Материал: Книга Active directory

Внимание! Если размещение файла нарушает Ваши авторские права, то обязательно сообщите нам

I 8 7 8

Службы федерации Active Directory

Глава 17

5. Щелкните кнопку Создать папку ( M a k e A New Folder), введите д л я новой папки нмя claimapplicationOI, щелкните О К . Вновь щ е л к н и т е О К , чтобы закрыть диалоговое окно.

Приложение создано, однако оно пустое. В п р а к т и ч е с к и х у п р а ж н е н и я х данного занятия не требуется создавать реальное приложение . Однако при желании вы можете создать его.

К СВЕДЕНИЮ Создание приложения, поддерживающего утверждения

Для того чтобы создать три файла, которые составляют приложение, поддерживающее утверждения, используйте процедуру «Creating the Sample Claims-aware Application» — ее вы найдете по адресу http://207.46.196.1U/windowsserver2008/en/library/

5ae6ce09-4494-480b-8816-8897bde359491033.mspx. Затем скопируйте созданные файлы

в папку C:\Inetpub\Wwwroot\Claimapp.

Упражнение 6. Настройка серверов федерации

Оба сервера федерации необходимо соответствующим образом отконфигуриро - вать. На сервере федерации учета S E R V E R 0 3 необходимо о т к о н ф и г у р и р о в а т ь политику доверия. Кроме того, нужно создать у т в е р ж д е н и я д л я пользователей и идентифицировать хранилище учетных записей AD DS. На сервере федера - ции ресурсов SERVER07 нужно настроить п о л и т и к у доверия, у т в е р ж д е н и я для пользователей в домене ресурсов, хранилище учетных записей и включить приложения, поддерживающие утверждения .

1. Запустите машины SERVER01, SERVER03, S E R V E R 0 6 и S E R V E R 0 7 . Войдите на машину S E R V E R 0 3 как администратор домена.

В данном случае учетные данные администратора домена н е о б х о д и м ы д л я идентификации хранилища учетных записей.

2.В программной группе Администрирование (Administrative Tools) запустите консоль Службы федерации Active Directory (Active Directory Federation Services).

3. Разверните узел Служба федерации\Г1олитика д о в е р и я ( F e d e r a t i o n Service\Trust Policy).

4. Щелкните правой кнопкой мыши политику доверия и в ы п о л н и т е команду

Свойства (Properties).
5. На вкладке	Общие (General) введите в поле				U R I - к о д с л у ж б ы	федерации /
(Federation	Service	U R I ) код	urn:/ederation:Contoso.
Значение в этом поле чувствительно к регистру, поэтому введите символы
так, как они выглядят в имени домена.
6. Убедитесь,	что в поле U R L - а д р е с			конечной т о ч к и с л у ж б ы		ф е д е р а ц и и
(Federation	Service	Endpoint	U R L )	указан	адрес https://SERVER03.Contoso.
сот/adfs/ls/.

7.Перейдите на вкладку Отображаемое имя (Display Name) и в поле Отображаемое имя этой политики доверия (Display Name For This Trust Policy) введите нмя Contoso, чтобы указать имя, не зависящее от одного сервера. Щелкните ОК.

Занятие 2

Настройка служб федерации Active Directory

8 7 9

Т е п е рь приступайте к созданию утверждений для пользователей.

1. Р а з в е р н и т е		узел	Политика д о в е р и я \ М о я	оргапизация\Утверждепис орга-
н и з а ц и и	(Trust		P o l i c y \ M y Organization\Organization Claims).
2. Щ е л к н и	т е	правой кнопкой мыши папку		Утверждение организации (Or-

ganization Claims), выберите команду Создать (New) и щелкните элемент Утверждения организации (Organization Claim).

3. В	д и а л о г о в о м окне	Создание нового	утверждения	организации	(Create
A	N e w Organization	Claim) введите	имя Woodgmve	Bank Application	Claim.

4. В ы б е р и т е параметр Утверждение о группе (Group Claim). 5. Щ е л к н и т е О К , чтобы создать утверждение.

С о з д а н н о е утверждение д о л ж н о быть отображено на панели сведений. Добавьте х р а н и л и щ е учетных записей для домена contoso.com.

1. Перейдите к узлу Х р а н и л и щ а учетных записей (Account Store) в узле Моя о р г а н и з а ц и я ( M y Organization).

2. Щ е л к н и т е правой кнопкой м ы ш и папку Хранилища учетных записей (Ac- c o u n t Store), в ы п о л н и т е команду Создать (New) и выберите Хранилище учетных записей ( A c c o u n t Store).

