Usługi federacyjne Active Directory (powszechnie wyszukiwane jako ADFS i określane przez Microsoft jako AD FS) to lokalna usługa federacji tożsamości w systemie Windows Server. Uwierzytelnia użytkowników i wydaje podpisane tokeny oparte na oświadczeniach, których zaufane aplikacje używają do jednokrotnego logowania (SSO). Dzięki temu użytkownicy mogą uzyskiwać dostęp do połączonych aplikacji bez konieczności udostępniania im hasła Active Directory.
Dokumenty firmy Microsoft dotyczące usług AD FS dla systemów Windows Server 2016, 2019, 2022 i 2025. Zaleca jednak migrację aplikacji do Microsoft Entra ID zamiast aktualizacji usług AD FS. Dzięki temu usługi AD FS są przydatne w wielu istniejących środowiskach, ale rzadziej będą domyślnym wyborem w przypadku nowej architektury tożsamości.
Kluczowe dania na wynos
- Usługa AD FS umożliwia federację tożsamości i logowanie jednokrotne: Active Directory Federation Services to lokalna usługa systemu Windows Server zapewniająca dostęp do zaufanych aplikacji na podstawie oświadczeń.
- Zwykle działa z usługą Active Directory: Usługa AD FS uwierzytelnia użytkowników i wydaje podpisane tokeny zaufanym aplikacjom internetowym, chmurowym lub partnerskim.
- Obsługuje wiele protokołów federacyjnych: W zależności od wersji systemu Windows Server i przypadku użycia obejmują one SAML, WS-Federation, OAuth i OpenID Connect.
- Usługa AD FS jest nadal obsługiwana: Jednak firma Microsoft zaleca migrację aplikacji do Microsoft Entra ID zamiast uaktualniania usługi AD FS.
- Modernizacja może wykraczać poza migrację: Organizacje mogą ocenić rozwiązanie Scalefusion OneIdP pod kątem logowania jednokrotnego (SSO), federacji tożsamości, uwierzytelniania wieloskładnikowego (MFA), integracji katalogów i warunkowego dostępu opartego na UEM.
Czym jest ADFS i do czego służy?
Usługi federacyjne Active Directory (powszechnie nazywane ADFS i określane przez Microsoft jako AD FS) to lokalna usługa federacji tożsamości wbudowana w system Windows Server. Zazwyczaj uwierzytelnia użytkowników za pośrednictwem usług domenowych Active Directory i wydaje podpisane tokeny oparte na oświadczeniach, których zaufane aplikacje używają do logowania jednokrotnego.
Usługa AD FS działa jak most zaufania między systemem tożsamości organizacji a podłączonymi do niej aplikacjami internetowymi, chmurowymi lub partnerskimi. Rozszerza ona tożsamość korporacyjną poza wewnętrzną domenę systemu Windows, nie wymagając od każdej aplikacji otrzymywania ani zarządzania hasłem użytkownika w usłudze Active Directory.
Na przykład, gdy pracownik otwiera portal partnerski, portal przekierowuje przeglądarkę pracownika do usługi AD FS. Po uwierzytelnieniu pracownika usługa AD FS generuje podpisany token zawierający zatwierdzone oświadczenia, takie jak identyfikator użytkownika, adres e-mail, rola lub członkostwo w grupie. Portal weryfikuje token i używa własnych reguł autoryzacji do określania dostępu.
Proces ten znany jest jako federacja tożsamości: oddzielne systemy nawiązują zaufanie bez łączenia katalogów użytkowników ani wymiany haseł. broker tożsamości może pomóc w zarządzaniu relacjami zaufania, gdy w grę wchodzi wielu dostawców tożsamości.
Jak działa ADFS?
Typowe logowanie do usługi AD FS składa się z sześciu kroków:
- Użytkownik otwiera aplikację. Aplikacja wykrywa, że użytkownik nie ma aktywnej sesji.
- Aplikacja przekierowuje użytkownika do usług AD FS. Żądanie identyfikuje aplikację, zwaną stroną polecającą.
- Usługa AD FS uwierzytelnia użytkownika. Zazwyczaj weryfikuje użytkownika za pośrednictwem usługi Active Directory i stosuje skonfigurowaną politykę uwierzytelniania.
