Active Directory Federation Services (comunemente cercato come ADFS e denominato da Microsoft come AD FS) è un servizio di federazione delle identità locale in Windows Server. Autentica gli utenti ed emette token firmati basati su attestazioni che le applicazioni attendibili utilizzano per l'accesso Single Sign-On (SSO). Di conseguenza, gli utenti possono accedere alle applicazioni connesse senza dover condividere la propria password di Active Directory con ciascuna di esse.
Documenti Microsoft AD FS per Windows Server 2016, 2019, 2022 e 2025. Tuttavia, consiglia di migrare le applicazioni a Microsoft Entra ID anziché aggiornare AD FS. Questo rende AD FS rilevante per molti ambienti esistenti, ma meno probabile che sia la scelta predefinita per una nuova architettura di identità.
Principali takeaways
- AD FS abilita la federazione delle identità e l'SSO: Active Directory Federation Services è un servizio locale di Windows Server che fornisce accesso basato su attestazioni ad applicazioni attendibili.
- Generalmente funziona con Active Directory: AD FS autentica gli utenti ed emette token firmati per applicazioni web, cloud o di partner attendibili.
- Supporta molteplici protocolli di federazione: Tra questi figurano SAML, WS-Federation, OAuth e OpenID Connect, a seconda della versione di Windows Server e del caso d'uso.
- AD FS continua a essere supportato: Tuttavia, Microsoft consiglia di migrare le applicazioni a Microsoft Entra ID anziché aggiornare AD FS.
- La modernizzazione può estendersi oltre la migrazione: Le organizzazioni possono valutare Scalefusion OneIdP per SSO, federazione delle identità, MFA, integrazione con le directory e accesso condizionale basato su UEM.
Cos'è ADFS e a cosa serve?
Active Directory Federation Services (comunemente chiamato ADFS e stilizzato da Microsoft come AD FS) è un servizio di federazione delle identità locale integrato in Windows Server. In genere autentica gli utenti tramite Active Directory Domain Services ed emette token firmati basati su attestazioni che le applicazioni attendibili utilizzano per l'accesso Single Sign-On.
AD FS funge da ponte di fiducia tra il sistema di identità di un'organizzazione e le sue applicazioni web, cloud o di partner connesse. Estende le identità aziendali oltre il dominio Windows interno senza richiedere che ogni applicazione riceva o gestisca la password di Active Directory dell'utente.
Ad esempio, quando un dipendente apre un portale partner, il portale reindirizza il browser del dipendente ad AD FS. Dopo aver autenticato il dipendente, AD FS rilascia un token firmato contenente attestazioni approvate, come un ID utente, un indirizzo e-mail, un ruolo o l'appartenenza a un gruppo. Il portale convalida il token e utilizza le proprie regole di autorizzazione per determinare l'accesso.
Questo processo è noto come federazione delle identità: sistemi separati stabiliscono la fiducia senza unire le proprie directory utente o scambiarsi password. broker di identità può aiutare a gestire questi rapporti di fiducia quando sono coinvolti più fornitori di identità.
Come funziona ADFS?
Una tipica procedura di accesso ad AD FS si articola in sei passaggi:
- L'utente apre un'applicazione. L'applicazione rileva che l'utente non ha una sessione attiva.
- L'applicazione reindirizza l'utente ad AD FS. La richiesta identifica l'applicazione, nota come parte affidabile.
- AD FS autentica l'utente. Generalmente verifica l'utente tramite Active Directory e applica i criteri di autenticazione configurati.
- AD FS valuta le regole relative ai reclami. Queste regole determinano quali informazioni sull'utente l'applicazione può ricevere.
- AD FS rilascia un token di sicurezza firmato. Il token può includere informazioni quali l'identificativo dell'utente, l'indirizzo email, il ruolo o l'appartenenza a un gruppo.
- L'applicazione convalida il token. Se i controlli relativi all'emittente, alla firma, al destinatario e alla validità hanno esito positivo, l'applicazione crea una sessione e applica le proprie regole di autorizzazione.
L'applicazione riceve un token, non la password di Active Directory dell'utente. A seconda della versione di Windows Server e del caso d'uso, AD FS può supportare protocolli quali SAML 2.0, WS-Federation, OAuth 2.0, OpenID Connect e WS-Trust.
Reclami e fondi fiduciari federati
A rivendicare è un'affermazione su un utente, come un indirizzo e-mail o l'appartenenza a un gruppo. AD FS impacchetta le attestazioni approvate in un token firmato. fondo fiduciario della federazione Definisce quali sistemi possono scambiare e accettare queste informazioni di identità. I trust della relying party rappresentano le applicazioni che accettano i token AD FS; i trust del claim provider rappresentano le fonti di identità i cui claim vengono accettati da AD FS.
