Windows Server2008 ADFS配置攻略

ADFS是Windows Server 2008 操作系統(tǒng)中的一項(xiàng)新功能，它提供了一個統(tǒng)一的訪問解決方案，用于解決基于瀏覽器的內(nèi)外部用戶的訪問。這項(xiàng)新功能甚至可以實(shí)現(xiàn)完全不同的兩個網(wǎng)絡(luò)或者是組織之間的帳戶以及應(yīng)用程序之間的通訊。

要理解ADFS的工作原理，可以先考慮活動目錄的工作原理。當(dāng)用戶通過活動目錄進(jìn)行認(rèn)證時，域控制器檢查用戶的證書。當(dāng)證明是合法用戶后，用戶就可以隨意訪問Windows網(wǎng)絡(luò)的任何授權(quán)資源，而無需在每次訪問不同億恩科技服務(wù)器時重新認(rèn)證。ADFS將同樣的概念應(yīng)用到Internet。我們都知道當(dāng)Web應(yīng)用需要訪問位于數(shù)據(jù)庫或其他類型后端資源上的后端數(shù)據(jù)時，對后端資源的安全認(rèn)證問題往往比較復(fù)雜。現(xiàn)在可以使用的有很多不同的認(rèn)證方法提供這樣的認(rèn)證。例如，用戶可能通過RADIUS(遠(yuǎn)程撥入用戶服務(wù)認(rèn)證)億恩科技服務(wù)器或者通過應(yīng)用程序代碼的一部分實(shí)現(xiàn)所有權(quán)認(rèn)證機(jī)制。這些認(rèn)證機(jī)制都可實(shí)現(xiàn)認(rèn)證功能，但是也有一些不足之處。不足之一是賬戶管理。當(dāng)應(yīng)用僅被企業(yè)自己的員工訪問時，賬戶管理并不是個大問題。但是，如果企業(yè)的供應(yīng)商、客戶都使用該應(yīng)用時，就會突然發(fā)現(xiàn)用戶需要為其他企業(yè)的員工建立新的用戶賬戶。不足之二是維護(hù)問題。當(dāng)其他企業(yè)的員工離職，雇傭新員工時，用戶還需要刪除舊的賬戶和創(chuàng)建新的賬戶。

ADFS能為您做什么?

如果用戶將賬戶管理的任務(wù)轉(zhuǎn)移到他們的客戶、供應(yīng)商或者其他使用Web應(yīng)用的人那里會是什么樣子哪? 設(shè)想一下， Web應(yīng)用為其他企業(yè)提供服務(wù)，而用戶再也不用為那些員工創(chuàng)建用戶賬戶或者重設(shè)密碼。如果這還不夠，使用這一應(yīng)用的用戶也不再需要登錄應(yīng)用。那將是一件多么令人興奮的事情。

ADFS需要什么?

當(dāng)然，活動目錄聯(lián)合服務(wù)還需要其它的一些配置才能使用，用戶需要一些億恩科技服務(wù)器執(zhí)行這些功能。最基本的是聯(lián)合億恩科技服務(wù)器，聯(lián)合億恩科技服務(wù)器上運(yùn)行ADFS的聯(lián)合服務(wù)組件。 聯(lián)合億恩科技服務(wù)器的主要作用是發(fā)送來自不同外部用戶的請求，它還負(fù)責(zé)向通過認(rèn)證的用戶發(fā)放令牌。

另外在大多數(shù)情況下還需要聯(lián)合代理。試想一下，如果外部網(wǎng)絡(luò)要能夠和用戶內(nèi)部網(wǎng)絡(luò)建立聯(lián)合協(xié)議，這就意味著用戶的聯(lián)合億恩科技服務(wù)器要能通過Internet訪問。但是活動目錄聯(lián)合并不很依賴于活動目錄，因此直接將聯(lián)合億恩科技服務(wù)器暴露在Internet上將帶來很大的風(fēng)險。正因?yàn)檫@樣，聯(lián)合億恩科技服務(wù)器不能直接和Internet相連，而是通過聯(lián)合代理訪問。聯(lián)合代理向聯(lián)合億恩科技服務(wù)器中轉(zhuǎn)來自外部的聯(lián)合請求，聯(lián)合億恩科技服務(wù)器就不會直接暴露給外部。

另一ADFS的主要組件是ADFS Web代理。Web應(yīng)用必須有對外部用戶認(rèn)證的機(jī)制。這些機(jī)制就是ADFS Web代理。 ADFS Web代理管理安全令牌和向Web 億恩科技服務(wù)器發(fā)放的認(rèn)證cookies。

在下面的文章中我們將帶領(lǐng)大家通過一個模擬的試驗(yàn)環(huán)境來一起感受ADFS服務(wù)帶給企業(yè)的全新感受，閑言少敘，我們下面就開始ADFS的配置試驗(yàn)。
 