- Usługa AD FS ocenia reguły roszczeń. Zasady te określają, jakie informacje o użytkowniku może otrzymywać aplikacja.
- Usługa AD FS wydaje podpisany token bezpieczeństwa. Token może zawierać informacje takie jak identyfikator użytkownika, adres e-mail, rola lub przynależność do grupy.
- Aplikacja weryfikuje token. Jeśli kontrola wystawcy, podpisu, odbiorców i ważności przebiegnie pomyślnie, aplikacja tworzy sesję i stosuje własne reguły autoryzacji.
Aplikacja otrzymuje token, a nie hasło użytkownika do usługi Active Directory. W zależności od wersji systemu Windows Server i sposobu użycia, usługa AD FS może obsługiwać protokoły takie jak SAML 2.0, WS-Federation, OAuth 2.0, OpenID Connect i WS-Trust.
Roszczenia i powiernictwa federacyjne
A roszczenie to oświadczenie o użytkowniku, takie jak adres e-mail lub członkostwo w grupie. Pakiety AD FS zawierają zatwierdzone oświadczenia w podpisanym tokenie. zaufanie federacyjne Definiuje, które systemy mogą wymieniać i akceptować te informacje o tożsamości. Relacje zaufania stron polegających reprezentują aplikacje akceptujące tokeny AD FS; relacje zaufania dostawców oświadczeń reprezentują źródła tożsamości, których oświadczenia są akceptowane przez AD FS.
Jakie są główne składniki usługi AD FS
| Składnik | Cel |
|---|---|
| Usługi domenowe Active Directory | Przechowuje tożsamości organizacyjne i powszechnie uwierzytelnia użytkowników |
| Serwer federacyjny | Przetwarza żądania logowania, stosuje reguły dotyczące roszczeń i wydaje tokeny |
| Farma serwerów federacyjnych | Wykorzystuje wiele serwerów w celu zapewnienia pojemności i dostępności |
| Serwer proxy aplikacji internetowej | Opcjonalnie publikuje usługi AD FS dla użytkowników łączących się spoza sieci |
| Baza danych konfiguracji | Przechowuje zaufania, reguły roszczeń i konfigurację farmy |
Usługa AD FS również opiera się na certyfikatach podpisywania tokenów. Aplikacje używają odpowiedniego klucza publicznego do weryfikacji, czy tokeny pochodzą z zaufanej usługi federacyjnej i nie zostały zmienione. Przechowywanie, odnawianie, przenoszenie i uprawnienia dostępu do certyfikatów wymagają zatem starannego zarządzania.
ADFS kontra Active Directory, LDAP i SSO
| Semestr | Co to jest | Podstawowy cel |
|---|---|---|
| Active Directory | Usługa katalogowa | Przechowuje tożsamości i zarządza zasobami domeny Windows |
| LDAP | Protokół dostępu do katalogu | Zapytania i aktualizacje zgodnych katalogów |
| SSO | Możliwość dostępu | Umożliwia użytkownikowi jednokrotne uwierzytelnienie i dostęp do podłączonych aplikacji |
| Usługi AD FS | Federacja i usługa tokenowa | Rozszerza zaufane tożsamości na aplikacje internetowe, chmurowe i partnerskie |
Usługa AD FS nie zastępuje usługi Active Directory. Zazwyczaj opiera się ona na usłudze Active Directory w celu uwierzytelnienia użytkowników, a następnie konwertuje pomyślne logowanie na token, któremu aplikacja może zaufać. Protokół LDAP zapewnia bezpośrednią komunikację z usługą katalogową, natomiast usługa AD FS oferuje federację opartą na oświadczeniach.
