Active Directory Federation Services (denumit în mod obișnuit ADFS și denumit de Microsoft AD FS) este un serviciu local de federare a identității în Windows Server. Acesta autentifică utilizatorii și emite token-uri semnate, bazate pe revendicări, pe care aplicațiile de încredere le utilizează pentru autentificarea unică (SSO). Prin urmare, utilizatorii pot accesa aplicațiile conectate fără a partaja parola Active Directory cu fiecare dintre ele.
Documente Microsoft AD FS pentru Windows Server 2016, 2019, 2022 și 2025. Cu toate acestea, recomandă migrarea aplicațiilor către Microsoft Entra ID în loc de actualizarea AD FS. Acest lucru face ca AD FS să fie relevant pentru multe medii existente, dar mai puțin probabil să fie alegerea implicită pentru o nouă arhitectură de identitate.
Cheltuieli cheie
- AD FS activează federarea identităților și SSO: Active Directory Federation Services este un serviciu Windows Server local care oferă acces bazat pe revendicări la aplicații de încredere.
- De obicei, funcționează cu Active Directory: AD FS autentifică utilizatorii și emite token-uri semnate către aplicații web, cloud sau partenere de încredere.
- Acceptă mai multe protocoale de federație: Acestea includ SAML, WS-Federation, OAuth și OpenID Connect, în funcție de versiunea Windows Server și de cazul de utilizare.
- AD FS rămâne acceptat: Totuși, Microsoft recomandă migrarea aplicațiilor către Microsoft Entra ID, în loc să faceți upgrade la AD FS.
- Modernizarea se poate extinde dincolo de migrație: Organizațiile pot evalua Scalefusion OneIdP pentru SSO, federarea identităților, MFA, integrarea directoarelor și accesul condiționat bazat pe UEM.
Ce este ADFS și ce face?
Serviciile Active Directory Federation (denumite în mod obișnuit ADFS și denumite de Microsoft AD FS) sunt un serviciu local de federare a identității, încorporat în Windows Server. Acesta autentifică de obicei utilizatorii prin intermediul serviciilor de domeniu Active Directory și emite token-uri semnate, bazate pe revendicări, pe care aplicațiile de încredere le utilizează pentru autentificarea unică.
AD FS acționează ca o punte de încredere între sistemul de identitate al unei organizații și aplicațiile web, cloud sau partenere conectate la aceasta. Extinde identitățile corporative dincolo de domeniul Windows intern, fără a fi nevoie ca fiecare aplicație să primească sau să gestioneze parola Active Directory a utilizatorului.
De exemplu, când un angajat deschide un portal pentru parteneri, portalul redirecționează browserul angajatului către AD FS. După autentificarea angajatului, AD FS emite un token semnat care conține revendicări aprobate, cum ar fi un ID de utilizator, o adresă de e-mail, un rol sau o apartenență la un grup. Portalul validează token-ul și utilizează propriile reguli de autorizare pentru a determina accesul.
Acest proces este cunoscut sub numele de federație de identități: sisteme separate stabilesc încredere fără a-și uni directoarele de utilizatori sau a face schimb de parole. broker de identitate poate ajuta la gestionarea acestor relații de încredere atunci când sunt implicați mai mulți furnizori de identitate.
Cum funcționează ADFS?
O conectare tipică la AD FS urmează șase pași:
- Utilizatorul deschide o aplicație. Aplicația detectează că utilizatorul nu are o sesiune activă.
- Aplicația redirecționează utilizatorul către AD FS. Cererea identifică aplicația, cunoscută sub numele de parte de încredere.
- AD FS autentifică utilizatorul. De obicei, verifică utilizatorul prin Active Directory și aplică politica de autentificare configurată.
- AD FS evaluează regulile de revendicare. Aceste reguli stabilesc ce informații despre utilizatori poate primi aplicația.
- AD FS emite un token de securitate semnat. Jetonul poate include revendicări precum identificatorul utilizatorului, adresa de e-mail, rolul sau apartenența la un grup.
- Aplicația validează token-ul. Dacă verificările emitentului, semnăturii, audienței și validității trec cu succes, aplicația creează o sesiune și aplică propriile reguli de autorizare.
Aplicația primește un token - nu parola Active Directory a utilizatorului. În funcție de versiunea Windows Server și de cazul de utilizare, AD FS poate accepta protocoale precum SAML 2.0, WS-Federation, OAuth 2.0, OpenID Connect și WS-Trust.
Revendicări și trusturi de federație
A pretinde este o declarație despre un utilizator, cum ar fi o adresă de e-mail sau apartenența la un grup. AD FS împachetează revendicările aprobate într-un token semnat. A trust federativ definește ce sisteme pot face schimb și accepta aceste informații de identitate. Trusturile părților de încredere reprezintă aplicații care acceptă token-uri AD FS; trusturile furnizorilor de revendicări reprezintă surse de identitate ale căror revendicări sunt acceptate de AD FS.
