Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Mehrere Gesamtstrukturen können in einer einzelnen hochverfügbaren AD FS-Farm zu einem Verbund zusammengefasst werden, sofern zwischen ihnen eine bidirektionale Vertrauensstellung eingerichtet ist. Die Gesamtstrukturen können der gleichen Microsoft Entra ID-Instanz entsprechen, müssen aber nicht. Dieser Artikel enthält Anweisungen zum Konfigurieren eines Verbunds zwischen einer einzelnen AD FS-Bereitstellung und mehreren Instanzen von Microsoft Entra ID.
Hinweis
Geräterückschreiben und automatische Geräteeinbindung werden in diesem Szenario nicht unterstützt.
Hinweis
In diesem Szenario kann der Verbund nicht mithilfe von Microsoft Entra Connect konfiguriert werden, da Microsoft Entra Connect zum Konfigurieren eines Verbunds von Domänen in einer einzelnen Microsoft Entra ID-Instanz verwendet wird.
Schritte zum Verbund von AD FS mit mehreren Microsoft Entra-IDs
Angenommen, eine Domäne namens „contoso.com“ ist in „contoso.onmicrosoft.com“ (Microsoft Entra) bereits Teil eines Verbunds mit der lokalen AD FS-Instanz, die in der lokalen Active Directory-Umgebung „contoso.com“ installiert ist. „fabrikam.com“ ist eine Domäne in „fabrikam.onmicrosoft.com“ (Microsoft Entra ID).
Schritt 1: Einrichten einer bidirektionalen Vertrauensstellung
Damit AD FS in „contoso.com“ Benutzer in „fabrikam.com“ authentifizieren kann, ist zwischen „contoso.com“ und „fabrikam.com“ eine bidirektionale Vertrauensstellung erforderlich. Eine Anleitung zum Erstellen der bidirektionalen Vertrauensstellung finden Sie in diesem Artikel.
Schritt 2: Ändern der Verbundeinstellungen für „contoso.com“
Für den Verbund zwischen einer einzelnen Domäne und AD FS ist der Standardaussteller http://ADFSServiceFQDN/adfs/services/trust" festgelegt, z. B. http://fs.contoso.com/adfs/services/trust. Microsoft Entra ID benötigt für jede Verbunddomäne einen eindeutigen Aussteller. Da AD FS zwei Domänen miteinander verbinden wird, muss der Ausstellerwert so geändert werden, dass er eindeutig ist.
Öffnen Sie auf dem AD FS-Server Microsoft Graph PowerShell, und führen Sie die folgenden Schritte aus:
Stellen Sie eine Verbindung mit Microsoft Entra ID her, die die Domäne contoso.com enthält.
Connect-MgGraph -Scope 'Domain.ReadWrite.All'
Aktualisieren der Verbundeinstellungen für contoso.com:
$domainId = "contoso.com"
$newIssuer = "http://contoso.com/adfs/services/trust"
$fed = Get-MgDomainFederationConfiguration -DomainId $domainId
Update-MgDomainFederationConfiguration `
-DomainId $domainId `
-InternalDomainFederationId $fed.Id `
-IssuerUri $newIssuer
Der Aussteller in der Domänenverbundeinstellung wird in http://contoso.com/adfs/services/trust geändert, und für die Vertrauensstellung der vertrauenden Seite von Microsoft Entra ID wird eine Ausstellungsanspruchsregel hinzugefügt, um auf der Grundlage des UPN-Suffixes den korrekten issuerId-Wert auszugeben.
Schritt 3: Erstellen eines Verbunds mit „fabrikam.com“ und AD FS
Führen Sie in der Microsoft Graph PowerShell-Sitzung die folgenden Schritte aus: Stellen Sie eine Verbindung mit der Microsoft Entra-ID her, die die Domain fabrikam.com enthält.
Connect-MgGraph -Scope 'Domain.ReadWrite.All'
Konvertieren Sie die verwaltete Domäne „fabrikam.com“ in eine Verbunddomäne:
# Create the federation configuration
$params = @{
"@odata.type" = "#microsoft.graph.internalDomainFederation"
displayName = "fabrikam.com"
issuerUri = $issuerUri
signingCertificate = $signingCertificate
passiveSignInUri = $passiveSignInUri
preferredAuthenticationProtocol = $preferredAuthenticationProtocol
activeSignInUri = $activeSignInUri
signOutUri = $signOutUri
}
New-MgDomainFederationConfiguration -DomainId $domainId -BodyParameter $params
# Switch the domain authentication type to Federated
Update-MgDomain -DomainId $domainId -AuthenticationType "Federated"
Der vorherige Vorgang verknüpft die Domäne fabrikam.com mit demselben AD FS. Die Domäneneinstellungen können für beide Domänen mithilfe von „Get-MsolDomainFederationSettings“ überprüft werden.