Active Directory Federation Services (conocido comúnmente como ADFS y denominado AD FS por Microsoft) es un servicio de federación de identidades local en Windows Server. Autentica a los usuarios y emite tokens firmados basados en reclamaciones que las aplicaciones de confianza utilizan para el inicio de sesión único (SSO). De este modo, los usuarios pueden acceder a las aplicaciones conectadas sin compartir su contraseña de Active Directory con cada una de ellas.
Documentos de Microsoft AD FS Para Windows Server 2016, 2019, 2022 y 2025. Sin embargo, recomienda migrar las aplicaciones a Microsoft Entra ID en lugar de actualizar AD FS. Esto hace que AD FS sea relevante para muchos entornos existentes, pero es menos probable que sea la opción predeterminada para una nueva arquitectura de identidad.
Puntos clave
- AD FS permite la federación de identidades y el inicio de sesión único (SSO): Los Servicios de federación de Active Directory son un servicio de Windows Server local que proporciona acceso basado en reclamaciones a aplicaciones de confianza.
- Generalmente funciona con Active Directory: AD FS autentica a los usuarios y emite tokens firmados para aplicaciones web, en la nube o de socios de confianza.
- Admite múltiples protocolos de federación: Entre ellas se incluyen SAML, WS-Federation, OAuth y OpenID Connect, dependiendo de la versión de Windows Server y del caso de uso.
- AD FS sigue recibiendo soporte: Sin embargo, Microsoft recomienda migrar las aplicaciones a Microsoft Entra ID en lugar de actualizar AD FS.
- La modernización puede ir más allá de la migración: Las organizaciones pueden evaluar Scalefusion OneIdP para SSO, federación de identidades, MFA, integración de directorios y acceso condicional basado en UEM.
¿Qué es ADFS y qué hace?
Active Directory Federation Services (conocido comúnmente como ADFS y estilizado por Microsoft como AD FS) es un servicio de federación de identidades local integrado en Windows Server. Generalmente, autentica a los usuarios a través de Active Directory Domain Services y emite tokens firmados basados en reclamaciones que las aplicaciones de confianza utilizan para el inicio de sesión único.
AD FS actúa como un puente de confianza entre el sistema de identidades de una organización y sus aplicaciones web, en la nube o de socios conectadas. Extiende las identidades corporativas más allá del dominio interno de Windows sin que cada aplicación tenga que recibir o gestionar la contraseña de Active Directory del usuario.
Por ejemplo, cuando un empleado abre un portal de socios, este redirige su navegador a AD FS. Tras autenticar al empleado, AD FS emite un token firmado que contiene información autorizada, como un ID de usuario, una dirección de correo electrónico, un rol o la pertenencia a un grupo. El portal valida el token y utiliza sus propias reglas de autorización para determinar el acceso.
Este proceso se conoce como federación de identidades: sistemas separados establecen confianza sin fusionar sus directorios de usuarios ni intercambiar contraseñas. agente de identidad Puede ayudar a gestionar estas relaciones de confianza cuando intervienen varios proveedores de identidad.
¿Cómo funciona ADFS?
Un inicio de sesión típico en AD FS consta de seis pasos:
- El usuario abre una aplicación. La aplicación detecta que el usuario no tiene una sesión activa.
- La aplicación redirige al usuario a AD FS. La solicitud identifica la aplicación, conocida como la parte que confía en ella.
- AD FS autentica al usuario. Generalmente, verifica al usuario a través de Active Directory y aplica la política de autenticación configurada.
- AD FS evalúa las reglas de reclamación. Estas reglas determinan qué información del usuario puede recibir la aplicación.
- AD FS emite un token de seguridad firmado. El token puede incluir información como el identificador del usuario, la dirección de correo electrónico, el rol o la pertenencia a un grupo.
- La aplicación valida el token. Si las comprobaciones del emisor, la firma, la audiencia y la validez son satisfactorias, la aplicación crea una sesión y aplica sus propias reglas de autorización.
La aplicación recibe un token, no la contraseña de Active Directory del usuario. Según la versión de Windows Server y el caso de uso, AD FS puede admitir protocolos como SAML 2.0, WS-Federation, OAuth 2.0, OpenID Connect y WS-Trust.
Reclamaciones y fideicomisos de federación
A reclamo. es una declaración sobre un usuario, como una dirección de correo electrónico o la pertenencia a un grupo. AD FS empaqueta las reclamaciones aprobadas en un token firmado. fideicomiso de la federación Define qué sistemas pueden intercambiar y aceptar esta información de identidad. Las relaciones de confianza de las partes confiables representan aplicaciones que aceptan tokens de AD FS; las relaciones de confianza de los proveedores de reclamaciones representan fuentes de identidad cuyas reclamaciones acepta AD FS.
