Главная мысль
Оцените необходимость AD FS для каждого приложения. Если служба остаётся, защитите инфраструктуру; для перехода составьте перечень приложений, протестируйте их и подготовьте откат.
Для чего нужен AD FS?
Active Directory Federation Services (AD FS) — служба федеративной аутентификации в среде Microsoft. Она устанавливает доверие между каталогом Active Directory Domain Services организации и отдельным приложением или партнёром. Пользователь проходит аутентификацию у провайдера идентификации организации, а приложение получает токен для принятия решения о доступе — отдельный пароль для каждого приложения не требуется. Так можно объединить локальные системы, порталы партнёров и совместимые облачные приложения в единую модель входа.
Поток claims и токенов
AD FS выдаёт токен, а приложение принимает собственное решение о разрешениях. Пароль пользователя relying party не передаётся.
Приложение направляет запрос входа
Приложение relying party направляет запрос входа пользователя в AD FS.
Claims provider аутентифицирует
Настроенный claims provider проверяет пользователя и передаёт claims; стандартный provider AD DS получает атрибуты доменного аккаунта и результат аутентификации.
Правила claims работают последовательно
Acceptance transform rules принимают claims; issuance authorization rules разрешают выдачу токена для этого relying party; issuance transform rules формируют исходящие claims. AD FS подписывает токен.
Приложение проверяет токен и права
Relying party проверяет подпись доверенным ключом, issuer, audience и срок, затем применяет собственную политику разрешений.
Claims, сертификаты и настройки приложений
Правила claims могут передавать приложению имя пользователя, группу или другие утверждённые атрибуты. Передавайте только данные, необходимые для решения приложения, проверяйте изменения правил и тестируйте соответствие имён и форматов claims ожиданиям приложения. Сертификат token-signing подписывает исходящие токены, а token-decryption расшифровывает входящие зашифрованные токены. Отслеживайте срок и продление, согласуйте rollover с соответствующими партнёрами федерации. Отдельно управляйте сертификатами TLS/service communication. Поддержка SAML, WS-Federation и OpenID Connect зависит от версии AD FS и способа интеграции приложения.
Когда сохранять AD FS, а когда переходить на другой вариант?
AD FS может оставаться необходимым для локального контроля идентификации, старого приложения или особых требований федерации. В этом случае организация сама отвечает за серверы, proxy-уровень, высокую доступность, сертификаты, сетевые границы и обновления. Облачная служба идентификации, например Microsoft Entra ID, может снизить объём серверного обслуживания в некоторых сценариях, но совместимость приложений, гибридные зависимости, сеть, лицензирование и восстановление требуют отдельной проверки. Решение о миграции или сохранении принимайте для каждого приложения и риска.
Планируйте безопасную миграцию
С помощью руководства Microsoft по миграции приложений инвентаризируйте relying party AD FS, недавние входы, протоколы, claims, provisioning и бизнес-владельцев. Сгруппируйте приложения по совместимости и влиянию; каждое настраивайте в тестовом tenant. Проверьте вход и выход, MFA/Conditional Access, provisioning пользователей, сертификаты, мобильный и удалённый доступ, сервисные потоки. Зафиксируйте исходную конфигурацию, протестируйте переход с пилотной группой, назначьте владельца для проблем и выходите в production после подготовки проверенного отката.