Active Directory.pdf - Gattner

Implementieren der AD FS 767
Möglicherweise müssen nach der Kontospeicherkonfiguration auch die Gruppenanspruchs- und
benutzerdefinierten Anspruchsextrahierungen konfiguriert werden, um die Verzeichnisinformationen
an die von der Anwendung verwendeten Ansprüche anzupassen.
Konfigurieren von Anwendungen
Damit der Zugriff auf eine Anwendung durch einen Ressourcenverbundserver verhindert werden
kann, muss die Anwendung für den Verbundserver definiert werden. Bei der Konfiguration einer
Anwendung auf einem Verbundserver gibt es zwei Möglichkeiten:
• Ansprüche unterstützende Anwendungen Beim Einrichten einer Ansprüche unterstützenden
Anwendung sind alle Informationen zu einer bestimmten Identität in dem Token enthalten, das
von der Anwendung bereitgestellt wird. Verfügt eine Anwendung über ein zulässiges Token, kann
die Ansprüche unterstützende Anwendung Autorisierungsentscheidungen basierend auf den
Ansprüchen des Tokens treffen. Daher wird für den Zugriff auf eine Ansprüche unterstützende
Anwendung kein Benutzerkonto in den Ressourcen-AD DS benötigt.
• Windows NT-Token-basierte Anwendung Beim Erstellen einer Windows NT-Token-basierten
Anwendung können Sie Ansprüche in eingehenden AD FS-Token entweder Benutzerkonten oder
-gruppen im lokalen AD DS-Benutzerspeicher des Ressourcenpartners zuordnen. Die Benutzerkonten
oder -gruppen werden ebenfalls als Ressourcenkonten bzw. Ressourcengruppen bezeichnet.
Anschließend werden die Ressourcenkonten oder -gruppen von der Anwendung für die
Autorisierung verwendet.
Weitere Informationen Weitere Informationen zur Konfiguration von Windows NT-Token-basierten Konten
finden Sie später in diesem Kapitel im Abschnitt „Konfigurieren von AD FS für Windows NT-Token-basierte
Anwendungen“.
Klicken Sie zum Hinzufügen einer Anwendung mit der rechten Maustaste unter Eigene Organisation
auf den Knoten Anwendungen, wählen Sie Neu, und klicken Sie auf Anwendung. Im anschließend
geöffneten Assistenten zum Hinzufügen von Anwendungen müssen folgende Informationen eingegeben
werden:
• Anwendungstyp Zur Auswahl stehen die Ansprüche unterstützende Anwendung und die
Windows NT-Token-basierte Anwendung.
• Anzeigename und URL der Anwendung Die URL muss mit der tatsächlich für den Zugriff auf die
Anwendung verwendeten URL übereinstimmen.
• Unterstützte Identitätsansprüche Über diese Option wird festgelegt, ob die Anwendung UPN-
Ansprüche, E-Mail-Ansprüche oder allgemeine Namensansprüche unterstützt. Es können alle
drei, mindestens muss jedoch eine Option gewählt werden.
Nach dem Erstellen der Anwendung kann auf die Anwendungseigenschaften zugegriffen werden.
Diese werden für die Konfiguration des Schutzmechanismus für die Sicherheitstoken benötigt, die zur
Anwendung gesendet werden. Standardmäßig ist die Option Public Key-Infrastruktur (PKI) aktiviert,
d.h. der Verbunddienst schützt die Sicherheitstoken für diese Anwendung durch Tokensignaturzertifikate.
Alternativ kann auch ein Domänendienstkonto verwendet werden. Bei Auswahl dieser Option
verwendet der Verbunddienst zum Schutz der Sicherheitstoken für diese Anwendung eine Kerberos-
Anforderung. Wenn diese Option gewählt wird, ist die Angabe eines Dienstprinzipalnames (Service
Principal Name, SPN) für das Zieldienstkonto erforderlich. Bei Verwendung des AD FS-Web-Agents
für Ansprüche unterstützende Anwendungen muss der SPN für die Identität des Anwendungspools
der geschützten Anwendung registriert sein.