Active Directory.pdf - Gattner

756 Kapitel 19: Active Directory-Verbunddienste
Nach Aktivierung der Gruppenrichtlinieneinstellung wird im Registrierungsschlüssel jedes Verbundservers
in dieser Domäne der Wert DisallowFederationService eingefügt. Bevor auf einem
Windows Server 2008-Computer, der zu einer AD DS-Domäne gehört, die Serverrolle Verbunddienst
installiert werden kann, stellt der Server zunächst sicher, dass die Gruppenrichtlinie Nur
autorisierte Verbundserver in dieser Domäne zulassen aktiviert ist. Ist dies der Fall, kann der
Verbunddienst nicht installiert werden. Wenn die Gruppenrichtlinie nicht aktiviert ist (Standardeinstellung),
wird die Installation eines Verbunddienstes zugelassen und kann normal ausgeführt
werden.
Der Wert des Registrierungsschlüssels wird erst überprüft, wenn die Vertrauensrichtliniendatei
geladen ist. Daher kann es zu einer Verzögerung zwischen dem Herunterladen der Richtlinie und
dem Erkennen der Richtlinie vom Verbunddienst kommen. Die Richtlinie wird standardmäßig bei
Erhalt einer Dateiänderungsbenachrichtigung und zusätzlich einmal pro Stunde gelesen.
Beachten Sie, dass diese Funktion nur für Windows Server 2008-Verbundserver gilt und auf neue
oder vorhandene Verbunddienstinstallationen in Windows Server 2003 R2 keine Auswirkungen
hat.
Lu Zhao
Program Manager, Microsoft
Bereitstellen von Verbunddienstproxy-Servern
Mithilfe eines Verbundserverproxys kann eine Offenlegung der Verbundserver im Internet vermieden
werden. In den meisten Fällen wird der Verbundserverproxy in einem Umkreisnetzwerk zusammen
mit den Verbundservern im internen Netzwerk bereitgestellt.
Bei der Implementierung von Verbundserverproxys sind zwei Konfigurationsoptionen zu beachten:
• Ändern der Verbundproxy-URL Bei der Installation eines Konto- oder Ressourcenverbundservers
kann in der Vertrauensrichtlinie ein URI (Uniform Resource Identifier) festgelegt werden, der die
URL (Uniform Resource Locator) identifiziert, zu der die Benutzer bei einem Verbindungsversuch
mit dem Verbundserver weitergeleitet werden. Diese URIs werden folgendermaßen verwendet:
Für die AD FS-Web-Agents auf den IIS-Servern wird der URI des Ressourcenverbundservers
festgelegt.
Auf dem Ressourcenverbundserver wird der URI für den Kontoverbundserver festgelegt.
Auf dem Kontoverbundserver wird der URI für den Ressourcenverbundserver festgelegt.
Beim Hinzufügen eines Verbundserverproxys muss der Endpunkt der Verbundserver-URIs entsprechend
geändert werden, sodass Clientcomputer anstatt einen direkten Verbindungsversuch mit
dem Verbundserver zu starten, an den Verbundserverproxy umgeleitet werden.
• Konfigurieren der Clientzertifikate des Verbundserverproxys Für die Clientauthentifizierung muss
der Verbundserverproxy über ein Zertifikat verfügen, das mit einer Stammzertifizierungsstelle
verkettet ist. Diese wiederum muss der durch das Zertifikat geschützte Verbundserver als vertrauenswürdig
einstufen. Für dieses Zertifikat verfügt der Verbundserverproxy sowohl über einen
öffentlichen als auch über einen privaten Schlüssel. Das Zertifikat muss (ohne den privaten
Schlüssel) exportiert und anschließend in die Vertrauensrichtlinie des geschützten Verbundservers
importiert werden.