Active Directory.pdf - Gattner

14 Kapitel 1: Neuerungen in Active Directory für Windows Server 2008
Die AD FS unter Windows Server 2008 bestehen aus verschiedenen Komponenten:
• Verbunddienst Dieser Dienst umfasst einen oder mehrere Verbundserver, die über eine gemeinsame
Vertrauensrichtlinie verfügen. Mithilfe von Verbundservern können Authentifizierungsanforderungen
von Benutzerkonten in anderen Unternehmen oder von Clients irgendwo im Internet
weitergeleitet werden.
• Verbunddienstproxy Der Verbunddienstproxy ist ein Stellvertreter des Verbunddienstes im
Umkreisnetzwerk (auch DMZ [Demilitarisierte Zone] oder überwachtes Subnetz genannt). Der
Verbunddienstproxy nutzt WS-F PRP-Protokolle (WS-Federation Passive Requestor Profile) zum
Erfassen von Benutzeranmeldeinformationen aus Browserclients und sendet diese im Auftrag der
Benutzer an den Verbunddienst.
• Ansprüche unterstützender Agent Sie verwenden den Ansprüche unterstützenden Agent auf einem
Webserver, der als Host einer Ansprüche unterstützenden Anwendung fungiert, um Abfragen für
Ansprüche von Sicherheitstoken an die AD FS zu ermöglichen. Eine Ansprüche unterstützende
Anwendung ist eine Microsoft ASP.NET-Anwendung, die Ansprüche in einem AD FS-Sicherheitstoken
verwendet, um Autorisierungsentscheidungen zu treffen und Anwendungen anzupassen.
• Windows-Token-basierter Agent Sie verwenden den Windows-Token-basierten Agent in einem
Webserver, der als Host einer Windows NT-Token-basierten Anwendung dient, um die Umwandlung
eines AD FS-Sicherheitstoken in ein Windows NT-Zugriffstoken auf Identitätswechselebene
zu ermöglichen. Eine Windows NT-Token-basierte Anwendung ist eine Anwendung, die Windows-basierte
Autorisierungsmechanismen unterstützt.
Eine der zahlreichen Verbesserungen der AD FS unter Windows Server 2008 zeigt sich beim Installationsprozess.
Im Gegensatz zu den AD FS unter Windows Server 2003 R2, die über die Systemsteuerungsoption
Software installiert werden mussten, werden die AD FS unter Windows Server 2008 wie
die anderen Serverrollen über den Server-Manager installiert. Die AD FS benötigen einen Verzeichnisdienst
und können entweder mit den AD DS oder den Active Directory Lightweight Directory Services
(AD LDS) als Verzeichnis arbeiten. Weitere Verbesserungen bei den AD FS unter Windows
Server 2008 ist die enge Integration zwischen den AD FS und Office SharePoint Server 2007 hinsichtlich
Mitgliedschafts- und Rollenanbietern und mit den AD RMS für die gemeinsame Nutzung
von durch Rechte geschützten Inhalten mit vertrauenswürdigen externen Partnern.
Nach Installation der AD FS können Sie diesen Dienst mit der MMC (Microsoft Management Console)
verwalten. Die Rollendienste Verbunddienst und Verbunddienstproxy werden über das Snap-In
Active Directory-Verbunddienste verwaltet.
Active Directory Lightweight Directory Services
Die Active Directory Lightweight Directory Services (AD LDS) (zuvor Active Directory Application
Mode [ADAM] genannt) sind ein LDAP-Verzeichnisdienst (Lightweight Directory Access Protocol),
der die AD DS-Funktionalität in verschiedenen Szenarien ersetzen oder zusammen mit den AD DS
bereitgestellt werden kann. Die AD LDS wurden speziell entwickelt, um verzeichnisfähigen Anwendungen
Verzeichnisdienste ohne die Abhängigkeiten der AD DS bereitzustellen. Bei Verwenden der
AD LDS können Sie einen „abgespeckten“ Verzeichnisdienst ohne Domänen oder Gesamtstrukturen
(Anforderungen an die AD DS) bereitstellen und für jede bereitgestellte AD LDS-Instanz eigene
Schemas unterstützen. Die AD DS sind in der ganzen Gesamtstruktur auf ein einzelnes Schema
begrenzt.