Active Directory.pdf - Gattner

772 Kapitel 19: Active Directory-Verbunddienste
Eine Besonderheit bei der Verwendung von Ressourcenkonten ist, dass möglicherweise viele unterschiedliche
Ressourcenkonten erstellt werden müssen, wenn die Organisation über mehrere Tokenbasierte
Anwendungen verfügt und die Kontopartner über viele verschiedene Benutzerkonten auf die
Anwendung zugreifen. Zur Vereinfachung dieses Prozesses bieten die Active Directory-Verbunddienste
die folgenden Ressourcenkontomethoden:
• Ressourcenkonten Bei dieser Methode wird ein in Active Directory erstellter Sicherheitsprinzipal
(normalerweise ein Benutzerkonto) für die Zuordnung zu einem einzelnen Verbundbenutzer
eingesetzt. Diese Option bietet zwar eine genaue Zugriffssteuerung auf Benutzerebene, erfordert
aber auch die Erstellung eines eindeutigen Ressourcenkontos für jeden Benutzer, der auf die
Anwendung zugreifen wird.
• Ressourcengruppen Bei dieser Methode wird eine in AD DS erstellte Sicherheitsgruppe eingehenden
Gruppenansprüchen zugeordnet. Der Implementierungsaufwand bei dieser Methode ist
geringer, da nicht für jeden Verbundbenutzer separate Ressourcenkonten erstellt und verwaltet
werden müssen. Eine Ressourcengruppe kann eine unbegrenzte Anzahl an Verbundbenutzern
unterstützen, die dieser zugeordnet sind. Der entscheidende Nachteil dieser Methode ist, dass
eine Zugriffssteuerung einzelner Benutzer durch die Ressourcenorganisation nicht möglich ist und
darauf vertraut werden muss, dass die Kontoorganisation ausschließlich geeignete Benutzer zum
Gruppenanspruch hinzufügt.
• Gruppe-zu-UPN-Zuordnung Bei dieser Methode wird eine Gruppe von Verbundbenutzern dem in
der Ressourcengesamtstruktur erstellten UPN eines Benutzerkontos zugeordnet. Es nicht mehr
erforderlich, für jeden Verbundbenutzer separate Ressourcenkonten zu erstellen und zu verwalten.
Die mangelnde Granularität bei der Überwachung ist der primäre Nachteil dieser Option. Da
mehrere Benutzer über dieselbe Gruppe auf die Anwendung zugreifen werden, ist eine Überwachung
einzelner Benutzerzugriffe nicht möglich.
Hinweis Eine Möglichkeit, um den Verwaltungsaufwand für die Ressourcenkonten zu verringern, ist der
Einsatz eines Identitätsbereitstellungstools wie Microsoft Identity Lifecycle Manager 2007 (ILM), mit dem die
benötigten Konten automatisch erstellt werden können. Die Verwendung eines Transformationsmoduls für
Ansprüche ist eine weitere Möglichkeit, um Konten automatisch zu erstellen und diese nach Beendigung der
Sitzung wieder zu entfernen.
Zur Implementierung von Ressourcengruppen ist möglicherweise das Hinzufügen von UPN-Suffixen
zur Ressourcengesamtstruktur erforderlich. Wenn zum Beispiel Benutzer in der Gesamtstruktur
WoodgroveBank.com den UPN Benutzer@WoodgroveBank.com verwenden, der keinem bereits zugelassenem
UPN in der Ressourcengesamtstruktur zugeordnet ist, muss der UPN WoodgroveBank.com
zur Ressourcengesamtstruktur hinzugefügt werden.
Implementieren eines Web-SSO-Entwurfs
Der Web-SSO-Entwurf ist im Vergleich zum Federated-Web-SSO-Entwurf weniger komplex, da er
nur die folgenden Komponenten umfasst:
• Ein Verbundserver (erforderlich). Der Verbundserver fungiert in diesem Entwurf als Kontopartner
und auch als Ressourcenpartner.
• Ein Verbundserverproxy (in dieser Bereitstellung optional).
• Ein Webserver mit installiertem AD FS-Web-Agent und einer installierten Ansprüche unterstützenden
oder Windows NT-Token-basierten Anwendung (erforderlich).