Добавил:

AAA1 aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa Опубликованный материал нарушает ваши авторские права? Сообщите нам.

Вуз:

Харьковский национальный университет радиоэлектроники

Предмет:

[НЕСОРТИРОВАННОЕ]

Файл:

Книга Active directory

.pdf

Скачиваний:

267

Добавлен:

02.02.2021

Размер:

8.2 Mб

Скачать

☆

<<< < Предыдущая 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 9091 / 9691 92 93 94 95 96 > Следующая >>>

I 8 7 8

Службы федерации Active Directory

Глава 17

5. Щелкните кнопку Создать папку ( M a k e A New Folder), введите д л я новой папки нмя claimapplicationOI, щелкните О К . Вновь щ е л к н и т е О К , чтобы закрыть диалоговое окно.

Приложение создано, однако оно пустое. В п р а к т и ч е с к и х у п р а ж н е н и я х данного занятия не требуется создавать реальное приложение . Однако при желании вы можете создать его.

К СВЕДЕНИЮ Создание приложения, поддерживающего утверждения

Для того чтобы создать три файла, которые составляют приложение, поддерживающее утверждения, используйте процедуру «Creating the Sample Claims-aware Application» — ее вы найдете по адресу http://207.46.196.1U/windowsserver2008/en/library/

5ae6ce09-4494-480b-8816-8897bde359491033.mspx. Затем скопируйте созданные файлы

в папку C:\Inetpub\Wwwroot\Claimapp.

Упражнение 6. Настройка серверов федерации

Оба сервера федерации необходимо соответствующим образом отконфигуриро - вать. На сервере федерации учета S E R V E R 0 3 необходимо о т к о н ф и г у р и р о в а т ь политику доверия. Кроме того, нужно создать у т в е р ж д е н и я д л я пользователей и идентифицировать хранилище учетных записей AD DS. На сервере федера - ции ресурсов SERVER07 нужно настроить п о л и т и к у доверия, у т в е р ж д е н и я для пользователей в домене ресурсов, хранилище учетных записей и включить приложения, поддерживающие утверждения .

1. Запустите машины SERVER01, SERVER03, S E R V E R 0 6 и S E R V E R 0 7 . Войдите на машину S E R V E R 0 3 как администратор домена.

В данном случае учетные данные администратора домена н е о б х о д и м ы д л я идентификации хранилища учетных записей.

2.В программной группе Администрирование (Administrative Tools) запустите консоль Службы федерации Active Directory (Active Directory Federation Services).

3. Разверните узел Служба федерации\Г1олитика д о в е р и я ( F e d e r a t i o n Service\Trust Policy).

4. Щелкните правой кнопкой мыши политику доверия и в ы п о л н и т е команду

Свойства (Properties).
5. На вкладке	Общие (General) введите в поле				U R I - к о д с л у ж б ы	федерации /
(Federation	Service	U R I ) код	urn:/ederation:Contoso.
Значение в этом поле чувствительно к регистру, поэтому введите символы
так, как они выглядят в имени домена.
6. Убедитесь,	что в поле U R L - а д р е с			конечной т о ч к и с л у ж б ы		ф е д е р а ц и и
(Federation	Service	Endpoint	U R L )	указан	адрес https://SERVER03.Contoso.
сот/adfs/ls/.

7.Перейдите на вкладку Отображаемое имя (Display Name) и в поле Отображаемое имя этой политики доверия (Display Name For This Trust Policy) введите нмя Contoso, чтобы указать имя, не зависящее от одного сервера. Щелкните ОК.

Занятие 2

Настройка служб федерации Active Directory

8 7 9

Т е п е рь приступайте к созданию утверждений для пользователей.

1. Р а з в е р н и т е		узел	Политика д о в е р и я \ М о я	оргапизация\Утверждепис орга-
н и з а ц и и	(Trust		P o l i c y \ M y Organization\Organization Claims).
2. Щ е л к н и	т е	правой кнопкой мыши папку		Утверждение организации (Or-

ganization Claims), выберите команду Создать (New) и щелкните элемент Утверждения организации (Organization Claim).

3. В	д и а л о г о в о м окне	Создание нового	утверждения	организации	(Create
A	N e w Organization	Claim) введите	имя Woodgmve	Bank Application	Claim.

