Материал: Книга Active directory

зовать сертификат проверки в файле политики импорта (Use The Verification Certificate In The Import Policy File) и щелкните Далее (Next).

10. На странице Федеративный сценарий (Federation Scenario) выберите параметр Единый вход федерации для Интернет-решений (Federated Web S S O ) и щелкните Далее (Next).

И. На странице Идентификационное утверждение партнера но учетным записям (Account Partner Identity Claims) установите флажки Утверждение на U P N - и м я ( U P N Claim) и Утверждение на электронную почту (E-mail Claim) и щелкните Далее (Next).

Помните, что общие имена часто очень сложно подтверждать и проверять их уникальность. Поэтому по возможности избегайте их использования.

Suffixes) введите с у ф ф и к с Contoso.com, щелкните кнопку Добавить (Add)

и Далее (Next) .

14.На странице Включить этого партнера по учетным записям (Enable This Account Partner) установите флажок Включить этого партнера по учетным записям (Enable This Account Partner) н щелкните Далее (Next).

15.Щ е л к н и т е кнопку Готово (Finish), чтобы завершить работу мастера. Итак, на сервере федерации ресурсов настроен партнер по учетным записям. Он отображается в узле Партнеры по учетным записям (Account Partners).

Теперь создайте сопоставление утверждений для этого партнера.

1.В узле Партнеры по учетным записям (Account Partners) щелкните правой кнопкой мыши имя партнера Contoso, выполните команду Создать (New) и щелкните элемент Входящее утверждение о группе (Incoming Group Claim Mapping) .

2.В диалоговом окне Создание сопоставления входящих утверждений о груп-

пе (Create A New Incoming Group Claim Mapping) введите имя Woodgrove

. Bank Application Claim, выберите в раскрывающемся списке Woodgrove Bank Application Claim, а затем щелкните ОК.

Отметим, что вы должны ввести символы в верхнем и нижнем регистрах точно таким же образом, как они были введены ранее в домене contoso.com при создании утверждения о группе. Использование одного имени и пароля д л я обеих учетных записей в организациях учетных записей и ресурсов упрощает эту задачу.

Теперь экспортируйте партнерскую политику сервера федерации ресурсов

иимпортируйте ее на сервер федерации учетных записей.

1.В узле Партнеры по учетным записям (Account Partners) щелкните правой кнопкой мыши партнера Contoso и выполните команду Политика экспорта (Export Policy).

г 36 Службы федерации Active Directory Глава 17

для включения федерации удостоверении н е о б х о д и м о о т к о н ф и г у р и р о в а т ь доверие федерации. Какие действия следует п р е д п р и н я т ь ? ( У к а ж и т е все варианты.)

Закрепление материала главы

Д л я того чтобы попрактиковаться и з а к р е п и т ь з н а н и я , п о л у ч е н н ы е п р и изуче - нии представленного в этой главе материала, вам н е о б х о д и м о :

•ознакомиться с резюме главы;

•повторить используемые в главе о с н о в н ы е т е р м и н ы ;

•изучить сценарий, в котором описана р е а л ь н а я с и т у а ц и я , т р е б у ю щ а я при-

менения полученных знаний, и п р е д л о ж и т ь свое р е ш е н и е ;

Резюме главы

а поскольку открывать д о п о л н и т е л ь н ы е п о р т ы б р а н д м а у э р а пет необходи - мости, AD FS представляет собой великолепный инструмент д л я основания партнерства. В конечном счете, партнерство о р г а н и з а ц и й о с н о в а н о на AD FS, однако нередко они продолжают у п р а в л я т ь т о л ь к о своей внутренней службой AD DS.

•Структура AD FS составляется из четырех служб ролей: С л у ж б а федерации

(Federation Service), Прокси-агент с л у ж б ы ф е д е р а ц и и ( F e d e r a t i o n Service Proxy), Агент, поддерживающий утверждения (Claims-Aware Agent) и Агент Windows на основе маркеров ( W i n d o w s Token - Based Agent) . О т м е т и м , что

с л у ж б а федерации и прокси-агент службы федерации не могут сосуществовать на одном сервере.

• П о м и м о основных технологий, включенных в AD FS, процессы федерации и с п о л ь з у ю т утверждения для идентификации доступа, предоставляемого пользователям, ф а й л ы cookie для упрощения процесса входа н поддержки единого входа SSO, а также сертификаты для подтверждения всех тран- з а к ц и й и обеспечения безопасности всех коммуникаций.

•Существует три типа развертывания AD FS: Единый вход федерации для

Ин т е р н е т - р е ш е н и й (Federated Web SSO), Единый вход федерации для Интернет - решений с доверием лесов (Federated Web SSO With Forest Trust) и Е д и н ы й вход д л я Интернет - решений (Web SSO). Из них чаще всего ис-

пользуется развертывание единого входа федерации для интернет-решений. С а м о с у щ е с т в о в а н и е AD FS поможет избежать требований для доверия лесов через брандмауэры .

Основные термины

З а п о м н и т е у к а з а н н ы е далее термины, чтобы лучше понять описываемые концепции .

• С о п о с т а в л е н и е у т в е р ж д е н и й Обработка входящего утверждения и его ф и л ь т р а ц и я сервером федерации для извлечения соответствующей авто-

ри з а ц и и пользователя .

•Д о в е р и е ф е д е р а ц и и Одностороннее доверие между организацией ресур-

сов и о р г а н и з а ц и я м и учетных записей.

• А р х и т е к т у р а , о р и е н т и р о в а н н а я на службы SOA (Service-Oriented Archi- t e c t u r e ) Архитектура SOA основана на стандартах, не зависит от языка и использует веб-службы для поддержки распределенных служб в Интернете.

метки X M L , а также универсальный метод описания, обнаружения и интег-

Federation с описанием стандартного протокола, который будет использоваться при получении пассивным клиентом доступа к приложению с помощью с л у ж б ы федерации.

Сценарий. Выбор соответствующей технологии Active Directory

В следующем сценарии необходимо применить полученные знания об AD FS. Ответы на вопросы находятся в разделе «Ответы» в конец книги.