Служба AD FS (Active Directory Federation Services) поддерживает проекты федеративной идентификации (ранее упоминавшиеся как сценарии федерации), которые используют спецификации федерации веб-служб (Web Services Federation), профиля пассивной запрашивающей стороны федерации веб-служб (WS-Federation Passive Requestor Profile) и профиля взаимодействия пассивной запрашивающей стороны федерации веб-служб (WS-Federation Passive Requestor Interoperability Profile). Службы AD FS помогают администраторам в решении задач управления федеративной идентификацией, предоставляя для организаций возможности безопасного обмена сведениями об идентификации пользователей через федеративные доверительные отношения. Следующие три описания проектов развертывания демонстрируют, как можно использовать комбинацию ролей сервера AD FS для объединения идентификационных данных в зависимости от потребностей организации. Дополнительные сведения о различных ролях сервера см. в разделе Общее представление о службах роли «Служба федерации Active Directory».

Федеративная веб-служба SSO

В проекте федеративной веб-службы SSO (Single Sign-On) используется безопасное взаимодействие, которое часто охватывает помимо всей инфраструктуры маршрутизации Интернета множество брандмауэров, демилитаризованных зон и серверов разрешения имен. Взаимодействие через среду федеративной веб-службы SSO может помочь формированию более эффективных и безопасных интерактивных операций между организациями, объединенными доверительными отношениями федерации.

Как показано на следующем рисунке, доверительные отношения федерации могут устанавливаться между двумя коммерческими компаниями. В этом проекте серверы федерации выполняют маршрутизацию запросов проверки подлинности от пользовательских учетных записей в компании «Tailspin Toys» к веб-приложениям, расположенным в сети компании «Online Retailer».

Сценарий федеративного единого входа через Интернет

Серверы федерации проверяют подлинность запросов от доверенных партнеров на основе учетных данных этих партнеров. Обмен представлениями учетных данных осуществляется в форме токенов безопасности.

В целях повышения безопасности могут применяться прокси-серверы федерации для ретрансляции запросов на серверы федерации, к которым отсутствует прямой доступ из Интернета.

Федеративная веб-служба SSO с доверием лесов

Как показано на следующем рисунке, в проекте федеративной веб-службы SSO с доверием лесов используются два леса Active Directory в одной организации. Один из лесов находится на границе сети (известной также под названием демилитаризованной зоны, экстрасети или экранированной подсети) организации. Другой лес находится во внутренней сети. Устанавливается однонаправленное доверие лесов, чтобы лес в демилитаризованной зоне доверял лесу во внутренней сети. Серверы федерации развертываются в обеих сетях. Доверительное отношение федерации устанавливается с тем, чтобы учетные записи во внутреннем лесу могли использоваться для доступа к веб-приложению в демилитаризованной зоне независимо от того, получают ли учетные записи доступ к сайту из леса интрасети или из Интернета.

Сценарий федеративного единого входа через Интернет с доверием леса

В этом проекте внешние пользователи, такие как клиенты, могут получать доступ к веб-приложению путем проверки подлинности на внешнем сервере федерации учетных записей, который находится в демилитаризованной зоне. Учетные записи внешних пользователей находятся в лесу Active Directory пограничной сети. Внутренние пользователи, такие как сотрудники организации, могут получать доступ к веб-приложению путем проверки подлинности на внутреннем сервере федерации учетных записей, который находится во внутренней сети. Учетные записи внутренних пользователей находятся в лесу Active Directory внутренней сети.

Если веб-приложением является приложение, использующее токены Windows NT, то веб-агент AD FS, запущенный на сервере веб-приложений, перехватывает запросы и создает токены безопасности Windows NT, которые необходимы веб-приложению для проведения авторизации. Для внешних пользователей это возможно, поскольку веб-сервер с поддержкой AD FS, на котором размещено приложение, использующее токены Windows NT, входит в домен во внешнем лесу. Для внутренних пользователей эта возможность обеспечивается через доверительное отношение лесов, которое существует между пограничным лесом и внутренним лесом.

Если веб-приложение является приложением, поддерживающим утверждения, веб-агент AD FS, запущенный на сервере веб-приложений, не должен создавать для пользователя токены безопасности Windows NT. Веб-агент AD FS может раскрывать проходящие через него утверждения, что позволяет приложению выполнять авторизацию на основе содержимого токена безопасности, который предоставляется сервером федерации учетных записей. Благодаря этому при развертывании приложений, поддерживающих утверждения, веб-сервер с поддержкой AD FS может не входить в домен и не требуется наличие доверия между внешним лесом и внутренним лесом.