4. В ы б е р и т е параметр Утверждение о группе (Group Claim). 5. Щ е л к н и т е О К , чтобы создать утверждение.

С о з д а н н о е утверждение д о л ж н о быть отображено на панели сведений. Добавьте х р а н и л и щ е учетных записей для домена contoso.com.

1. Перейдите к узлу Х р а н и л и щ а учетных записей (Account Store) в узле Моя о р г а н и з а ц и я ( M y Organization).

2. Щ е л к н и т е правой кнопкой м ы ш и папку Хранилища учетных записей (Ac- c o u n t Store), в ы п о л н и т е команду Создать (New) и выберите Хранилище учетных записей ( A c c o u n t Store).

3. П р о с м о т р и т е сведения на странице приветствия и щелкните Далее (Next).

4. На с т р а н и ц е Тип хранилища учетных записей (Account Store Туре) выберите Д о м е н н ы е службы Active Directory (AD DS) (Active Directory Domain Services ( A D D S ) ) и щелкните Далее (Next).

О т м е т и м , что с реализацией AD FS допустимо связать только одно храни- л и щ е учетных записей AD DS. Однако вместе с хранилищем AD DS также и с п о л ь з у ю т с я д о п о л н и т е л ь н ы е хранилища AD LDS.

5. На с т р а н и ц е В к л ю ч и т ь это хранилище учетных записей (Enable This Account Store) установите ф л а ж о к Включить это хранилище учетных записей ( E n a b l e This Account Store), щелкните Далее (Next) и Готово (Finish).

В папку Х р а н и л и щ а учетных записей (Account Stores) будет добавлено х р а н и л и щ е учетных записей службы каталогов Active Directory.

Д л я завершения настройки в домене contoso.com или организации учетных записей н у ж н о сопоставить группу с ранее созданным утверждением о группе.

1. Щ е л к н и т е п р а в о й к н о п к о й	м ы ш и папку Служба каталогов Active Di-
rectory (Active D i r e c t o r y ) в	узле Хранилища учетных записей (Account

Stores), выполните команду Создать (New) и щелкните элемент Извлечение

у т в е р ж д е н и я о группе ( G r o u p	Claim	Extraction).
2. Щ е л к н и т е к н о п к у Д о б а в и т ь	(Add),	введите имя Accounting и щелкните

кнопку Проверить имена (Check Names). Щелкните ОК.

3.Убедитесь, что в раскрывающемся списке выбрано утверждение Woodgrove Bank Application Claim, и щелкните ОК .

Отметим, что д л я сопоставления утверждений о группе AD FS использует и м я группы электронной почты.

Сервер федерации учетных записей готов.

Службы федерации Active Directory Глава 17

П о д г о т о в ь те сервер федерации ресурсов S E R V E R 0 7 .

1. Войдите на машину SERVER07 как администратор домена.

В данном случае учетные д а н н ы е а д м и н и с т р а т о р а д о м е н а н е о б х о д и м ы д л я идентификации хранилища учетных записей .

2. В программной группе Администрирование (Administrative Tools) запустите

консоль Службы	федерации Active Directory ( A c t i v e D i r e c t o r y Federation
Services).
3. Разверните узел	С л у ж б а ф е д е р а ц и и \ Г 1 о л и т и к а д о в е р и я ( F e d e r a t i o n Ser-

vice\Trust Policy).

4.Щелкните правой кнопкой мыши политику доверия и выполните команду Свойства (Properties).

5. Па вкладке Общие (General) введите

в п о л е U R I - к о д с л у ж б ы ф е д е р а ц и и

(Federation

Service

U R I )

код

urn:federation:WoodgroveBank.

Значение в этом

поле чувствительно к регистру, п о э т о м у в в е д и т е с и м в о л ы

так, как они выглядят в имени домена .

6. Убедитесь, что в поле

URL - адрес конечной точки с л у ж б ы ф е д е р а ц и и (Fede -

ration

Service

Endpoint

U R L )

указан

адрес

https://SERVER07.WoodgroveBank.

сот/ad/s/ls/.

7. Перейдите на

вкладку

О т о б р а ж а е м о е

и м я (Display N a m e ) и в п о л е

Отоб -

ражаемое нмя этой п о л и т и к и д о в е р и я

(Display

N a m e

For T h i s T r u s t

Policy)

введите

имя

Woodgrove Bank,

чтобы

указать и м я , не

з а в и с я щ е е от

одного

сервера. Щелкните О К .

