Active Directory.pdf - Gattner

732 Kapitel 19: Active Directory-Verbunddienste
So müssen sich Benutzer nur einmal gegenüber dem Verzeichnisdienst ihrer Organisation authentifizieren,
um Zugriff auf verschiedene webbasierte Anwendungen zu erhalten, die im Umkreisnetzwerk
der eigenen Organisation oder einer Partnerorganisation gehostet werden.
Überblick über die AD FS
Für den Zugriff auf webbasierte Anwendungen in unterschiedlichen Organisationen oder in verschiedenen
Netzwerken einer Organisation stellen IT-Abteilungen Identitätsverbundlösungen bereit. Windows
Server 2008 AD FS ist eine solche Identitätsverbundlösung. Identitätsverbundlösungen bieten
eine auf Standards basierende Technologie für die Zusammenarbeit mit anderen Organisationen.
Identitätsverbund
Ein Identitätsverbund bietet Organisationen die Möglichkeit, den Benutzerzugriff auf Ressourcen für
verschiedene Organisationen oder Serverplattformen freizugeben. Ein Ziel der Identitätsverbundlösung
ist, dass Organisationen eigene Verzeichnisse verwalten können, während weiterhin ein sicherer
Austausch von Authentifizierungs- und Autorisierungsinformationen zwischen Organisationen stattfindet.
Die einmalige Anmeldung an verschiedenen webbasierten Anwendungen ist ein weiteres
wichtiges Ziel der Identitätsverbundlösungen.
Bei der Einrichtung einer Identitätsverbundpartnerschaft stimmen beide Partner der Einrichtung einer
Verbundvertrauensstellung zwischen den beiden Organisationen zu. Als Teil der Vertrauensstellung
legen die Partner zudem fest, auf welche Ressourcen die jeweils andere Organisation zugreifen kann
und wie dieser Zugriff auf die Ressourcen ermöglicht wird. Eine Organisation kann zum Beispiel eine
Identitätsverbundlösung implementieren, die einem Vertriebsmitarbeiter den Zugriff auf Informationen
in einer Lieferantendatenbank über eine Webanwendung ermöglicht, die im Netzwerk des Lieferanten
gehostet wird. Der für die Vertriebsorganisation verantwortliche Administrator muss in diesem
Fall sicherstellen, dass die entsprechenden Vertriebsmitarbeiter einer Gruppe angehören, die über
Zugriffsrechte auf die Datenbank des Lieferanten verfügt. Der Administrator der Lieferantenorganisation
wiederum muss gewährleisten, dass die Mitarbeiter der Partnerorganisation ausschließlich auf die
für sie relevanten Daten zugreifen können.
Bei einer Identitätsverbundlösung befinden sich Benutzeridentitäten und zugehörige Anmeldeinformationen
im Besitz der Organisation des Benutzers und werden von dieser gespeichert und verwaltet.
Als Teil der Identitätsverbund-Vertrauensstellung muss jede Organisation eine sichere Art der Freigabe
von Benutzeridentitäten für den Zugriff auf Ressourcen definieren. Jeder Partner muss die
Dienste definieren, die er vertrauenswürdigen Partnern und Kunden zur Verfügung stellt, sowie
andere vertrauenswürdige Organisationen und Benutzer sowie akzeptierte Arten von Anmeldeinformationen
und Anforderungen festlegen. Darüber hinaus muss angegeben werden, wie vertrauliche
Informationen vor anderen vertrauenswürdigen Organisationen und Benutzern mithilfe von Datenschutzrichtlinien
geschützt werden.
Ein Identitätsverbund kann in den folgenden Szenarien implementiert werden:
• Business-to-Business (B2B) Organisationen arbeiten mit vertrauenswürdigen Partnern,
Lieferanten und Auftraggebern zusammen. Diese Partnerschaften können sowohl typische Lieferantenbeziehungen
als auch Outsourcing-Beziehungen für interne Funktionen wie Arbeitgeberleistungen,
Personalverwaltung oder Reisebuchungen beinhalten. Verbundvertrauensstellungen
ermöglichen eine effizientere Zusammenarbeit von Organisationen ohne aufwendige Identitätenverwaltung
in verschiedenen Organisationen.