Веб-служба SSO

В проекте AD FS веб-службы SSO пользователи должны проходить проверку подлинности только один раз для получения доступа к нескольким веб-приложениям. В этом проекте все пользователи являются внешними, и федеративного доверия не существует. Так как веб-серверы с поддержкой AD FS должны быть доступны из Интернета и к тому же входить в домен Active Directory, они подключены к двум сетям; то есть являются многосетевыми серверами. Первая сеть подключена к Интернету (демилитаризованная зона) для предоставления необходимых подключений. Вторая сеть содержит лес Active Directory (защищенная сеть), к которому нет прямого доступа из Интернета. Прокси-сервер федерации также является многосетевым для предоставления необходимых подключений к серверу федерации и Интернету. В этом проекте помещение сервера федерации в сеть, к которой нет прямого доступа из Интернета, значительно снижает риск уязвимости для сервера федерации.

Сценарий с единым входом через Интернет

Объявления:
  1. Свой дом из клееного бруса
    уже к Новому году. Успей справить новоселье в новом доме из клееного бруса!
    altaidom.com

     
  2. Оперативная полиграфия москва
    Не тратьте время зря - просто зайдите на YPAG.RU
    www.ypag.ru

     
  3. Купить водонагреватель?
    Продажа водонагревателей. Все предложения в Санкт-Петербурге!
    spb.pulscen.ru

     
  4. Монтаж щитка - экономия до 40%
    Экономия на монтаже щитка до 40%! Просто оставьте заявку и сравните цены!
    www.stroy-birzha.ru

     
  5. Кубанские овощи и фрукты 2014
    Прямые оптовые поставки Кубанских овощей и фруктов урожая 2014 года
    agrorom.ru

     
  6. Джинсы из Европы La Redoute!
    Скидки до 30% на Осень-Зима! Новая коллекция Весна 2013 уже на сайте!
    www.laredoute.ru

     
  7. Винтовой компрессор ВК 30.Скидки!
    Продажа. Ремонт. Гарантийное, послегарантийное обслуживание. Запчасти.
    www.akroprom.su

     
  8. Стеллажи складские
    Продажа стеллажей металлических. Сравните цены. Купите дешевле!
    www.raise.ru

     
  9. пицца рецепт!
    Много рецептов с описанием и фото. С нами готовить легко и вкусно!
    vrecepitiki.net

     
  10. Домашнее тепло в дизайне.
    Электрические полотенцесушители и Радиаторы отопления. Гарантия 10 лет
    urfoecon.ru

     
  11. Кухонный угловой диван из экокожи
    Современная мебель! Кухонный угловой диван из экокожи. Доступный комфорт!
    dihall.ru

     
  12. Фотоаппарат зеркальный Canon
    Фотоаппарат зеркальный Canon - 30990 р. Распродажа!
    www.mvideo.ru

     
  13. Скидки каждый день
    Футболки, поло для девочек. Покупай с умом на Price.ru
    price.ru

     
  14. Новые окна за 4 дня
    с момента заказа. Окно REHAU за 5090 рублей. Москитки и лиана в подарок.
    lodg.ru

     
  15. Пеногасители, антивспениватели
    Пеногасители разных марок на складе и под заказ. Прямые поставки с заводов.
    www.ecopotok.com

     
  16. Детские комплекты Norveg!
    Термобелье для взрослых и детей! Примерка. Бесплатная доставка
    detstvo-shop.ru

     
  17. Фанерная продукция со склада
    Прямые поставки дсп, двп, мдф, osb. Гибкая система скидок. Звоните!
    www.snabmaster.ru

     
  18. Производство буровых установок
    Поставки качественного оборудования. Запчасти, сервис!
    www.kurganavtoremont.ru

     
  19. Доска строганная розница и опт
    от производства. Низкие цены, каждому подарок. Закажи сегодня!
    царский-стиль.рф

     
  20. Корпоративы от ТС BRAVISSIMO СПб!
    Зажигательное Новогоднее Приключение от Студии ведущей Ирины Соловьевой!!!!
    piterholiday.ru

     
  21. GV N450 1GI
    Продажа видеокарты Gigabyte GV N450 1GI! Низкие цены! Доставка
    www.techhome.ru

     
  22. Реактор из нержавейки
    Реактор с мешалкой для производства разных продуктов, из нержавеющей стали.
    www.sowergroup.ru

