Служба федерации Active Directory (обычно обозначается как ADFS, а Microsoft называет её AD FS) — это локальная служба федерации идентификации в Windows Server. Она аутентифицирует пользователей и выдаёт подписанные токены на основе утверждений, которые доверенные приложения используют для единого входа (SSO). В результате пользователи могут получать доступ к подключенным приложениям, не передавая каждый из них свой пароль Active Directory.
Документы Microsoft по AD FS для Windows Server 2016, 2019, 2022 и 2025. Однако рекомендуется мигрировать приложения на Microsoft Entra ID вместо обновления AD FS. Это делает AD FS актуальным для многих существующих сред, но менее вероятным выбором по умолчанию для новой архитектуры идентификации.
Основные выводы
- AD FS обеспечивает федерацию идентификации и единый вход (SSO): Служба федерации Active Directory — это локальная служба Windows Server, обеспечивающая доступ на основе утверждений к доверенным приложениям.
- Обычно это работает с Active Directory: AD FS аутентифицирует пользователей и выдает подписанные токены доверенным веб-приложениям, облачным сервисам или партнерским приложениям.
- Он поддерживает несколько протоколов федерации: В зависимости от версии Windows Server и сценария использования, к ним относятся SAML, WS-Federation, OAuth и OpenID Connect.
- Поддержка AD FS продолжается: Однако Microsoft рекомендует переносить приложения на Microsoft Entra ID, а не обновлять AD FS.
- Модернизация может выходить за рамки миграции: Организации могут оценить Scalefusion OneIdP для обеспечения единого входа (SSO), федерации идентификации, многофакторной аутентификации (MFA), интеграции с каталогами и условного доступа на основе UEM.
Что такое ADFS и для чего он нужен?
Служба федерации Active Directory (обычно называемая ADFS, а Microsoft — AD FS) — это локальная служба федерации идентификации, встроенная в Windows Server. Она обычно аутентифицирует пользователей через службы домена Active Directory и выдает подписанные токены на основе утверждений, которые доверенные приложения используют для единого входа.
AD FS выступает в качестве моста доверия между системой идентификации организации и подключенными к ней веб-приложениями, облачными сервисами или приложениями партнеров. Она расширяет возможности корпоративной идентификации за пределы внутреннего домена Windows, не требуя от каждого приложения получения или управления паролем пользователя из Active Directory.
Например, когда сотрудник открывает партнерский портал, портал перенаправляет браузер сотрудника на AD FS. После аутентификации сотрудника AD FS выдает подписанный токен, содержащий утвержденные данные, такие как идентификатор пользователя, адрес электронной почты, роль или членство в группе. Портал проверяет токен и использует собственные правила авторизации для определения доступа.
Этот процесс известен как федерация идентификационных данных: отдельные системы устанавливают доверие, не объединяя свои пользовательские каталоги и не обмениваясь паролями. брокер идентификации может помочь в управлении этими доверительными отношениями, когда задействовано несколько поставщиков идентификационных данных.
Как работает ADFS?
Типичный вход в AD FS состоит из шести шагов:
- Пользователь открывает приложение. Приложение определяет, что у пользователя нет активной сессии.
- Приложение перенаправляет пользователя на AD FS. В запросе указывается приложение, известное как запрашивающая сторона.
- AD FS выполняет аутентификацию пользователя. Обычно проверка пользователя выполняется через Active Directory, после чего применяется настроенная политика аутентификации.
- AD FS оценивает правила рассмотрения претензий. Эти правила определяют, какую информацию о пользователях может получать приложение.
- AD FS выпускает подписанный токен безопасности. Токен может содержать такие данные, как идентификатор пользователя, адрес электронной почты, роль или принадлежность к группе.
- Приложение проверяет подлинность токена. Если проверки эмитента, подписи, аудитории и действительности пройдены успешно, приложение создает сессию и применяет собственные правила авторизации.
Приложение получает токен, а не пароль пользователя из Active Directory. В зависимости от версии Windows Server и сценария использования, AD FS может поддерживать протоколы, включая SAML 2.0, WS-Federation, OAuth 2.0, OpenID Connect и WS-Trust.
Претензии и федеративные трасты
A утверждать Это информация о пользователе, например, адрес электронной почты или членство в группе. AD FS обрабатывает утвержденные утверждения в подписанном токене. федеративный траст Определяет, какие системы могут обмениваться и принимать эту идентификационную информацию. Доверие проверяющей стороны представляет собой приложения, которые принимают токены AD FS; доверие поставщика утверждений представляет собой источники идентификационных данных, утверждения которых принимает AD FS.