Теперь создайте утверждения д л я

пользователей .

1. Разверните узел

Политика д о в е р и я \ М о я

о р г а п и з а ц и я \ У т в е р ж д е н и е

орга-

низации (Trust

P o l i c y \ M y

O r g a n i z a t i o n \ O r g a n i z a t i o n

Claims) .

2 . Щелкните правой кнопкой

м ы ш и

п а п к у У т в е р ж д е н и е

о р г а н и з а ц и и

( O r -

ganization Claims), выберите

команду

Создать

( N e w )

щ е л к н и т е э л е м е н т

Утверждения организации (Organization Claims) .

3. В диалоговом окне С о з д а н и е н о в о г о

у т в е р ж д е ч ш я

о р г а н и з а ц и и ( C r e a t e

A New Organization Claim) введите и м я W o o d g r o v e Bank

Application

Claim.

4. Выберите параметр Утверждение о группе ( G r o u p

Claim) .

5. Щелкните О К , чтобы создать утверждение .

Созданное утверждение д о л ж н о быть указано

на п а н е л и сведений .

Добавьте х р а н и л и щ е

у ч е т н ы х

з а п и с е й

д л я д о м е и а

w o o d g r o v e b a n k . c o m .

1. На панели дерева перейдите к узлу

Х р а н и л и щ а у ч е т н ы х з а п и с е й (Account

Store) в узле

Моя организация

( M y

Organization) .

2. Щелкните правой кнопкой м ы ш и

папку Х р а н и л и щ а у ч е т н ы х з а п и с е й (Ac-

count Store),

выполните

команду

Создать ( N e w )

в ы б е р и т е Х р а н и л и щ е

учетных записей (Account Store).

3. Просмотрите сведения на странице приветствия и

щ е л к н и т е Д а л е е (Next).

4. На странице Тип хранилища учетных записей ( A c c o u n t

Store Туре)

выбе-

рите Доменные службы Active Directory ( A D DS) (Active Directory Domain

Services (AD

DS)) н щелкните Далее (Next) .

Занятие 2

Настройка служб федерации Active Directory

8 8 1

5. На

с т р а н и ц е

В к л ю ч и т ь это

х р а н и л и щ е учетных записей

(Enable This

Ac-

c o u n t S t o r e ) у с т а н о в и т е ф л а ж о к

Включить это хранилище учетных записей

( E n a b l e T h i s A c c o u n t Store), щ е л к н и т е Далее (Next), а затем

Готово (Finish),

ч т о б ы з а в е р ш и т ь о п е р а ц и ю .

В п а п к у Х р а н и л и щ а

у ч е т н ы х

з а п и с е й

( A c c o u n t Stores)

будет добавлено

х р а н и л и щ е

у ч е т н ы х з а п и с е й

с л у ж б ы каталогов Active Directory.

Д о б а в ь т е в

о р г а н и з а ц и ю ресурсов AD

FS приложение,

поддерживающее

у т в е р ж д е н и е .

1. П е р е й д и т е к

у з л у П р и л о ж е н и я (Applications) в узле Моя организация (My

O r g a n i z a t i o n ) .

2 . Щ е л к н и т е

п р а в о й

к н о п к о й

м ы ш и узел

П р и л о ж е н и я , выполните команду

С о з д а т ь ( N e w )

и в ы б е р и т е

П р и л о ж е н и е (Application).

3 . Н а

с т р а н и ц е

п р и в е т с т в и я мастера щ е л к н и т е Далее (Next).

А . На

с т р а н и ц е

Т и п п р и л о ж е н и я

(Application Туре) выберите тип Приложе-

ние, п о д д е р ж и в а ю щ е е у т в е р ж д е н и я (Claims-Aware Application) и щелкните

Д а л е е ( N e x t ) .

5. На

с т р а н и ц е

П о д р о б н о с т и

п р и л о ж е н и и

(Application

Details) в

поле

О т о б р а ж а е м о е

и м я

п р и л о ж е н и я (Application Display Name) введите

имя

Claim

Application

01,

т а к ж е введите

U R L

приложения

https://SERVl:R08.

WoodgroveBank.com/claimapplication01.

Щ е л к н и т е

(Next).

