Active Directory.pdf - Gattner

AD LDS – Übersicht 613
• Unternehmensverzeichnisspeicher Die AD LDS können Anwendungsdaten in einem lokalen Verzeichnisdienst
entweder auf demselben Computer wie die Anwendung oder auf einem anderen
Computer speichern. Ein Beispiel eines Anwendungstyps, der die AD LDS nutzen kann, ist eine
Unternehmensanwendung, in der personalisierte Daten gespeichert werden, die mit Unternehmensbenutzern
verknüpft sind, die auf eine Website zugreifen. Für die Speicherung dieser personalisierten
Daten in den AD DS müsste das AD DS-Schema geändert werden. Durch Verwenden
der AD LDS zum Speichern anwendungsspezifischer Daten und von Benutzerprinzipalnamen in
den AD DS für die Authentifizierung und Steuerung des Zugriffs auf Objekte in den AD LDS
können Sie die starke Zunahme von Benutzer-IDs und -kennwörtern für Endbenutzer vermeiden,
wann immer eine neue verzeichnisfähige Anwendung in das Netzwerk eingeführt wird.
• Authentifizierungsspeicher im Extranet Viele Unternehmen stellen Webportalanwendungen bereit,
die einen Extranetzugriff auf Unternehmensanwendungen erfordern, jedoch einen Zugriff für
unternehmensexterne Benutzer bereitstellen. Diese Server und Portalanwendungen benötigen
einen Authentifizierungsspeicher zum Speichern der Authentifizierungsdaten der Benutzer. Die
AD LDS können diesen Authentifizierungsspeicher bereitstellen, da Benutzerobjekte unterstützt
werden können, die keine Windows-Sicherheitsprinzipale sind, jedoch mithilfe einfacher LDAP-
Bindungen authentifiziert werden können.
Sie können die AD LDS auch gemeinsam mit den Active Directory-Verbunddiensten (AD FS) als
Authentifizierungsspeicher im Extranet bereitstellen. Diese Konfiguration ermöglicht Technologien
für die einmalige Webanmeldung (Single-Sign-On, SSO) die Authentifizierung von Benutzern
bei mehreren Webanwendungen über ein einzelnes Benutzerkonto.
Sie können mithilfe der AD LDS auch ein Verzeichnis für verteilte Anwendungen bereitstellen,
die einen Konfigurationsspeicher mit Multimasteraktualisierung und -replikation benötigen.
Weitere Informationen Weitere Informationen zur Integration der AD LDS und AD FS finden Sie in
Kapitel 19, „Active Directory-Verbunddienste“.
• Als Teil einer Verzeichniskonsolidierungslösung In Großunternehmen sind häufig mehrere Verzeichnisse
im Einsatz. Benutzerkonten können sich in mehreren Active Directory-Gesamtstrukturen,
-Domänen und -Organisationseinheiten bzw. mehreren Identitätssystemen und anderen
Verzeichnissen befinden, z.B. Personaldatenbanken, SAP-Datenbanken und Telefonbüchern. Um
diese Vielzahl von Verzeichnissen in den Griff zu bekommen, haben viele Unternehmen die Identitäten
durch Bereitstellung eines Metaverzeichnisses wie Microsoft Identity Integration Server
(MIIS) oder Microsoft Identity Lifecycle Manager 2007 integriert, um die Benutzerumgebung und
administrativen Prozesse zu vereinfachen. Die AD LDS können dahingehend mit einem Metaverzeichnis
integriert werden, dass in den AD LDS erstellte Identitäten mit dem Metaverzeichnis
synchronisiert werden können. Zudem können die AD LDS Anforderungen zur Identitätssynchronisierung
vom Metaverzeichnis akzeptieren.
• Als Entwicklungsumgebung für die AD DS und AD LDS Da die AD LDS dasselbe Programmiermodell
wie die AD DS nutzen und praktisch dieselbe Verwaltungsumgebung wie die AD DS
bereitstellen, können Entwickler die AD LDS für das Staging und Testen verschiedener mit
Active Directory integrierten Anwendungen verwenden. Wenn eine in der Entwicklung befindliche
Anwendung beispielsweise ein anderes Schema als das aktuelle AD DS-Schema benötigt,
kann der Anwendungsentwickler mithilfe der AD LDS die Anwendung erstellen und einen Schemaaktualisierungsprozess
testen. Nachdem die Anwendung und der Schemaaktualisierungsprozess
sorgfältig getestet wurden, kann die Anwendung in die AD DS portiert werden.