Каковы основные компоненты AD FS?
| Компонент | Цель |
|---|---|
| Доменные службы Active Directory | Хранит идентификаторы организации и осуществляет общую аутентификацию пользователей. |
| Федеральный сервер | Обрабатывает запросы на вход в систему, применяет правила обработки запросов и выдает токены. |
| Ферма серверов Федерации | Использует несколько серверов для обеспечения необходимой мощности и доступности. |
| Прокси-сервер веб-приложения | При необходимости публикует AD FS для пользователей, подключающихся извне сети. |
| База данных конфигурации | Хранение доверительных счетов, правил обработки претензий и конфигурации фермы. |
AD FS также использует сертификаты для подписи токенов. Приложения используют соответствующий открытый ключ для проверки того, что токены получены от доверенной службы федерации и не были изменены. Поэтому хранение, продление, обновление и права доступа к сертификатам требуют тщательного управления.
ADFS против Active Directory, LDAP и SSO
| Срок | Что это | Основная цель |
|---|---|---|
| Active Directory | Служба каталогов | Хранит идентификационные данные и управляет ресурсами домена Windows. |
| LDAP | Протокол доступа к каталогу | Выполняет запросы и обновления совместимых каталогов. |
| SSO | Возможность доступа | Позволяет пользователю пройти аутентификацию один раз и получить доступ к подключенным приложениям. |
| AD ФС | Федеративная и токен-служба | Расширяет применение доверенных удостоверений на веб-приложения, облачные приложения и приложения партнеров. |
AD FS не заменяет Active Directory. Обычно он использует Active Directory для аутентификации пользователей, а затем преобразует успешный вход в систему в токен, которому может доверять приложение. LDAP обеспечивает прямую связь с каталогами, в то время как AD FS обеспечивает федерацию на основе утверждений.
Каковы преимущества и ограничения AD FS?
| Преимущества | Ограничения |
|---|---|
| Обеспечивает единый вход (SSO) для доверенных приложений. | Требуется серверы, установка обновлений, мониторинг, резервное копирование и планирование мощностей. |
| Предотвращает доступ зависимых приложений к паролям Active Directory. | Правила обработки претензий, трасты и интеграция приложений требуют специальных знаний. |
| Поддерживает федерацию, основанную на стандартах. | Ошибки при продлении или смене сертификата могут прервать доступ. |
| Обеспечивает контроль аутентификации внутри организации. | Для обеспечения высокой доступности может потребоваться несколько серверов, прокси-серверов и балансировка нагрузки. |
| Поддерживает сценарии федерации как с использованием устаревших систем, так и с участием партнеров. | Серверы федерации и ключи подписи являются важными объектами для обеспечения безопасности. |
AD FS не обеспечивает автоматическое создание учетных записей, защиту конечных точек или соответствие организации нормативным требованиям. Эти результаты зависят от окружающих средств управления идентификацией, конечными точками, безопасностью и управлением.
Используется ли ADFS до сих пор, и что приходит ему на смену?
Да. AD FS по-прежнему используется в организациях, которые зависят от устаревших приложений, доверительных отношений с партнерами, пользовательских правил обработки утверждений или локальной аутентификации. Microsoft продолжает документировать службу для поддерживаемых версий Windows Server, поэтому AD FS не считается устаревшей.
Однако поддержка отличается от стратегического направления. Microsoft рекомендует по возможности переносить приложения AD FS на Entra ID. Руководство по выводу из эксплуатации AD FS охватывает обнаружение приложений, миграцию, изменения аутентификации и вывод инфраструктуры из эксплуатации.
Безопасность — ещё один важный аспект. Если злоумышленник скомпрометирует среду AD FS и получит закрытый ключ для подписи токенов, он сможет подделать доверенные токены SAML — метод, известный как Золотой САМЛMicrosoft рекомендует ограничить административный доступ, поддерживать среду в актуальном состоянии, отслеживать изменения конфигурации и защищать ключи подписи. См. рекомендации Microsoft по этому вопросу. обеспечение безопасности AD FS и смягчение последствий атак Golden SAML.
Прежде чем менять платформу, проведите инвентаризацию всех зависимых приложений, протоколов аутентификации, правил обработки утверждений, сертификатов, доверия партнеров и зависимостей в процессе предоставления ресурсов. Некоторые приложения можно быстро перенести; для других может потребоваться исправление ошибок или поэтапное сосуществование.
Модернизация управления идентификацией и доступом с помощью Scalefusion OneIdP
Идентификатор Майкрософт Энтра Это рекомендуемый Microsoft путь миграции для рабочих нагрузок AD FS. Более широкий анализ системы идентификации может также включать в себя вопросы о том, как SSO, источники идентификации, многофакторная аутентификация и контекст устройства должны взаимодействовать в рамках всей организации.