Care sunt principalele componente ale AD FS
| Component | Scop |
|---|---|
| Servicii de domeniu Active Directory | Stochează identități organizaționale și, de obicei, autentifică utilizatorii |
| Server de federație | Procesează cererile de conectare, aplică regulile de revendicare și emite token-uri |
| Fermă de servere federative | Utilizează mai multe servere pentru capacitate și disponibilitate |
| Proxy aplicație web | Opțional, publică AD FS pentru utilizatorii care se conectează din afara rețelei |
| Baza de date de configurare | Stochează trusturi, reguli de revendicare și configurația fermei |
AD FS se bazează, de asemenea, pe certificate de semnare a tokenurilor. Aplicațiile utilizează cheia publică corespunzătoare pentru a verifica dacă tokenurile provin de la un serviciu de federație de încredere și nu au fost modificate. Prin urmare, stocarea, reînnoirea, transferul și permisiunile de acces ale certificatelor necesită o gestionare atentă.
ADFS vs. Active Directory, LDAP și SSO
| Termen | Ce este | Scopul principal |
|---|---|---|
| Active Directory | Un serviciu de directoare | Stochează identități și gestionează resursele domeniului Windows |
| LDAP | Un protocol de acces la directoare | Interogări și actualizări ale directoarelor compatibile |
| SSO | O capacitate de acces | Permite unui utilizator să se autentifice o singură dată și să acceseze aplicațiile conectate |
| AD FS | Un serviciu de federație și tokenuri | Extinde identități de încredere la aplicații web, cloud și partenere |
AD FS nu înlocuiește Active Directory. De obicei, se bazează pe Active Directory pentru autentificarea utilizatorilor, apoi convertește conectarea reușită într-un token în care o aplicație poate avea încredere. LDAP oferă comunicare directă între directori, în timp ce AD FS oferă federație bazată pe revendicări.
Care sunt beneficiile și limitele AD FS
| Beneficii | Limitări |
|---|---|
| Oferă SSO în aplicații de încredere | Necesită servere, corecții, monitorizare, copii de rezervă și planificare a capacității |
| Menține parolele Active Directory departe de aplicațiile dependente | Regulile de revendicare, trusturile și integrările aplicațiilor necesită cunoștințe de specialitate |
| Suportă federația bazată pe standarde | Erorile de reînnoire sau de transfer al certificatului pot întrerupe accesul |
| Menține autentificarea sub controlul organizațional | Disponibilitatea ridicată poate necesita mai multe servere, proxy-uri și echilibrarea încărcării |
| Acceptă scenarii de federație moștenite și partenere | Serverele de federație și cheile de semnare sunt obiective de securitate de mare valoare |
AD FS nu furnizează automat conturi, nu securizează punctele finale și nu face ca o organizație să fie conformă cu standardele. Aceste rezultate depind de controalele de identitate, punct final, securitate și guvernanță din jur.
Este încă utilizat ADFS și ce îl înlocuiește?
Da. AD FS rămâne utilizat acolo unde organizațiile depind de aplicații moștenite, trusturi de parteneri, reguli de revendicare personalizate sau autentificare locală. Microsoft continuă să documenteze serviciul pentru versiunile de Windows Server acceptate, așadar AD FS nu este perimat.
Asistența, însă, este diferită de direcția strategică. Microsoft recomandă mutarea aplicațiilor AD FS pe Entra ID acolo unde este posibil. Instrucțiuni pentru dezafectarea AD FS acoperă descoperirea aplicațiilor, migrarea, modificările de autentificare și retragerea infrastructurii.
Securitatea este o altă considerație. Dacă un atacator compromite un mediu AD FS și obține cheia privată de semnare a token-urilor, atacatorul poate falsifica token-uri SAML de încredere - o tehnică cunoscută sub numele de SAML de aurMicrosoft recomandă restricționarea accesului administrativ, menținerea mediului actualizat, monitorizarea modificărilor de configurație și protejarea cheilor de semnare. Consultați instrucțiunile Microsoft pentru securizarea AD FS și atenuarea atacurilor Golden SAML.
Înainte de a schimba platformele, inventariați fiecare aplicație de bază, protocol de autentificare, regulă de revendicare, certificat, încredere partener și dependență de furnizare. Unele aplicații se pot mișca rapid; altele pot necesita remediere sau coexistență etapizată.
Modernizarea identității și a accesului cu Scalefusion OneIdP
ID Microsoft Access este calea de migrare recomandată de Microsoft pentru sarcinile de lucru AD FS. O analiză mai amplă a identității poate întreba, de asemenea, cum ar trebui să funcționeze împreună SSO, sursele de identitate, autentificarea multifactor și contextul dispozitivului în cadrul unei organizații.
