г 8 6 8 |
Службы федерации Active Directory |
Глава 17 |
|
|
|
|
|
В |
AD FS проверка |
списков C R L в к л ю ч е н а по у м о л ч а н и ю . В о с н о в н о м |
|
проверка CRL выполняется для сигнатур маркеров безопасности, однако эту |
|||
политику рекомендуется |
применять д л я всех ц и ф р о в ы х подписей . |
|
|
Использование AD FS и управление ими
После |
завершения |
настройки ф е д е р а ц и и |
у д о с т о в е р е н и и м о ж н о п р и с т у п а т ь |
|||||
к администрированию и у п р а в л е н и ю с л у ж б а м и |
и р о л я м и |
с е р в е р о в AD FS |
||||||
с |
помощью консоли С л у ж б ы ф е д е р а ц и и |
Activc |
D i r e c t o r y |
( A c t i v e D i r e c t o r y |
||||
Federation Services) |
в Диспетчере |
сервера |
( S e r v e r M a n a g e r ) . Д а л е е о п и с а н ы |
|||||
административные |
задачи. |
|
|
|
|
|
||
• |
Настройка службы федерации |
и л и ф е р м ы с е р в е р о в ф е д е р а ц и и . П о м н и т е , |
||||||
|
что в развертывание AD FS можно в к л ю ч и т ь т р и ф е р м ы серверов: |
|||||||
|
о |
ферму серверов федерации, в которой одной р о л ы о у п р а в л я ю т несколь - |
||||||
|
|
ко серверов; |
|
|
|
|
|
|
|
• |
ферму прокси-серверов службы ф е д е р а ц и и ; |
|
|||||
|
• |
ферму серверов приложений, п о д д е р ж и в а ю щ и х у т в е р ж д е н и я , на кото- |
||||||
|
|
рых установлена роль IIS. |
|
|
|
|
|
|
• |
Управление политикой доверия, |
с в я з а н н о й со с л у ж б о й |
ф е д е р а ц и и : |
|||||
|
а |
а д м и н и с т р и р о в а н и е х р а н и л и щ у ч е т н ы х з а п и с е й в AD DS и л и AD |
||||||
|
|
LDS; |
|
|
|
|
|
|
|
о |
управление |
п а р т н е р а м и по |
|
у ч е т н ы м з а п и с я м , р е с у р с а м и л и о б о и м и |
|||
|
|
типами партнеров, д о в е р я ю щ и х о р г а н и з а ц и и ; |
|
|||||
|
о |
управление утверждениями на серверах ф е д е р а ц и и ; |
|
|||||
|
о |
управление |
с е р т и ф и к а т а м и , |
к о т о р ы е и с п о л ь з у ю т с я |
с е р в е р а м и феде - |
|||
|
|
рации; |
|
|
|
|
|
|
|
• |
управление сертификатами в |
в е б - п р и л о ж е н и я х с з а щ и т о й AD FS. |
|||||
|
Поскольку u AD FS интенсивно п р и м е н я е т с я т е х н о л о г и я I1S, м н о г и е пара- |
|||||||
метры сервера федерации, к о н ф и г у р и р у е м ы е в у з л е С л у ж б ы ф е д е р а ц и и Active Directory (Active Directory Federation Services) д и с п е т ч е р а сервера, х р а н я т с я в файле Web.config, расположенном в в и р т у а л ь н о м каталоге с л у ж б ф е д е р а ц и и в IIS. Другие параметры к о н ф и г у р а ц и и х р а н я т с я в ф а й л е п о л и т и к и доверия . Как и в случае с параметрами 1IS, ф а й л Web.config м о ж н о свободно редакти - ровать напрямую, поскольку это всего л и ш ь т е к с т о в ы й ф а й л . Д а л е е указаны параметры, которыми можно у п р а в л я т ь с п о м о щ ь ю ф а й л а Web.config:
*путь к файлу политики доверия;
*локальный сертификат для подписи маркеров;
* |
расположение веб-страниц ASP.NET, п о д д е р ж и в а ю щ и х службу; |
ш |
уровень ведения журнала отладки д л я с л у ж б ы , а т а к ж е путь к каталогу! |
|
файлов журнала; |
• |
возможность контроля типа доступа, например анонимного доступа, с целью |
|
группирования утверждений, приготовленных д л я организации . |
I 8 7 0 |
Службы федерации Active Directory |
Глава 17 |
||
1. Запустите все серверы, включая |
м а ш и н ы S E R V E R 0 1 , |
S E R V E R 0 3 , S E R - |
||
VER04, S E R V E R 0 5 , |
S E R V E R 0 6 , |
S E R V E R 0 7 и S E R V E R 0 8 . В о й д и т е па |
||
машину S E R V E R 0 3 |
как администратор домеиа . |
|
||
Вам не нужны учетные данные а д м и н и с т р а т о р а домена . Д л я в ы п о л н е н и я этой задачи достаточно привилегий л о к а л ь н о г о а д м и н и с т р а т о р а , а учетная запись администратора домена используется в этом у п р а ж н е н и и д л я наглядности.
