Active Directory.pdf - Gattner

Implementieren der AD FS 765
Selbst wenn diese Werte an den vorgesehenen Partneradministrator gesendet werden, besteht dennoch
die Möglichkeit eines unbeabsichtigten Eingabefehlers durch den Administrator. Die Ermittlung
der Fehlerquelle in der neuen Vertrauensstellung nach der Eingabe eines falsch oder unbeabsichtigt
eingegebenen Wertes kann schnell mehrere Stunden dauern.
Durch die verbesserten Funktionen in Windows Server 2008 kann jeder Partneradministrator die
generische Vertrauensrichtlinie sowie die Partnervertrauensrichtlinie in eine kleine XML-Datei
exportieren. Diese kann anschließend problemlos per E-Mail an den Administrator der Partnerorganisation
übermittelt werden. Die generische Vertrauensrichtlinie enthält Werte wie Anzeigename
des Verbundservers, URI, Verbundserverproxy-URL und alle Verifizierungszertifikatinformationen.
Die Datei mit der Partnervertrauensrichtlinie umfasst ebenfalls Informationen zu den einzelnen
Ansprüchen. Diese Informationen sind für die verbleibenden Schritte beim Einrichten der Verbundvertrauensstellung
hilfreich, die durch das Importieren der Partnervertrauensrichtlinie und
Zuordnen der Ansprüche schnell durchgeführt werden können.
Das Exportieren der Informationen und das anschließende Versenden per E-Mail bietet dem Partneradministrator,
der die XML-Datei empfängt, folgende Vorteile:
• Schnellere Einrichtung einer Vertrauensstellung, da der Administrator die Inhalte der XML-
Datei in den Assistenten zum Hinzufügen einer Partnerorganisation importieren kann. Die
importierten Einstellungen muss der Administrator dann lediglich auf den einzelnen Seiten
überprüfen und bestätigen.
• Vermeidung des zusätzlichen Schritts, in dem das Kontoverifizierungszertifikat importiert werden
muss, da dies beim Import automatisch geschieht.
• Einfache Anspruchszuordnung
• Verhinderung manueller Eingabefehler
Sie können diese neue Funktion testen, indem Sie die Schrittweise Anleitung für die Active Directory-Verbunddienste
in der Windows Server 2008-Version durcharbeiten.
Nick Pierson
Senior Technical Writer, Microsoft
Hinzufügen ausgehender Anspruchszuordnungen
Nach dem Erstellen des Ressourcenpartners können die ausgehenden Anspruchszuordnungen konfiguriert
werden. Ausgehende Anspruchszuordnungen werden zur Umwandlung vom Kontopartner verwendeter
interner Organisationsansprüche in Gruppenansprüche oder benutzerdefinierte Ansprüche
genutzt, die für den Ressourcenpartner spezifisch sind. Die einzelnen Organisationen können unterschiedliche
Namen für die Ansprüche verwenden. Beispielsweise kann Adatum über einen Organisationsanspruch
FinanzManager und die Woodgrove Bank über einen zugehörigen Anspruch Adatum-
FinanzManager verfügen. Durch das Erstellen der ausgehenden Anspruchszuordnung wird der
Kontopartner-Organisationsanspruch in einen Anspruch umgewandelt, der die Anforderungen des
Ressourcenpartners erfüllt.
Hinweis Durch die Konfiguration ausgehender Anspruchszuordnungen kann derselbe Organisationsanspruch
von mehreren Ressourcenpartnern genutzt werden. Der Organisationsanspruch FinanzManager
kann beispielsweise sowohl dem Anspruch AdatumFinanzManager für die Woodgrove Bank als auch einem
völlig anderen Anspruch für eine andere Ressourcenorganisation zugeordnet werden.