Jakie są korzyści i ograniczenia usługi AD FS
| Korzyści | Ograniczenia |
|---|---|
| Zapewnia logowanie jednokrotne (SSO) w zaufanych aplikacjach | Wymaga serwerów, łatania, monitorowania, tworzenia kopii zapasowych i planowania pojemności |
| Utrzymuje hasła usługi Active Directory poza zasięgiem aplikacji zależnych | Zasady dotyczące roszczeń, powiernictwa i integracji aplikacji wymagają specjalistycznej wiedzy |
| Obsługuje federację opartą na standardach | Błędy związane z odnawianiem lub przenoszeniem certyfikatu mogą powodować przerwanie dostępu |
| Utrzymuje uwierzytelnianie pod kontrolą organizacji | Wysoka dostępność może wymagać wielu serwerów, serwerów proxy i równoważenia obciążenia |
| Obsługuje starsze scenariusze i scenariusze federacji partnerskiej | Serwery federacyjne i klucze podpisu to niezwykle ważne cele bezpieczeństwa |
Usługa AD FS nie zapewnia automatycznie dostępu do kont, bezpieczeństwa punktów końcowych ani zgodności organizacji z przepisami. Efekty te zależą od kontroli tożsamości, punktów końcowych, zabezpieczeń i zarządzania.
Czy ADFS jest nadal używany i co go zastąpi?
Tak. Usługa AD FS jest nadal używana w organizacjach, w których organizacje korzystają ze starszych aplikacji, relacji zaufania partnerów, niestandardowych reguł oświadczeń lub uwierzytelniania lokalnego. Firma Microsoft nadal dokumentuje usługę dla obsługiwanych wersji systemu Windows Server, więc usługa AD FS nie jest wycofywana ze sprzedaży.
Wsparcie różni się jednak od kierunku strategicznego. Microsoft zaleca przeniesienie aplikacji AD FS do Entra ID, jeśli jest to praktyczne. Wskazówki dotyczące wycofania usługi AD FS obejmuje wyszukiwanie aplikacji, migrację, zmiany uwierzytelniania i wycofanie infrastruktury ze służby.
Kolejnym czynnikiem jest bezpieczeństwo. Jeśli atakujący naruszy środowisko AD FS i uzyska klucz prywatny do podpisywania tokenów, może być w stanie sfałszować zaufane tokeny SAML – technika znana jako Złoty SAMLFirma Microsoft zaleca ograniczenie dostępu administracyjnego, aktualizowanie środowiska, monitorowanie zmian konfiguracji i ochronę kluczy podpisu. Zapoznaj się z wytycznymi firmy Microsoft. zabezpieczanie usług AD FS oraz łagodzenie ataków Golden SAML.
Przed zmianą platformy należy dokonać inwentaryzacji wszystkich aplikacji bazujących na niej, protokołów uwierzytelniania, reguł roszczeń, certyfikatów, relacji zaufania partnera i zależności provisioningowych. Niektóre aplikacje mogą działać szybko; inne mogą wymagać napraw lub stopniowego współistnienia.
Modernizacja tożsamości i dostępu dzięki Scalefusion OneIdP
Identyfikator Microsoft Entra to zalecana przez firmę Microsoft ścieżka migracji dla obciążeń AD FS. Szerszy przegląd tożsamości może również obejmować pytania o to, jak logowanie jednokrotne (SSO), źródła tożsamości, uwierzytelnianie wieloskładnikowe i kontekst urządzenia powinny ze sobą współdziałać w całej organizacji.
Scalefusion OneIdP jest napędzany przez UEM rozwiązanie do zarządzania tożsamością i dostępemObsługuje logowanie jednokrotne (SSO) dla aplikacji opartych na SAML i OIDC, federację tożsamości, integrację katalogów, MSZi kontekstowe zasady dostępu. Połączenie z Scalefusion UEM pozwala na włączenie kontekstu zarządzanych urządzeń i zgodności do decyzji o dostępie.
Usługi AD FS i OneIdP nie są równoważne w 100%. Istniejące relacje zaufania stron polegających, reguły roszczeń, protokoły, przepływy provisionowania i integracje partnerskie wymagają indywidualnej oceny przed migracją. Poniższa tabela porównuje nakładające się role tożsamości i dostępu do aplikacji.
