Les services de fédération Active Directory (souvent abrégés ADFS et stylisés par Microsoft en AD FS) sont un service de fédération d'identités local pour Windows Server. Ils authentifient les utilisateurs et émettent des jetons signés, basés sur les revendications, que les applications de confiance utilisent pour l'authentification unique (SSO). Ainsi, les utilisateurs peuvent accéder aux applications connectées sans avoir à partager leur mot de passe Active Directory avec chacune d'elles.
Documentation Microsoft AD FS Pour Windows Server 2016, 2019, 2022 et 2025, il est toutefois recommandé de migrer les applications vers Microsoft Entra ID plutôt que de mettre à niveau AD FS. De ce fait, AD FS reste pertinent pour de nombreux environnements existants, mais a moins de chances d'être le choix par défaut pour une nouvelle architecture d'identité.
Points clés à retenir
- AD FS permet la fédération d'identités et l'authentification unique (SSO) : Les services de fédération Active Directory sont un service Windows Server local qui fournit un accès basé sur les revendications aux applications de confiance.
- Il fonctionne généralement avec Active Directory : AD FS authentifie les utilisateurs et délivre des jetons signés aux applications Web, cloud ou partenaires de confiance.
- Il prend en charge plusieurs protocoles de fédération : Ces protocoles incluent SAML, WS-Federation, OAuth et OpenID Connect, selon la version de Windows Server et le cas d'utilisation.
- AD FS reste pris en charge : Toutefois, Microsoft recommande de migrer les applications vers Microsoft Entra ID plutôt que de mettre à niveau AD FS.
- La modernisation peut aller au-delà de la migration : Les organisations peuvent évaluer Scalefusion OneIdP pour l'authentification unique (SSO), la fédération d'identités, l'authentification multifacteur (MFA), l'intégration d'annuaires et l'accès conditionnel piloté par UEM.
Qu'est-ce qu'ADFS et à quoi sert-il ?
Les services de fédération Active Directory (communément appelés ADFS et stylisés par Microsoft en AD FS) sont un service de fédération d'identités local intégré à Windows Server. Il authentifie généralement les utilisateurs via les services de domaine Active Directory et émet des jetons signés, basés sur les revendications, que les applications de confiance utilisent pour l'authentification unique.
AD FS sert de pont de confiance entre le système d'identité d'une organisation et ses applications web, cloud ou partenaires connectées. Il étend les identités d'entreprise au-delà du domaine Windows interne sans que chaque application ait besoin de recevoir ou de gérer le mot de passe Active Directory de l'utilisateur.
Par exemple, lorsqu'un employé ouvre un portail partenaire, celui-ci redirige son navigateur vers AD FS. Après authentification, AD FS émet un jeton signé contenant des informations d'identification approuvées, telles qu'un identifiant utilisateur, une adresse e-mail, un rôle ou une appartenance à un groupe. Le portail valide ensuite ce jeton et applique ses propres règles d'autorisation pour déterminer l'accès.
Ce processus est connu sous le nom de fédération d'identités : des systèmes distincts établissent une relation de confiance sans fusionner leurs annuaires d'utilisateurs ni échanger de mots de passe. courtier d'identité peut aider à gérer ces relations de confiance lorsque plusieurs fournisseurs d'identité sont impliqués.
Comment fonctionne ADFS ?
Une connexion AD FS typique se déroule en six étapes :
- L'utilisateur ouvre une application. L'application détecte que l'utilisateur n'a pas de session active.
- L'application redirige l'utilisateur vers AD FS. La requête identifie l'application, appelée partie utilisatrice.
- AD FS authentifie l'utilisateur. Il vérifie généralement l'utilisateur via Active Directory et applique la stratégie d'authentification configurée.
- AD FS évalue les règles de réclamation. Ces règles déterminent quelles informations utilisateur l'application peut recevoir.
- AD FS émet un jeton de sécurité signé. Le jeton peut inclure des informations telles que l'identifiant de l'utilisateur, son adresse électronique, son rôle ou son appartenance à un groupe.
- L'application valide le jeton. Si les vérifications de l'émetteur, de la signature, du public et de la validité sont réussies, l'application crée une session et applique ses propres règles d'autorisation.
L'application reçoit un jeton, et non le mot de passe Active Directory de l'utilisateur. Selon la version de Windows Server et le cas d'utilisation, AD FS peut prendre en charge des protocoles tels que SAML 2.0, WS-Federation, OAuth 2.0, OpenID Connect et WS-Trust.
Réclamations et fiducies de fédération
A réclamer Il s'agit d'une déclaration concernant un utilisateur, telle qu'une adresse e-mail ou son appartenance à un groupe. AD FS regroupe les revendications approuvées dans un jeton signé. fiducie de fédération Définit les systèmes autorisés à échanger et à accepter ces informations d'identité. Les approbations de parties de confiance représentent les applications qui acceptent les jetons AD FS ; les approbations de fournisseurs de revendications représentent les sources d'identité dont les revendications sont acceptées par AD FS.