6 . На с т р а н и ц е

П р и н я т ы е и д е н т и ф и к а ц и о н н ы е утверждения (Accept Identity

C l a i m s ) в ы б е р и т е у т в е р ж д е н и е

О с н о в н о е имя

пользователя

(User Principal

N a m e ) и щ е л к н и т е Д а л е е ( N e x t ) .

Е с л и

в ы з а х о т и т е д о б а в и т ь

и д е н т и ф и к а ц и о н н ы е утверждения нескольких

т и п о в , не з а б ы в а й т е о

п о р я д к е

их обработки, описанном ранее.

7 . У с т а н о в и т е

ф л а ж о к В к л ю ч и т ь

это п р и л о ж е н и е (Enable

This Application),

щ е л к н и т е Д а л е е ( N e x t ) , а затем Готово

(Finish).

8 . Н а

п а н е л и

д е р е в а в ы б е р и т е

созданное

приложение .

9 . Иа

п а н е л и

с в е д е н и й щ е л к н и т е

правой кнопкой м ы ш и утверждение Wood-

g r o v e

B a n k

Application Claim и

в ы п о л н и т е команду Включить (Enable).

10. На

п а н е л и

с в е д е н и й проверьте создание и включение утверждения.

С е р в е р ф е д е р а ц и и

р е сурсов

готов обрабатывать утверждения.

СОВЕТ К ЭКЗАМЕНУ

Тщательно попрактикуйтесь в выполнении этой процедуры и различных операций. Настройка политик доверия, а также сопоставление утверждении о пользователях

игруппах являются важными темами сертификационного экзамена,

Уп р а ж н е н ие 7. Настройка доверия федерации

Н а с	т р о и л оба сервера федерации, приступайте к настройке доверия федерации.
Д л я	этого н у ж н о э к с п о р т и р о в а т ь п о л и т и к у доверия с сервера федерации учет-

н ы х з а п и с е й , и м п о р т и р о в а т ь ее на сервер федерации ресурсов, создать на основе этой п о л и т и к и сопоставление утверждений, экспортировать партнерскую

п о л и т и к у с сервера федерации ресурсов и импортировать ее иа сервер федерации учетных записей. Таким образом, реализация AD I-S будет завершена.

1 Запустите машины SERVEROI. S E R V E R 0 3 . S E R V E R 0 6 и S E R V E R 0 7 . Вой-

д и т е и а м а ш и н у S E R V E R 0 3 как а д м и н и с т р а т о р д о м е н а .

2 В п р о г р а м м н о й г р у п п е А д м и н и с т р и р о в а н и е ( A d m i n i s t r a t i v e T o o l s ) з а п у с т и т е

консоль Службы федерации Active Directory (Active Directory Federation Services).

3. Разверните узел Служба ф е д е р а ц и н \ П о л и т н к а д о в е р и я (Federation Ser-

vice\Trust Policy).
4. Щелкните правой кнопкой мыши папку П о л и т и к у доверия (Trust			Policy)
и выполните команду Экспорт основной партнерской	п о л и т и к и		( E x p o r t
Basic Partner Policy).
5. Щелкните кнопку Обзор (Browse), откройте папку C : \ T e m p и		задайте для
файла политики имя ContosoTrustPolicy.rml. Щ е л к н и т е	кнопки	С о х р а н и т ь
(Save) н ОК, чтобы закрыть диалоговое окно.

В версии служб федерации Windows Server 2003 R2 экспорт и импорт политик приходилось выполнять вручную, в результате чего нередко возникали ошибки. В AD FS для выполнения этой задачи используется графический интерфейс, который снижает вероятность в о з н и к н о в е н и я ошибок .

Теперь импортируйте политику на сервер ф е д е р а ц и и ресурсов в организа - ции Woodgrove Bank.

1. Войдите иа машину S E R V E R 0 7 как администратор домена .

3. Разверните	узел Служба ф е д е р а ц и и \ П о л и т и к а д о в е р и я \ П а р т н е р с к и е ор-
ганизации	(Federation Service\Trust P o l i c y \ P a r t n e r	Organizations) .
4. Щелкните	правой кнопкой мыши папку П а р т н е р ы	по у ч е т н ы м з а п и с я м

(Account Partners), выполните команду Создать (New) и щ е л к н и т е элемент Партнер по учетным записям (Account Partner) .

