Windows Server 2003的活动目录联合服务(ADFS)

Windows Server 2003 R2最引人注目的新特点是活动目录联合服务 (ADFS). ADFS是一种能够用于一次会话过程中多个Web应用用户认证的新技术。在这篇文章中,我会解释ADFS的重要特点和ADFS的工作原理。

什么是ADFS?

ADFS将活动目录拓展到Internet。要理解这一点,可以考虑一般活动目录设施的工作原理。当用户通过活动目录认证时,域控制器检查用户的证书。证明是合法用户后,用户就可以随意访问Windows网络的任何授权资源,而无需在每次访问不同服务器时重新认证。

ADFS将同样的概念应用到Internet. 我们都知道Web应用访问位于SQL Server或其他类型后端资源上的后端数据。对后端资源的安全认证问题往往比较复杂。可以有很多不同的认证方法提供这样的认证。例如,用户可能通过RADIUS(远程拨入用户服务认证)服务器或者通过应用程序代码的一部分实现所有权认证机制。

这些认证机制都可实现认证功能,但是也有一些不足之处。不足之一是账户管理。当应用仅被我们自己的员工访问时,账户管理并不是个大问题。但是,如果您的供应商、客户都使用该应用时,您会突然发现您需要为其他企业的员工建立新的用户账户。不足之二是维护问题。当其他企业的员工离职,雇佣新员工时,您需要删除旧的账户和创建新的账户。密码也是一个问题。一旦应用配置完成,您要不断的为那些甚至没有为您公司工作的人员重新修改密码。

ADFS能为您做什么?

如果您将账户管理的任务转移到您的客户、供应商或者其他使用您Web应用的人会怎样?设想一下,如果您这样,Web应用为其他企业提供服务,而您再也不用为那些员工创建用户账户或者重设密码。如果这还不够,使用这一应用的用户不再需要登录应用。这听起来是不是好得让人难以置信?

通过技术您可以创建跨森林的信任和将这种信任拓展到Web应用. 例如,假设您的供应商需要访问您的Web应用。您不用为您的供应商建立和维护一系列用户账户,他们可以在自己的活动目录下创建安全组。通过组维护所有需要访问您Web应用的用户。然后,您可以简单地对组授予权限。即使组存在于一个和您的Web应用完全不同活动目录森林也能实现。这样,当供应商网络上的用户想要访问您的Web应用时,他们并不需要登录,应用自动地通过组成员资格完成用户认证。

当然,这只是您怎样建立联合信任的一个例子。Windows Server 2003 R2还未正式发布,目前关于ADFS配置过程的资料还不是很多 。实际的配置过程可能和上文提到的略有不同,但是基本原理是不变的。

ADFS需要什么?

当然,活动目录联合服务还需要其它的一些配置才能使用,您需要一些服务器执行这些功能。最基本的是联合服务器,联合服务器上运行ADFS的联合服务组件。 联合服务器的主要作用是发送来自不同外部用户的请求,它还负责向通过认证的用户发放令牌。

另外在大多数情况下还需要联合代理。试想一下,如果外部网络要能够和您内部网络建立联合协议, 这就意味着您的联合服务器要能通过Internet访问。但是活动目录联合并不很依赖于活动目录,因此直接将联合服务器暴露在Internet上将带来很大的风险。正因为这样,联合服务器不能直接和Internet相连,而是通过联合代理访问。联合代理向联合服务器中转来自外部的联合请求,联合服务器就不会直接暴露给外部。

另一ADFS的主要组件是ADFS Web代理。Web应用必须有对外部用户认证的机制。这些机制就是ADFS Web代理。 ADFS Web代理管理安全令牌和向Web 服务器发放的认证cookies。

正如上文所说的, ADFS将极大地扩充Web应用的能力。拭目以待R2的发布和ADFS在实际应用中使用。

时间: 2025-01-01 05:53:24

Windows Server 2003的活动目录联合服务(ADFS)的相关文章

Windows Server 2008的活动目录联合服务

Active Directory Federation Services (AD FS)是Windows Server 2008中的服务器角色,提供高度可扩展性以及可以操作不同平台的安全认证访问解决方案.甚至当 用户帐户以及应用位于不同的网络或企业时,AD FS提供网络内和网络外基于浏览的客户.受到保护的.面向因特网应用的路径. 在通常的场景中:应用位于一个网络中,用户帐户在另一个网络中.当用户尝试访问饮用时,用户要求键入第二身份.但是并非一定要拥有AD FS第二帐户.相反,信任 关系可以用于保