¿Cuáles son los componentes principales de AD FS?
| Componente | Propósito |
|---|---|
| Servicios de dominio de Active Directory | Almacena identidades organizativas y suele autenticar a los usuarios. |
| Servidor de federación | Procesa las solicitudes de inicio de sesión, aplica las reglas de reclamación y emite tokens. |
| Granja de servidores de la Federación | Utiliza varios servidores para garantizar la capacidad y la disponibilidad. |
| Proxy de aplicación web | Opcionalmente, publica AD FS para los usuarios que se conectan desde fuera de la red. |
| Base de datos de configuración | Almacena fideicomisos, reglas de reclamación y configuración de la granja. |
AD FS también se basa en certificados de firma de tokens. Las aplicaciones utilizan la clave pública correspondiente para verificar que los tokens provienen de un servicio de federación de confianza y que no han sido alterados. Por lo tanto, el almacenamiento, la renovación, la rotación y los permisos de acceso a los certificados requieren una gestión cuidadosa.
ADFS frente a Active Directory, LDAP y SSO
| Término | Lo que es | Propósito primario |
|---|---|---|
| Active Directory | Un servicio de directorio | Almacena identidades y administra recursos de dominio de Windows. |
| LDAP | Un protocolo de acceso a directorios | Consultas y actualizaciones de directorios compatibles |
| SSO | Una capacidad de acceso | Permite que un usuario se autentique una sola vez y acceda a las aplicaciones conectadas. |
| AD FS | Un servicio de federación y token | Extiende las identidades de confianza a aplicaciones web, en la nube y de socios. |
AD FS no reemplaza a Active Directory. Generalmente, se basa en Active Directory para autenticar a los usuarios y luego convierte el inicio de sesión exitoso en un token en el que una aplicación puede confiar. LDAP proporciona comunicación directa con el directorio, mientras que AD FS proporciona federación basada en reclamaciones.
¿Cuáles son los beneficios y las limitaciones de AD FS?
| Beneficios | Limitaciones |
|---|---|
| Proporciona inicio de sesión único (SSO) en aplicaciones de confianza. | Requiere servidores, parcheo, monitorización, copias de seguridad y planificación de capacidad. |
| Mantiene las contraseñas de Active Directory alejadas de las aplicaciones que dependen de ellas. | Las reglas de reclamación, los fideicomisos y las integraciones de aplicaciones requieren conocimientos especializados. |
| Admite la federación basada en estándares. | Los errores de renovación o renovación de certificados pueden interrumpir el acceso. |
| Mantiene la autenticación bajo control organizacional. | La alta disponibilidad puede requerir múltiples servidores, proxies y balanceo de carga. |
| Admite escenarios de federación heredados y con socios. | Los servidores de federación y las claves de firma son objetivos de seguridad de alto valor. |
AD FS no aprovisiona cuentas automáticamente, no protege los puntos finales ni garantiza el cumplimiento normativo de una organización. Estos resultados dependen de los controles de identidad, seguridad, gobernanza y puntos finales existentes.
¿Se sigue utilizando ADFS y qué lo está reemplazando?
Sí. AD FS sigue utilizándose en organizaciones que dependen de aplicaciones heredadas, relaciones de confianza con socios, reglas de reclamación personalizadas o autenticación local. Microsoft continúa documentando el servicio para las versiones de Windows Server compatibles, por lo que AD FS no está obsoleto.
El soporte, sin embargo, es diferente de la dirección estratégica. Microsoft recomienda migrar las aplicaciones de AD FS a Entra ID cuando sea factible. Guía de desmantelamiento de AD FS Abarca el descubrimiento de aplicaciones, la migración, los cambios de autenticación y la retirada de la infraestructura.
La seguridad es otra consideración. Si un atacante compromete un entorno AD FS y obtiene su clave privada de firma de tokens, el atacante podría ser capaz de falsificar tokens SAML de confianza, una técnica conocida como SAML doradoMicrosoft recomienda restringir el acceso administrativo, mantener el entorno actualizado, supervisar los cambios de configuración y proteger las claves de firma. Consulte la guía de Microsoft para Asegurando AD FS y mitigación de ataques Golden SAML.
Antes de cambiar de plataforma, haga un inventario de todas las aplicaciones que dependen de ella, los protocolos de autenticación, las reglas de reclamación, los certificados, las relaciones de confianza con los socios y las dependencias de aprovisionamiento. Algunas aplicaciones pueden migrar rápidamente; otras pueden requerir ajustes o una coexistencia gradual.
Modernización de la identidad y el acceso con Scalefusion OneIdP
ID de entrada de Microsoft Esta es la ruta de migración recomendada por Microsoft para las cargas de trabajo de AD FS. Una revisión de identidad más amplia también podría plantearse cómo deben funcionar conjuntamente el inicio de sesión único (SSO), las fuentes de identidad, la autenticación multifactor y el contexto del dispositivo en toda la organización.