Quali sono i componenti principali di AD FS?
| Componente | Missione |
|---|---|
| Servizi di dominio Active Directory | Memorizza le identità organizzative e autentica comunemente gli utenti |
| server di federazione | Elabora le richieste di accesso, applica le regole di rivendicazione ed emette i token |
| Server farm di federazione | Utilizza più server per capacità e disponibilità |
| Proxy per applicazioni web | Pubblica facoltativamente AD FS per gli utenti che si connettono dall'esterno della rete |
| Database di configurazione | Archivia trust, regole di rivendicazione e configurazione della farm |
AD FS si basa anche sui certificati di firma dei token. Le applicazioni utilizzano la chiave pubblica corrispondente per verificare che i token provengano da un servizio di federazione attendibile e non siano stati alterati. La gestione dell'archiviazione, del rinnovo, della rotazione e delle autorizzazioni di accesso ai certificati richiede pertanto un'attenta analisi.
ADFS vs. Active Directory, LDAP e SSO
| Termine | Cos'è | Scopo principale |
|---|---|---|
| Active Directory | Un servizio di directory | Archivia le identità e gestisce le risorse del dominio Windows. |
| LDAP | Un protocollo di accesso alla directory | Query e aggiornamenti delle directory compatibili |
| SSO | Una capacità di accesso | Consente all'utente di autenticarsi una sola volta e accedere alle applicazioni connesse. |
| AD FS | Un servizio di federazione e token | Estende le identità affidabili alle applicazioni web, cloud e dei partner. |
AD FS non sostituisce Active Directory. In genere si basa su Active Directory per autenticare gli utenti, quindi converte l'accesso riuscito in un token attendibile per un'applicazione. LDAP fornisce la comunicazione diretta con la directory, mentre AD FS fornisce la federazione basata su attestazioni.
Quali sono i vantaggi e i limiti di AD FS?
| Vantaggi | Limiti |
|---|---|
| Fornisce l'autenticazione Single Sign-On (SSO) tra applicazioni attendibili. | Richiede server, applicazione di patch, monitoraggio, backup e pianificazione della capacità. |
| Protegge le password di Active Directory dalle applicazioni che dipendono da esse | Le regole di reclamo, i trust e le integrazioni applicative richiedono conoscenze specialistiche. |
| Sostiene la federazione basata sugli standard | Gli errori relativi al rinnovo o al passaggio di consegne del certificato possono interrompere l'accesso |
| Mantiene l'autenticazione sotto il controllo organizzativo | L'alta disponibilità può richiedere più server, proxy e bilanciamento del carico. |
| Supporta scenari legacy e di federazione dei partner | I server di federazione e le chiavi di firma sono obiettivi di sicurezza di alto valore. |
AD FS non configura automaticamente gli account, non protegge gli endpoint né rende un'organizzazione conforme. Tali risultati dipendono dai controlli di identità, endpoint, sicurezza e governance circostanti.
ADFS è ancora in uso? E cosa lo sta sostituendo?
Sì. AD FS è ancora in uso laddove le organizzazioni dipendono da applicazioni legacy, trust tra partner, regole di attestazione personalizzate o autenticazione locale. Microsoft continua a documentare il servizio per le versioni di Windows Server supportate, quindi AD FS non è obsoleto.
Il supporto, tuttavia, è diverso dalla direzione strategica. Microsoft raccomanda di spostare le applicazioni AD FS su Entra ID laddove possibile. Linee guida per la dismissione di AD FS Comprende la scoperta delle applicazioni, la migrazione, le modifiche all'autenticazione e la dismissione dell'infrastruttura.
La sicurezza è un altro aspetto da considerare. Se un attaccante compromette un ambiente AD FS e ottiene la sua chiave privata di firma del token, potrebbe essere in grado di falsificare token SAML attendibili, una tecnica nota come SAML doratoMicrosoft consiglia di limitare l'accesso amministrativo, mantenere l'ambiente aggiornato, monitorare le modifiche alla configurazione e proteggere le chiavi di firma. Consultare le linee guida di Microsoft per protezione di AD FS and mitigare gli attacchi Golden SAML.
Prima di cambiare piattaforma, è necessario inventariare ogni applicazione dipendente, protocollo di autenticazione, regola di attestazione, certificato, rapporto di fiducia con i partner e dipendenza di provisioning. Alcune applicazioni possono essere migrate rapidamente; altre potrebbero richiedere interventi correttivi o una coesistenza graduale.
Modernizzazione della gestione delle identità e degli accessi con Scalefusion OneIdP
ID Microsoft Entra Questo è il percorso di migrazione consigliato da Microsoft per i carichi di lavoro AD FS. Una revisione più ampia delle identità potrebbe anche chiedersi come l'SSO, le origini di identità, l'autenticazione a più fattori e il contesto del dispositivo dovrebbero interagire all'interno di un'organizzazione.