Windows Server 2008的活动目录权限管理服务

windows服务器2008的活动目录权限管理服务(AD RMS)(从前的windows的RMS)是一个关键,以保护敏感信息.之前发布的windows服务器2008,与用户之外的企业网络 共享的一个受RMS保护的文档,要求接受者的组织里有一个兼容的RMS服务器.或者,外面的用户可以在企业网络内给一个活动目录帐户,这个过程提出了具有挑战性的行政 和安全等问题.微软的协作平台,在用户活动目录介绍基础上,共享点服务器2007也有能力对文档进行动态申请RMS保护.但是,这也需要一个本地活动目录帐户. W

Windows Server 2012部署活动目录图解教程

1 安装环境 1.域:itchenyi.com,域功能级别和林功能级别为Windows server 2003模式.(关于win 2012 和 活动目录,,,,想必不用介绍了...) 2 安装域 1. 以本地管理员身份登录服务器 2. 打开服务器管理器(仪表板) 3. 添加角色和功能---选择AD域服务 4. 下一步就好

Windows Server 2008 R2活动目录回收站

一.先决条件 更新活动目录架构 1.在架构操作主控(schema master operations master)角色的DC运行adprep /forestprep 2.在http://www.aliyun.com/zixun/aggregation/13748.html">基础架构主控 infrastructure operations master 角色的DC上运行adprep /domainprep /gpprep 一般来说,活动目录的五种角色会放在一台DC上,可以通过命令netd

把lotus domino R5安装到了windows server 2003上,集成iis服务出错

问题描述 把lotusdominoR5安装到了windowsserver2003上,集成iis服务,实现iis访问notes数据库,但是如果数据库中有java编写的代理会报500错误,如果是lotsscript写的就没问题,这是怎么回事? 解决方案 解决方案二:从来没有集成成功过,求指教,解决方案三:引用1楼的回复: 从来没有集成成功过,求指教, 我的也不算成功,我从这找的方法,你可以试一下.解决方案四:引用1楼的回复: 从来没有集成成功过,求指教, http://www-10.lotus.co

Windows 2008可重启活动目录完全攻略

今天的文章中我们为大家介绍的是有关活动目录的一个全 新功能:可重启活动目录(Restartable Active Directory),这一功能是指允许活动目录重启而 不用服务器重启.http://www.aliyun.com/zixun/aggregation/32995.html">在Windows Server 2008中活动目录是可以通过微软管理控制台(MMC)或者命令行的方式进行重启的.活动目录的暂停运行可以使域控制器升级变得可能,同时管理员也可以利用这个特性在活动目录停止期间执

Windows Server 2003开机自动启动MySQL服务设置方法

&http://www.aliyun.com/zixun/aggregation/37954.html">nbsp;   每次开机我都要去点击mysqld-nt.exe执行文件才启动mysql,虽然将创建了mysqld-nt.exe快捷方式到桌面,但还是想它能自动启动,怎么可以象mssql那样设置开机跟着启动? 下面为笔者总结的一些经验与大家分享: 1.打开命令行窗口(CMD) 2.切换到mysql目录下,例如:d:\xampp\mysql\bin 3.输入mysqld-nt  

Windows Server 2003卷影副本服务实现共享还原

&http://www.aliyun.com/zixun/aggregation/37954.html">nbsp;   大家一定记得Windows XP的系统还原功能吧,但它只能还原本机的文件,对共享文件却无能为力了.随着Windows Server 2003操作系统的推出,这个问题迎刃而解.这个小东东就是Windows Server 2003的卷影副本服务(Volume Shadow Copy Service),它以预定的时间间隔为存储在网络共享文件中的文件创建副本文件.一旦共

配置Windows Server 2003卷影副本

大家一定用过Windows XP的系统还原功能吧,但它只能还原本机的文件,如果在网络上有一个共享文 件夹,用户不小心删除或覆盖了文件夹,那么Windows XP的系统还原功对次共享文件可就无能为力了.随 着Windows Server 2003操作系统的推出,这个问题迎刃而解.这 就是Windows Server 2003的卷影副本服务.其可以对网络服务器 上的共享文件夹进行"备份","备份"后叫作共享文件夹的卷影副本,通过共享文件夹的卷影副本,可 以察看过去的时间