Active Directory.pdf - Gattner

742 Kapitel 19: Active Directory-Verbunddienste
Der Datenfluss beim Federated-Web-SSO-Entwurf wird in den folgenden Schritten beschrieben:
1. Ein Benutzer der Organisation Adatum sendet über einen Webbrowser eine HTTPS-Anforderung
für den Zugriff auf eine Anwendung, die auf dem Webserver der Woodgrove Bank ausgeführt
wird.
2. Der auf dem Webserver installierte AD FS-Web-Agent fängt die Anforderung ab und prüft, ob der
Client ein Cookie zur Legitimierung der Anforderung bereitgestellt hat. Erst wenn der Benutzer
bereits authentifiziert wurde, verfügt der Client über dieses Cookie. In diesem Fall verwendet der
AD FS-Web-Agent eine HTTP 302-Umleitungsmeldung, um den Client an den Ressourcenverbundserver
bei der Woodgrove Bank umzuleiten. Da der AD FS-Web-Agent nicht über die
Vertrauensstellung informiert ist, muss dieser die Clientanforderung an den Verbundserver weiterleiten.
3. Der Client sendet eine HTTPS-Anforderung an den Ressourcenverbundserver. Der Ressourcenverbunddienst
muss nun den Speicherort des Kontos ermitteln. Dieser Vorgang wird alsBasisbereichsermittlung
bezeichnet. Basierend auf der Konfiguration der Verbundvertrauensstellung,
die Informationen wie den UPN oder die E-Mail-Adresse umfasst, ermittelt der Ressourcenverbundserver
Adatum als Basisbereich.
4. Der Client wird erneut umgeleitet, diesmal jedoch zum Kontoverbundserver in der Organisation
Adatum.
5. Der Client sendet eine HTTPS-Anforderung an den Kontoverbunddienst.
6. Die Benutzerauthentifizierung erfolgt über die integrierte Windows-Authentifizierung oder durch
Angabe der Anmeldeinformationen bei Aufforderung durch den Verbundserver.
7. Die AD DS authentifizieren den Benutzer und senden die Erfolgsmeldung zusammen mit den im
Verzeichnis gespeicherten Benutzerinformationen (Attribute, Gruppenmitgliedschaften usw.), die
zum Erstellen von Benutzeransprüchen verwendet werden, zurück an den Verbundserver.
8. Die Anspruchsdaten werden in einem digital signierten Sicherheitstoken zusammengefasst, dem
Client als Authentifizierungscookie übergeben und anschließend erneut zurück an den Ressourcenverbunddienst
gesendet.
9. Der Client sendet das Sicherheitstoken an den Ressourcenverbunddienst, der prüft, ob das Sicherheitstoken
von einem vertrauenswürdigen Partner stammt. Ist dies der Fall, stellt der Verbundserver
ein Basisbereichscookie aus, sodass künftige Anforderungen die Basisbereichsermittlung bis
zum Ablauf der Gültigkeit des Cookies nicht erneut durchlaufen müssen.
10. War der vorherige Schritt erfolgreich, erstellt und signiert der Verbundserver eine neues, eigenes
Token. Dieses wird als Ressourcenpartnercookie zusammen mit einer abschließenden Umleitung
zur ursprünglich angeforderten Quell-URL an den Client gesendet.
11. Der Web-Agent empfängt die Anforderung, überprüft die signierten Token und stellt (bei erfolgreicher
Überprüfung) ein weiteres Cookie aus. Anschließend leitet er die Anforderung zur Verarbeitung
durch den Webdienst weiter.
Federated-Web-SSO-Entwurf mit Gesamtstrukturvertrauensstellung
Der Federated-Web-SSO-Entwurf mit Gesamtstrukturvertrauensstellung kombiniert zwei Active
Directory-Gesamtstrukturen in einer Organisation. Dieser Entwurf wird in der Regel verwendet, um
Mitarbeitern im Unternehmensnetzwerk und Remotemitarbeitern einen Verbundzugriff auf AD FSgeschützte
Anwendungen im Umkreisnetzwerk zu gewähren. Hierzu werden für jeden Mitarbeiter die
standardmäßigen Unternehmensdomänen-Anmeldeinformationen verwendet.