Active Directory Federation Services (häufig als ADFS gesucht und von Microsoft als AD FS bezeichnet) ist ein lokaler Identitätsverbunddienst in Windows Server. Er authentifiziert Benutzer und stellt signierte, anspruchsbasierte Token aus, die vertrauenswürdige Anwendungen für Single Sign-On (SSO) verwenden. Dadurch können Benutzer auf verbundene Anwendungen zugreifen, ohne ihr Active Directory-Kennwort mit jeder einzelnen Anwendung teilen zu müssen.
Microsoft-Dokumente AD FS Für Windows Server 2016, 2019, 2022 und 2025. Es wird jedoch empfohlen, Anwendungen zu Microsoft Entra ID zu migrieren, anstatt AD FS zu aktualisieren. Dadurch bleibt AD FS für viele bestehende Umgebungen relevant, ist aber weniger wahrscheinlich die Standardwahl für eine neue Identitätsarchitektur.
Die zentralen Thesen
- AD FS ermöglicht Identitätsföderation und SSO: Active Directory Federation Services ist ein lokaler Windows Server-Dienst, der anspruchsbasierten Zugriff auf vertrauenswürdige Anwendungen ermöglicht.
- Es funktioniert üblicherweise mit Active Directory: AD FS authentifiziert Benutzer und stellt signierte Token für vertrauenswürdige Web-, Cloud- oder Partneranwendungen aus.
- Es unterstützt mehrere Föderationsprotokolle: Dazu gehören SAML, WS-Federation, OAuth und OpenID Connect, abhängig von der Windows Server-Version und dem Anwendungsfall.
- AD FS wird weiterhin unterstützt: Microsoft empfiehlt jedoch, Anwendungen auf Microsoft Entra ID zu migrieren, anstatt AD FS zu aktualisieren.
- Modernisierung kann über die Migration hinausgehen: Organisationen können Scalefusion OneIdP für SSO, Identitätsföderation, MFA, Verzeichnisintegration und UEM-gesteuerten bedingten Zugriff evaluieren.
Was ist ADFS und was bewirkt es?
Active Directory Federation Services (häufig ADFS genannt und von Microsoft als AD FS bezeichnet) ist ein lokaler Identitätsverbunddienst, der in Windows Server integriert ist. Er authentifiziert Benutzer üblicherweise über Active Directory Domain Services und stellt signierte, anspruchsbasierte Token aus, die vertrauenswürdige Anwendungen für Single Sign-On verwenden.
AD FS fungiert als Vertrauensbrücke zwischen dem Identitätssystem einer Organisation und den damit verbundenen Web-, Cloud- oder Partneranwendungen. Es erweitert Unternehmensidentitäten über die interne Windows-Domäne hinaus, ohne dass jede Anwendung das Active Directory-Kennwort des Benutzers empfangen oder verwalten muss.
Wenn ein Mitarbeiter beispielsweise ein Partnerportal öffnet, leitet das Portal den Browser des Mitarbeiters an AD FS weiter. Nach der Authentifizierung des Mitarbeiters stellt AD FS ein signiertes Token mit genehmigten Ansprüchen aus, wie z. B. Benutzer-ID, E-Mail-Adresse, Rolle oder Gruppenzugehörigkeit. Das Portal validiert das Token und verwendet seine eigenen Autorisierungsregeln, um den Zugriff zu bestimmen.
Dieser Prozess wird als Identitätsföderation bezeichnet: Getrennte Systeme stellen eine Vertrauensbeziehung her, ohne ihre Benutzerverzeichnisse zusammenzuführen oder Passwörter auszutauschen. Identitätsbroker kann dabei helfen, diese Vertrauensbeziehungen zu verwalten, wenn mehrere Identitätsanbieter beteiligt sind.
Wie funktioniert ADFS?
Eine typische AD FS-Anmeldung umfasst sechs Schritte:
- Der Benutzer öffnet eine Anwendung. Die Anwendung erkennt, dass der Benutzer keine aktive Sitzung hat.
- Die Anwendung leitet den Benutzer zu AD FS weiter. Die Anfrage identifiziert die Anwendung, die als vertrauende Partei bezeichnet wird.
- AD FS authentifiziert den Benutzer. Üblicherweise wird der Benutzer über Active Directory verifiziert und die konfigurierte Authentifizierungsrichtlinie angewendet.
