Active Directory Federation Services (vaak aangeduid als ADFS en door Microsoft als AD FS) is een on-premises identiteitsfederatieservice in Windows Server. Het authenticeert gebruikers en geeft ondertekende, op claims gebaseerde tokens uit die vertrouwde applicaties gebruiken voor single sign-on (SSO). Hierdoor kunnen gebruikers toegang krijgen tot verbonden applicaties zonder hun Active Directory-wachtwoord met elke applicatie te hoeven delen.
Microsoft-documenten AD FS voor Windows Server 2016, 2019, 2022 en 2025. Het wordt echter aanbevolen om applicaties te migreren naar Microsoft Entra ID in plaats van AD FS te upgraden. Hierdoor blijft AD FS relevant voor veel bestaande omgevingen, maar is het minder waarschijnlijk dat het de standaardkeuze zal zijn voor een nieuwe identiteitsarchitectuur.
Key afhaalrestaurants
- AD FS maakt identiteitsfederatie en SSO mogelijk: Active Directory Federation Services is een on-premises Windows Server-service die op claims gebaseerde toegang biedt tot vertrouwde applicaties.
- Het werkt doorgaans met Active Directory: AD FS authenticeert gebruikers en geeft ondertekende tokens uit aan vertrouwde web-, cloud- of partnerapplicaties.
- Het ondersteunt meerdere federatieprotocollen: Afhankelijk van de Windows Server-versie en het gebruiksscenario omvatten deze onder andere SAML, WS-Federation, OAuth en OpenID Connect.
- AD FS blijft ondersteund: Microsoft raadt echter aan om applicaties te migreren naar Microsoft Entra ID in plaats van AD FS te upgraden.
- Modernisering kan verder gaan dan alleen migratie: Organisaties kunnen Scalefusion OneIdP evalueren voor SSO, identiteitsfederatie, MFA, directory-integratie en UEM-gestuurde voorwaardelijke toegang.
Wat is ADFS en wat doet het?
Active Directory Federation Services (doorgaans ADFS genoemd en door Microsoft AD FS) is een on-premises identiteitsfederatieservice die is ingebouwd in Windows Server. Het authenticeert gebruikers doorgaans via Active Directory Domain Services en geeft ondertekende, op claims gebaseerde tokens uit die vertrouwde applicaties gebruiken voor single sign-on.
AD FS fungeert als een vertrouwensbrug tussen het identiteitssysteem van een organisatie en de daaraan gekoppelde web-, cloud- of partnerapplicaties. Het breidt bedrijfsidentiteiten uit tot buiten het interne Windows-domein, zonder dat elke applicatie het Active Directory-wachtwoord van de gebruiker hoeft te ontvangen of te beheren.
Wanneer een medewerker bijvoorbeeld een partnerportaal opent, wordt de browser van de medewerker doorgestuurd naar Active Directory File System (AD FS). Na authenticatie van de medewerker verstrekt AD FS een ondertekend token met goedgekeurde gegevens, zoals een gebruikers-ID, e-mailadres, rol of groepslidmaatschap. Het portaal valideert het token en gebruikt eigen autorisatieregels om de toegang te bepalen.
Dit proces staat bekend als identiteitsfederatie: afzonderlijke systemen bouwen een vertrouwensrelatie op zonder hun gebruikersmappen samen te voegen of wachtwoorden uit te wisselen. identiteitsmakelaar kan helpen bij het beheren van deze vertrouwensrelaties wanneer er meerdere identiteitsaanbieders bij betrokken zijn.
Hoe werkt ADFS?
Een typische AD FS-aanmelding bestaat uit zes stappen:
- De gebruiker opent een applicatie. De applicatie detecteert dat de gebruiker geen actieve sessie heeft.
- De applicatie stuurt de gebruiker door naar AD FS. Het verzoek identificeert de applicatie, ook wel de vertrouwende partij genoemd.
- AD FS authenticeert de gebruiker. Het systeem verifieert de gebruiker doorgaans via Active Directory en past het geconfigureerde authenticatiebeleid toe.