Scalefusion OneIdP este condus de UEM soluție de gestionare a identității și accesuluiAcceptă SSO pentru aplicații bazate pe SAML și OIDC, federație de identități, integrare de directoare, AMFși politici de acces contextual. Conexiunea sa cu Scalefusion UEM poate include contextul dispozitivelor gestionate și al conformității în deciziile de acces.
AD FS și OneIdP nu sunt echivalente unu-la-unu. Încrederile existente între resource party, regulile de revendicare, protocoalele, fluxurile de furnizare și integrările partenerilor necesită o evaluare individuală înainte de migrare. Tabelul următor compară rolurile lor de identitate și acces la aplicații care se suprapun.
| Zonă | AD FS | Scalefusion OneIdP |
|---|---|---|
| Rolul principal | Federare auto-găzduită pentru aplicații de încredere | Acces centralizat la identitate și aplicații cu controale bazate pe UEM |
| Management | Operat pe infrastructură Windows Server gestionată de organizație | Gestionat prin platforma Scalefusion |
| Surse de identitate | Folosește în mod obișnuit Active Directory și furnizori de revendicări configurați | Se integrează cu surse precum Microsoft Entra, Google Workspace, Okta și AD sau LDAP locale, în funcție de metodă |
| SSO-ul aplicației | Acceptă protocoale precum SAML, WS-Federation, OAuth și OIDC, în funcție de versiune | Acceptă SSO pentru aplicații bazate pe SAML și OIDC |
| Decizii privind accesul | Utilizează revendicări, metode de autentificare, trusturi și politici configurate | Poate utiliza condiții de identitate și contextuale, cum ar fi conformitatea dispozitivului, starea gestionată, browserul, rețeaua sau adresa IP și locația unde este configurat. |
| Cel mai potrivit | Cerințe stabilite de federație centrate pe Microsoft sau moștenite | Organizații care evaluează SSO modern și accesul în funcție de dispozitiv printr-o abordare unificată UEM și IAM |
Evaluează OneIdP federație de identitate, servicii de directoare și SSO pentru întreprinderi împotriva aplicației și cerințelor de securitate.
ADFS rămâne relevant, dar modernizarea ar trebui planificată
AD FS oferă federație bazată pe revendicări și SSO pentru aplicațiile care au încredere în identitățile unei organizații. Rămâne util în mediile consacrate și cele vechi, dar aduce responsabilități privind infrastructura, certificatele și securitatea. Organizațiile ar trebui să mențină în siguranță dependențele necesare în timp ce își planifică arhitectura de identitate pe termen lung.
Evaluează Scalefusion OneIdP pentru SSO, federație de identități, MFA, integrare de directoare și acces condiționat bazat pe UEM.
Întrebări frecvente
1. Care este diferența dintre ADFS și Active Directory?
Active Directory stochează identități și gestionează resursele domeniului Windows. AD FS utilizează de obicei Active Directory pentru a autentifica un utilizator, apoi emite un token semnat pentru o aplicație de încredere. Pe scurt, Active Directory menține identitatea, în timp ce AD FS extinde această identitate la aplicațiile federate.
2. Mai este necesar ADFS?
AD FS poate fi necesar în continuare atunci când o aplicație moștenită, o regulă de revendicare personalizată, o încredere în parteneriat sau o cerință locală depinde de acesta. Dacă aceste dependențe nu există, o platformă de identitate în cloud poate reduce munca de gestionare a serverului și a certificatelor. Evaluați fiecare aplicație conectată înainte de a lua o decizie.
3. Este ADFS perimat?
Nu. AD FS este în continuare documentat pentru versiunile de Windows Server acceptate. Cu toate acestea, Microsoft recomandă migrarea aplicațiilor către Microsoft Entra ID în loc să se facă upgrade la AD FS. Organizațiile ar trebui să facă distincția între asistența continuă pentru produse și direcția preferată de Microsoft pentru implementările moderne de identități.
4. Ce înlocuiește ADFS?
Microsoft recomandă Entra ID ca direcție de migrare pentru aplicațiile AD FS. O decizie de înlocuire ar trebui să ia în considerare în continuare protocoalele aplicației, revendicările, directoarele, furnizarea, conexiunile partenerilor, cerințele de conformitate și strategia endpoint-ului. Nicio platformă nu ar trebui tratată ca un înlocuitor drop-in fără această evaluare.
5. Care este diferența dintre ADFS și LDAP?
LDAP interoghează sau actualizează informațiile din director. AD FS emite token-uri bazate pe revendicări către aplicații de încredere, permițând unei aplicații web să valideze un token în loc să trimită parola utilizatorului direct către un director.
