Active Directory.pdf - Gattner

770 Kapitel 19: Active Directory-Verbunddienste
Da die Woodgrove Bank jedoch die Finanz-Manager von unterschiedlichen Organisationen unterscheiden
muss, ist es erforderlich, dass alle Ansprüche für die Finanz-Manager von Adatum als
AdatumManager gekennzeichnet werden. Daher müssen die Administratoren von Adatum eine
Zuordnung für den ausgehenden Gruppenanspruch erstellen, über die der Organisationsanspruch
Manager dem Anspruch AdatumManager zugeordnet wird.
Wenn bei einem Partner eine Anspruchszuordnung erstellt und benannt wird, ist es wichtig, dass
für die Anspruchszuordnung beim anderen Partner genau derselbe Name vergeben wird. In diesem
Szenario wird beispielsweise bei Adatum eine Zuordnung des ausgehenden Gruppenanspruch für
AdatumManager erstellt. Bei der Woodgrove Bank muss eine Zuordnung für den eingehenden
Gruppenanspruch konfiguriert werden, die ebenfalls den Namen AdatumManager verwendet. Der
gemeinsam genutzte Name für den Anspruch stellt die Verbindung zwischen den beiden Verbundservern
dar.
Die Webanwendung der Woodgrove Bank wurde so konfiguriert, dass ein Anspruch mit dem
Namen Finanzen für Autorisierungsentscheidungen eingesetzt wird. Daher müssen die AD FS-
Administratoren der Woodgrove Bank einen eingehenden Gruppenanspruch konfigurieren, der den
Anspruch AdatumManager zulässt und in einen Anspruch namens Finanzen für die Webanwendung
transformiert.
Schließlich erhalten die Mitgliedern der AD DS-Gruppe FinanzManager bei Adatum alle Zugriffsrechte,
die dem Anspruch Finanzen auf dem Webserver der Woodgrove Bank zugewiesen wurden.
Zuordnungen ausgehender und eingehender Gruppenansprüche bilden eine Abstraktionsebene zwischen
den beiden Verbundpartnern. Es kann zum Beispiel sein, dass der Kontopartner die internen
AD DS-Gruppennamen dem Verbundpartner nicht ohne weiteres mitteilen möchte. Zudem möchte
der Verbundpartner die von eigenen Anwendungen verwendeten internen Anspruchsdetails möglicherweise
nicht gemeinsam mit dem Kontopartner nutzen. Die interne AD DS-Gruppenstruktur
wird bei der Konfiguration einer Zuordnung für einen ausgehenden Anspruch auf der Seite des
Kontopartners ausgeblendet. Auch auf der Seite des Ressourcenpartners sind die Anwendungsansprüche
nicht sichtbar, wenn eine Zuordnung für einen eingehenden Anspruch konfiguriert wird.
Der Ressourcenpartner und Kontopartner müssen sich lediglich auf den Namen und die Autorisierungsanforderungen
des Anspruchs einigen, der zwischen den Organisationen übermittelt wird.
Konfigurieren von AD FS für Windows NT-Token-basierte Anwendungen
Ein Großteil der bisherigen Beschreibungen zur Implementierung der Active Directory-Verbunddienste
betraf deren Konfiguration für die Verwendung einer Ansprüche unterstützenden Anwendung.
Eine Vielzahl an Organisationen verfügt jedoch bereits über Windows NT-Token-basierte
Anwendungen, und es würde einige Zeit in Anspruch nehmen, um diese Anwendungen alle in
Ansprüche unterstützende Anwendungen umzuprogrammieren. Dieser Abschnitt enthält Details zur
Konfiguration von Active Directory-Verbunddiensten für die Verwendung von Windows NT-Tokenbasierten
Anwendungen.
Eine direkte Verarbeitung von AD FS-Ansprüchen durch Windows NT-Token-basierte oder Legacy-
Anwendungen ist nicht möglich. Stattdessen werden alle Ressourcen auf dem Webserver durch
Zugriffsteuerungslisten gesichert, die die SIDs für Sicherheitsprinzipale aus der AD DS-Gesamtstruktur
der Ressource oder aus einer vertrauenswürdigen Gesamtstruktur enthalten. Das bedeutet, dass der
Web-Agent, der eine Token-basierte Anwendung schützt, den Anspruch vom Ressourcenverbundserver
zulassen muss.