5. На странице приветствия щелкните Далее (Next) .
6. На странице Импорт файла политики	( I m p o r t Policy File) щ е л к н и т е пара-
метр Да (Yes), а затем кнопку Обзор (Browse) .
7. В адресную строку введите адрес	\\SERVEIW3.contoso.com\temp и нажми-

те клавишу Enter. Выберите политику доверия Contoso, последовательно щелкните кнопки Открыть ( O p e n ) и Далее (Next).

8. На странице Сведения о партнере по учетным записям ( A c c o u n t Partner Details) щелкните Далее (Next).

На странице должна отображаться та же информация, которая была введена при настройке свойств политики доверия для домена contoso.com.

П°Д™Ф>ВДаю.ций сертификат проверки партнера по учетным записям (Account Partner Verification Certificate) выберите параметр И споль-

Занятие 2

Настройка служб федерации Active Directory

8 8 3

зовать сертификат проверки в файле политики импорта (Use The Verification Certificate In The Import Policy File) и щелкните Далее (Next).

10. На странице Федеративный сценарий (Federation Scenario) выберите параметр Единый вход федерации для Интернет-решений (Federated Web S S O ) и щелкните Далее (Next).

И. На странице Идентификационное утверждение партнера но учетным записям (Account Partner Identity Claims) установите флажки Утверждение на U P N - и м я ( U P N Claim) и Утверждение на электронную почту (E-mail Claim) и щелкните Далее (Next).

Помните, что общие имена часто очень сложно подтверждать и проверять их уникальность. Поэтому по возможности избегайте их использования.

12.	На	странице	П р и н я т ы е суффиксы	UPN-именн (Accepted UPN Suffixes)
	введите с у ф ф и к с Contoso.com, щелкните Добавить				(Add) и Далее (Next).
13.	На	странице	П р и н я т ы е с у ф ф и к с ы	электронной	почты (Accepted E-mail

Suffixes) введите с у ф ф и к с Contoso.com, щелкните кнопку Добавить (Add)

и Далее (Next) .

14.На странице Включить этого партнера по учетным записям (Enable This Account Partner) установите флажок Включить этого партнера по учетным записям (Enable This Account Partner) н щелкните Далее (Next).

15.Щ е л к н и т е кнопку Готово (Finish), чтобы завершить работу мастера. Итак, на сервере федерации ресурсов настроен партнер по учетным записям. Он отображается в узле Партнеры по учетным записям (Account Partners).

Теперь создайте сопоставление утверждений для этого партнера.

1.В узле Партнеры по учетным записям (Account Partners) щелкните правой кнопкой мыши имя партнера Contoso, выполните команду Создать (New) и щелкните элемент Входящее утверждение о группе (Incoming Group Claim Mapping) .

2.В диалоговом окне Создание сопоставления входящих утверждений о груп-

пе (Create A New Incoming Group Claim Mapping) введите имя Woodgrove

. Bank Application Claim, выберите в раскрывающемся списке Woodgrove Bank Application Claim, а затем щелкните ОК.

Отметим, что вы должны ввести символы в верхнем и нижнем регистрах точно таким же образом, как они были введены ранее в домене contoso.com при создании утверждения о группе. Использование одного имени и пароля д л я обеих учетных записей в организациях учетных записей и ресурсов упрощает эту задачу.

Теперь экспортируйте партнерскую политику сервера федерации ресурсов

иимпортируйте ее на сервер федерации учетных записей.

1.В узле Партнеры по учетным записям (Account Partners) щелкните правой кнопкой мыши партнера Contoso и выполните команду Политика экспорта (Export Policy).

г 884

Службы федерации Active Directory

Глава 17

2. В диалоговом окне Экспорт партнерской политики (Export Partner Policy) щелкните кнопку Обзор (Browse).

3.В адресной строке введите адрес \\SE11VER03.contoso.com\temp и нажмите клавишу Enter.

4. Введите имя файла ContosoPartnerPolicy и щелкните кнопку Сохранить (Save). 5. Щелкните ОК, чтобы завершить операцию.

Теперь импортируйте эту партнерскую политику на сервер федерации учетных записей.

6. Войдите иа машину S E R V E R 0 3 как администратор домена.