- AD FS beoordeelt de claimregels. Deze regels bepalen welke gebruikersinformatie de applicatie mag ontvangen.
- AD FS geeft een ondertekend beveiligingstoken uit. Het token kan gegevens bevatten zoals de gebruikersidentificatie, het e-mailadres, de rol of het groepslidmaatschap.
- De applicatie valideert het token. Als de controles op de uitgever, handtekening, doelgroep en geldigheid slagen, creëert de applicatie een sessie en past zij haar eigen autorisatieregels toe.
De applicatie ontvangt een token, niet het Active Directory-wachtwoord van de gebruiker. Afhankelijk van de Windows Server-versie en het gebruiksscenario kan AD FS protocollen ondersteunen zoals SAML 2.0, WS-Federation, OAuth 2.0, OpenID Connect en WS-Trust.
Claims en federatietrusts
A aanspraak maken op Een claim is een verklaring over een gebruiker, zoals een e-mailadres of groepslidmaatschap. AD FS verpakt goedgekeurde claims in een ondertekend token. federatie trust Definieert welke systemen deze identiteitsinformatie kunnen uitwisselen en accepteren. Relying party trusts vertegenwoordigen applicaties die AD FS-tokens accepteren; claims provider trusts vertegenwoordigen identiteitsbronnen waarvan AD FS de claims accepteert.
Wat zijn de belangrijkste onderdelen van AD FS?
| Bestanddeel | Doel |
|---|---|
| Active Directory-domeinservices | Slaat organisatie-identiteiten op en wordt doorgaans gebruikt voor gebruikersauthenticatie. |
| Federatie-server | Verwerkt aanmeldingsverzoeken, past claimregels toe en geeft tokens uit. |
| Federation-serverfarm | Maakt gebruik van meerdere servers voor capaciteit en beschikbaarheid. |
| Webtoepassingsproxy | Publiceert optioneel AD FS voor gebruikers die van buiten het netwerk verbinding maken. |
| Configuratiedatabase | Slaat trusts, claimregels en farmconfiguraties op. |
AD FS is ook afhankelijk van certificaten voor het ondertekenen van tokens. Applicaties gebruiken de bijbehorende publieke sleutel om te verifiëren dat tokens afkomstig zijn van een vertrouwde federatieservice en niet zijn gewijzigd. Het beheer van certificaatopslag, -vernieuwing, -rollover en toegangsrechten vereist daarom zorgvuldig beheer.
ADFS versus Active Directory, LDAP en SSO
| Termijn | Wat het is | Primair doel |
|---|---|---|
| Active Directory | Een telefoongidsdienst | Slaat identiteiten op en beheert Windows-domeinbronnen. |
| LDAP | Een protocol voor toegang tot een directory | Query's en updates van compatibele mappen |
| SSO | Een toegangsmogelijkheid | Hiermee kan een gebruiker zich eenmalig authenticeren en toegang krijgen tot gekoppelde applicaties. |
| AD FS | Een federatie- en tokenservice | Breidt vertrouwde identiteiten uit naar web-, cloud- en partnerapplicaties. |
AD FS vervangt Active Directory niet. Het maakt doorgaans gebruik van Active Directory voor de authenticatie van gebruikers en zet de succesvolle aanmelding vervolgens om in een token dat een applicatie kan vertrouwen. LDAP biedt directe communicatie met de directory, terwijl AD FS claims-gebaseerde federatie biedt.
