Active Directory.pdf - Gattner

AD FS-Bereitstellungsanforderungen
Implementieren der AD FS 745
Hinweis Dieser Abschnitt beschreibt die Bereitstellung von AD FS im Federated-Web-SSO-Entwurf. Bei
dieser Bereitstellungsoption handelt es sich um das komplizierteste Szenario, dass die Höchstzahl an AD
FS-Komponenten umfasst. Der AD FS-Entwurf gibt vor, welche Komponenten tatsächlich erforderlich sind
und wie diese konfiguriert werden.
Damit die AD FS bereitgestellt werden können, muss zunächst sichergestellt werden, dass die AD FS-
Anforderungen von der Netzwerkinfrastruktur des Unternehmens unterstützt werden.
Netzwerkanforderungen
Zur Bereitstellung von AD FS müssen die folgenden Netzwerkanforderungen erfüllt sein:
• TCP/IP-Konnektivität Für die Verwendung der AD FS muss zwischen dem Client, den AD DSoder
AD LDS-Servern und den Computern, die als Host für den Verbunddienst, den Verbunddienstproxy
und die AD FS-Web-Agents fungieren, TCP/IP-Netzwerkkonnektivität gewährleistet
sein. Da für alle Clientanforderungen HTTPS verwendet wird, muss zwischen dem Client und
allen Servern, auf denen vom Client benötigte AD FS-Rollen ausgeführt werden, eine HTTPS-
Verbindung bestehen.
• DNS-Anforderungen Für die Verwendung der AD FS ist es erforderlich, dass die Clientcomputer
die Namen aller Server auflösen können, auf denen AD FS-Komponenten ausgeführt werden. Die
ordnungsgemäße Funktionsweise der Namensauflösung kann folgendermaßen überprüft werden:
Die Auflösung der DNS-Namen für die Webserver, auf denen der AD FS-Web-Agent ausgeführt
wird, muss von Clientcomputern über das Internet oder von Kontoorganisationen aus
möglich sein. Dabei stellen die Clients eine Verbindung mit diesen Servern her, um mit der
AD FS-Authentifizierung und Autorisierung zu beginnen und nach erfolgreicher Authentifizierung
auf die Anwendung zuzugreifen. Zudem müssen Clientcomputer DNS-Namen für
Verbundserverproxys bzw. Verbundserver auflösen können.
Wenn der AD FS-Zugriff für interne Benutzer aktiviert wird und alle AD FS-Server im
Umkreisnetzwerk bereitgestellt werden, muss der Clientcomputer im internen Netzwerk in der
Lage sein, die IP-Adressen der AD FS-Server aufzulösen.
Die Namen von Verbundservern müssen von Verbundserverproxys aufgelöst werden können,
damit Clientanforderungen weitergeleitet werden. Diese Namensauflösung kann auf zwei
Arten erfolgen: Entweder durch Verwendung der Hostdateien auf den Verbundserverproxys
oder durch Implementierung von DNS im Umkreisnetzwerk mit geeigneten Zonen.
Clientwebbrowser-Anforderungen
Nahezu alle aktuellen JScript-fähigen Webbrowser können als AD FS-Client eingesetzt werden. Zu
den von Microsoft getesteten Browsern gehören Internet Explorer 5 und neue Browser wie Internet
Explorer 7, Mozilla Firefox und Safari (Apple Macintosh). JScript muss im Webbrowser aktiviert
werden.
Zur Bereitstellung der SSO-Funktionalität müssen die von den AD FS erstellten Authentifizierungscookies
auf Clientcomputern gespeichert werden. Daher muss der Clientbrowser für die Zulassung
von Cookies konfiguriert sein. Bei Authentifizierungscookies handelt es sich immer um HTTPS-
Sitzungscookies (Secure Hypertext Transfer Protocol), die für den Quellserver geschrieben wurden.
Wenn die Clientbrowserkonfiguration diese Cookies nicht zulässt, können die AD FS nicht ordnungsgemäß
ausgeführt werden.