7.В программной группе Администрирование (Administrative Tools) запустите Службы федерации Active Directory (Active Directory Federation Services).

8. Разверните	узел Служба ф е д е р а ц и и \ П о л и т и к а д о в е р и я \ П а р т н е р с к и е ор-
ганизации	(Federation Service\Trust Policy\Partner	Organizations).
9. Щелкните правой кнопкой м ы ш и узел П а р т н е р ы		по ресурсам (Resource

Partners), выполните команду Создать (New) и щ е л к н и т е элемент Партнер по ресурсам (Resource Partner).

10. На странице приветствия щелкните Далее (Next) .

И. На странице Импорт файла политики (Import Policy File) выберите опцию Да (Yes), а затем щелкните кнопку Обзор (Browse) .

12.Откройте папку C:\Temp, выберите файл ContosoPartnerPolicy и щелкните кнопку Открыть (Open). Щелкните Далее (Next).

13.На странице Подробности о партнере по ресурсам (Resource Partner Details) щелкните Далее (Next).

Здесь должна отображаться та же информация, которую вы ввели в процессе настройки свойств политики доверия д л я домена Woodgrove Bank.

14.На странице Федеративный сценарий (Federation Scenario) выберите сценарий Единый вход федерации для Интернет - решений (Federated Web S S O ) и щелкните Далее (Next).

15.На странице Идентификационное утверждение партнера по ресурсам (Re-

source Partner Identity Claims) установите ф л а ж к и Утверждение на U P N - имя (UPN Claim) и Утверждение на электронную почту (E-mail Claim). Щелкните Далее (Next).

16.На странице Выбор суффикса U P N - и м е н и (Select U P N Suffix) выберите параметр Заменить все UPN - суффиксы (Replace All U P N Suffixes With The

Following) и укажите	UPN - суффикс Contoso.com. Щ е л к н и т е Далее (Next).
Помните, что в партнерской связи используется только один суффикс UPN,
даже если в лесу AD	DS их несколько.

17.На странице Выбор суффикса электронной почты (Select E-mail Suffix) выберите параметр Заменить все суффиксы электронной почты (Replace All E-Mail Suffixes With) и укажите суффикс электронной почты Contoso.com. Щелкните Далее (Next).

Занятие 2

f l f l u I

18.

На с т р а н и ц е В к л ю ч и т ь этого п а р т н е р а по у ч е т н ы м записям (Enable This

A c c o u n t

P a r t n e r )

у с т а н о в и т е ф л а ж о к В к л ю ч и т ь этого партнера по учетным

з а п и с я м

( E n a b l e

T h i s A c c o u n t P a r t n e r )

щ е л к н и т е Далее

(Next) .

19.

Щ е л к н и т е

к н о п к у

Готово ( F i n i s h ) , чтобы

з а в е р ш и т ь операцию.

Т е п е р ь W o o d g r o v e

B a n k д о л ж е н быть

указан как партнер

по учетным за-

п и с я м . Р е а л и з а ц и я A D F S з а в е р ш е н а .

Резюме

•

П о с к о л ь к у

и с п о л ь з у е т б е з о п а с н ы е

коммуникации,

каждый сервер

в п а р т н е р с т в е AD

FS д о л ж е н д о в е р я т ь

корневому сертификату, который

п р и м е н я л с я д л я

в ы д а ч и с е р т и ф и к а т о в

к а ж д о м у серверу в

развертывании.

В с л у ч а е п р и м е н е н и я с а м о з а в е р я ю щ и х с е р т и ф и к а т о в каждый из них необ-

х о д и м о

э к с п о р т и р о в а т ь , а з а т е м и м п о р т и р о в а т ь в соответствующие храни-

л и щ а д о в е р е н н ы х

ц е н т р о в с е р т и ф и к а ц и и н а сервере.

•

П р и н а с т р о й к е

п а р т н е р с к и х о т н о ш е н и й вначале необходимо создать при-

л о ж е н и я , п о д д е р ж и в а ю щ и е у т в е р ж д е н и я , и назначить конкретные утверж-

д е н и я д л я к а ж д о г о п а р т н е р а .

•

П о с л е

с о з д а н и я у т в е р ж д е н и й н у ж н о

и д е н т и ф и ц и р о в а т ь

хранилище

ката-

л о г о в , к о т о р о е

б у д е т и с п о л ь з о в а т ь с я

к а ж д ы м сервером

федерации в

раз-

в е р т ы в а н и и .