Wat zijn de voordelen en beperkingen van AD FS?
| Voordelen: | Beperkingen |
|---|---|
| Biedt SSO voor vertrouwde applicaties. | Vereist servers, patches, monitoring, back-ups en capaciteitsplanning. |
| Houdt Active Directory-wachtwoorden buiten het bereik van applicaties die ervan afhankelijk zijn. | Regels voor het claimen van rechten, trusts en applicatie-integraties vereisen specialistische kennis. |
| Ondersteunt op standaarden gebaseerde federatie. | Fouten bij het verlengen of overzetten van certificaten kunnen de toegang onderbreken. |
| Houdt authenticatie onder controle van de organisatie. | Hoge beschikbaarheid kan meerdere servers, proxy's en load balancing vereisen. |
| Ondersteunt bestaande en partnerfederatiescenario's. | Federatieservers en ondertekeningssleutels zijn belangrijke beveiligingsdoelen. |
AD FS voorziet niet automatisch in accounts, beveiligt geen eindpunten en zorgt er niet automatisch voor dat een organisatie voldoet aan de regelgeving. Die resultaten zijn afhankelijk van de omringende identiteits-, eindpunt-, beveiligings- en governance-maatregelen.
Wordt ADFS nog steeds gebruikt en waarmee komt het in de plaats?
Ja. AD FS wordt nog steeds gebruikt door organisaties die afhankelijk zijn van verouderde applicaties, partnerrelaties, aangepaste claimregels of authenticatie op locatie. Microsoft blijft de service documenteren voor ondersteunde Windows Server-releases, dus AD FS is niet verouderd.
Ondersteuning is echter iets anders dan strategische richting. Microsoft adviseert om AD FS-applicaties waar mogelijk naar Entra ID te migreren. Richtlijnen voor de ontmanteling van AD FS Dit omvat applicatie-ontdekking, migratie, wijzigingen in authenticatiemethoden en het uitfaseren van de infrastructuur.
Beveiliging is een andere belangrijke overweging. Als een aanvaller een AD FS-omgeving compromitteert en de privésleutel voor het ondertekenen van tokens bemachtigt, kan de aanvaller mogelijk vertrouwde SAML-tokens vervalsen – een techniek die bekendstaat als Gouden SAMLMicrosoft raadt aan de beheerdersrechten te beperken, de omgeving actueel te houden, configuratiewijzigingen te bewaken en ondertekeningssleutels te beschermen. Zie de richtlijnen van Microsoft voor meer informatie. AD FS beveiligen en Het beperken van Golden SAML-aanvallen.
Voordat u van platform wisselt, dient u een inventarisatie te maken van alle afhankelijke applicaties, authenticatieprotocollen, claimregels, certificaten, partnervertrouwensrelaties en provisioningafhankelijkheden. Sommige applicaties kunnen snel worden overgezet; andere vereisen mogelijk aanpassingen of gefaseerde co-existentie.
Identiteit en toegang moderniseren met Scalefusion OneIdP.
Microsoft Entra-ID Dit is het door Microsoft aanbevolen migratiepad voor AD FS-workloads. Een bredere identiteitsanalyse kan ook de vraag stellen hoe SSO, identiteitsbronnen, multifactorauthenticatie en apparaatcontext binnen een organisatie moeten samenwerken.
Scalefusion OneIdP is een UEM-gestuurde oplossing voor identiteits- en toegangsbeheerHet ondersteunt SSO voor SAML- en OIDC-gebaseerde applicaties, identiteitsfederatie en directory-integratie. MFAen contextuele toegangsbeleidsregels. De koppeling met Scalefusion UEM kan contextuele informatie over beheerde apparaten en compliance in toegangsbeslissingen integreren.
AD FS en OneIdP zijn geen één-op-één equivalenten. Bestaande vertrouwensrelaties met relying parties, claimregels, protocollen, provisioningflows en partnerintegraties moeten afzonderlijk worden beoordeeld vóór de migratie. De volgende tabel vergelijkt hun overlappende identiteits- en applicatietoegangsrollen.