Scalefusion OneIdP управляется системой UEM. решение для управления идентификацией и доступомОн поддерживает единый вход (SSO) для приложений на основе SAML и OIDC, федерацию идентификации, интеграцию с каталогами. МИДа также контекстные политики доступа. Его связь со Scalefusion UEM позволяет учитывать контекст управляемых устройств и соответствия нормативным требованиям при принятии решений о доступе.
AD FS и OneIdP не являются полными аналогами. Существующие доверительные отношения с зависимыми сторонами, правила обработки запросов, протоколы, потоки предоставления доступа и интеграция с партнерами требуют индивидуальной оценки перед миграцией. В следующей таблице сравниваются их пересекающиеся роли в области идентификации и доступа к приложениям.
| Район | AD ФС | Scalefusion OneIdP |
|---|---|---|
| Основная роль | Самостоятельно размещаемая федерация для доверенных приложений | Централизованный доступ к идентификационным данным и приложениям с использованием средств управления на основе UEM. |
| Управление и менеджмент | Работает на управляемой организацией инфраструктуре Windows Server. | Управление осуществляется через платформу Scalefusion. |
| Источники идентичности | Обычно используется Active Directory и настроенные поставщики утверждений. | Интегрируется с такими источниками, как Microsoft Entra, Google Workspace, Okta, а также с локальными Active Directory или LDAP, в зависимости от используемого метода. |
| Единый вход приложения | В зависимости от версии поддерживаются протоколы, включая SAML, WS-Federation, OAuth и OIDC. | Поддерживает единый вход (SSO) для приложений на основе SAML и OIDC. |
| Решения о доступе | Использует утверждения, методы аутентификации, доверие и настроенные политики. | Можно использовать идентификационные и контекстные условия, такие как соответствие устройства требованиям, статус управления, браузер, сеть или IP-адрес, а также местоположение, где это настроено. |
| Наиболее подходящий | Установленные требования к федерации, ориентированные на Microsoft или устаревшие. | Организации, оценивающие современные системы единого входа (SSO) и доступ с учетом особенностей устройства посредством унифицированного подхода к управлению унифицированными коммуникациями (UEM) и управлению идентификацией и доступом (IAM). |
Оцените OneIdP федерация удостоверений, службы каталогов и предприятие SSO в соответствии с требованиями вашего приложения и требованиями безопасности.
ADFS по-прежнему актуальна, но модернизацию следует планировать.
AD FS обеспечивает федерацию на основе утверждений и единый вход для приложений, которые доверяют идентификаторам организации. Он остается полезным в устоявшихся и устаревших средах, но влечет за собой ответственность за инфраструктуру, сертификаты и безопасность. Организации должны надежно поддерживать необходимые зависимости при планировании своей долгосрочной архитектуры идентификации.
Оцените Scalefusion OneIdP для единого входа (SSO), федерации идентификации, многофакторной аутентификации (MFA), интеграции с каталогами и условного доступа на основе UEM.
Часто задаваемые вопросы (FAQ)
1. В чём разница между ADFS и Active Directory?
Active Directory хранит идентификационные данные и управляет ресурсами домена Windows. AD FS обычно использует Active Directory для аутентификации пользователя, а затем выдает подписанный токен для доверенного приложения. Короче говоря, Active Directory поддерживает идентификацию, а AD FS распространяет эту идентификацию на федеративные приложения.
2. Нужен ли по-прежнему ADFS?
AD FS может по-прежнему потребоваться, если от него зависит устаревшее приложение, пользовательское правило обработки утверждений, доверие партнеров или локальные требования. Если таких зависимостей нет, облачная платформа идентификации может сократить объем работы по управлению серверами и сертификатами. Оцените каждое подключенное приложение, прежде чем принимать решение.
3. Устарела ли служба ADFS?
Нет. AD FS по-прежнему документирован для поддерживаемых версий Windows Server. Однако Microsoft рекомендует переносить приложения на Microsoft Entra ID вместо обновления AD FS. Организациям следует различать продолжение поддержки продукта и предпочтительное направление Microsoft для современных развертываний систем управления идентификацией.
4. Что заменяет ADFS?
Microsoft рекомендует Entra ID в качестве варианта миграции для приложений AD FS. При принятии решения о замене следует учитывать протоколы приложений, утверждения, каталоги, предоставление ресурсов, партнерские подключения, требования соответствия и стратегию работы с конечными точками. Ни одна платформа не должна рассматриваться как полная замена без проведения этой оценки.
5. В чём разница между ADFS и LDAP?
LDAP-запросы или обновления информации в каталогах. AD FS выдает токены на основе утверждений доверенным приложениям, позволяя веб-приложению проверять токен вместо прямой отправки пароля пользователя в каталог.