Quels sont les principaux composants d'AD FS ?
| Composant | Interet |
|---|---|
| Services de domaine Active Directory | Stocke les identités organisationnelles et authentifie les utilisateurs de manière courante. |
| Serveur de fédération | Traite les demandes de connexion, applique les règles de revendication et émet des jetons. |
| Ferme de serveurs de fédération | Utilise plusieurs serveurs pour assurer la capacité et la disponibilité |
| Proxy d'application Web | Publie éventuellement AD FS pour les utilisateurs se connectant depuis l'extérieur du réseau |
| Base de données de configuration | Stocke les fiducies, les règles de revendication et la configuration de la ferme |
AD FS utilise également des certificats de signature de jetons. Les applications utilisent la clé publique correspondante pour vérifier que les jetons proviennent d'un service de fédération de confiance et qu'ils n'ont pas été modifiés. Le stockage, le renouvellement, la rotation et les autorisations d'accès des certificats nécessitent donc une gestion rigoureuse.
ADFS vs. Active Directory, LDAP et SSO
| Long | Ce que c'est | Objectif principal |
|---|---|---|
| Le tiering Active Directory | Un service d'annuaire | Stocke les identités et gère les ressources du domaine Windows |
| LDAP | Un protocole d'accès à un répertoire | Requêtes et mises à jour des répertoires compatibles |
| SSO | Une capacité d'accès | Permet à un utilisateur de s'authentifier une seule fois et d'accéder aux applications connectées |
| AD FS | Un service de fédération et de jetons | Étend les identités de confiance aux applications web, cloud et partenaires |
AD FS ne remplace pas Active Directory. Il s'appuie généralement sur Active Directory pour authentifier les utilisateurs, puis convertit l'authentification réussie en un jeton de confiance pour l'application. LDAP assure une communication directe avec l'annuaire, tandis qu'AD FS propose une fédération basée sur les revendications.
Quels sont les avantages et les limites d'AD FS ?
| Les Avantages | Limites |
|---|---|
| Fournit une authentification unique (SSO) pour les applications de confiance. | Nécessite des serveurs, des correctifs, une surveillance, des sauvegardes et une planification de la capacité |
| Protège les mots de passe Active Directory des applications qui en dépendent | Les règles de réclamation, les fiducies et les intégrations d'applications nécessitent des connaissances spécialisées |
| Prend en charge la fédération basée sur des normes | Les erreurs de renouvellement ou de transfert de certificat peuvent interrompre l'accès. |
| Maintient l'authentification sous contrôle organisationnel | La haute disponibilité peut nécessiter plusieurs serveurs, des proxys et un équilibrage de charge. |
| Prend en charge les scénarios de fédération existants et partenaires | Les serveurs de fédération et les clés de signature sont des cibles de sécurité de grande valeur. |
AD FS ne provisionne pas automatiquement les comptes, ne sécurise pas les terminaux et ne garantit pas la conformité d'une organisation. Ces résultats dépendent des contrôles d'identité, de sécurité des terminaux et de gouvernance en place.
ADFS est-il encore utilisé, et qu'est-ce qui le remplace ?
Oui. AD FS reste utilisé lorsque les organisations dépendent d'applications héritées, d'approbations de partenaires, de règles de revendications personnalisées ou d'une authentification locale. Microsoft continue de documenter ce service pour les versions de Windows Server prises en charge ; AD FS n'est donc pas obsolète.
Le support, cependant, est différent de l'orientation stratégique. Microsoft recommande de migrer les applications AD FS vers Entra ID lorsque cela est possible. Instructions de mise hors service d'AD FS couvre la découverte des applications, la migration, les modifications d'authentification et la mise hors service de l'infrastructure.
La sécurité est un autre élément à prendre en compte. Si un attaquant compromet un environnement AD FS et obtient sa clé privée de signature de jeton, il peut être en mesure de falsifier des jetons SAML de confiance, une technique connue sous le nom de Golden SAMLMicrosoft recommande de limiter l'accès administrateur, de maintenir l'environnement à jour, de surveiller les modifications de configuration et de protéger les clés de signature. Consultez les recommandations de Microsoft à ce sujet. sécurisation d'AD FS et atténuer les attaques Golden SAML.
Avant de changer de plateforme, recensez toutes les applications, protocoles d'authentification, règles de revendication, certificats, relations de confiance avec les partenaires et dépendances de provisionnement qui en dépendent. Certaines applications peuvent être migrées rapidement ; d'autres peuvent nécessiter une correction ou une coexistence progressive.
Modernisation de la gestion des identités et des accès avec Scalefusion OneIdP
ID d'entrée Microsoft Il s'agit de la voie de migration recommandée par Microsoft pour les charges de travail AD FS. Un examen plus approfondi de la gestion des identités peut également porter sur la manière dont l'authentification unique (SSO), les sources d'identité, l'authentification multifacteurs et le contexte de l'appareil doivent interagir au sein d'une organisation.