Scalefusion OneIdP es un sistema impulsado por UEM solución de gestión de identidad y acceso. Admite SSO para aplicaciones basadas en SAML y OIDC, federación de identidades, integración de directorios, MFAy políticas de acceso contextual. Su conexión con Scalefusion UEM puede incorporar el contexto de dispositivos gestionados y cumplimiento normativo en las decisiones de acceso.
AD FS y OneIdP no son equivalentes directos. Las relaciones de confianza, las reglas de reclamación, los protocolos, los flujos de aprovisionamiento y las integraciones con socios existentes requieren una evaluación individual antes de la migración. La siguiente tabla compara sus funciones superpuestas de identidad y acceso a aplicaciones.
| Área | AD FS | Scalefusion OneIdP |
|---|---|---|
| Rol primario | Federación autogestionada para aplicaciones de confianza | Identidad centralizada y acceso a aplicaciones con controles basados en UEM |
| Gestión | Funcionaba sobre una infraestructura de Windows Server administrada por la organización. | Gestionado a través de la plataforma Scalefusion. |
| Fuentes de identidad | Generalmente utiliza Active Directory y proveedores de reclamaciones configurados. | Se integra con fuentes como Microsoft Entra, Google Workspace, Okta y Active Directory o LDAP locales, según el método. |
| Inicio de sesión único (SSO) de la aplicación | Admite protocolos como SAML, WS-Federation, OAuth y OIDC, según la versión. | Admite inicio de sesión único (SSO) para aplicaciones basadas en SAML y OIDC. |
| Decisiones de acceso | Utiliza reclamaciones, métodos de autenticación, confianzas y políticas configuradas. | Puede utilizar condiciones de identidad y contextuales como el cumplimiento del dispositivo, el estado administrado, el navegador, la red o la IP y la ubicación donde esté configurado. |
| Mejor ajuste | Requisitos de federación establecidos centrados en Microsoft o heredados | Organizaciones que evalúan el SSO moderno y el acceso con reconocimiento de dispositivos a través de un enfoque unificado de UEM e IAM. |
Evaluar OneIdP federación de identidad, directorio de Servicios, y SSO empresarial conforme a los requisitos de seguridad y de su aplicación.
ADFS sigue siendo relevante, pero su modernización debe planificarse.
AD FS proporciona federación basada en reclamaciones e inicio de sesión único (SSO) para aplicaciones que confían en las identidades de una organización. Sigue siendo útil en entornos establecidos y heredados, pero conlleva responsabilidades en materia de infraestructura, certificados y seguridad. Las organizaciones deben mantener las dependencias necesarias de forma segura al planificar su arquitectura de identidad a largo plazo.
Evaluar Scalefusion OneIdP Para SSO, federación de identidades, MFA, integración de directorios y acceso condicional basado en UEM.
Preguntas Frecuentes
1. ¿Cuál es la diferencia entre ADFS y Active Directory?
Active Directory almacena identidades y administra los recursos del dominio de Windows. AD FS suele usar Active Directory para autenticar a un usuario y, a continuación, emite un token firmado para una aplicación de confianza. En resumen, Active Directory mantiene la identidad, mientras que AD FS la extiende a las aplicaciones federadas.
2. ¿Sigue siendo necesario ADFS?
AD FS podría seguir siendo necesario si una aplicación heredada, una regla de reclamación personalizada, una relación de confianza con un socio o un requisito local dependen de él. Si no existen dichas dependencias, una plataforma de identidad en la nube podría reducir el trabajo de administración de servidores y certificados. Evalúe cada aplicación conectada antes de tomar una decisión.
3. ¿Está ADFS obsoleto?
No. AD FS sigue contando con documentación para las versiones de Windows Server compatibles. Sin embargo, Microsoft recomienda migrar las aplicaciones a Microsoft Entra ID en lugar de actualizar AD FS. Las organizaciones deben distinguir entre la continuidad del soporte del producto y la dirección que Microsoft prefiere para las implementaciones de identidad modernas.
4. ¿Qué está reemplazando a ADFS?
Microsoft recomienda Entra ID como la opción de migración para las aplicaciones de AD FS. Al tomar una decisión sobre el reemplazo, se deben considerar los protocolos de aplicación, las notificaciones, los directorios, el aprovisionamiento, las conexiones con socios, los requisitos de cumplimiento y la estrategia de puntos finales. Ninguna plataforma debe considerarse un reemplazo directo sin esta evaluación.
5. ¿Cuál es la diferencia entre ADFS y LDAP?
LDAP consulta o actualiza la información del directorio. AD FS emite tokens basados en reclamaciones a aplicaciones de confianza, lo que permite que una aplicación web valide un token en lugar de enviar la contraseña del usuario directamente a un directorio.