- AD FS wertet Schadensregulierungsregeln aus. Diese Regeln legen fest, welche Benutzerinformationen die Anwendung erhalten darf.
- AD FS stellt ein signiertes Sicherheitstoken aus. Das Token kann Angaben wie die Benutzerkennung, die E-Mail-Adresse, die Rolle oder die Gruppenzugehörigkeit enthalten.
- Die Anwendung validiert das Token. Wenn die Prüfungen für Aussteller, Signatur, Empfänger und Gültigkeit erfolgreich sind, erstellt die Anwendung eine Sitzung und wendet ihre eigenen Autorisierungsregeln an.
Die Anwendung erhält ein Token – nicht das Active Directory-Kennwort des Benutzers. Je nach Windows Server-Version und Anwendungsfall unterstützt AD FS Protokolle wie SAML 2.0, WS-Federation, OAuth 2.0, OpenID Connect und WS-Trust.
Ansprüche und Verbundtreuhandfonds
A Anspruch ist eine Aussage über einen Benutzer, wie z. B. eine E-Mail-Adresse oder Gruppenzugehörigkeit. AD FS verpackt genehmigte Ansprüche in einem signierten Token. Föderationstreuhand Definiert, welche Systeme diese Identitätsinformationen austauschen und akzeptieren können. Vertrauensstellungen vertrauender Parteien repräsentieren Anwendungen, die AD FS-Token akzeptieren; Vertrauensstellungen von Anspruchsanbietern repräsentieren Identitätsquellen, deren Ansprüche von AD FS akzeptiert werden.
Was sind die Hauptkomponenten von AD FS?
| Komponente | Zweck |
|---|---|
| Active Directory-Domänendienste | Speichert Organisationsidentitäten und authentifiziert üblicherweise Benutzer |
| Federation-Server | Verarbeitet Anmeldeanfragen, wendet Anspruchsregeln an und stellt Token aus. |
| Serverfarm der Föderation | Nutzt mehrere Server für Kapazität und Verfügbarkeit |
| Webanwendungsproxy | Optional kann AD FS für Benutzer veröffentlicht werden, die sich von außerhalb des Netzwerks verbinden. |
| Konfigurationsdatenbank | Speichert Vertrauensstellungen, Anspruchsregeln und Farmkonfiguration |
AD FS verwendet außerdem Token-Signaturzertifikate. Anwendungen nutzen den zugehörigen öffentlichen Schlüssel, um zu überprüfen, ob die Token von einem vertrauenswürdigen Verbunddienst stammen und nicht verändert wurden. Daher erfordern Zertifikatsspeicherung, -erneuerung, -rotation und Zugriffsberechtigungen eine sorgfältige Verwaltung.
ADFS vs. Active Directory, LDAP und SSO
| Bedingungen | Was es ist | Hauptzweck |
|---|---|---|
| Active Directory | Ein Verzeichnisdienst | Speichert Identitäten und verwaltet Windows-Domänenressourcen |
| LDAP | Ein Verzeichniszugriffsprotokoll | Abfragen und Aktualisierungen kompatibler Verzeichnisse |
| SSO | Eine Zugriffsfähigkeit | Ermöglicht es einem Benutzer, sich einmalig zu authentifizieren und auf verbundene Anwendungen zuzugreifen. |
| AD FS | Ein Föderations- und Token-Dienst | Erweitert vertrauenswürdige Identitäten auf Web-, Cloud- und Partneranwendungen. |
AD FS ersetzt Active Directory nicht. Es nutzt üblicherweise Active Directory zur Benutzerauthentifizierung und wandelt die erfolgreiche Anmeldung anschließend in ein vertrauenswürdiges Token um. LDAP ermöglicht die direkte Verzeichniskommunikation, während AD FS eine anspruchsbasierte Föderation bereitstellt.
