Материал: Книга Active directory

•чтобы предоставить службы проверки подлинности в сети по периметру, применять экземпляры ADAM; клиент даже мог создать портал для самообслуживания, позволяющий членам обновлять свои записи, менять пароли и т. д.;

•оставить на брандмауэре лишь уже открытые, чаще всего используемые порты.

Это предложение соответствовало потребностям клиента, а его реализация не требовала больших затрат, к тому же можно было начать с пилотного проекта, включающего один-два ключевых приложения, а затем постепенно добавлять новых членов системы. В выпуске Windows Server 2008 корпорация Microsoft объединила все предложенные нами технологии в Active Directory.

Занятие 1. Концепция служб федерации Active Directory

п о д л и н н о с т и с п о м о щ ь ю браузера. Это решение немного похоже на принцип

п р о в е р к и п о д л и н н о с т и клиентов технология AD FS задействует внутреннее х р а н и л и щ е д а н н ы х проверки подлинности собственного домена пользователя

и л и х р а н и л и щ а м и , так что пользователям приходится запоминать несколько кодов доступа и паролей. Технология AD FS, осуществляющая федерирование в н у т р е н н и х удостоверений пользователей AD DS во внешний мир, упрощает эти задачи, так что пользователям необходимо пройти проверку подлинности т о л ь к о одни раз — при входе в свою сеть.

С п о м о щ ь ю AD FS без труда формируются партнерские коммерческие от-

сами, как веб - сайты д л я электронной коммерции или совместного сотрудничества, п р и н и м а ю т решение использовать AD FS с целью упрощения процесса проверки подлинности и предоставления доступа к этим ресурсами, они ф о р м и р у ю т партнерские отношения с другими организациями — поставщиками, партнерами и т. д. Организация, формирующая такое партнерство, является организацией ресурсов, поскольку управляет общими ресурсами в сети по периметру.

поддержки удостоверений федерации нет необходимости ограничиваться только службами AD DS. Участие и федерации удостоверений AD FS принимает любая служба каталога, поддерживающая стандарт W S - F e d e r a t i o n .

Службы федерации появились в выпуске W i n d o w s Server 2 0 0 3 R2, а в Windows Server 2008 было значительно улучшено все, что касается установки н администрирования. Кроме того, AD FS поддерживает больше веб-приложсииИ. чем предыдущая версия служб федерации.

Более подробная информация о технологии AD FS содержится по адресу hup://technct2. niicrnsnfl..coni/mi!ulowssr'Ji)er200S/cn/sriniernia)Higer/nctivKdir(u:t.onjfedernl.innscnncs.

тнрх.

Изучив материал этого занятия, вы сможете:

JПонимать принцип процесса проверки подлинности AD FS.

^Понимать принципы работы компонентов, составляющих реализацию AD FS. s Установить AD FS.

Продолжительность занятия — около 40 мин.

Процесс проверки подлинности AD FS

П о с л е р е а л и з а ц и и п а р т н е р с т в а AD FS пользователи могут входить во внешние п е б - п р и л о ж е п и я , в к л ю ч е н н ы е в это партнерство. В типичном сценарии AD FS п р и в х о д е п о л ь з о в а т е л я в п р и л о ж е н и е с поддержкой утверждений в экстрассти с л у ж б ы A D F S а в т о м а т и ч е с к и п р е д о с т а в л я ю т учетные данные пользователя и с о с т а в л я ю т у т в е р ж д е н и я , в к л ю ч а е м ы е в атрибуты учетных записей пользо- в а т е л е й A D D S ( р и с . 17-4).

Маркер безопасности

Jg, Атрибуты AD OS

Фильтруемое идентификационное утверждение Фильтруемое утверждение на группу Фильтруемые настраиваемые утверждения

Маркер безопасности Атрибуты AD DS

' Идентификационное утверждение

•Утверждение на группу

•Настраиваемое утверждение

Рис. 17-4. Использование AD FS для предоставления доступа к веб-приложениям в эстрасети посредством сквозной проверки подлинности SSO с федерацией в Веб

г1. П о л ь з о в а т е л ь , локализованный во внутренней сети или Интернете, который хочет получить доступ к веб-прнложеншо с поддержкой утверждений

вэкстрасети, принадлежит к одной из организаций учета, участвующих

впартнерстве AD FS.

2.Агент с поддержкой утверждений на веб-сервере обращается к серверу федерации ресурсов RFS (Resource Federation Server), локализованному в организации ресурсов, чтобы проверить предоставление доступа пользователю. Поскольку запрос должен пройти через брандмауэр, агенту необходимо обратиться к прокси-агенту службы федерации FSP (Federation Service Proxy), который затем связывается с внутренним сервером федерации.

3.Поскольку сервер федерации не содержит учетную запись для этого пользователя, но располагает связью федерации с хранилищем каталогов в организации учета (так называемое доверие федерации), для идентификации прав доступа этого пользователя сервер федерации в организации ресурсов обращается через прокси к серверу федерации учетных записей AFS (Account Federation Server) во внутренней сети организации учета. Эти права доступа перечислены в форме утверждений, представляющих собой атрибуты, которые привязаны к объекту учетной записи пользователя в AD DS.

4.Сервер федерации в организации учетных записей напрямую связан с внутренней структурой AD DS организации и получает права доступа из каталога с помощью запроса LDAP. Отметим, что учетная запись этого пользователя также может располагаться в хранилище AD LDS.

5.Сервер федерации в организации учета конструирует маркер безопасности AD FS пользователя. Этот маркер содержит идентификатор пользователя, список утверждений, включенных в учетную запись AD DS пользователя, а также цифровой сертификат сервера федерации учетных записей (AFS).

6.Сервер федерации учетных записей отсылает в ответ серверу федерации ресурсов права доступа клиента, содержащиеся в подписанном маркере безопасности (через прокси-сервер). Этот маркер представляет собой исходящее утверждение.

7.Сервер федерации ресурсов выполняет расшифровку маркера и из входящего утверждения извлекает утверждения для пользователя. Затем прикрепляет эти утверждения к утверждениям организации, которую поддерживает, и применяет политику фильтрации для специфики запросов веб-приложения.

8.Фильтруемые утверждения вновь пакуются в подписанный маркер безопасности, который передается на веб-сервер в экстрасети организации ресурсов путем пересылки по URL-адресу, включенному в исходный запрос веб-приложения. В этом случае для подписи маркера используется цифровой сертификат сервера федерации ресурсов или сеансовый ключ Kerberos, поскольку системы расположены в одной сети.

9.Веб-сервер производит расшифровку маркера безопасности пользователя с помощью своего агента с поддержкой утверждений, выполняет просмотр утверждений пользователя, а затем на основе утверждений в маркере предоставляет доступ к приложению.