3. П р о с м о т р и т е сведения на странице приветствия и щелкните Далее (Next).

4. На с т р а н и ц е Тип хранилища учетных записей (Account Store Туре) выберите Д о м е н н ы е службы Active Directory (AD DS) (Active Directory Domain Services ( A D D S ) ) и щелкните Далее (Next).

О т м е т и м , что с реализацией AD FS допустимо связать только одно храни- л и щ е учетных записей AD DS. Однако вместе с хранилищем AD DS также и с п о л ь з у ю т с я д о п о л н и т е л ь н ы е хранилища AD LDS.

5. На с т р а н и ц е В к л ю ч и т ь это хранилище учетных записей (Enable This Account Store) установите ф л а ж о к Включить это хранилище учетных записей ( E n a b l e This Account Store), щелкните Далее (Next) и Готово (Finish).

В папку Х р а н и л и щ а учетных записей (Account Stores) будет добавлено х р а н и л и щ е учетных записей службы каталогов Active Directory.

Д л я завершения настройки в домене contoso.com или организации учетных записей н у ж н о сопоставить группу с ранее созданным утверждением о группе.

1. Щ е л к н и т е п р а в о й к н о п к о й	м ы ш и папку Служба каталогов Active Di-
rectory (Active D i r e c t o r y ) в	узле Хранилища учетных записей (Account

Stores), выполните команду Создать (New) и щелкните элемент Извлечение

у т в е р ж д е н и я о группе ( G r o u p	Claim	Extraction).
2. Щ е л к н и т е к н о п к у Д о б а в и т ь	(Add),	введите имя Accounting и щелкните

кнопку Проверить имена (Check Names). Щелкните ОК.

3.Убедитесь, что в раскрывающемся списке выбрано утверждение Woodgrove Bank Application Claim, и щелкните ОК .

Отметим, что д л я сопоставления утверждений о группе AD FS использует и м я группы электронной почты.

Сервер федерации учетных записей готов.

Службы федерации Active Directory Глава 17

П о д г о т о в ь те сервер федерации ресурсов S E R V E R 0 7 .

1. Войдите на машину SERVER07 как администратор домена.

В данном случае учетные д а н н ы е а д м и н и с т р а т о р а д о м е н а н е о б х о д и м ы д л я идентификации хранилища учетных записей .

2. В программной группе Администрирование (Administrative Tools) запустите

консоль Службы	федерации Active Directory ( A c t i v e D i r e c t o r y Federation
Services).
3. Разверните узел	С л у ж б а ф е д е р а ц и и \ Г 1 о л и т и к а д о в е р и я ( F e d e r a t i o n Ser-

vice\Trust Policy).

4.Щелкните правой кнопкой мыши политику доверия и выполните команду Свойства (Properties).

5. Па вкладке Общие (General) введите

в п о л е U R I - к о д с л у ж б ы ф е д е р а ц и и

(Federation

Service

U R I )

код

urn:federation:WoodgroveBank.

Значение в этом

поле чувствительно к регистру, п о э т о м у в в е д и т е с и м в о л ы

так, как они выглядят в имени домена .

6. Убедитесь, что в поле

URL - адрес конечной точки с л у ж б ы ф е д е р а ц и и (Fede -

ration

Service

Endpoint

U R L )

указан

адрес

https://SERVER07.WoodgroveBank.

сот/ad/s/ls/.

7. Перейдите на

вкладку

О т о б р а ж а е м о е

и м я (Display N a m e ) и в п о л е

Отоб -

ражаемое нмя этой п о л и т и к и д о в е р и я

(Display

N a m e

For T h i s T r u s t

Policy)

введите

имя

Woodgrove Bank,

чтобы

указать и м я , не

з а в и с я щ е е от

одного

сервера. Щелкните О К .

Теперь создайте утверждения д л я

пользователей .

1. Разверните узел

Политика д о в е р и я \ М о я

о р г а п и з а ц и я \ У т в е р ж д е н и е

орга-

низации (Trust

P o l i c y \ M y

O r g a n i z a t i o n \ O r g a n i z a t i o n

Claims) .

2 . Щелкните правой кнопкой

м ы ш и

п а п к у У т в е р ж д е н и е

о р г а н и з а ц и и

( O r -

ganization Claims), выберите

команду

Создать

( N e w )

щ е л к н и т е э л е м е н т

Утверждения организации (Organization Claims) .

3. В диалоговом окне С о з д а н и е н о в о г о

у т в е р ж д е ч ш я

о р г а н и з а ц и и ( C r e a t e

A New Organization Claim) введите и м я W o o d g r o v e Bank

Application

Claim.

