Əsas fikir
AD FS-in zəruriliyini hər tətbiq üzrə qiymətləndirin. Saxlayırsınızsa, infrastrukturu qoruyun və planlı köç üçün tətbiqləri aşkarlayın, sınaqdan keçirin və geri dönüş addımlarını hazırlayın.
AD FS nəyə xidmət edir?
Active Directory Federation Services (AD FS) Microsoft mühitində federativ autentifikasiya xidmətidir. O, təşkilatın Active Directory Domain Services kataloqu ilə ayrıca tətbiq və tərəfdaş arasında etibar yaradır. İstifadəçi hər tətbiq üçün ayrıca parol saxlamaq əvəzinə, təşkilatın identifikasiya provayderində autentifikasiya olunur; tətbiq giriş qərarı üçün token qəbul edir. Bu yanaşma yerli sistemləri, tərəfdaş portallarını və uyğun bulud tətbiqlərini bir sign-in modelində birləşdirə bilər.
Atribut məlumatlarının (claims) və tokenlərin axını
AD FS token verir, tətbiq isə öz icazə qərarını qəbul edir. İstifadəçinin parolu relying party-yə ötürülmür.
Tətbiq giriş sorğusunu yönləndirir
Relying party tətbiqi istifadəçinin giriş sorğusunu AD FS-ə yönləndirir.
Atribut məlumatı provayderi (claims provider) autentifikasiya edir
Konfiqurasiya edilmiş atribut məlumatı provayderi (claims provider) istifadəçini autentifikasiya edir və atribut məlumatlarını (claims) təqdim edir; standart AD DS provider domen hesabının atributlarını və autentifikasiya nəticəsini alır.
Atribut məlumatı (claims) qaydaları ardıcıllıqla işləyir
Acceptance transform rules atribut məlumatlarını (claims) qəbul edir; issuance authorization rules həmin relying party üçün token verilməsinə qərar verir; issuance transform rules çıxan atribut məlumatlarını (claims) formalaşdırır. AD FS tokeni imzalayır.
Tətbiq tokeni və icazəni yoxlayır
Relying party etibarlı açarla imzanı, issuer, audience və müddəti yoxlayır, sonra öz siyasəti ilə icazəni müəyyən edir.
Atribut məlumatları (claims), sertifikat və tətbiq konfiqurasiyası
Atribut məlumatı (claims) qaydaları tətbiqə istifadəçi adı, qrup və ya digər təsdiqlənmiş atributları ötürə bilər. Yalnız tətbiqin qərarı üçün zəruri olan atributları buraxın, qayda dəyişikliklərini nəzərdən keçirin və tətbiqin gözlədiyi atribut məlumatının (claim) adı və formatı ilə uyğunluğu sınaqdan keçirin. Token-signing sertifikatı çıxan tokenləri imzalayır, token-decryption sertifikatı isə daxil olan şifrələnmiş tokenləri açır. Müddət və yenilənməni izləyin, rollover-u müvafiq federasiya tərəfdaşları ilə razılaşdırın. TLS/service communication sertifikatlarını ayrıca idarə edin. SAML, WS-Federation və OpenID Connect dəstəyi AD FS versiyasına və tətbiqin inteqrasiya üsuluna bağlıdır.
AD FS-i nə vaxt saxlamaq, nə vaxt alternativə keçmək olar?
AD FS yerli identifikasiya nəzarəti, köhnə tətbiq və ya xüsusi federation ehtiyacları üçün hələ vacib ola bilər. Bunun əvəzində serverləri, proxy qatını, yüksək əlçatanlığı, sertifikatları, şəbəkə sərhədlərini və yeniləmələri təşkilat özü idarə edir. Microsoft Entra ID kimi bulud identifikasiya xidməti bəzi federasiya ssenarilərində server əməliyyatını azalda bilər, lakin tətbiq uyğunluğu, hibrid asılılıqlar, şəbəkə, lisenziya və bərpa yolu ayrıca yoxlanmalıdır. Köçmək və ya qalmaq qərarını hər tətbiq və risk üçün verin.
Təhlükəsiz köç planı qurun
Microsoft-un tətbiqlərin köçürülməsi üzrə təlimatından istifadə edərək AD FS relying party-lərini (AD FS-ə etibar edən tətbiqləri), son girişləri, protokolları, ötürülən atribut məlumatlarını (claims), istifadəçi təminatını və biznes tərəfdən məsul şəxsləri inventarlaşdırın. Tətbiqləri uyğunluq və təsirə görə qruplaşdırın və hər birini sınaq tenantında konfiqurasiya edin. Sistemə giriş və çıxışı, MFA/Conditional Access-i, istifadəçi təminatını, sertifikatları, mobil və uzaqdan girişi, eləcə də xidmət axınlarını yoxlayın. Başlanğıc konfiqurasiyanı qeyd edin, istifadəçilərlə pilot sınaq aparın, problemlər üçün məsul şəxslər təyin edin və yalnız sınaqdan keçirilmiş geri qaytarma yolu hazır olduqdan sonra əsas iş mühitinə keçin.