Active Directory.pdf - Gattner

744 Kapitel 19: Active Directory-Verbunddienste
Die folgenden Schritte beschreiben die Vorgänge:
1. Ein Mitarbeiter der Woodgrove Bank befindet sich außerhalb des Büros. Er sendet über einen
Webbrowser eine HTTPS-Anforderung für den Zugriff auf eine Anwendung, die auf dem Webserver
im Umkreisnetzwerk ausgeführt wird.
2. Der AD FS-Web-Agent fängt die Anforderung ab. Da der Client nicht über das erforderliche Cookie
verfügt, leitet der AD FS-Web-Agent den Client an den Ressourcenverbundserver um.
3. Der Client sendet eine HTTPS-Anforderung an den Ressourcenverbundserver.
4. Der Ressourcenverbundserver leitet den Client an den Konto-Verbundserverproxy um.
5. Der Konto-Verbundserverproxy fordert die Benutzeranmeldeinformationen an und übergibt die
Anforderung anschließend an den Kontoverbundserver.
6. Der Kontoverbundserver leitet die Authentifizierungsanforderung an den AD DS-Domänencontroller
weiter.
7. Die AD DS authentifizieren den Benutzer und senden die Erfolgsmeldung zusammen mit weiteren
im Verzeichnis gespeicherten Benutzerinformationen (Attribute, Gruppenmitgliedschaften
usw.), die zum Erstellen von Benutzeransprüchen verwendet werden, zurück an den Kontoverbundserver.
8. Bei einer erfolgreichen Authentifizierung werden die Authentifizierungsinformationen und weitere
Informationen in einem Anspruch zusammengefasst, der zusammen mit einer Umleitungsmeldung
über den Proxy an den Client zurückgegeben wird. Diese Meldung weist den Client an, das
Sicherheitstoken an den Ressourcenverbunddienst zu übergeben.
9. Der Webbrowser übergibt das Sicherheitstoken an den Ressourcenverbundserver. Dieser erstellt
das Sicherheitstoken und AD FS-Authentifizierungstoken für die Webanwendung.
10. Der Ressourcenverbundserver stellt dem Webbrowser die Token zur Verfügung und leitet den
Client zur Verbindung mit der AD FS-Webanwendung um.
11. Der Web-Agent erhält die Anforderung und das AD FS-Authentifizierungscookie. Da es sich bei
der Anwendung um eine Windows NT-Token-basierte und nicht um eine Ansprüche unterstützende
Anwendung handelt, muss die Anwendung ein Windows NT-Identitätstoken aus dem
Sicherheitstoken erstellen. Dieses Windows NT-Token wird anschließend von der Anwendung
verwendet, um die Identität des Benutzerkontos anzunehmen und den entsprechenden Zugriff zu
ermöglichen.
Die Vorgehensweise bei einem Benutzer innerhalb der Organisation ist dieselbe, abgesehen davon,
dass der Konto-Verbundserverproxy nicht für die Benutzerauthentifizierung verwendet wird. Der
Webbrowser kann direkt mit dem Konto-Verbundserver kommunizieren, da sich der Benutzer bereits
im internen Netzwerk befindet.
Implementieren der AD FS
Nach Auswahl eines AD FS-Entwurfs werden die Active Directory-Verbunddienste durch die Installation
und Konfiguration der AD FS-Komponenten auf Windows Server 2008-Computern implementiert.
In diesem Abschnitt werden die Bereitstellung und die Konfiguration von Verbundservern,
Verbundserverproxys und AD FS-fähigen Webservern beschrieben. Darüber hinaus werden die verschiedenen
AD FS-Anwendungstypen (Ansprüche unterstützende und Windows NT-Token-basierte
Anwendungen) sowie deren Implementierungen erläutert.