Active Directory.pdf - Gattner

740 Kapitel 19: Active Directory-Verbunddienste
2. Der AD FS-Web-Agent fängt die Anforderung ab und prüft, ob der Client über ein AD FS-
Authentifizierungscookie verfügt, das den Zugriff auf die Anwendung ermöglicht. Da der Client
nicht über dieses Cookie verfügt, wird die Clientanforderung abgelehnt und der Client wird an
den Verbundserverproxy umgeleitet.
3. Der Client sendet eine HTTPS-Anforderung an den Verbundserverproxy. Daraufhin wird der
Client an die Authentifizierungsseite des Verbundserverproxys umgeleitet und zur Eingabe der
Anmeldeinformationen aufgefordert.
4. Der Verbundserverproxy akzeptiert die Anmeldeinformationen und die Anforderung wird an den
Ressourcenverbunddienst übergeben.
5. Der Verbundserver der Ressourcenorganisation wechselt direkt zu einem lokalen Kontospeicher
(AD LDS), um die Authentifizierung des Benutzers anzufordern.
6. Der Benutzer wird, wenn möglich, durch die AD LDS authentifiziert. Durch den Verbundserver
der Ressourcenorganisation werden von den AD LDS Attribute über LDAP abgerufen sowie die
Sicherheitstoken und die AD FS-Authentifizierungstoken für die AD FS-fähige Webserveranwendung
ausgestellt.
7. Die Authentifizierungsinformationen und andere Informationen werden in einem Anspruch
zusammengefasst, der zusammen mit einer Umleitungsmeldung über den Proxy an den Client
zurückgegeben wird. Diese Meldung weist den Client an, das Sicherheitstoken an die ursprüngliche
URL zu übergeben.
8. Der AD FS-Web-Agent empfängt die Anforderung, überprüft die signierten Token und stellt (bei
erfolgreicher Prüfung) ein weiteres AD FS-Authentifizierungscookie aus. Anschließend leitet er
die Anforderung zur Verarbeitung durch den Webdienst weiter, der basierend auf den Ansprüchen
den Zugriff auf die Anwendung gewährt.
Verbundserverproxy
Woodgrove Bank
7
7
6
Client
INTERNET
3
4
Ressourcenverbundserver
5
2
AD LDS-Server
8
1
Abbildung 19.2
Webserver
Kundenzugriff auf Webanwendungen über die Web-SSO-Entwurfsoption
Federated-Web-SSO-Entwurf
Durch die Verwendung des Federated-Web-SSO-Entwurfs in den Active Directory-Verbunddiensten
(AD FS) wird eine sichere Kommunikation zwischen Organisationen ermöglicht. Dieser Entwurf wird