Scalefusion OneIdP est piloté par UEM solution de gestion des identités et des accèsIl prend en charge l'authentification unique (SSO) pour les applications basées sur SAML et OIDC, la fédération d'identités, l'intégration d'annuaires, MFAet des politiques d'accès contextuelles. Son intégration avec Scalefusion UEM permet d'intégrer le contexte des périphériques gérés et de la conformité dans les décisions d'accès.
AD FS et OneIdP ne sont pas parfaitement équivalents. Les relations d'approbation, les règles de revendication, les protocoles, les flux de provisionnement et les intégrations partenaires existants doivent être évalués individuellement avant la migration. Le tableau suivant compare leurs rôles communs en matière d'identité et d'accès aux applications.
| Région | AD FS | Scalefusion OneIdP |
|---|---|---|
| Le rôle principal | Fédération auto-hébergée pour les applications de confiance | Identité centralisée et accès aux applications avec contrôles pilotés par UEM |
| Direction | Fonctionne sur une infrastructure Windows Server gérée par l'organisation | Géré via la plateforme Scalefusion |
| Sources d'identité | Utilise couramment Active Directory et des fournisseurs de revendications configurés | S'intègre aux sources telles que Microsoft Entra, Google Workspace, Okta et les annuaires Active Directory ou LDAP locaux, selon la méthode. |
| SSO de l'application | Prend en charge les protocoles SAML, WS-Federation, OAuth et OIDC, selon la version. | Prend en charge l'authentification unique (SSO) pour les applications basées sur SAML et OIDC. |
| décisions d'accès | Utilise les revendications, les méthodes d'authentification, les confiances et les politiques configurées | Peut utiliser l'identité et des conditions contextuelles telles que la conformité de l'appareil, l'état géré, le navigateur, le réseau ou l'adresse IP, et l'emplacement où la configuration est effectuée. |
| Meilleur rapport qualité/prix | Exigences de fédération établies, centrées sur Microsoft ou héritées | Les organisations qui évaluent l'authentification unique moderne et l'accès prenant en compte les appareils grâce à une approche unifiée de gestion unifiée des événements et des identités et des accès. |
Évaluer OneIdP fédération d'identité, services d'annuaire et SSO d'entreprise conformément aux exigences de votre application et de sécurité.
ADFS reste pertinent, mais une modernisation doit être planifiée.
AD FS assure la fédération basée sur les revendications et l'authentification unique (SSO) pour les applications qui font confiance aux identités d'une organisation. Bien qu'il reste utile dans les environnements existants et anciens, il implique des responsabilités en matière d'infrastructure, de certificats et de sécurité. Les organisations doivent donc maintenir les dépendances nécessaires en toute sécurité lors de la planification de leur architecture d'identité à long terme.
Évaluer Scalefusion OneIdP pour l'authentification unique (SSO), la fédération d'identités, l'authentification multifacteur (MFA), l'intégration d'annuaires et l'accès conditionnel piloté par UEM.
FAQ
1. Quelle est la différence entre ADFS et Active Directory ?
Active Directory stocke les identités et gère les ressources du domaine Windows. AD FS utilise généralement Active Directory pour authentifier un utilisateur, puis émet un jeton signé pour une application de confiance. En résumé, Active Directory conserve l'identité, tandis qu'AD FS étend cette identité aux applications fédérées.
2. ADFS est-il encore nécessaire ?
AD FS peut s'avérer nécessaire lorsqu'une application existante, une règle de revendication personnalisée, une approbation de partenaire ou une exigence sur site en dépend. En l'absence de telles dépendances, une plateforme d'identité cloud peut simplifier la gestion des serveurs et des certificats. Il est recommandé d'évaluer chaque application connectée avant de prendre une décision.
3. ADFS est-il obsolète ?
Non. La documentation d'AD FS reste disponible pour les versions de Windows Server prises en charge. Cependant, Microsoft recommande de migrer les applications vers Microsoft Entra ID plutôt que de mettre à niveau AD FS. Les entreprises doivent faire la distinction entre le maintien du support produit et la stratégie privilégiée par Microsoft pour les déploiements d'identité modernes.
4. Qu’est-ce qui remplace ADFS ?
Microsoft recommande Entra ID comme solution de migration pour les applications AD FS. Toutefois, toute décision de remplacement doit tenir compte des protocoles applicatifs, des revendications, des annuaires, du provisionnement, des connexions partenaires, des exigences de conformité et de la stratégie de sécurité des terminaux. Aucune plateforme ne doit être considérée comme une solution de remplacement directe sans cette évaluation préalable.
5. Quelle est la différence entre ADFS et LDAP ?
LDAP interroge ou met à jour les informations d'annuaire. AD FS émet des jetons basés sur les revendications pour les applications de confiance, permettant ainsi à une application web de valider un jeton au lieu d'envoyer directement le mot de passe de l'utilisateur à un annuaire.
