Active Directory.pdf - Gattner

774 Kapitel 19: Active Directory-Verbunddienste
• Zwei AD DS-Gesamtstrukturen. Eine unidirektionale (oder bidirektionale) Gesamtstrukturvertrauensstellung,
die so konfiguriert ist, dass die externe Gesamtstruktur der internen Gesamtstruktur
vertraut.
• Ein Webserver mit installiertem AD FS-Web-Agent und einer installierten Ansprüche unterstützenden
oder Windows NT-Token-basierten Anwendung.
Die Bereitstellung des Federated-Web-SSO-Entwurfs mit Gesamtstrukturvertrauensstellung erfordert
die folgenden Schritte:
1. Vorbereiten der Umgebung. Dieser Schritt umfasst die Installation der Serverrolle Webserver (IIS)
auf jedem Computer und die Konfiguration der Webserverzertifikate sowie der Rollendienste
Verbunddienst und Verbunddienstproxy.
2. Konfigurieren einer Gesamtstrukturvertrauensstellung zwischen der Gesamtstruktur des
Umkreisnetzwerks und der internen Gesamtstruktur. Mithilfe dieser Vertrauensstellung können
Windows NT-Token-basierte Anwendungen Autorisierungsentscheidungen treffen, die auf internen
AD DS-Konten basieren.
3. Konfigurieren des Kontoverbundpartners. In diesem Szenario dient der Kontoverbundpartner als
Verbundserver, der sich im internen Netzwerk befindet und auf einem Server ausgeführt wird, der
ein Mitglied der internen AD DS-Gesamtstruktur ist. Die Konfiguration des Verbunddienstes
erfordert die folgenden Schritte:
a. Konfigurieren der Vertrauensrichtlinie.
b. Konfigurieren der Organisationsansprüche. Die Informationen zum Füllen der Organisationsansprüche
werden aus der internen AD DS-Gesamtstruktur abgerufen.
c. Hinzufügen und Konfigurieren von Kontospeichern. Die Benutzerkonten werden in der internen
AD DS-Gesamtstruktur gespeichert, daher muss der standardmäßige AD DS-Kontospeicher
zum Verbundserver hinzugefügt werden.
d. Konfigurieren der Organisationsgruppen- oder benutzerdefinierten Anspruchsextrahierungen.
AD DS-Gruppen müssen den entsprechenden Organisationsgruppenansprüchen oder benutzerdefinierten
Ansprüchen zugeordnet werden.
e. Hinzufügen und Konfigurieren eines Ressourcenpartners. In diesem Fall handelt es sich beim
Ressourcenpartner um den Verbundserver in der Gesamtstruktur des Umkreisnetzwerks.
f. Erstellen von Zuordnungen ausgehender Ansprüche für den Ressourcenpartner. Organisationsansprüche
werden Ansprüchen zugeordnet, die von der Ressourcenpartneranwendung verarbeitet
werden können.
4. Konfigurieren des Ressourcenverbundpartners. In diesem Szenario dient der Ressourcenverbundpartner
als Verbundserver, der sich im Umkreisnetzwerk befindet und auf einem Server ausgeführt
wird, der ein Mitglied der AD DS-Gesamtstruktur des Umkreisnetzwerks ist. Die
Konfiguration des Verbunddienstes erfordert die folgenden Schritte:
a. Konfigurieren der Vertrauensrichtlinie.
b. Konfigurieren der Organisationsansprüche.
c. Hinzufügen und Konfigurieren einer AD FS-Anwendung. Obwohl die Verwendung von
Ansprüche unterstützenden Anwendungen in diesem Szenario möglich ist, handelt es sich bei
den meisten Anwendungen wahrscheinlich um Windows NT-Token-basierte Anwendungen.
d. Hinzufügen und Konfigurieren eines Kontopartners.
e. Erstellen einer Zuordnung eingehender Ansprüche für die Anwendung.