第1步：預(yù)安裝任務(wù)

要想完成下面的試驗(yàn)，用戶在安裝ADFS之前先要準(zhǔn)備好至少四臺計(jì)算機(jī)。

1)配置計(jì)算機(jī)的操作系統(tǒng)和網(wǎng)絡(luò)環(huán)境

使用下表來配置試驗(yàn)的計(jì)算機(jī)系統(tǒng)以及網(wǎng)絡(luò)環(huán)境。

2)安裝 AD DS

用戶使用Dcpromo工具為每個同盟億恩科技服務(wù)器(FS)創(chuàng)建一個全新的活動目錄森林，具體的名稱可以參考下面的配置表。

3)創(chuàng)建用戶帳戶以及資源帳戶

設(shè)置好兩個森林后，用戶就可以通過“用戶帳戶和計(jì)算機(jī)”(Active Directory Users and Computers )工具來創(chuàng)建一些帳戶為下面的試驗(yàn)做好準(zhǔn)備。下面的列表給出了一些例子，供用戶參考：

4)將測試計(jì)算機(jī)加入到適當(dāng)?shù)挠?/p>

按照下表將對應(yīng)的計(jì)算機(jī)加入到適當(dāng)?shù)挠蛑校�需要注意的是將這些計(jì)算機(jī)加入域前，用戶需要先將對應(yīng)域控制器上的防火墻禁用掉.
 

第2步：安裝 AD FS 角色服務(wù)，配置證書

現(xiàn)在我們已經(jīng)配置好計(jì)算機(jī)并且將它們加入到域中，同時對于每臺億恩科技服務(wù)器我們也已經(jīng)安裝好了ADFS組件。

1)安裝同盟服務(wù)

兩臺計(jì)算機(jī)上安裝同盟服務(wù)，安裝完成后，這兩臺計(jì)算機(jī)就變成了同盟億恩科技服務(wù)器。下面的操作將會引導(dǎo)我們創(chuàng)建一個新的信任策略文件以及SSL和證書：

點(diǎn)擊Start ，選擇 Administrative Tools ，點(diǎn)擊 Server Manager。右擊 Manage Roles， 選中Add roles 啟動添加角色向?qū)АＴ贐efore You Begin 頁面點(diǎn)擊 Next。在 Select Server Roles 頁選擇 Active Directory Federation Services 點(diǎn)擊Next 。在Select Role Services 選擇 Federation Service 復(fù)選框，如果系統(tǒng)提示用戶安裝 Web Server (IIS) 或者 Windows Activation Service (WAS) 角色服務(wù)，那么點(diǎn)擊 Add Required Role Services 添加它們，完成后點(diǎn)擊 Next 。在 Choose a Certificate for SSL Encryption 頁面點(diǎn)擊 Create a self-signed certificate for SSL encryption, 點(diǎn)擊 Next 繼續(xù)，在 Choose Token-Signing Certificate 頁面點(diǎn)擊Create a self-signed token-signing certificate, 點(diǎn)擊 Next. 接下來的Select Trust Policy 頁面選擇 Create a new trust policy,下一步進(jìn)入 Select Role Services 頁面點(diǎn)擊 Next 來確認(rèn)默認(rèn)值。在 Confirm Installation Options 校驗(yàn)完信息后，就可以點(diǎn)擊Install 開始安裝了。

2)將本地系統(tǒng)帳戶分配到 ADFSAppPool identity

點(diǎn)擊Start ，在 Administrative Tools中的 Internet Information Services (IIS) Manager中，雙擊ADFSRESOURCE 或者 ADFSACCOUNT ，選擇 Application Pools ，在中心面板上右擊ADFSAppPool ，選擇Set Application Pool Defaults.在Identity Type, 點(diǎn)擊 LocalSystem ，然后選擇 OK。

3)安裝 AD FS Web 代理

在 Administrative Tools中 Server Manager 右擊 Manage Roles ，選擇 Add roles ，根據(jù)向?qū)г赟elect Server Roles 頁面選擇 Active Directory Federation Services.，點(diǎn)擊Next 后在 Select Role Services 窗口中選擇 Claims-aware Agent 復(fù)選框。如果向?qū)�提示用戶安裝 Web Server (IIS) 或者 Windows Activation Service (WAS) 角色服務(wù),那么點(diǎn)擊 Add Required Role Services 來完成安裝。完成后在Select Role Services 頁面,選擇 Client Certificate Mapping Authentication 復(fù)選框(要想實(shí)現(xiàn)這步操作，IIS需要創(chuàng)建一個self-signed 服務(wù)認(rèn)證。)，驗(yàn)證完信息后，就可以開始安裝了。