•

М е ж д у д в у м я п а р т н е р а м и создается доверие федерации . Д л я этого нужно

п о д г о т о в и т ь п о л и т и к у д о в е р и я на к а ж д о м сервере, экспортировать поли-

т и к у д о в е р и я с с е р в е р а ф е д е р а ц и и учетных записей и импортировать ее на

с е р в е р

ф е д е р а ц и и р е с у р с о в . З а т е м п о л и т и к у доверия можно использовать

д л я н а з н а ч е н и я

у т в е р ж д е н и й организаци и учетных записей. Чтобы завер-

ш и т ь с о з д а н и е

д о в е р и я

ф е д е р а ц и и , необходимо экспортировать партнер-

с к у ю п о л и т и к у

с е р в е р а ф е д е р а ц и и

ресурсов, а затем импортировать ее

на с е р в е р

ф е д е р а ц и и у ч е т н ы х записей . На этом этапе будет создана парт-

н е р с к а я с в я з ь .

Закрепление материала

П р и в е д е н н ы й

д а л е е в о п р о с

п р е д н а з н а ч е н д л я

проверки знаний, полученных

на

з а н я т и и 2

( э т о т

в о п р о с

с о д е р ж и т с я т а к ж е

на сопроводительном компакт-

ди с к е ) .

ПРИМЕЧАНИЕ Ответы

Ответы на эти вопросы с пояснениями, почему тот или иной вариант является правильным или неправильным, вы найдете в разделе «Ответы» в конце книги.

1. Вы р а б о т а е т е а д м и н и с т р а т о р о м в д о м е н е			contoso.com.	Ваша организация
п р и н я л а	р е ш е н и е	с о з д а т ь ф е д е р а т и в н о е	партнерство с	Woodgrove Bank,
ч т о б ы с	п о м о щ ь ю	ф е д е р а ц и и у д о с т о в е р е н и й получать		доступ к новому
п р и л о ж е н и ю в д е м и л и т а р и з о в а н н о й зоне			(сети по периметру) банка. Сер-
в е р ы ф е д е р а ц и и и		п р о к с и - с е р в е р ы ф е д е р а ц и и у ж е установлены, однако

г 36 Службы федерации Active Directory Глава 17

для включения федерации удостоверении н е о б х о д и м о о т к о н ф и г у р и р о в а т ь доверие федерации. Какие действия следует п р е д п р и н я т ь ? ( У к а ж и т е все варианты.)

A.	Связаться с коллегой в Woodgrove Bank и		у с т а н о в и т ь		способ	обмена
	информацией.
Б.	Экспортировать партнерскую п о л и т и к у	из	W o o d g r o v e		Bank и	импор -
	тировать ее в Contoso.
B. Экспортировать партнерскую п о л и т и к у из C o n t o s o и				и м п о р т и р о в а т ь ее
	в Woodgrove Bank.
Г.	Экспортировать п о л и т и к у д о в е р и я из	C o n t o s o и		и м п о р т и р о в а т ь ее
	в Woodgrove Bank.
Д.	Создать и отконфигурировать в W o o d g r o v e		Bank с о п о с т а в л е н и е утвер-
	ждений.
Е.	Экспортировать политику доверия из Woodgrove Bank и и м п о р т и р о в а т ь
	ее в Contoso.

Закрепление материала главы

Д л я того чтобы попрактиковаться и з а к р е п и т ь з н а н и я , п о л у ч е н н ы е п р и изуче - нии представленного в этой главе материала, вам н е о б х о д и м о :

•ознакомиться с резюме главы;

•повторить используемые в главе о с н о в н ы е т е р м и н ы ;

•изучить сценарий, в котором описана р е а л ь н а я с и т у а ц и я , т р е б у ю щ а я при-

менения полученных знаний, и п р е д л о ж и т ь свое р е ш е н и е ;

•	выполнить рекомендуемые у п р а ж н е н и я ;
•	сдать пробный экзамен с помощью тестов.

