Active Directory.pdf - Gattner

752 Kapitel 19: Active Directory-Verbunddienste
2. Abrufen der erforderlichen Authentifizierungszertifikate für jeden am AD FS-Szenario beteiligten
Server und Konfigurieren der SSL-Authentifizierung für die anwendbaren Websites auf jedem
Server. Diese Aufgabe schließt die Webserver und alle mit den AD FS verbundenen Server ein. Wenn
das selbstsignierte Zertifikat verwendet werden soll, kann das Zertifikat zusammen mit den AD FS
installiert werden.
Für eine ordnungsgemäße Funktionsweise der AD FS müssen die folgenden Zertifikatsanforderungen
erfüllt sein:
Das vom Kontopartner verwendete Tokensignaturzertifikat muss auf den Ressourcenverbundserver
importiert werden. Hierzu ist das Exportieren des Tokensignaturzertifikat auf dem Kontoverbundserver
in eine Datei erforderlich. Der Speicherort der Datei sollte so gewählt sein,
dass diese beim Erstellen eines neuen Kontopartners auf den Ressourcenverbundserver importiert
werden kann.
Ein AD FS-Webserver muss das Serverauthentifizierungszertifikat für den Ressourcenverbundserver
als vertrauenswürdig einstufen. Bei Verwendung einer öffentlichen Zertifizierungsstelle
für den Ressourcenverbundserver wird dem Zertifikat vertraut. Wenn eine interne
Zertifizierungsstelle genutzt wird, muss das Zertifikat auf den Ressourcenverbundserver
exportiert und anschließend auf dem AD FS-Webserver in den Ordner Vertrauenswürdige
Stammzertifizierungsstellen importiert werden.
Bei Verwendung eines Verbundserverproxys muss für diesen ein Clientzertifikat festgelegt
werden, das von dem entsprechenden Verbundserver als vertrauenswürdig eingestuft wird.
Hinweis In den folgenden Abschnitten wird die Vorgehensweise beim Import und Export der Serverzertifikate
nicht beschrieben. Weitere Informationen finden Sie in der Onlinehilfe zu den Internetinformationsdiensten
oder im Handbuch zur AD FS-Bereitstellung (beide in englischer Sprache) unter
http://go.microsoft.com/fwlink/?LinkId=91899.
3. Installieren des Rollendienstes Verbunddienst. Auf den gewünschten Kontopartner- und Ressourcenpartnerservern
muss der AD FS-Rollendienst Verbunddienst installiert werden. Während
dieses Vorgangs kann ein selbstsigniertes Tokensignaturzertifikat erstellt werden, das zur Sicherung
von Token bei Authentifizierungen verwendet wird.
4. Installieren des Rollendienstes Verbunddienstproxy. Auf den gewünschten Kontopartner- und Ressourcenpartnerservern
muss der AD FS-Rollendienst Verbunddienstproxy installiert werden.
5. Installieren des AD FS-Web-Agents. Die Installation und Konfiguration des AD FS-Web-Agents
erfolgt auf dem Webserver, auf dem die Ansprüche unterstützende bzw. Windows NT-Tokenbasierte
Anwendung ausgeführt wird.
Konfigurieren des Kontoverbundpartners Die Konfiguration des Verbunddienstes für die Kontoumgebung
umfasst zahlreiche Aufgaben:
1. Konfigurieren der Vertrauensrichtlinie. Zur Konfiguration der Vertrauensrichtlinie gehört die Eingabe
des entsprechenden Verbunddienst-URIs und der Verbunddienstendpunkt-URL für die Kontoverbundumgebung.
2. Konfigurieren der Organisationsansprüche. Auf der Seite des Kontopartners handelt es sich bei
den Organisationsansprüchen um einen standardmäßigen Satz an Ansprüchen, die entweder über
die AD DS oder die AD LDS gefüllt werden. AD DS- oder AD LDS-Attribute werden mithilfe
von Organisationsansprüchen AD FS-Objekten zugeordnet, die von Verbundservern verstanden
werden.