要想成功的設(shè)置Web億恩科技服務(wù)器和同盟億恩科技服務(wù)器，還有一個重要的環(huán)節(jié)就是證書的創(chuàng)建和導(dǎo)入導(dǎo)出。前面我們已經(jīng)使用角色添加向?qū)�為同盟億恩科技服務(wù)器之間創(chuàng)建了億恩科技服務(wù)器授權(quán)認(rèn)證，剩下要做的就是為adfsweb計(jì)算機(jī)創(chuàng)建對應(yīng)的授權(quán)認(rèn)證。由于篇幅有限在此就不作詳細(xì)介紹，相關(guān)內(nèi)容可以查詢系列中證書相關(guān)的文章。
 

第3步: 配置 Web 億恩科技服務(wù)器

在這個步驟中，我們主要要完成的有如何在一個Web 億恩科技服務(wù)器上(adfsweb)，設(shè)置一個claims-aware 應(yīng)用程序。

首先我們來配制IIS，需要做的就是啟用adfsweb默認(rèn)網(wǎng)站：（www.23lll.com）的SSL設(shè)置，完成后我們在IIS的ADFSWEB 中雙擊 Web Sites, 右擊 Default Web Site, 選擇Add Application，在Add Application 對話框的 Alias 中鍵入 claimapp 點(diǎn)擊… 按鍵, 新建一個文件夾命名為claimapp, 然后確定。需要注意的是命名新文件夾時最好不要使用大寫字母，不然在后面使用時也要使用對應(yīng)的大寫字母。

第4步: 配置同盟億恩科技服務(wù)器

現(xiàn)在我們已經(jīng)安裝好了ADFS服務(wù)，也已經(jīng)配置好了訪問claims-aware 應(yīng)用程序的Web億恩科技服務(wù)器，下面我們就來配置試驗(yàn)環(huán)境中兩家公司(Trey Research 和 A. Datum Corporation )的同盟服務(wù)。

我們首先來配置信任策略，在Administrative Tools 中點(diǎn)擊 Active Directory Federation Services 雙擊 Federation Service, 右擊選擇 Trust Policy, 選擇其中的Properties。在 General 頁簽的Federation Service URI 選項(xiàng)中鍵入urn:federation:adatum 。然后在Federation Service endpoint URL 文本框中驗(yàn)證下面的網(wǎng)址是否正確https://adfsaccount.adatum.com/adfs/ls/ 最后在Display Name 頁簽的 Display name for this trust policy中鍵入 A. Datum 然后選擇OK確定。完成后我們再次進(jìn)入Active Directory Federation Services.雙擊Federation Service, Trust Policy, My Organization, 右擊 Organization Claims, 點(diǎn)擊 New, 然后點(diǎn)擊 Organization Claim.在Create a New Organization Claim 對話框的Claim name中鍵入Trey ClaimApp Claim。確定 Group claim 選中后，點(diǎn)擊 OK。另外一家公司的配置與上面的操作基本類似，再次不做累述。

第 5步: 通過客戶計(jì)算機(jī)訪問試驗(yàn)應(yīng)用程序

配置adfsaccount 同盟服務(wù)的瀏覽器設(shè)置

使用alansh用戶登錄到adfsclient ，啟動IE，在Tools 菜單中點(diǎn)擊 Internet Options 在 Security 頁簽點(diǎn)擊 Local intranet,然后點(diǎn)擊 Sites.然后點(diǎn)擊 Advanced.在 Add this Web site to the zone, 中鍵入https://adfsaccount.adatum.com, 點(diǎn)擊 Add 。然后在IE瀏覽器中鍵入https://adfsweb.treyresearch.net/claimapp/.但提示home realm時，點(diǎn)擊A. Datum 然后點(diǎn)擊Submit 。這樣Claims-aware Sample Application 出現(xiàn)在瀏覽器上，用戶可以在SingleSignOnIdentity.SecurityPropertyCollection 中看到應(yīng)用程序選定的聲明。如果在訪問時出現(xiàn)問題，那么用戶可以運(yùn)行iisreset 或者重啟adfsweb計(jì)算機(jī)，然后再次嘗試訪問。

至此一個基本的ADFS試驗(yàn)?zāi)Ｐ鸵呀?jīng)搭建完成，當(dāng)然ADFS依然是一個全面而復(fù)雜的新技術(shù)，在真正的生產(chǎn)環(huán)境中，我們還會有許多許多的操作和配置要做，不過，不管配置如何，正如上文所說的, ADFS將極大地?cái)U(kuò)充Web應(yīng)用的能力，擴(kuò)充企業(yè)外部業(yè)務(wù)的信息化程度，讓我們拭目以待Windows Server 2008中ADFS技術(shù)在實(shí)際應(yīng)用中使用情況吧。

服務(wù)器租用/服務(wù)器托管中國五強(qiáng)！虛擬主機(jī)域名注冊頂級提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]