2. В программной группе Администрирование (Administrative Tools) запустите Диспетчер служб IIS (Internet Information Services ( I I S ) M a n a g e r ) .
3. Разверните узел с именем сервера, откройте панку У з л ы (Sites) и в ы б е р и т е Default Web Site.
4. На панели сведений выберите представление П р о с м о т р в о з м о ж н о с т е й (Features), перейдите на секцию IIS и д в а ж д ы щ е л к н и т е к о м п о н е н т П а р а м е т р ы SSL (SSL Settings).
5. На странице |
Параметры SSL (SSL Settings) у с т а н о в и т е ф л а ж о к Требовать |
|||
SSL (Require SSL). |
|
|
|
|
В производственной среде т а к ж е м о ж н о |
т р е б о в а т ь 1 2 8 - р а з р я д н ы й SSL, |
|||
гарантирующий более в ы с о к и й у р о в е н ь |
б е з о п а с н о с т и , |
ч е м п а р а м е т р по |
||
умолчанию, |
однако этот параметр у в е л и ч и в а е т |
н а г р у з к у |
процессора . Д л я |
|
выполнения |
практических з а н я т и й достаточно |
п а р а м е т р а по у м о л ч а н и ю . |
||
6. В разделе Сертификаты клиента ( C l i e n t |
Certificates) в ы б е р и т е п а р а м е т р |
|||
Принимать |
(Accept), а затем иа панели Д е й с т в и я ( A c t i o n s ) щ е л к н и т е ко- |
|||
манду Применить (Apply). |
|
|
|
|
7. Повторите эту процедуру па машинах S E R V E R 0 4 , S E R V E R 0 7 и S E R V E R 0 8 . Теперь все серверы AD FS о т к о н ф и г у р и р о н а н ы д л я к о м м у н и к а ц и й с ш и ф - рованием SSL.
Упражнение 2. Экспорт и импорт сертификатов
Одним из важнейших факторов установления партнерских о т н о ш е н и й является интеграция сертификатов с каждого сервера с ц е л ы о с в я з ы в а н и я серверов друг с другом для осуществления коммуникаций . П р и этом н е о б х о д и м о в ы п о л н и т ь несколько задач.
• Создать общий ф а й л о в ы й ресурс, доступ к к о т о р о м у м о ж е т п о л у ч а т ь каж - дый сервер, чтобы упростить передачу ф а й л о в с е р т и ф и к а т о в с одного сервера на другой.
•Экспортировать в файл сертификат д л я п о д п и с и м а р к е р о в с сервера феде -
рации организации учета ( S E R V E R 0 3 ) .
•Экспортировать в файл сертификат проверки п о д л и н н о с т и сервера феде -
рации в организации учета ( S E R V E R 0 3 ) ,
•Экспортировать в файл сертификат проверки п о д л и н н о с т и сервера ф е д е - рации в организации ресурсов ( S E R V E R 0 7 ) .
•Импортировать сертификат проверки подлинности сервера д л я обоих с е р - веров федерации.
Занятие 2 |
Настройка служб федерации Active Directory |
871 |
•Экспортировать в файл сертификат проверки подлинности клиента с прок-
си - сервера с л у ж б ы федерации в организации учетных записей (SER- V E R 0 4 ) .
•Экспортировать в файл сертификат проверки подлинности клиента с прок-
си-сервера службы федерации в организации ресурсов (SERVER08).
• Импортировать сертификат проверки подлинности клиента на соответствующие серверы федерации.
Вначале необходимо создать общий файловый ресурс для храпения сертификатов .
1. Войдите на машину S E R V E R 0 3 как администратор домеиа.
2.Откройте проводник Windows (Windows Explorer) и на диске С создайте новую папку Temp.
3.Щелкните правой кнопкой мыши папку Temp н выполните команду Общий доступ (Share).
4. В диалоговом окне Общий доступ к файлу (File Sharing) выберите в рас- к р ы в а ю щ е м с я списке группу Все (Everyone), щелкните кнопку Добавить ( A d d ) и в столбце Уровень разрешений (Permission Level) назначьте для группы Все уровень Совладелец (Contributor).
5. Щ е л к н и т е кнопку О б щ и й доступ (Share).