Was sind die Vorteile und Einschränkungen von AD FS?
| Vorteile | Einschränkungen |
|---|---|
| Bietet SSO für vertrauenswürdige Anwendungen | Erfordert Server, Patching, Überwachung, Datensicherung und Kapazitätsplanung. |
| Schützt Active Directory-Passwörter vor abhängigen Anwendungen | Schadensregeln, Treuhandverhältnisse und Anwendungsintegrationen erfordern Fachkenntnisse. |
| Unterstützt standardbasierte Föderation | Fehler bei der Zertifikatserneuerung oder -übertragung können den Zugriff unterbrechen. |
| Gewährleistet die Einhaltung der organisatorischen Kontrolle bei der Authentifizierung | Hochverfügbarkeit kann mehrere Server, Proxys und Lastverteilung erfordern. |
| Unterstützt Legacy- und Partner-Federationsszenarien | Verbundserver und Signaturschlüssel sind hochwertige Sicherheitsziele |
AD FS stellt nicht automatisch Konten bereit, sichert keine Endpunkte und gewährleistet keine Compliance einer Organisation. Diese Ergebnisse hängen von den umgebenden Identitäts-, Endpunkt-, Sicherheits- und Governance-Kontrollen ab.
Wird ADFS noch verwendet – und was ersetzt es?
Ja. AD FS wird weiterhin dort eingesetzt, wo Unternehmen auf ältere Anwendungen, Partnervertrauensstellungen, benutzerdefinierte Anspruchsregeln oder lokale Authentifizierung angewiesen sind. Microsoft dokumentiert den Dienst weiterhin für unterstützte Windows Server-Versionen, daher ist AD FS nicht veraltet.
Support ist jedoch etwas anderes als strategische Ausrichtung. Microsoft empfiehlt, AD FS-Anwendungen nach Möglichkeit auf Entra ID zu migrieren. AD FS-Stilllegungsleitfaden Beinhaltet Anwendungserkennung, Migration, Authentifizierungsänderungen und die Stilllegung der Infrastruktur.
Sicherheit ist ein weiterer wichtiger Aspekt. Wenn ein Angreifer eine AD FS-Umgebung kompromittiert und den zugehörigen privaten Schlüssel zur Token-Signatur erlangt, kann er möglicherweise vertrauenswürdige SAML-Token fälschen – eine Technik, die als … bekannt ist. Golden SAMLMicrosoft empfiehlt, den Administratorzugriff einzuschränken, die Umgebung aktuell zu halten, Konfigurationsänderungen zu überwachen und Signaturschlüssel zu schützen. Weitere Informationen finden Sie in den Microsoft-Richtlinien. Sicherung von AD FS und Abschwächung von Golden-SAML-Angriffen.
Vor einem Plattformwechsel sollten Sie alle abhängigen Anwendungen, Authentifizierungsprotokolle, Anspruchsregeln, Zertifikate, Partnervertrauensstellungen und Bereitstellungsabhängigkeiten erfassen. Manche Anwendungen lassen sich schnell migrieren; andere erfordern möglicherweise Anpassungen oder eine schrittweise Koexistenz.
Modernisierung von Identität und Zugriff mit Scalefusion OneIdP
Microsoft Entra-ID Dies ist der von Microsoft empfohlene Migrationspfad für AD FS-Workloads. Eine umfassendere Identitätsprüfung kann auch die Frage aufwerfen, wie SSO, Identitätsquellen, Multifaktor-Authentifizierung und Gerätekontext organisationsweit zusammenarbeiten sollten.
Scalefusion OneIdP ist ein UEM-gesteuertes Identitäts- und ZugriffsverwaltungslösungEs unterstützt SSO für SAML- und OIDC-basierte Anwendungen, Identitätsföderation und Verzeichnisintegration. MFAund kontextbezogene Zugriffsrichtlinien. Die Verbindung mit Scalefusion UEM ermöglicht es, den Kontext verwalteter Geräte und Compliance-Anforderungen in Zugriffsentscheidungen einzubeziehen.
AD FS und OneIdP sind nicht direkt gleichwertig. Bestehende Vertrauensstellungen, Anspruchsregeln, Protokolle, Bereitstellungsabläufe und Partnerintegrationen müssen vor der Migration individuell geprüft werden. Die folgende Tabelle vergleicht die sich überschneidenden Identitäts- und Anwendungszugriffsrollen.
