstellung erfordert die folgenden
Komponenten:
• Zwei Verbundserver. In diesem Entwurf fungiert eine Verbundserver als Kontopartner und ein
zweiter Verbundserver als Ressourcenpartner. Obwohl sich beide Verbundserver in derselben Organisation
befinden, werden sie in separaten Gesamtstrukturen bereitgestellt. Verbundserverproxys
sind in dieser Bereitstellung optional.