Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Grundlagen von AD LDS 267
weise AD LDS, um anwendungsspezifische Daten zu speichern, zum Beispiel Richtlinien-
und Verwaltungsinformationen. Dann verwende ich die Benutzerprinzipale in AD DS für die
Authentifizierung und für die Zugriffssteuerung auf Objekte in AD LDS. Diese Lösung
macht es überflüssig, für jedes AD LDS-Verzeichnis eine eigene Benutzerdatenbank anzulegen.
Somit vermeiden Sie, dass jedes Mal, wenn eine neue verzeichnisfähige Anwendung im
Netzwerk eingeführt wird, die Zahl von Benutzer-IDs und Kennwörtern für Endbenutzer
ansteigt. Nicht nur Endbenutzer, sondern auch die Administratoren profitieren davon.
Extranetauthentifizierungsspeicher
AD LDS kann in vielen Szenarien nützlich sein, zum Beispiel für ein Webportal, wo AD LDS
Individualisierungsdaten für Benutzer speichert, die sich über AD DS authentifiziert haben.
In diesem Fall speichern Sie Benutzer-IDs in AD DS und persönliche Daten in AD LDS.
Indem Sie diese Informationen trennen, brauchen Sie das Schema im globalen AD DS nicht
zu erweitern. Und Sie brauchen dort auch keine persönlichen Daten zu speichern, die nur für
die eine Portalanwendung benötigt werden. Das verringert den Netzwerkverkehr für AD DS
(insbesondere wenn sich die Daten häufig ändern). Falls Sie die persönlichen Daten aus
Redundanzgründen auf mehreren Servern speichern wollen, können Sie eine weitere Instanz
von AD LDS einrichten und die Replikation zwischen ihnen konfigurieren.
Sie können AD LDS auch als Extranetauthentifizierungsspeicher in Kombination mit Active
Directory-Verbunddiensten (Active Directory Federation Services, AD FS) bereitstellen, um
einmaliges Anmelden (Single-Sign-On, SSO) im Web zu ermöglichen, damit Benutzer sich
gegenüber mehreren Webanwendungen mit einem einzigen Benutzerkonto authentifizieren
können. Im Abschnitt »Grundlagen der Active Directory-Verbunddienste« weiter unten in
diesem Kapitel finden Sie dazu weiter Informationen.
Konsolidieren von Identitätssystemen
Meine letzten Projekte haben sich damit beschäftigt, unterschiedliche Identitätssysteme
zu konsolidieren. Daher will ich Ihnen ein Beispiel schildern. Ein Projekt betraf eine internationale
Organisation mit mehreren Gesamtstrukturen in verschiedenen Ländern, die
jeweils mehrere Domänen enthalten. Jede Domäne hatte mehrere Identitätssysteme, zum
Beispiel Active Directory, SAP-Datenbanken, Telefonsysteme, spezielle Anwendungen
mit eigenen Identitätssystemen und so weiter. Um alle diese Systeme mit sämtlichen
Informationen in ein gemeinsames System zu konsolidieren, verwendeten meine Kollegen
und ich AD LDS in Kombination mit einem Metaverzeichnis (engl. metadirectory).
Microsoft stellt zwei Versionen von Metaverzeichnissen zur Verfügung: MIIS (Microsoft
Identity Integration Server) und IIFP (Microsoft Identity Integration Feature Pack). IIFP
ist eine kostenlose Version von MIIS, aber mit deutlich abgespeckten Features. Das
Metaverzeichnis erlaubt uns, verzeichnisfähigen Anwendungen eine einheitliche Ansicht
aller bekannten Identitätsinformationen über Unternehmensbenutzer, Anwendungen und
Netzwerkressourcen zur Verfügung zu stellen. Dazu wurden Identitäten zusammengefasst,
Kennwörter synchronisiert und Verzeichnisse sowie Konten zwischen AD DS und
AD LDS zusammengefasst beziehungsweise aufgetrennt.