Active Directory.pdf - Gattner

Zusammenfassung 775
f. Bereitstellen der Anwendung auf den Webservern.
g. Zuweisen von Zugriffsteuerungsrechten zu Verbundbenutzerkonten.
Zusammenfassung
Die Active Directory-Verbunddienste bieten eine Möglichkeit, Netzwerkauthentifizierungs- und
Autorisierungsdienste von AD DS ebenfalls Benutzern außerhalb der Organisation bereitzustellen.
Mithilfe der AD FS lassen sich webbasierte Anwendungen bereitstellen, für die ein SSO-Zugriff eingerichtet
werden kann. Daher ist es nicht erforderlich, dass alle Benutzer über ein Benutzerkonto in
der internen AD DS-Gesamtstruktur verfügen. Dies ermöglicht Szenarien für die Zusammenarbeit mit
anderen Organisationen, Kunden oder Remotemitarbeitern, die von außerhalb der Organisation auf
Anwendungen zugreifen.
Empfohlene Vorgehensweisen
• Stellen Sie Verbundserver bereit, die die interne AD DS-Gesamtstruktur als Kontospeicher im
internen Netzwerk nutzen. Dies ist wichtig, da Verbundserver autorisiert sind, Sicherheitstoken zu
erteilen. Aus diesem Grund sollten für Verbundserver dieselben Schutzmaßnahmen ergriffen werden
wie für Domänencontroller. Des Weiteren sollten Sie zum Schutz des Verbundservers zusätzlich
Verbundserverproxys im Umkreisnetzwerk bereitstellen.
• Deaktivieren Sie als weitere Sicherheitsmaßnahme alle Ressourcenbenutzerkonten. Ist dies nicht
möglich, sollten alle Ressourcenbenutzerkonten zu einer Sicherheitsgruppe hinzugefügt und die
Berechtigung der Sicherheitsgruppe so festgelegt werden, dass eine lokale Anmeldung auf dem
AD FS-Webserver nicht zulässig ist.
Zusätzliche Ressourcen
• Kapitel 18, „Active Directory-Rechteverwaltungsdienste“, beschreibt die Integration der AD FS in
die AD RMS. Dieses Feature ermöglicht die Verwendung der mit den AD FS verbundenen Identitäten
in einer AD RMS-Bereitstellung, um Daten bei der Übermittlung zwischen Organisationen zu
schützen.
• Informationen zu Entwürfen und Bereitstellungen sowie eine Schrittanleitung für die AD FS-
Implementierung in einer Testumgebung finden Sie auf der Website „Active Directory-Verbunddienste“
in der technischen Bibliothek zu Windows Server 2008 unter http://technet2.microsoft.com/windowsserver2008/de/servermanager/activedirectoryfederationservices.mspx.
• Weitere Informationen zur Konfiguration von AD FS in Zusammenhang mit anderen
Identitätsverbundprodukten wie IBM Tivoli Federated Identity Manager und CA SiteMinder
Federation Security Services finden Sie auf der englischsprachigen Website „Active Directory
Federation Services“ im Windows Server 2003-TechCenter. Diese Website finden Sie unter
http://technet2.microsoft.com/windowsserver2008/de/servermanager/activedirectoryfederationservices.mspx.
• Das Entwurfs- und Bereitstellungshandbuch für Active Directory-Verbunddienste steht unter
http://www.microsoft.com/downloads/details.aspx?FamilyID=b92ea722-0c30-4ea6-bd45-
7e5934b870cf&DisplayLang=en in englischer Sprache zum Download bereit. Es enthält detaillierte
Informationen zu Entwurf und Bereitstellung einer AD FS-Implementierung, wie z.B. die
Bereitstellung mehrerer Server in einer Verbundserverfarm-Konfiguration.