Active Directory Federation Services (vanligtvis sökt efter som ADFS och av Microsoft kallat AD FS) är en lokal identitetsfederationstjänst i Windows Server. Den autentiserar användare och utfärdar signerade, anspråksbaserade tokens som betrodda applikationer använder för enkel inloggning (SSO). Som ett resultat kan användare komma åt anslutna applikationer utan att dela sitt Active Directory-lösenord med var och en av dem.
Microsoft-dokument AD FS för Windows Server 2016, 2019, 2022 och 2025. Den rekommenderar dock att man migrerar program till Microsoft Entra ID istället för att uppgradera AD FS. Detta gör AD FS relevant för många befintliga miljöer, men mindre sannolikt att det är standardvalet för en ny identitetsarkitektur.
Viktiga takeaways
- AD FS möjliggör identitetsfederation och SSO: Active Directory Federation Services är en lokal Windows Server-tjänst som ger anspråksbaserad åtkomst till betrodda program.
- Det fungerar vanligtvis med Active Directory: AD FS autentiserar användare och utfärdar signerade tokens till betrodda webb-, moln- eller partnerprogram.
- Den stöder flera federationsprotokoll: Dessa inkluderar SAML, WS-Federation, OAuth och OpenID Connect, beroende på Windows Server-version och användningsfall.
- AD FS stöds fortfarande: Microsoft rekommenderar dock att man migrerar program till Microsoft Entra ID snarare än att uppgradera AD FS.
- Modernisering kan sträcka sig bortom migration: Organisationer kan utvärdera Scalefusion OneIdP för SSO, identitetsfederation, MFA, katalogintegration och UEM-driven villkorlig åtkomst.
Vad är ADFS och vad gör det?
Active Directory Federation Services (vanligtvis kallad ADFS och av Microsoft kallad AD FS) är en lokal identitetsfederationstjänst som är inbyggd i Windows Server. Den autentiserar vanligtvis användare via Active Directory Domain Services och utfärdar signerade, anspråksbaserade tokens som betrodda applikationer använder för enkel inloggning.
AD FS fungerar som en förtroendebrygga mellan en organisations identitetssystem och dess anslutna webb-, moln- eller partnerapplikationer. Den utökar företagsidentiteter bortom den interna Windows-domänen utan att varje applikation behöver ta emot eller hantera användarens Active Directory-lösenord.
Till exempel, när en anställd öppnar en partnerportal omdirigerar portalen den anställdes webbläsare till AD FS. Efter att ha autentiserat den anställde utfärdar AD FS en signerad token som innehåller godkända anspråk, till exempel ett användar-ID, en e-postadress, en roll eller ett gruppmedlemskap. Portalen validerar token och använder sina egna auktoriseringsregler för att fastställa åtkomst.
Denna process kallas identitetsfederation: separata system upprättar förtroende utan att slå samman sina användarkataloger eller utbyta lösenord. identitetsmäklare kan hjälpa till att hantera dessa förtroenderelationer när flera identitetsleverantörer är inblandade.
Hur fungerar ADFS?
En typisk AD FS-inloggning följer sex steg:
- Användaren öppnar en applikation. Applikationen upptäcker att användaren inte har en aktiv session.
- Programmet omdirigerar användaren till AD FS. Begäran identifierar applikationen, känd som den förlitande parten.
- AD FS autentiserar användaren. Den verifierar vanligtvis användaren via Active Directory och tillämpar den konfigurerade autentiseringspolicyn.
- AD FS utvärderar anspråksregler. Dessa regler avgör vilken användarinformation applikationen får ta emot.
- AD FS utfärdar en signerad säkerhetstoken. Token kan innehålla anspråk som användarens identifierare, e-postadress, roll eller gruppmedlemskap.
- Applikationen validerar token. Om utfärdar-, signatur-, målgrupps- och giltighetskontrollerna godkänns skapar applikationen en session och tillämpar sina egna auktoriseringsregler.
Applikationen tar emot en token – inte användarens Active Directory-lösenord. Beroende på Windows Server-version och användningsfall kan AD FS stödja protokoll som SAML 2.0, WS-Federation, OAuth 2.0, OpenID Connect och WS-Trust.
Anspråk och federationsfonder
A patentkrav är ett uttalande om en användare, till exempel en e-postadress eller gruppmedlemskap. AD FS paketerar godkända anspråk i en signerad token. federationsförtroende definierar vilka system som kan utbyta och acceptera denna identitetsinformation. Förlitande parts förtroenden representerar program som accepterar AD FS-tokens; anspråksleverantörsförtroenden representerar identitetskällor vars anspråk AD FS accepterar.