4. Выберите параметр Утверждение о группе ( G r o u p

Claim) .

5. Щелкните О К , чтобы создать утверждение .

Созданное утверждение д о л ж н о быть указано

на п а н е л и сведений .

Добавьте х р а н и л и щ е

у ч е т н ы х

з а п и с е й

д л я д о м е и а

w o o d g r o v e b a n k . c o m .

1. На панели дерева перейдите к узлу

Х р а н и л и щ а у ч е т н ы х з а п и с е й (Account

Store) в узле

Моя организация

( M y

Organization) .

2. Щелкните правой кнопкой м ы ш и

папку Х р а н и л и щ а у ч е т н ы х з а п и с е й (Ac-

count Store),

выполните

команду

Создать ( N e w )

в ы б е р и т е Х р а н и л и щ е

учетных записей (Account Store).

3. Просмотрите сведения на странице приветствия и

щ е л к н и т е Д а л е е (Next).

4. На странице Тип хранилища учетных записей ( A c c o u n t

Store Туре)

выбе-

рите Доменные службы Active Directory ( A D DS) (Active Directory Domain

Services (AD

DS)) н щелкните Далее (Next) .

Занятие 2

Настройка служб федерации Active Directory

8 8 1

5. На

с т р а н и ц е

В к л ю ч и т ь это

х р а н и л и щ е учетных записей

(Enable This

Ac-

c o u n t S t o r e ) у с т а н о в и т е ф л а ж о к

Включить это хранилище учетных записей

( E n a b l e T h i s A c c o u n t Store), щ е л к н и т е Далее (Next), а затем

Готово (Finish),

ч т о б ы з а в е р ш и т ь о п е р а ц и ю .

В п а п к у Х р а н и л и щ а

у ч е т н ы х

з а п и с е й

( A c c o u n t Stores)

будет добавлено

х р а н и л и щ е

у ч е т н ы х з а п и с е й

с л у ж б ы каталогов Active Directory.

Д о б а в ь т е в

о р г а н и з а ц и ю ресурсов AD

FS приложение,

поддерживающее

у т в е р ж д е н и е .

1. П е р е й д и т е к

у з л у П р и л о ж е н и я (Applications) в узле Моя организация (My

O r g a n i z a t i o n ) .

2 . Щ е л к н и т е

п р а в о й

к н о п к о й

м ы ш и узел

П р и л о ж е н и я , выполните команду

С о з д а т ь ( N e w )

и в ы б е р и т е

П р и л о ж е н и е (Application).

3 . Н а

с т р а н и ц е

п р и в е т с т в и я мастера щ е л к н и т е Далее (Next).

А . На

с т р а н и ц е

Т и п п р и л о ж е н и я

(Application Туре) выберите тип Приложе-

ние, п о д д е р ж и в а ю щ е е у т в е р ж д е н и я (Claims-Aware Application) и щелкните

Д а л е е ( N e x t ) .

5. На

с т р а н и ц е

П о д р о б н о с т и

п р и л о ж е н и и

(Application

Details) в

поле

О т о б р а ж а е м о е

и м я

п р и л о ж е н и я (Application Display Name) введите

имя

Claim

Application

01,

т а к ж е введите

U R L

приложения

https://SERVl:R08.

WoodgroveBank.com/claimapplication01.

Щ е л к н и т е

(Next).

6 . На с т р а н и ц е

П р и н я т ы е и д е н т и ф и к а ц и о н н ы е утверждения (Accept Identity

C l a i m s ) в ы б е р и т е у т в е р ж д е н и е

О с н о в н о е имя

пользователя

(User Principal

N a m e ) и щ е л к н и т е Д а л е е ( N e x t ) .

Е с л и

в ы з а х о т и т е д о б а в и т ь

и д е н т и ф и к а ц и о н н ы е утверждения нескольких

т и п о в , не з а б ы в а й т е о

п о р я д к е

их обработки, описанном ранее.

7 . У с т а н о в и т е

ф л а ж о к В к л ю ч и т ь

это п р и л о ж е н и е (Enable

This Application),

щ е л к н и т е Д а л е е ( N e x t ) , а затем Готово

(Finish).

8 . Н а

п а н е л и

д е р е в а в ы б е р и т е

созданное

приложение .

9 . Иа

п а н е л и

с в е д е н и й щ е л к н и т е

правой кнопкой м ы ш и утверждение Wood-

g r o v e

B a n k

Application Claim и

в ы п о л н и т е команду Включить (Enable).

