Active Directory Federation Services

Active Directory Federation Services (ADFS)

ADFS (Active Directory Federation Services) is een onderdeel van Microsoft® Windows Server™ 2003 R2 met technologieën voor eenmalige aanmelding zodat gebruikers gedurende één on line sessie voor meerdere webtoepassingen worden geverifieerd. Dit wordt bereikt door digitale id's en rechten, of 'claims', tussen beveiligingssystemen en bedrijven op een veilige manier te delen.

ADFS is niet:

.NET Passport
Een database of opslagplaats voor identiteitsgegevens van werknemers of klanten
Een uitbreiding van het Active Directory™-schema
Een type Windows-domein of forest-vertrouwensrelatie

ADFS in Windows Server 2003 R2 ondersteunt WS-F PRP (WS-Federation Passive Requestor Profile).

Belangrijkste functies van ADFS

Hieronder wordt een aantal van de belangrijkste functies van ADFS in Windows Server 2003 R2 beschreven:

Federation en eenmalige aanmelding

Organisaties die met Active Directory™ werken, kunnen nu in het bedrijf of binnen de beveiligingssystemen van de organisatie profiteren van de functie voor eenmalige aanmelding via de geïntegreerde verificatie van Windows. Met ADFS wordt deze functie uitgebreid met toepassingen die van internet gebruikmaken. Zodoende hebben klanten, partners en leveranciers op dezelfde manier en probleemloos met eenmalige aanmelding toegang tot de webtoepassingen van de organisatie. Bovendien kunnen in verschillende organisaties Federation-servers worden geïmplementeerd waardoor onderlinge business-to-business-transacties (B2B) tussen organisaties mogelijk wordt gemaakt.

Interoperabiliteit van Web Services (WS-*)

ADFS bevat een oplossing voor beheer van federatieve id's en deze oplossing werkt samen met andere beveiligingsproducten die de architectuur van WS-* Web Services ondersteunen. Dit wordt bereikt door de Federation-specificatie van WS-*, WS-Federation, toe te passen. Dankzij de specificatie WS-Federation kunnen omgevingen die het id-model van Windows niet gebruiken, samengebracht worden met Windows-omgevingen.

Uitbreidbare architectuur

ADFS bevat een uitbreidbare architectuur die tokens van het type SAML (Security Assertion Markup Language) en Kerberos-verificatie (in de federatieve eenmalige aanmelding met forest-vertrouwensrelaties) ondersteunt. Met ADFS kunnen ook claims worden toegewezen, bijvoorbeeld door claims te wijzigen die bedrijfsprogrammatuur gebruiken als een variabele in een toegangsaanvraag. Organisaties kunnen met deze uitbreidingsmogelijkheden ADFS zodanig wijzigen dat deze aansluit op de huidige beveiligingsinfrastructuur en het huidige bedrijfsbeleid.

Active Directory uitbreiden tot internet

Active Directory fungeert in veel organisaties als primaire identificatie- en verificatieservice. Met Windows Server 2003 Active Directory kunnen tussen twee of meer Windows Server 2003-forests forest-vertrouwensrelaties worden gemaakt waarmee bronnen in andere bedrijfseenheden of organisaties kunnen worden benaderd. Zie How Domain and Forest Trusts Work op de website van Microsoft (http://go.microsoft.com/fwlink/?LinkId=35356) voor meer informatie over forest-vertrouwensrelaties.

Soms zijn forest-vertrouwensrelaties echter geen handige optie. Zo moet de toegang tussen de organisaties misschien beperkt worden tot een klein aantal personen en hebben niet alle leden van een forest toegang.
Organisaties kunnen met ADFS de bestaande Active Directory-infrastructuur uitbreiden om via internet toegang te verlenen aan bronnen van vertrouwde partners. Deze vertrouwde partners kunnen derden van buiten zijn, maar ook andere afdelingen of vestigingen binnen dezelfde organisatie.

ADFS is geïntegreerd met Active Directory. Met ADFS worden gebruikerskenmerken uit Active Directory opgehaald en worden gebruikers geverifieerd aan de hand van Active Directory. ADFS gebruikt ook de geïntegreerde verificatie van Windows.

ADFS werkt zowel met Active Directory als met Active Directory Application Mode (ADAM). Met andere woorden, ADFS werkt zowel met implementaties van Active Directory op ondernemingsniveau als met instanties van ADAM. Met ADFS in combinatie met Active Directory kan worden geprofiteerd van de technologieën van sterke verificatie in Active Directory, waaronder Kerberos, digitale X.509-certificaten en smartcards. In combinatie met ADAM maakt ADFS gebruik van een LDAP-bind (Lightweight Directory Access Protocol) om gebruikers te verifiëren.

Verificatie en autorisaties via internet worden door ADFS ondersteund. ADFS kan worden geïntegreerd in een bestaande oplossing voor toegangsbeheer van een organisatie of afdeling door de in de organisatie gebruikte voorwaarden om te zetten in claims waarover overeenstemming is bereikt, als onderdeel van een Federation. Met ADFS kunnen de claims die tussen de organisaties worden uitgewisseld, worden gemaakt, beveiligd en geverifieerd. Bovendien kunnen hiermee de activiteiten tussen organisaties en afdelingen worden gecontroleerd, zodat transacties beter zijn beveiligd.

Meer informatie

U kunt gedetailleerde documentatie over ADFS (Active Directory Federation Services) vinden op de website van Windows Server 2003 R2 TechCenter (http://go.microsoft.com/fwlink/?LinkId=45560).