| Obszar | Usługi AD FS | Scalefusion OneIdP |
|---|---|---|
| Podstawowa rola | Samodzielnie hostowana federacja dla zaufanych aplikacji | Centralny dostęp do tożsamości i aplikacji z kontrolą opartą na UEM |
| Zarząd | Działa w oparciu o zarządzaną przez organizację infrastrukturę Windows Server | Zarządzane za pośrednictwem platformy Scalefusion |
| Źródła tożsamości | Często używa Active Directory i skonfigurowanych dostawców oświadczeń | Integruje się ze źródłami, takimi jak Microsoft Entra, Google Workspace, Okta i lokalna usługa AD lub LDAP, w zależności od metody |
| Aplikacja SSO | Obsługuje protokoły takie jak SAML, WS-Federation, OAuth i OIDC, w zależności od wersji | Obsługuje logowanie jednokrotne (SSO) dla aplikacji opartych na SAML i OIDC |
| Decyzje dotyczące dostępu | Używa roszczeń, metod uwierzytelniania, zaufania i skonfigurowanych zasad | Można używać tożsamości i warunków kontekstowych, takich jak zgodność urządzenia, zarządzany status, przeglądarka, sieć lub adres IP i lokalizacja, w której skonfigurowano |
| Najlepsze dopasowanie | Ugruntowane wymagania federacji skoncentrowane na firmie Microsoft lub starszej wersji | Organizacje oceniające nowoczesne logowanie jednokrotne (SSO) i dostęp uwzględniający urządzenie za pomocą ujednoliconego podejścia UEM i IAM |
Oceń OneIdP federacja tożsamości, usługi katalogowe, przedsiębiorstwo SSO w odniesieniu do Twojej aplikacji i wymagań bezpieczeństwa.
ADFS nadal ma znaczenie, ale modernizacja powinna być zaplanowana
Usługa AD FS zapewnia federację opartą na oświadczeniach i logowanie jednokrotne (SSO) dla aplikacji, które ufają tożsamościom organizacji. Nadal jest użyteczna w ugruntowanych i starszych środowiskach, ale niesie ze sobą obowiązki związane z infrastrukturą, certyfikatami i bezpieczeństwem. Organizacje powinny bezpiecznie utrzymywać niezbędne zależności, planując swoją długoterminową architekturę tożsamości.
Oceń Scalefusion OneIdP do logowania jednokrotnego (SSO), federacji tożsamości, uwierzytelniania wieloskładnikowego (MFA), integracji katalogów i warunkowego dostępu opartego na UEM.
FAQ
1. Jaka jest różnica między usługą ADFS a usługą Active Directory?
Usługa Active Directory przechowuje tożsamości i zarządza zasobami domeny Windows. Usługa AD FS zazwyczaj używa usługi Active Directory do uwierzytelniania użytkownika, a następnie wydaje podpisany token dla zaufanej aplikacji. Krótko mówiąc, usługa Active Directory przechowuje tożsamość, podczas gdy usługa AD FS rozszerza ją na aplikacje federacyjne.
2. Czy ADFS jest nadal potrzebny?
Usługa AD FS może być nadal potrzebna, gdy zależy od niej starsza aplikacja, niestandardowa reguła oświadczeń, zaufanie partnera lub wymagania lokalne. Jeśli te zależności nie występują, platforma tożsamości w chmurze może zredukować nakład pracy związany z zarządzaniem serwerem i certyfikatami. Przed podjęciem decyzji należy ocenić każdą połączoną aplikację.
3. Czy usługa ADFS jest przestarzała?
Nie. Usługa AD FS jest nadal udokumentowana dla obsługiwanych wersji systemu Windows Server. Microsoft zaleca jednak migrację aplikacji do usługi Microsoft Entra ID zamiast aktualizacji usługi AD FS. Organizacje powinny odróżnić dalsze wsparcie produktu od preferowanego przez firmę Microsoft kierunku wdrażania nowoczesnych tożsamości.
4. Co zastępuje ADFS?
Firma Microsoft rekomenduje Entra ID jako kierunek migracji aplikacji AD FS. Decyzja o wymianie powinna nadal uwzględniać protokoły aplikacji, oświadczenia, katalogi, provisioning, połączenia partnerskie, wymagania dotyczące zgodności oraz strategię dotyczącą punktów końcowych. Żadna platforma nie powinna być traktowana jako zamiennik bez tej oceny.
5. Jaka jest różnica między ADFS i LDAP?
LDAP wysyła zapytania do katalogu lub aktualizuje informacje w nim zawarte. Usługa AD FS wysyła zaufanym aplikacjom tokeny oparte na oświadczeniach, umożliwiając aplikacji internetowej weryfikację tokena zamiast wysyłania hasła użytkownika bezpośrednio do katalogu.
