Active Directory.pdf - Gattner

762 Kapitel 19: Active Directory-Verbunddienste
Abbildung 19.9
Eingabe von Informationen zur AD LDS-Instanz beim Erstellen des Kontospeichers
• Das LDAP-Benutzerobjektattribut enthält den Benutzernamen. Bei der Verwendung eines UPN-
Identitätsanspruchs würde beispielweise Benutzerprinzipalname verwendet werden.
• Basis-DN für LDAP-Suche. Diese Einstellung ist optional. Bei Angabe einer Unterstruktur beziehen
sich ausgeführte Suchläufe auf die angegebene Unterstruktur. Anderenfalls wird die gesamte
Verzeichnisstruktur durchsucht.
• Identitätsansprüche. Bei der Speicherkonfiguration können Sie außerdem die Identitätsanspruchstypen
konfigurieren, die vom AD LDS-Speicher unterstützt werden, und die in den erwarteten
Informationen enthaltenen Benutzerattribute festlegen.
• Clientzeitüberschreitung. Diese Einstellung ist optional. Sie bezieht sich auf die Zeit, die der Verbunddienst
auf eine Antwort vom AD LDS-Server wartet, bevor die Verbindung aufgrund einer
Zeitüberschreitung getrennt wird. Der Standardwert beträgt 5 Sekunden.
Hinzufügen von Gruppenanspruchs- und benutzerdefinierten Anspruchsextrahierungen
Nach der Konfiguration der Benutzerkonten und -gruppen enthaltenden Kontospeicher können
Anspruchsextrahierungen festgelegt werden, um mithilfe der im LDAP-Verzeichnis gespeicherten Informationen
einen Benutzeranspruch zu erfüllen. Beim Erstellen einer Anspruchsextrahierung wird ein mit
einem Benutzerkonto im Kontospeicher verknüpftes Attribut einem AD FS-Anspruch zugeordnet, der
vom AD FS-Prozess verarbeitet werden kann.
Hinweis Das Erstellen von Anspruchsextrahierungen für Identitätsansprüche ist nicht möglich. Diese Attribute
werden bestimmten Benutzerkonten zugewiesen.
Es gibt zwei Anspruchsextrahierungstypen:
• Gruppenanspruchsextrahierungen Bei Gruppenanspruchsextrahierungen wird die Mitgliedschaft
einer Gruppe im Verzeichnisspeicher mit einem Organisationsanspruch verknüpft. Beispielsweise
könnte die Gruppe FinanzManager aus den AD DS mit dem Organisationsanspruch FinanzMana-