Active Directory.pdf - Gattner

Überblick über die AD FS 743
In einem Federated-Web-SSO-Entwurf mit Gesamtstrukturvertrauensstellung stellt die Organisation
zwei AD DS-Gesamtstrukturen bereit – eine im internen Netzwerk und eine im Umkreisnetzwerk.
Zwischen der Gesamtstruktur des Umkreisnetzwerks und der Unternehmensgesamtstruktur wird eine
einseitige Gesamtstrukturvertrauensstellung konfiguriert. So können Mitarbeiterbenutzerkonten in der
internen Gesamtstruktur für den Zugriff auf die Anwendung verwendet werden, die auf einem Server
in der Gesamtstruktur des Umkreisnetzwerks installiert ist. Dieses Szenario wird in Zusammenhang
mit Windows NT-Token-basierten Anwendungen am häufigsten eingesetzt. Eine Windows NT-Tokenbasierte
Anwendung setzt voraus, dass ein Sicherheitsprinzipal vorhanden ist, dem das AD FS-Token
zugeordnet werden kann. Das Konto des Sicherheitsprinzipals kann bei Bereitstellung von zwei
Gesamtstrukturen in der internen Gesamtstruktur konfiguriert werden.
Hinweis Wenn zwischen der internen Gesamstruktur und der Gesamtstruktur des Umkreisnetzwerks
keine Vertrauensstellung besteht und es sich bei der Anwendung im Umkreisnetzwerk um eine Windows NT-
Token-basierte Anwendung handelt, können in der Gesamtstruktur des Umkreisnetzwerks Schattenkonten
oder -gruppen erstellt werden. Diese Konten können Benutzer anschließend für den Zugriff auf die Anwendung
nutzen.
Der Zugriff auf AD FS-geschützte Ressourcen wird durch den Federated-Web-SSO-Entwurf mit
Gesamtstrukturvertrauensstellung sowohl für interne als auch externe Mitarbeiter ermöglicht.
Abbildung 19.4 zeigt den Datenfluss in einem Szenario, bei dem sich Benutzer außerhalb des Unternehmens
befinden.
Woodgrove Bank
8
8
5
4 10
3 9
5
Konto-
Verbundserverproxy
Verbundvertrauensstellung
Client
INTERNET
Ressourcenverbundserver
Kontoverbundserver
6 7
1
2
Unidirektionale
Verbundvertrauensstellung
AD DS-
Domänencontroller
AD DS-
Domänencontroller
11
Webserver
Abbildung 19.4 Zugriff auf Webanwendungen in einer Gesamtstruktur des Umkreisnetzwerks durch den Federated-
Web-SSO-Entwurf mit Gesamtstrukturvertrauensstellung