10. На

п а н е л и

с в е д е н и й проверьте создание и включение утверждения.

С е р в е р ф е д е р а ц и и

р е сурсов

готов обрабатывать утверждения.

СОВЕТ К ЭКЗАМЕНУ

Тщательно попрактикуйтесь в выполнении этой процедуры и различных операций. Настройка политик доверия, а также сопоставление утверждении о пользователях

игруппах являются важными темами сертификационного экзамена,

Уп р а ж н е н ие 7. Настройка доверия федерации

Н а с	т р о и л оба сервера федерации, приступайте к настройке доверия федерации.
Д л я	этого н у ж н о э к с п о р т и р о в а т ь п о л и т и к у доверия с сервера федерации учет-

н ы х з а п и с е й , и м п о р т и р о в а т ь ее на сервер федерации ресурсов, создать на основе этой п о л и т и к и сопоставление утверждений, экспортировать партнерскую

п о л и т и к у с сервера федерации ресурсов и импортировать ее иа сервер федерации учетных записей. Таким образом, реализация AD I-S будет завершена.

1 Запустите машины SERVEROI. S E R V E R 0 3 . S E R V E R 0 6 и S E R V E R 0 7 . Вой-

д и т е и а м а ш и н у S E R V E R 0 3 как а д м и н и с т р а т о р д о м е н а .

2 В п р о г р а м м н о й г р у п п е А д м и н и с т р и р о в а н и е ( A d m i n i s t r a t i v e T o o l s ) з а п у с т и т е

консоль Службы федерации Active Directory (Active Directory Federation Services).

3. Разверните узел Служба ф е д е р а ц и н \ П о л и т н к а д о в е р и я (Federation Ser-

vice\Trust Policy).
4. Щелкните правой кнопкой мыши папку П о л и т и к у доверия (Trust			Policy)
и выполните команду Экспорт основной партнерской	п о л и т и к и		( E x p o r t
Basic Partner Policy).
5. Щелкните кнопку Обзор (Browse), откройте папку C : \ T e m p и		задайте для
файла политики имя ContosoTrustPolicy.rml. Щ е л к н и т е	кнопки	С о х р а н и т ь
(Save) н ОК, чтобы закрыть диалоговое окно.

В версии служб федерации Windows Server 2003 R2 экспорт и импорт политик приходилось выполнять вручную, в результате чего нередко возникали ошибки. В AD FS для выполнения этой задачи используется графический интерфейс, который снижает вероятность в о з н и к н о в е н и я ошибок .

Теперь импортируйте политику на сервер ф е д е р а ц и и ресурсов в организа - ции Woodgrove Bank.

1. Войдите иа машину S E R V E R 0 7 как администратор домена .

3. Разверните	узел Служба ф е д е р а ц и и \ П о л и т и к а д о в е р и я \ П а р т н е р с к и е ор-
ганизации	(Federation Service\Trust P o l i c y \ P a r t n e r	Organizations) .
4. Щелкните	правой кнопкой мыши папку П а р т н е р ы	по у ч е т н ы м з а п и с я м

(Account Partners), выполните команду Создать (New) и щ е л к н и т е элемент Партнер по учетным записям (Account Partner) .

5. На странице приветствия щелкните Далее (Next) .
6. На странице Импорт файла политики	( I m p o r t Policy File) щ е л к н и т е пара-
метр Да (Yes), а затем кнопку Обзор (Browse) .
7. В адресную строку введите адрес	\\SERVEIW3.contoso.com\temp и нажми-

те клавишу Enter. Выберите политику доверия Contoso, последовательно щелкните кнопки Открыть ( O p e n ) и Далее (Next).

8. На странице Сведения о партнере по учетным записям ( A c c o u n t Partner Details) щелкните Далее (Next).

На странице должна отображаться та же информация, которая была введена при настройке свойств политики доверия для домена contoso.com.

П°Д™Ф>ВДаю.ций сертификат проверки партнера по учетным записям (Account Partner Verification Certificate) выберите параметр И споль-

Источник: https://studfile.net/preview/16435895/

Смотрите также:

5318
vse_testy_nevra
Автономный светильник для комнатных растений
Вариационные задачи в свете современной теории функционально-дифференциальных уравнений
Влияние детских страхов на развитие личности
Влияние характеристик корпоративного управления на эффективность сделок слияния и поглощения
Возможная+_примерная_+тематика+УИРС,+НИРС
Вопросы выбора способа распоряжения правом требования о привлечении к субсидиарной ответственности при рассмотрении заявления
Государственное регулирование естественных монополий в России
Государственный долг России