Active Directory.pdf - Gattner

736 Kapitel 19: Active Directory-Verbunddienste
Kontopartner
Ein Kontopartner ist der Organisationspartner in der Vertrauensstellung, der die in der Beziehung verwendeten
Benutzerkonten hostet und verwaltet. Konten werden in den AD DS, im Active Directory-
Anwendungsmodus (Active Directory Application Mode, ADAM) oder den AD LDS gespeichert.
Der Verbundserver des Kontopartners gibt Sicherheitstoken aus, die Assertionen für Benutzer vornehmen.
Zum Beispiel kann ein Token anzeigen, dass der Benutzer ein Abteilungsleiter ist. Diese Token
können dann in einer Verbundvertrauensstellung verwendet werden, um auf Ressourcen zuzugreifen,
die sich innerhalb der Organisation des Ressourcenpartners befinden.
Ressourcenpartner
Ein Ressourcenpartner ist der zweite Organisationspartner in einer Verbundvertrauensstellung. Beim
Ressourcenpartner befinden sich die Webserver, auf denen mindestens eine webbasierte Anwendung
ausgeführt wird. Der Ressourcenpartner vertraut dem Kontopartner bei der Benutzerauthentifizierung
und der Ausstellung von Sicherheitstoken. Folglich basieren die Autorisierungsentscheidungen der
Ressourcenpartnerserver auf den Sicherheitstoken, die durch den Kontopartner ausgestellt werden.
Hinweis Abbildung 19.1 zeigt einen Federated-Web-SSO-Entwurf, in dem die Kontopartner- und Ressourcenpartnerrollen
eindeutig festgelegt sind. Bei einem Federated-Web-SSO- bzw. Web-SSO-Entwurf kann
eine Organisation sowohl Kontopartner als auch Ressourcenpartner sein.
Verbunddienst
Der Verbunddienst ist einer der Rollendienste, die bei der Installation der AD FS-Serverrolle auf
einem Windows Server 2008-Computer verfügbar sind. Der Verbunddienst ist die AD FS-Komponente,
die als Sicherheitstokendienst fungiert. Für AD FS-Implementierungen wird mindestens ein
installierter Verbunddienst vorausgesetzt. Bei einem Federated-Web-SSO-Entwurf wird sowohl für
die Kontopartner- als auch für die Ressourcenpartnerorganisation ein Verbundserver benötigt.
Wenn der Verbunddienst als Kontopartner festgelegt ist, können Benutzer auf Ressourcen der Partnerorganisationen
zugreifen. Der Verbunddienst bietet die folgenden Funktionen:
1. Sammeln von Benutzeranmeldeinformationen und deren Überprüfung in den AD DS oder AD
LDS. Die Authentifizierungsanforderungen eines Benutzers werden an den Verbundserver gesendet,
um so die Authentifizierung des Benutzerkontos gegenüber dem Verzeichnisdienst sicherzustellen.
2. Auffüllen eines Satzes an Organisationsansprüchen basierend auf den LDAP-Attributen des
Kontos in einem Verzeichnisdienst. Ein AD FS-Anspruch ist ein Aussage über einen Benutzer, die
von beiden Partnern in einem AD FS-Verbundszenario verstanden wird. Wenn die Verbundvertrauensstellung
beispielsweise die Gruppenmitgliedschaft des Benutzers nutzt, um den Zugriff auf
Anwendungen zu ermöglichen, fügt der Verbundserver das Gruppenmitgliedschaftsattribut zum
Sicherheitstoken hinzu.
3. Zuordnen von Organisationsansprüchen zu einem vereinbarten Satz an ausgehenden Verbundansprüchen
für den Ressourcenpartner. Bei der Konfiguration der Verbundvertrauensstellung vereinbaren
Organisationen, wie Attribute in der Kontoorganisation den Informationen zugeordnet
werden, die zur Entscheidungsfindung bezüglich des Ressourcenzugriffs in der Ressourcenorganisation
verwendet werden können. Beispielsweise können Mitgliedern einer Gruppe von Abteilungsleitern
im Kontopartner mehr Zugriffsberechtigungen für Anwendungen zugeteilt werden als
Mitgliedern anderer Gruppen. Diese Informationen werden dem Sicherheitstoken durch den Verbundserver
hinzugefügt.