Резюме главы

• Как служба каталогов сетевой о п е р а ц и о н н о й	с и с т е м ы AD	DS	в	основном
предназначена д л я работы в п р е д е л а х сети	о р г а н и з а ц и и . Д л я			р а с ш и р е -
ния служб идентификации и доступа ( I D A )	во в н е ш н и й	м и р	н е о б х о д и м о
использовать дополнительные т е х н о л о г и и , в к л ю ч а я AD		FS.	С п о м о щ ь ю
AD FS предоставляется внешняя п о д д е р ж к а д л я в н у т р е н н и х			с л у ж б IDA,

а поскольку открывать д о п о л н и т е л ь н ы е п о р т ы б р а н д м а у э р а пет необходи - мости, AD FS представляет собой великолепный инструмент д л я основания партнерства. В конечном счете, партнерство о р г а н и з а ц и й о с н о в а н о на AD FS, однако нередко они продолжают у п р а в л я т ь т о л ь к о своей внутренней службой AD DS.

•Структура AD FS составляется из четырех служб ролей: С л у ж б а федерации

(Federation Service), Прокси-агент с л у ж б ы ф е д е р а ц и и ( F e d e r a t i o n Service Proxy), Агент, поддерживающий утверждения (Claims-Aware Agent) и Агент Windows на основе маркеров ( W i n d o w s Token - Based Agent) . О т м е т и м , что

Сценарий

8 8 7

с л у ж б а федерации и прокси-агент службы федерации не могут сосуществовать на одном сервере.

• П о м и м о основных технологий, включенных в AD FS, процессы федерации и с п о л ь з у ю т утверждения для идентификации доступа, предоставляемого пользователям, ф а й л ы cookie для упрощения процесса входа н поддержки единого входа SSO, а также сертификаты для подтверждения всех тран- з а к ц и й и обеспечения безопасности всех коммуникаций.

•Существует три типа развертывания AD FS: Единый вход федерации для

Ин т е р н е т - р е ш е н и й (Federated Web SSO), Единый вход федерации для Интернет - решений с доверием лесов (Federated Web SSO With Forest Trust) и Е д и н ы й вход д л я Интернет - решений (Web SSO). Из них чаще всего ис-

пользуется развертывание единого входа федерации для интернет-решений. С а м о с у щ е с т в о в а н и е AD FS поможет избежать требований для доверия лесов через брандмауэры .

Основные термины

З а п о м н и т е у к а з а н н ы е далее термины, чтобы лучше понять описываемые концепции .

• С о п о с т а в л е н и е у т в е р ж д е н и й Обработка входящего утверждения и его ф и л ь т р а ц и я сервером федерации для извлечения соответствующей авто-

ри з а ц и и пользователя .

•Д о в е р и е ф е д е р а ц и и Одностороннее доверие между организацией ресур-

сов и о р г а н и з а ц и я м и учетных записей.

• А р х и т е к т у р а , о р и е н т и р о в а н н а я на службы SOA (Service-Oriented Archi- t e c t u r e ) Архитектура SOA основана на стандартах, не зависит от языка и использует веб-службы для поддержки распределенных служб в Интернете.

• В е б - с л у ж б ы	С л у ж б ы	Интернета па	основе стандартов, формирующие
часть архитектуры SOA. В качестве известных веб-служб можно привести
протокол S O A P	(Simple	Object Access	Protocol), расширяемый язык раз-

метки X M L , а также универсальный метод описания, обнаружения и интег-

р а ц и и веб - служб U D D I	(Universal Description, Discovery, And Integration).
Веб - службы не зависят от языка и взаимодействуют между различными
и н ф р а с т р у к т у р а м и IT, такими как UNIX,		Linux и Windows.
• W S - F e d e r a t i o n P a s s i v e	R e q u e s t o r Profile	( W S - F P R P ) Компонент WS-

Federation с описанием стандартного протокола, который будет использоваться при получении пассивным клиентом доступа к приложению с помощью с л у ж б ы федерации.

Сценарий. Выбор соответствующей технологии Active Directory

В следующем сценарии необходимо применить полученные знания об AD FS. Ответы на вопросы находятся в разделе «Ответы» в конец книги.

<<< < Предыдущая 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 9091 / 9691 92 93 94 95 96 > Следующая >>>

Соседние файлы в папке ЛБ

#
02.02.20218.2 Mб267Книга Active directory.pdf
#
02.02.2021368.32 Кб190Методичні вказівки з оформлення робіт.pdf
#
02.02.2021121.86 Кб186Шаблон звіту.doc