О б щ а я папка готова. Приступайте к экспорту сертификата для подписи маркеров безопасности.
6. Войдите на машину S E R V E R 0 3 как администратор домеиа.
7.В программной группе Администрирование (Administrative Tools) запустите консоль С л у ж б ы федерации Active Directory (Active Directory Federation Services).
8. Щ е л к н и т е правой кнопкой мыши узел Служба федерации (Federation Service) и выполните команду Свойства (Properties). На вкладке Общие (General) щелкните кнопку Просмотреть (View).
9. Перейдите па вкладку Состав (Details) и щелкните кнопку Копировать
в ф а й л (Copy То File).
10.На странице приветствия мастера экспорта сертификатов (Certificate Export Wizard) щелкните Далее (Next).
11.На странице Экспортирование закрытого ключа (Export Private Key) выберите параметр Нет, не экспортировать закрытый ключ (No, Do Not Export The Private Key) и щелкните Далее (Next).
Вы не экспортируете файл закрытого ключа, поскольку создаете сертификат проверки, состоящий только из открытого ключа.
12.На странице Формат экспортируемого файла (Export File Format) выберите
формат Файлы в DER-кодировке Х.509 (.CER) (DER Encoded Binary Х.509 ( . C E R ) ) и щелкните Далее (Next).
13.На странице Имя экспортируемого файла (File То Export) введите С:\Тетр\ SERVER.03TokenSigning.cer и щелкните Далее (Next).
|
Службы федерации Active Directory |
|
|
Глава 17 |
|
Этот с е р т и ф и к а т д л я подписи м а р к е р о в б у д е т и м п о р т и р о в а н |
на |
SERVEROI, |
|||
когда |
мастер партнера п о у ч е т н ы м з а п и с я м ( A c c o u n t P a r t n e r |
W i z a r d ) |
н е |
||
требует у к а з а т ь с е р т и ф и к а т п р о в е р к и |
п а р т н е р а п о у ч е т н ы м |
з а п и с я м |
(Ас |
||
count |
P a r t n e r Verification C e r t i f i c a t e ) . |
А ч т о б ы п о л у ч и т ь э т о т ф а й л по сети, |
|||
применяется о б щ а я панка Temp .
14. На странице З а в е р ш е н и е м а с т е р а э к с п о р т а с е р т и ф и к а т о в ( C o m p l e t i n g The
Certificate Export W i z a r d ) |
п р о с м о т р и т е |
в ы б р а н н ы е п а р а м е т р ы |
и щ е л к ш г п |
кнопку Готово ( F i n i s h ) . В |
с о о б щ е н и и |
об у с п е ш н о м э к с п о р т е |
с е р т и ф и к а - |
т а щ е л к н и т е О К . |
Д в а ж д ы щ е л к н и т е О К . ч т о б ы з а к р ы т ь д и а л о г о в о е окно |
||
свойств с л у ж б ы |
ф е д е р а ц и и . |
|
|
Таким образом, д л я у с п е ш н ы х к о м м у н и к а ц и й м е ж д у |
с е р в е р а м и ф е д е р а ц и и |
||
( S E R V E R 0 3 и S E R V E R 0 7 ) , их с о о т в е т с т в у ю щ и м и п р о к с и - с е р в е р а м и |
федера - |
||
ции ( S E R V E R 0 4 и S E R V E R 0 8 ) , а т а к ж е с в е б - с е р в е р о м |
( S E R V E R 0 8 ) |
к а ж д ы й |
|
сервер должен д о в е р я т ь к о р н ю с е р в е р о в ф е д е р а ц и и . П о с к о л ь к у в д а н н о м уп- |
|||
ражнении используются с а м о з а в е р я ю щ н е с е р т и ф и к а т ы , |
н у ж н о э к с п о р т и р о в а т ь |
||
и импортировать к а ж д ы й |
из них . |
В табл . 17-4, а т а к ж е на |
р и с . 17 - 7 о п и с а н ы |
|
сертификаты, к о т о р ы е н е о б х о д и м о |
э к с п о р т и р о в а т ь , а з а т е м |
и м п о р т и р о в а т ь . |
||
Экспорт |
|
|
|
|
ш |
|
|
|
|
Импорт |
|
|
|
|
contoso.com |
|
woodgrovebank.com |
||
Партнер по учетным записям |
||||
Партнер по ресурсам |
||||
Сертификат дл* подписи маркера ш |
||||
|
|
|||
Проверка подлинности сервера |
г Ц |
|
|
|
Проверка подлинности клиент» |
Г*У1 |
|
|
|
Рис. 17-7. Подготовка сопоставления сертификатов для AD FS