Active Directory.pdf - Gattner

768 Kapitel 19: Active Directory-Verbunddienste
Des Weiteren kann festgelegt werden, welche Authentifizierungstypen von der Anwendung unterstützt
werden sollen. Standardmäßig sind die Windows-integrierte Authentifizierung, die Authentifizierung
durch Benutzername und Kennwort sowie die Zertifikats- oder TLS/SSL-Clientauthentifizierung
aktiviert.
Hinzufügen von Kontopartnern
In der Regel verfügt ein Ressourcenpartner über mindestens einen konfigurierten Kontopartner. Ähnlich
wie bei der Konfiguration eines Ressourcenpartners für den Kontopartner kann auch der Kontopartner
manuell oder durch Importieren der vom Kontopartner exportierten Richtlinien konfiguriert
werden.
Kontopartner führen eine digitale Signierung des erstellten Sicherheitstokens durch. Die Token sind
speziell für den Ressourcenverbunddienst konzipiert, um Anforderungen zu empfangen und bestimmten
Partnern zu vertrauen. Aus diesem Grund wird für die Konfiguration des Kontopartners auf der
Seite des Ressourcenpartners das Tokensignaturzertifikat benötigt. Bei der Konfiguration des Kontopartners
ist die Angabe der folgenden Informationen erforderlich:
• Anzeigename.
• Verbunddienst-URI.
• Verbunddienstendpunkt-URL.
• Tokensignaturzertifikat des Kontopartners. Diese Werte werden beim Importieren der XML-Datei
vom Kontopartner als erstes konfiguriert. Zudem kann zwischen der Verwendung des in der XML-
Datei enthaltenen Tokensignaturzertifikats oder eines anderen Zertifikats gewählt werden.
• Das Szenario, das gerade implementiert wird: ein Federated-Web-SSO-Entwurf oder ein Federated-Web-SSO-Entwurf
mit Gesamtstrukturvertrauensstellung.
• Vom Kontopartner bereitgestellte Identitätsanspruchstypen.
• Vom Kontopartner zugelassene UPN- und E-Mail-Suffixe.
Hinzufügen eingehender Anspruchszuordnungen
Durch eingehende Gruppenanspruchszuordnungen werden Gruppen- oder benutzerdefinierte Ansprüche,
die von einem Kontopartner gesendet wurden, in Ansprüche umgewandelt, die der Ressourcenpartner
für Autorisierungsentscheidungen verwendet. Zum Beispiel kann der eingehende Anspruch
von Adatum den Anspruch AdatumFinanzManager enthalten. Die Anwendung ist möglicherweise für
die Verwendung des Anspruchs KundenManager konfiguriert, um die richtige Zugriffsebene für die
Anwendung bereitzustellen. Die Konfiguration des eingehenden Anspruchs ermöglicht die Zuordnung
des vom Kontopartner gesendeten Anspruchs zu einem Anspruch, der von der Anwendung verarbeitet
werden kann.
Um ausgehende benutzerdefinierte Ansprüche beim Kontopartner zu verarbeiten, können zudem
Zuordnungen für eingehende benutzerdefinierte Ansprüche konfiguriert werden. Angenommen ein
Kontopartner sendet ein Sicherheitstoken für einen Benutzer, das den benutzerdefinierten Anspruch
MitarbeiterID enthält. Da der Ressourcenpartner keine auf diesem Anspruch basierende Autorisierungsentscheidungen
treffen kann, besteht die Möglichkeit, eine Zuordnung für einen eingehenden
benutzerdefinierten Anspruch zu konfigurieren, die den benutzerdefinierten Anspruch MitarbeiterID
in einen als KundenID bezeichneten benutzerdefinierten Anspruch umwandelt.