Предоставление пользователям Active Directory вашей организации доступа к вашим приложениям и службам с поддержкой утверждений

  • Статья

Если вы являетесь администратором в партнерской организации учетной записи в развертывании службы федерации Active Directory (AD FS) (AD FS), и у вас есть цель развертывания для предоставления единого входа для сотрудников в корпоративной сети к размещенным ресурсам:

  • Сотрудники, вошедшие в лес Active Directory в корпоративной сети, могут использовать единый вход для доступа к нескольким приложениям или службам в сети периметра в вашей организации. Эти приложения и службы защищены AD FS.

    Например, компании Fabrikam может потребоваться предоставить пользователям своей корпоративной сети федеративный доступ к веб-приложениям, размещенным в сети периметра для компании Fabrikam.

  • Удаленные сотрудники, вошедшие в домен Active Directory, могут получить токены AD FS от сервера федерации в вашей организации для получения федеративного доступа к веб-приложениям, защищенным AD FS, или веб-службам, также размещенным в вашей организации.

  • Сведения из хранилища атрибутов Active Directory могут включаться в токены AD FS сотрудников.

Для выполнения этой задачи развертывания необходимы следующие компоненты.

  • Доменные службы Active Directory (AD DS). Доменные службы Active Directory содержат учетные записи пользователей сотрудников, используемые для формирования токенов AD FS. Такие сведения, как членство в группах и атрибуты, включаются в токены AD FS маркеры как утверждения о группе и настраиваемые утверждения.

    Примечание.

    Вы также можете использовать протокол LDAP или SQL для хранения удостоверений, используемых для создания токенов AD FS.

  • Корпоративная DNS: эта реализация системы доменных имен (DNS) содержит простую запись ресурсов узла (A), чтобы клиенты интрасети могли находить сервер федерации учетной записи. Эта реализация DNS также может содержать другие DNS-записи, необходимые в корпоративной сети. Дополнительные сведения см. в разделе Name Resolution Requirements for Federation Servers.

  • Сервер федерации партнера учетной записи: этот сервер федерации присоединяется к домену в лесу партнера учетной записи. Он выполняет проверку подлинности учетных записей сотрудников и создает токены AD FS. Клиентский компьютер для сотрудника выполняет встроенную проверку подлинности Windows на этом сервере федерации для создания маркера AD FS. Дополнительные сведения см. в разделе Review the Role of the Federation Server in the Account Partner.

    Сервер федерации партнера учетной записи может пройти проверку подлинности следующих пользователей:

    • сотрудников с учетными записями пользователей в этом домене;

    • сотрудников с учетными записями в любом месте леса;

    • сотрудников с учетными записями пользователей в любом месте лесов, которым доверяет этот лес (через двустороннее доверие Windows).

  • Сотрудник. Сотрудник получает доступ к веб-службе (с помощью приложения) или веб-приложению (с помощью поддерживаемого веб-браузера) при входе в корпоративную сеть. Клиентский компьютер сотрудника в корпоративной сети взаимодействует непосредственно с сервером федерации для проверки подлинности.

После просмотра информации в указанных разделах вы можете приступать к развертыванию по данной цели, следуя описанным в разделе Checklist: Implementing a Federated Web SSO Designшагам.

На следующем рисунке показаны все необходимые компоненты для этой цели развертывания AD FS.

access to your claims

См. также

Руководство по разработке служб федерации Active Directory в Windows Server 2012