Active Directory.pdf - Gattner

Implementieren der AD FS 761
Diese Informationen werden aus den Benutzerkontoattributen über LDAP abgerufen und einem
benutzerdefinierten Namen in dem Anspruch zugeordnet. Bei der Ressourcenpartnerkonfiguration
können mehrere eingehende Namen benutzerdefinierter Ansprüche angegeben werden, die
vom Kontopartner zugelassen werden. Eingehende benutzerdefinierte Ansprüche ohne Zuordnung
werden verworfen.
Sicherheitswarnung Beim Erstellen eines allgemeinen Namensanspruchs können beliebige Attribute aus
dem Kontospeicher verwendet werden. Wenn in einem Unternehmen beispielsweise Personalnummern,
Bankkontennummern oder Sozialversicherungsnummern im Verzeichnis gespeichert werden, lassen sich
mithilfe dieser Informationen Ansprüche erstellen. Da jedoch einige dieser Informationen privat sind, müssen
bei deren Weitergabe an andere Organisationen gesetzliche Bestimmungen eingehalten werden.
Zum Erstellen neuer Organisationsansprüche klicken Sie mit der rechten Maustaste auf Organisationsansprüche,
wählen Sie Neu, und klicken Sie anschließend auf Organisationsanspruch (siehe
Abbildung 19.8). Durch das Erstellen des Organisationsanspruchs wird im Grunde genommen ein
Platzhalter für den Anspruch erstellt, der erst nach Hinzufügen von mindestens einem Kontospeicher
zum Verbunddienst und dem Konfigurieren der Anspruchszuordnungen verwendet werden kann.
Abbildung 19.8 Zuordnen von Gruppen aus dem Kontospeicher zu AD FS-Objekten durch die Konfiguration eines
Gruppenorganisationsanspruchs
Hinzufügen eines Kontospeichers
Ein Verbundserver, der für die Authentifizierung aller Verbundszenarien verwendet werden soll, muss
über mindestens einen Kontospeicher verfügen. Klicken Sie zum Hinzufügen eines Kontospeichers
mit der rechten Maustaste unter Eigene Organisation in der AD FS-Konsole auf Kontospeicher, und
klicken Sie anschließend auf Kontospeicher. Per Voreinstellung wird durch den Assistenten zum Hinzufügen
von Kontospeichern ein Kontospeicher für die AD DS-Domäne hinzugefügt, zu welcher der
Verbundserver gehört. Es kann nur ein AD DS-Kontospeicher hinzugefügt werden.
Sie können zusätzliche AD LDS-Kontospeicher erstellen. Beim Hinzufügen weiterer AD LDS-Kontospeicher
müssen Sie die folgenden Informationen bereitstellen:
• Anzeigename für den AD LDS-Kontospeicher.
• Kontospeicher-URI im Format LDAP://Servername.
• Servername, IP-Adresse und Portnummer (siehe Abbildung 19.9). Da auf einem Server mehrere AD
LDS-Instanzen mit jeweils unterschiedlichen Portnummern ausgeführt werden können, muss für
jede Instanz die entsprechende Portnummer angegeben werden.