| Gebiet | AD FS | Scalefusion OneIdP |
|---|---|---|
| Hauptrolle | Selbstgehostete Föderation für vertrauenswürdige Anwendungen | Zentralisierte Identitäts- und Anwendungszugriffskontrolle mit UEM-gesteuerten Steuerungen |
| Verwaltung | Betrieb auf einer vom Unternehmen verwalteten Windows Server-Infrastruktur | Verwaltet über die Scalefusion-Plattform |
| Identitätsquellen | Verwendet üblicherweise Active Directory und konfigurierte Leistungsabrechnungsdienstleister. | Lässt sich je nach Methode mit Quellen wie Microsoft Entra, Google Workspace, Okta und lokalen AD- oder LDAP-Systemen integrieren. |
| Anwendungs-SSO | Unterstützt je nach Version Protokolle wie SAML, WS-Federation, OAuth und OIDC. | Unterstützt SSO für SAML- und OIDC-basierte Anwendungen |
| Zugangsentscheidungen | Verwendet Ansprüche, Authentifizierungsmethoden, Vertrauensstellungen und konfigurierte Richtlinien | Kann Identitäts- und Kontextbedingungen wie Gerätekonformität, Verwaltungsstatus, Browser, Netzwerk oder IP-Adresse und Standort, an dem konfiguriert, verwenden. |
| Optimale Bildschirmwahl | Etablierte Microsoft-zentrierte oder ältere Verbundanforderungen | Organisationen, die modernes SSO und gerätebasierte Zugriffsverwaltung über einen einheitlichen UEM- und IAM-Ansatz evaluieren |
OneIdP auswerten Identität Föderation, Verzeichnisdienste und Unternehmens-SSO im Einklang mit Ihren Anwendungs- und Sicherheitsanforderungen.
ADFS bleibt relevant – aber eine Modernisierung sollte geplant werden.
AD FS bietet anspruchsbasierte Föderation und Single Sign-On (SSO) für Anwendungen, die den Identitäten einer Organisation vertrauen. Es ist weiterhin in etablierten und älteren Umgebungen nützlich, bringt jedoch Infrastruktur-, Zertifikats- und Sicherheitsverantwortung mit sich. Organisationen sollten die notwendigen Abhängigkeiten sicher verwalten und gleichzeitig ihre langfristige Identitätsarchitektur planen.
Evaluieren Sie Scalefusion OneIdP für SSO, Identitätsföderation, MFA, Verzeichnisintegration und UEM-gesteuerten bedingten Zugriff.
Häufig gestellte Fragen
1. Worin besteht der Unterschied zwischen ADFS und Active Directory?
Active Directory speichert Identitäten und verwaltet Windows-Domänenressourcen. AD FS verwendet Active Directory üblicherweise zur Authentifizierung eines Benutzers und stellt anschließend ein signiertes Token für eine vertrauenswürdige Anwendung aus. Kurz gesagt: Active Directory verwaltet die Identität, während AD FS diese Identität auf verbundene Anwendungen ausweitet.
2. Wird ADFS noch benötigt?
AD FS kann weiterhin erforderlich sein, wenn eine ältere Anwendung, eine benutzerdefinierte Anspruchsregel, eine Partnervertrauensstellung oder eine lokale Anforderung davon abhängt. Bestehen diese Abhängigkeiten nicht, kann eine Cloud-Identitätsplattform den Aufwand für Server- und Zertifikatsverwaltung reduzieren. Prüfen Sie jede verbundene Anwendung, bevor Sie eine Entscheidung treffen.
3. Ist ADFS veraltet?
Nein. AD FS ist weiterhin für unterstützte Windows Server-Versionen dokumentiert. Microsoft empfiehlt jedoch, Anwendungen auf Microsoft Entra ID zu migrieren, anstatt AD FS zu aktualisieren. Unternehmen sollten zwischen der fortgesetzten Produktunterstützung und der von Microsoft bevorzugten Vorgehensweise für moderne Identitätslösungen unterscheiden.
4. Was ersetzt ADFS?
Microsoft empfiehlt Entra ID als Migrationsoption für AD FS-Anwendungen. Bei der Entscheidung für eine neue Plattform sollten jedoch weiterhin Anwendungsprotokolle, Ansprüche, Verzeichnisse, Bereitstellung, Partnerverbindungen, Compliance-Anforderungen und die Endpunktstrategie berücksichtigt werden. Keine Plattform sollte ohne diese Bewertung als direkter Ersatz betrachtet werden.
5. Worin besteht der Unterschied zwischen ADFS und LDAP?
LDAP fragt Verzeichnisinformationen ab oder aktualisiert diese. AD FS stellt anspruchsbasierte Token für vertrauenswürdige Anwendungen aus, sodass eine Webanwendung ein Token validieren kann, anstatt das Benutzerpasswort direkt an ein Verzeichnis zu senden.
