Hvad er ADFS, og hvordan fungerer det? #
Active Directory Federation Services, eller almindeligvis kendt som ADFS, er en løsning fra Microsoft, der leverer Single Sign-On og webbaseret godkendelse til systemer og applikationer mellem organisationer med unikke eller flere domæner.
ADFS bruger den kravbaserede adgangskontrolmodel for at sikre sikkerhed på applikationsniveau og føderationsidentitet, hvilket implementeres mellem to organisationer ved at etablere en tillid mellem to sikkerhedszoner eller -områder.
Der kræves to federationsservere, én til brugerkontering og godkendelse (primært med Active Directory Domain Services) for at identificere dem og en anden til ressourcegodkendelse og validering af brugeradgangDenne arkitektur giver en bruger, der tilhører et andet sikkerhedsområde eller -realm, mulighed for at kontrollere sin adgang direkte uden at dele databaser eller adgangskoder mellem sig.
ADFS er designet til at kommunikere via HTTPS for at validere brugeren med et givet brugernavn og en given adgangskode. Hvis dette er gyldigt, returnerer tjenesten et unikt token, der kan bruges af tredjepartsapplikationer.
Når en bestemt bruger forsøger at få adgang til en applikation på ét websted, omdirigeres login-anmodningen fra brugeren til hovedwebstedets ADFS-proxy i form af brugernavn og adgangskode og returnerer derefter et token, der bruges af applikationen til at kontrollere brugeradgangen.
Problemet med det miljø er det eneste fejltrin (single point of failure) og manglen på skalerbarhed, når organisationen vokser.
ADFS skalerbart miljø #
For at kunne tilbyde høj tilgængelighed, load balancing og automatisk disaster recovery for ADFS-tjenester, foreslår vi et miljø som vist nedenfor.
Denne tilgang implementerer load balancing og høj tilgængelighed for in-site-tjenester, men den kan bygges som en inter-site-arkitektur, der også leverer automatiseret disaster recovery for geolokaliserede ADFS-tjenester.
ADFS-belastningsbalanceringskonfiguration #
Oprettelse af en simpel virtuel load balancing-tjeneste med LSLB | L4xNAT Farm vil tillade at indlæse balancen af HTTPS-anmodninger som rå TCP-forbindelser.
I Det vi er gode til skal du vælge den valgte dispatcher-algoritme og konfigurere ADFS-proxyerne i backends-sektionen.
Konfigurer endelig de avancerede sundhedstjek for ADFSv2:
./check_http --sni -H fs.mitdomæne.com -IHOST -u /adfs/ls/idpinitiatedsignon.aspx -e 200 -S -s html
til ADFSv3:
./check_http --sni -H fs.mitdomæne.com -IHOST -u /adfs/ls/idpinitiatedsignon.htm -e 200 -S -s html
Bemærk: Skift dit ADFS-domæne i kommandoerne til sundhedstjek.
ADFS i høj tilgængelighed og automatiseret konfiguration for nødgendannelse #
As RELIANOID Klyngeløsningen replikerer alle forbindelser og sessioner i realtid og opbygger en klynge, som klienterne transparent kan skifte fra en node til en anden uden afbrydelser. Klyngetjenesten giver høj tilgængelighed på applikationsleveringslaget, men også automatiske katastrofegendannelsesfunktioner, der nemt kan konfigureres via sektionen. System | Klynge.
ADFS forbedret sikkerhed #
RELIANOID Systemet til forebyggelse og detektion af indtrængen tilføjer et ekstra sikkerhedslag til ADFS-tjenesterne, så vi kan sikre, at forbindelsesanmodninger fra vores websteder er pålidelige.
Derudover vil SSLoffload til ADFS snart være tilgængelig, så det komplette sikkerhedslag kan leveres af RELIANOID ved at indlæse SSL-certifikatet i en LSLB | HTTP farm med HTTPS-lytter.
