Active Directory.pdf - Gattner

Implementieren der AD FS 747
Damit die AD FS ordnungsgemäß funktionieren, müssen die Active Directory-Domänencontroller in
der Kontopartner- oder der Ressourcenpartnerorganisation Windows 2000 Server SP4 (einschließlich
wichtiger Updates), Windows Server 2003 SP1, Windows Server 2003 R2 oder Windows Server 2008
ausführen.
AD LDS AD LDS oder ADAM-Kontospeicher können ebenfalls verwendet werden, um lokal gespeicherten
Identitäten den Zugriff auf Verbundanwendungen (sowohl Ansprüche unterstützende als auch
Windows NT-Token-basierte Anwendungen) in einem Ressourcenpartner zu gewähren. Ressourcenpartnerorganisationen
haben hingegen nicht die Möglichkeit, mithilfe der AD LDS Verbundbenutzer
lokalen Ressourcenkonten oder Ressourcengruppen zuzuordnen.
Zu den Active Directory-Verbunddiensten können mehrere AD LDS-Kontospeicher hinzugefügt werden.
Zum Authentifizieren eines Benutzers verwendet ein Verbundserver den ersten Kontospeicher,
der für die Anforderung der Benutzerauthentifizierung konfiguriert wurde. Falls das Benutzerkonto
nicht im Speicher enthalten ist, fragt der Verbundserver die anderen Speicher in der Reihenfolge ab, in
der diese konfiguriert wurden.
Auf den Computern, die als Host für den ADAM-Kontospeicher dienen, muss Windows 2000
Server mit Service Pack 4 (SP4) oder höher, Windows Server 2003 mit Service Pack 1 (SP1) oder
Windows Server 2003 R2 ausgeführt werden. Die Installation der AD LDS ist nur auf einem Windows
Server 2008-Computer möglich.
Webserveranforderungen
IIS ist eine verbindliche Anforderung für alle AD FS-Serverkomponenten. Ist die benötigte Serverrolle
Webserver (IIS) nicht installiert, müssen zunächst die erforderlichen IIS-Komponenten hinzugefügt
werden, damit die AD FS-Serverrollendienste installiert werden können.
Hinweis Zur Verwendung der Active Directory-Verbunddienste müssen .NET Framework 2.0 und
ASP.NET auf dem Computer installiert sein. .NET Framework 2.0 ist standardmäßig auf Windows Server
2008-Computern installiert, ASP.NET wird zusammen mit der Serverrolle Webserver (IIS) installiert.
Anforderungen an die Public Key-Infrastruktur (PKI)
Für eine sichere Kommunikation zwischen den AD FS-Komponenten müssen zur Verwendung von
AD FS für alle Websites, die Benutzerauthentifizierungs-Datenverkehr oder Sicherheitstoken zulassen,
Zertifikate für die Serverauthentifizierung konfiguriert werden. Diese Zertifikate werden für die Kontopartner-
und Ressourcenpartnerauthentifizierung und für die Authentifizierung zwischen Verbundservern
und Verbundserverproxys verwendet. Das bedeutet, dass die erforderlichen digitalen Zertifikate
von einer Zertifizierungsstelle (Certification Authority, CA) ausgestellt werden. Zur Ausstellung
dieser Zertifikate kann eine vertrauenswürdige externe Zertifizierungsstelle oder eine interne Zertifizierungsstelle
der Active Directory-Zertifikatdienste (Active Directory Certificate Services, AD CS)
verwendet werden.
• Von Verbundservern verwendete Zertifikate Verbundserver führen sowohl server- als auch clientbasierte
Funktionen aus, für die bestimmte Zertifikatstypen benötigt werden:
• Tokensignaturzertifikat Jeder Verbundserver verwendet ein Tokensignaturzertifikat, um alle selbst
erstellten Sicherheitstoken digital zu signieren. Da jedes Sicherheitstoken vom Kontopartner digital
signiert wird, kann der Ressourcenpartner sicherstellen, dass das Sicherheitstoken tatsächlich
vom Kontopartner ausgestellt und nicht geändert wurde. So werden Angreifer daran gehindert,
Sicherheitstoken zu fälschen oder zu ändern, um unberechtigten Zugriff auf Ressourcen zu erlangen.