ScalefusionOneIdP è guidato da UEM soluzione di gestione delle identità e degli accessi. Supporta SSO per applicazioni basate su SAML e OIDC, federazione delle identità, integrazione delle directory, AMFe politiche di accesso contestuali. La sua connessione con Scalefusion UEM può integrare il contesto dei dispositivi gestiti e della conformità nelle decisioni di accesso.
AD FS e OneIdP non sono equivalenti in tutto e per tutto. Le relazioni di trust con le relying party esistenti, le regole di attestazione, i protocolli, i flussi di provisioning e le integrazioni con i partner richiedono una valutazione individuale prima della migrazione. La tabella seguente confronta i loro ruoli di identità e di accesso alle applicazioni sovrapposti.
| Zona | AD FS | ScalefusionOneIdP |
|---|---|---|
| Ruolo primario | Federazione self-hosted per applicazioni affidabili | Gestione centralizzata delle identità e dell'accesso alle applicazioni con controlli basati su UEM. |
| Management | Operava su un'infrastruttura Windows Server gestita dall'organizzazione. | Gestito tramite la piattaforma Scalefusion |
| Fonti di identità | Utilizza comunemente Active Directory e provider di attestazioni configurati. | Si integra con fonti quali Microsoft Entra, Google Workspace, Okta e Active Directory o LDAP locali, a seconda del metodo |
| SSO dell'applicazione | Supporta protocolli quali SAML, WS-Federation, OAuth e OIDC, a seconda della versione. | Supporta l'SSO per applicazioni basate su SAML e OIDC. |
| Decisioni di accesso | Utilizza attestazioni, metodi di autenticazione, rapporti di fiducia e policy configurate. | Può utilizzare l'identità e le condizioni contestuali come la conformità del dispositivo, lo stato gestito, il browser, la rete o l'indirizzo IP e la posizione in cui è configurato |
| Il più adatto | Requisiti di federazione preesistenti o incentrati su Microsoft | Le organizzazioni valutano l'SSO moderno e l'accesso basato sul dispositivo attraverso un approccio unificato UEM e IAM. |
Valutare OneIdP federazione identitaria, servizi di directorye SSO aziendale in base ai requisiti della tua applicazione e di sicurezza.
ADFS rimane un sistema rilevante, ma è necessario pianificarne la modernizzazione.
AD FS offre federazione basata su attestazioni e Single Sign-On (SSO) per le applicazioni che si affidano alle identità di un'organizzazione. Rimane utile in ambienti consolidati e legacy, ma comporta responsabilità in termini di infrastruttura, certificati e sicurezza. Le organizzazioni dovrebbero gestire in modo sicuro le dipendenze necessarie durante la pianificazione della propria architettura di identità a lungo termine.
Valutare Scalefusion OneIdP per SSO, federazione delle identità, MFA, integrazione con le directory e accesso condizionale gestito da UEM.
DOMANDE FREQUENTI
1. Qual è la differenza tra ADFS e Active Directory?
Active Directory memorizza le identità e gestisce le risorse del dominio Windows. AD FS utilizza comunemente Active Directory per autenticare un utente e quindi rilascia un token firmato per un'applicazione attendibile. In breve, Active Directory gestisce l'identità, mentre AD FS estende tale identità alle applicazioni federate.
2. ADFS è ancora necessario?
AD FS potrebbe essere ancora necessario qualora un'applicazione legacy, una regola di attestazione personalizzata, la fiducia di un partner o un requisito locale dipendano da esso. Se tali dipendenze non sussistono, una piattaforma di identità cloud può ridurre il carico di lavoro relativo alla gestione di server e certificati. Valutare ogni applicazione connessa prima di prendere una decisione.
3. ADFS è obsoleto?
No. AD FS rimane documentato per le versioni di Windows Server supportate. Tuttavia, Microsoft consiglia di migrare le applicazioni a Microsoft Entra ID anziché aggiornare AD FS. Le organizzazioni devono distinguere il supporto continuo del prodotto dalla direzione preferita da Microsoft per le moderne implementazioni di identità.
4. Cosa sostituirà ADFS?
Microsoft raccomanda Entra ID come soluzione di migrazione per le applicazioni AD FS. Una decisione di sostituzione deve comunque tenere conto dei protocolli applicativi, delle attestazioni, delle directory, del provisioning, delle connessioni con i partner, dei requisiti di conformità e della strategia per gli endpoint. Nessuna piattaforma dovrebbe essere considerata una sostituzione diretta senza aver effettuato questa valutazione.
5. Qual è la differenza tra ADFS e LDAP?
LDAP esegue query o aggiorna le informazioni della directory. AD FS rilascia token basati su attestazioni alle applicazioni attendibili, consentendo a un'applicazione web di convalidare un token anziché inviare la password dell'utente direttamente a una directory.