Vilka är huvudkomponenterna i AD FS
| Komponent | Syfte |
|---|---|
| Active Directory Domain Services | Lagrar organisationsidentiteter och autentiserar vanligtvis användare |
| Federationsserver | Bearbetar inloggningsförfrågningar, tillämpar anspråksregler och utfärdar tokens |
| Federationsserverfarm | Använder flera servrar för kapacitet och tillgänglighet |
| Web Application Proxy | Publicerar valfritt AD FS för användare som ansluter utanför nätverket |
| Konfigurationsdatabas | Lagrar förtroenden, anspråksregler och konfiguration av grupp |
AD FS förlitar sig också på token-signeringscertifikat. Program använder motsvarande offentliga nyckel för att verifiera att tokens kommer från en betrodd federationstjänst och inte har ändrats. Lagring, förnyelse, rollover och åtkomstbehörigheter för certifikat kräver därför noggrann hantering.
ADFS kontra Active Directory, LDAP och SSO
| Termin | Vad det är | Huvudsakliga syfte |
|---|---|---|
| Active Directory | En katalogtjänst | Lagrar identiteter och hanterar Windows-domänresurser |
| LDAP | Ett protokoll för katalogåtkomst | Frågor och uppdateringar av kompatibla kataloger |
| SSO | En åtkomstfunktion | Låter en användare autentisera en gång och få åtkomst till anslutna applikationer |
| AD FS | En federation och tokentjänst | Utökar betrodda identiteter till webb-, moln- och partnerapplikationer |
AD FS ersätter inte Active Directory. Det förlitar sig vanligtvis på Active Directory för att autentisera användare och konverterar sedan den lyckade inloggningen till en token som ett program kan lita på. LDAP tillhandahåller direkt katalogkommunikation, medan AD FS tillhandahåller anspråksbaserad federation.
Vilka är fördelarna och begränsningarna med AD FS
| Fördelar | Begränsningar |
|---|---|
| Erbjuder SSO över betrodda applikationer | Kräver servrar, patchning, övervakning, säkerhetskopiering och kapacitetsplanering |
| Håller Active Directory-lösenord borta från förlitande applikationer | Anspråksregler, förtroenden och applikationsintegrationer kräver specialistkunskap |
| Stöder standardbaserad federation | Fel på certifikatförnyelse eller rollover kan avbryta åtkomsten |
| Håller autentiseringen under organisationens kontroll | Hög tillgänglighet kan kräva flera servrar, proxyservrar och lastbalansering |
| Stöder äldre scenarier och partnerfederationsscenarier | Federationsservrar och signeringsnycklar är högvärdiga säkerhetsmål |
AD FS etablerar inte automatiskt konton, säkrar slutpunkter eller gör en organisation kompatibel. Dessa resultat beror på omgivande identitets-, slutpunkts-, säkerhets- och styrningskontroller.
Används ADFS fortfarande – och vad ersätter det?
Ja. AD FS används fortfarande där organisationer är beroende av äldre applikationer, partnerförtroenden, anpassade anspråksregler eller lokal autentisering. Microsoft fortsätter att dokumentera tjänsten för Windows Server-versioner som stöds, så AD FS är inte föråldrat.
Support skiljer sig dock från strategisk inriktning. Microsoft rekommenderar att AD FS-applikationer flyttas till Entra ID där det är praktiskt möjligt. Dess Riktlinjer för avveckling av AD FS täcker applikationsidentifiering, migrering, autentiseringsändringar och pensionering av infrastrukturen.
Säkerhet är en annan faktor att ta hänsyn till. Om en angripare komprometterar en AD FS-miljö och får tag på dess privata nyckel för tokensignering, kan angriparen eventuellt förfalska betrodda SAML-tokens – en teknik som kallas Gyllene SAMLMicrosoft rekommenderar att begränsa administrativ åtkomst, hålla miljön aktuell, övervaka konfigurationsändringar och skydda signeringsnycklar. Se Microsofts vägledning för säkra AD FS och mildra Golden SAML-attacker.
Innan du byter plattform, inventera alla beroende applikationer, autentiseringsprotokoll, anspråksregler, certifikat, partnerförtroenden och provisioneringsberoenden. Vissa applikationer kan röra sig snabbt; andra kan kräva åtgärd eller stegvis samexistens.
Modernisera identitet och åtkomst med Scalefusion OneIdP
Microsoft Access ID är Microsofts rekommenderade migreringsväg för AD FS-arbetsbelastningar. En bredare identitetsgranskning kan också fråga sig hur SSO, identitetskällor, multifaktorautentisering och enhetskontext bör fungera tillsammans i en organisation.