| De Omgeving | AD FS | Scalefusion OneIdP |
|---|---|---|
| Primaire rol | Zelfgehoste federatie voor vertrouwde applicaties | Gecentraliseerde identiteits- en applicatietoegang met UEM-gestuurde controles. |
| Management | Draaide op een door de organisatie beheerde Windows Server-infrastructuur. | Beheerd via het Scalefusion-platform. |
| Identiteitsbronnen | Maakt doorgaans gebruik van Active Directory en geconfigureerde claimsproviders. | Integreert met bronnen zoals Microsoft Entra, Google Workspace, Okta en on-premises Active Directory of LDAP, afhankelijk van de methode. |
| Applicatie SSO | Ondersteunt protocollen zoals SAML, WS-Federation, OAuth en OIDC, afhankelijk van de versie. | Ondersteunt SSO voor SAML- en OIDC-gebaseerde applicaties. |
| Toegangsbeslissingen | Maakt gebruik van claims, authenticatiemethoden, vertrouwensrelaties en geconfigureerde beleidsregels. | Kan gebruikmaken van identiteits- en contextuele voorwaarden zoals apparaatcompatibiliteit, beheerstatus, browser, netwerk of IP-adres en locatie waar geconfigureerd. |
| Beste pasvorm | Vastgestelde, op Microsoft gerichte of verouderde federatievereisten | Organisaties evalueren moderne SSO en apparaatbewuste toegang via een uniforme UEM- en IAM-aanpak. |
Evalueer OneIdP identiteit federatie, adreslijstdienstenen onderneming SSO afgestemd op uw toepassings- en beveiligingsvereisten.
ADFS blijft relevant, maar modernisering moet wel gepland worden.
AD FS biedt claimsgebaseerde federatie en SSO voor applicaties die de identiteiten van een organisatie vertrouwen. Het blijft nuttig in bestaande en verouderde omgevingen, maar brengt wel verantwoordelijkheden met zich mee op het gebied van infrastructuur, certificaten en beveiliging. Organisaties moeten de noodzakelijke afhankelijkheden veilig beheren bij het plannen van hun identiteitsarchitectuur voor de lange termijn.
Evalueer Scalefusion OneIdP voor SSO, identiteitsfederatie, MFA, directory-integratie en UEM-gestuurde voorwaardelijke toegang.
Veelgestelde vragen
1. Wat is het verschil tussen ADFS en Active Directory?
Active Directory slaat identiteiten op en beheert resources van Windows-domeinen. AD FS gebruikt Active Directory doorgaans om een gebruiker te authenticeren en geeft vervolgens een ondertekend token uit voor een vertrouwde applicatie. Kortom, Active Directory beheert de identiteit, terwijl AD FS die identiteit uitbreidt naar gefedereerde applicaties.
2. Is ADFS nog steeds nodig?
AD FS kan nog steeds nodig zijn wanneer een verouderde applicatie, een aangepaste claimregel, een partnervertrouwensrelatie of een on-premises vereiste ervan afhankelijk is. Als dergelijke afhankelijkheden niet bestaan, kan een cloudidentiteitsplatform de werkzaamheden voor server- en certificaatbeheer verminderen. Beoordeel elke verbonden applicatie voordat u een beslissing neemt.
3. Is ADFS verouderd?
Nee. AD FS blijft gedocumenteerd voor ondersteunde Windows Server-versies. Microsoft raadt echter aan om applicaties te migreren naar Microsoft Entra ID in plaats van AD FS te upgraden. Organisaties moeten onderscheid maken tussen voortdurende productondersteuning en de door Microsoft aanbevolen aanpak voor moderne identiteitsimplementaties.
4. Wat vervangt ADFS?
Microsoft beveelt Entra ID aan als migratieoplossing voor AD FS-toepassingen. Bij een beslissing over vervanging moet echter nog steeds rekening worden gehouden met toepassingsprotocollen, claims, directory's, provisioning, partnerverbindingen, compliancevereisten en de endpointstrategie. Geen enkel platform mag zonder deze beoordeling als een directe vervanging worden beschouwd.
5. Wat is het verschil tussen ADFS en LDAP?
LDAP voert query's uit op of werkt directory-informatie bij. AD FS geeft op claims gebaseerde tokens uit aan vertrouwde applicaties, waardoor een webapplicatie een token kan valideren in plaats van het wachtwoord van de gebruiker rechtstreeks naar een directory te sturen.
