Active Directory.pdf - Gattner

766 Kapitel 19: Active Directory-Verbunddienste
Zum Kontopartner müssen für jeden Ressourcenpartner ausgehende Ansprüche hinzugefügt werden,
die anschließend bereits hinzugefügten Organisationsansprüchen zugeordnet werden. Um eine Zuordnung
eines ausgehenden Gruppenanspruchs zu erstellen, klicken Sie mit der rechten Maustaste auf
den Ressourcenpartnernamen, wählen Sie Neu und klicken Sie auf Zuordnung von ausgehenden
Gruppenansprüchen (siehe Abbildung 19.12). Zuordnungen ausgehender benutzerdefinierter Ansprüche
können ebenfalls erstellt werden.
Abbildung 19.12 Zuordnen von Ansprüchen des Kontopartners zu Ansprüchen des Ressourcenpartners durch die
Konfiguration einer ausgehenden Anspruchszuordnung
Konfigurieren von AD FS-Komponenten des Ressourcenpartners
Der Verbunddienst des Ressourcenpartners schützt den Zugriff auf mindestens eine Anwendungsressource.
Der Kontoverbundserver sendet Ansprüche an den Ressourcenverbundserver, der diese extrahiert
und prüft, ob sie zu den zulässigen eingehenden Ansprüchen gehören. Anschließend werden sie
den eigenen Organisationsansprüchen zugeordnet und zu einem neuen Token hinzugefügt, der diese
mit einem Tokensignaturzertifikat signiert. So können die Ansprüche an den Web-Agent gesendet
werden, der auf dem als IIS-Server installiert ist, der als Host für die Anwendung fungiert.
Eine Vielzahl der ersten Schritte bei der Konfiguration des Ressourcenpartners sind mit denen bei der
Konfiguration des Kontopartners vergleichbar:
1. Konfigurieren der Vertrauensrichtlinie. Die Konfiguration der Vertrauensrichtlinie eines Ressourcenpartners
ist mit der Konfiguration der Vertrauensrichtlinie eines Kontopartners identisch.
2. Konfigurieren von Organisationsansprüchen. Beim Ressourcenpartner werden die Organisationsansprüche
verwendet, um den Zugriff auf Anwendungen zu definieren. Die Organisationsansprüche
sind die eigentlichen Ansprüche, auf denen die Autorisierungsentscheidungen von Ansprüche
unterstützenden Anwendungen basieren. Für die Konfiguration von Organisationsansprüchen sind
dieselben Optionen wie bei der entsprechenden Konfiguration für den Kontopartner verfügbar. Es
besteht die Möglichkeit, eine beliebige Anzahl an Organisationsansprüchen zu erstellen und
anschließend einzelne oder alle für jede einzelne Anwendung zu aktivieren, die der Ressourcenverbundserver
schützt.
3. Konfigurieren von Kontospeichern (optional) und Anspruchsextrahierungen. In einem reinen
B2B-Verbundszenario ist die Konfiguration eines Kontospeichers auf dem Ressourcenverbundserver
nicht erforderlich. Wenn Mitarbeitern oder Kunden jedoch der Zugriff über den bereits installierten
Verbundmechanismus auf dieselben Ressourcen ermöglicht werden soll, muss ein
Kontospeicher konfiguriert und die Rolle eines Kontoanbieters angenommen werden.