Scalefusion OneIdP är en UEM-driven identitets- och åtkomsthanteringslösningDen stöder SSO för SAML- och OIDC-baserade applikationer, identitetsfederation, katalogintegration, UDoch kontextuella åtkomstpolicyer. Dess koppling till Scalefusion UEM kan inkludera sammanhang för hanterade enheter och efterlevnad i åtkomstbeslut.
AD FS och OneIdP är inte en-för-en-ekvivalenter. Befintliga förlitande partsförtroenden, anspråksregler, protokoll, etableringsflöden och partnerintegrationer behöver individuell bedömning före migrering. Följande tabell jämför deras överlappande identitets- och programåtkomstroller.
| Area | AD FS | Scalefusion OneIdP |
|---|---|---|
| Primär roll | Självhostad federation för betrodda applikationer | Centraliserad identitet och applikationsåtkomst med UEM-drivna kontroller |
| Verksamhetsledningen | Drivs på organisationsstyrd Windows Server-infrastruktur | Hanteras via Scalefusion-plattformen |
| Identitetskällor | Använder vanligtvis Active Directory och konfigurerade anspråksleverantörer | Integrerar med källor som Microsoft Entra, Google Workspace, Okta och lokala AD eller LDAP, beroende på metod |
| Applikationens SSO | Stöder protokoll inklusive SAML, WS-Federation, OAuth och OIDC, beroende på version | Stöder SSO för SAML- och OIDC-baserade applikationer |
| Åtkomstbeslut | Använder anspråk, autentiseringsmetoder, förtroenden och konfigurerade policyer | Kan använda identitets- och kontextuella villkor som enhetskompatibilitet, hanterad status, webbläsare, nätverk eller IP och plats där den konfigurerats |
| Bästa passform | Etablerade Microsoft-centrerade eller äldre federationskrav | Organisationer som utvärderar modern SSO och enhetsmedveten åtkomst genom en enhetlig UEM- och IAM-strategi |
Utvärdera OneIdP identitetsförbund, katalogtjänsteroch företag SSO mot din applikation och säkerhetskrav.
ADFS är fortfarande relevant – men modernisering bör planeras
AD FS tillhandahåller anspråksbaserad federation och SSO för applikationer som litar på en organisations identiteter. Det är fortfarande användbart i etablerade och äldre miljöer, men det medför ansvar för infrastruktur, certifikat och säkerhet. Organisationer bör upprätthålla nödvändiga beroenden på ett säkert sätt samtidigt som de planerar sin långsiktiga identitetsarkitektur.
Utvärdera Scalefusion OneIdP för SSO, identitetsfederation, MFA, katalogintegration och UEM-driven villkorlig åtkomst.
Vanliga frågor
1. Vad är skillnaden mellan ADFS och Active Directory?
Active Directory lagrar identiteter och hanterar Windows-domänresurser. AD FS använder vanligtvis Active Directory för att autentisera en användare och utfärdar sedan en signerad token för ett betrott program. Kort sagt, Active Directory underhåller identiteten, medan AD FS utökar den identiteten till federerade program.
2. Behövs ADFS fortfarande?
AD FS kan fortfarande behövas när en äldre applikation, en anpassad anspråksregel, ett partnerförtroende eller ett lokalt krav är beroende av den. Om dessa beroenden inte finns kan en molnidentitetsplattform minska server- och certifikathanteringsarbetet. Utvärdera varje ansluten applikation innan du fattar ett beslut.
3. Är ADFS föråldrat?
Nej. AD FS är fortfarande dokumenterat för Windows Server-versioner som stöds. Microsoft rekommenderar dock att man migrerar program till Microsoft Entra ID istället för att uppgradera AD FS. Organisationer bör skilja på fortsatt produktsupport från Microsofts föredragna riktning för moderna identitetsdistributioner.
4. Vad ersätter ADFS?
Microsoft rekommenderar Entra ID som migreringsriktning för AD FS-applikationer. Ett ersättningsbeslut bör fortfarande ta hänsyn till applikationsprotokoll, anspråk, kataloger, provisionering, partneranslutningar, efterlevnadskrav och slutpunktsstrategi. Ingen plattform bör behandlas som en drop-in-ersättning utan denna bedömning.
5. Vad är skillnaden mellan ADFS och LDAP?
LDAP frågar efter eller uppdaterar kataloginformation. AD FS utfärdar anspråksbaserade tokens till betrodda program, vilket gör att en webbapplikation kan validera en token istället för att skicka användarens lösenord direkt till en katalog.