     
  23. Выкуп автомобилей
    Выкуп любых автомобилей: аварийных, битых, старых.
    miravtovikupa.a5.ru

     
  24. Книги "Интернет"
    В наличии 135 книг из раздела "Интернет". Ежедневные акции! Скидки от
    www.biblion.ru

     
  25. Бокалы ручной работы
    Доставка! Бокалы ручной работы
    podborpodarka.ru

     
  26. Трансформаторы?
    Понижающие трансформаторы здесь. Объявления, Санкт-Петербург. Выгодно!
    sankt-peterburg.len.raise.ru

     
  27. Продажа элитных швейцарских часов
    Продажа элитных швейцарских часов. Только оригиналы. Доставка.
    www.imagetime.ru

     
  28. Игра "Колонизаторы" за 590 руб.!
    Игра "Колонизаторы" в наличии на OZON.ru. Доставка по России!
    ozon.ru

     
  29. Разъединители РЛК, РЛНД, РВЗ
    Качественное изделие высокой надежности. Собственное производство.
    ooo-temz.ru

     
  30. Flowers
    Товары для Спорта и Отдыха в интернет магазине OZON.ru! Доставка по РФ.
    www.ozon.ru

     
  31. Paradise Hotel
    Быстрое бронирование oтеля онлайн! Низкие цены! 306 отзывов ! фото!
    www.tripadvisor.ru

     
  32. Страховое общество? Ответ юриста!
    Бесплатная юридическая консультация. Спрашивайте! Отвечаем сразу.
    yuristhelp.ru

     
  33. Роскошная жизнь в Мытищах!
    От 2,8 млн. Хорошая экология. Невысокие цены. Доступная ипотека. 214-ФЗ!
    www.domus-finance.ru

     
  34. Создание и продвижение сайта
    Через Google AdWords. Получи премию в 1000 рублей!
    www.google.ru

     
  35. Ветеринарная служба 24 часа
    Выезд на дом 24 часа. Все виды услуг на дому. Скидки!
    www.med-vet.ru

     
  36. Детский лагерь Лига Фэнтези
    Летняя смена Властелин Колец, до 15 апреля скидка на всё 1500р!
    smartcamp.ru

     
  37. Талреп крюк крюк!
    Талреп гост купить. Низкие цены! 100% гарантия качества. Доставка по России
    www.krepiz.ru

     
  38. Кровать детская двухъярусная Д1
    Цена 23311 руб. Распродажа мебели! Доставка по Москве бесплатно.
    www.mebel199.ru

     
  39. Скупка золота дорого в Спб!
    Скупка золота! Высокая цена за грамм! Профессиональная оценка! Жми!
    neva-gold.ru

     
  40. Тумбы под телевизор
    Тумбы и подставки под телевизор от 1500 руб. Доставка и сборка.
    www.dialog-mebel.ru

     
  41. Полис для выезда из России
    Более 80 тарифов. Только надежные страховые. Оплата онлайн.
    www.intime.ru

     
  42. Перевозка вещей: Венгрия.
    Все виды международных перевозок! Упаковка. Хранение. Помощь на таможне.
    ace-moving.ru

     
  43. Услуги по Ведению Бух Учета.
    Ведение бухгалтерии от 3000 рублей! Наш офис в СВАО.
    www.aventus.ru

     
  44. 2-комнатные квартиры в Строгино
    Выбираете квартиру в Строгино? Учитывайте все плюсы! Подробнее на сайте:
    city-xxi.ru

     
  45. Пледы и одеяла Paters
    Ищете натуральный плед? У нас огромный ассортимент! Доставка.
    www.paters-shop.ru

     
  46. Молодая семья программа 2013?
    Юридическая помощь. Бесплатно! Ответ на Ваш вопрос через 2-3 минуты!
    lawkon.ru

     
  47. Косметика №1 в Израиле и Европе
    Омолаживает кожу убирает лишний вес антицеллюлит = тройное действие!
    seahelp.shp-my.ru

     
  48. Рейс Екатеринбург-Новосибирск
    Екатеринбург-Новосибирск. Бронируйте на Davs.ru. Цены ниже, а поиск - проще
    www.davs.ru

     
  49. Платья российские
    Платья российские. Большой выбор платьев по низкой цене.
    gidtorg.ru

     
  50. Платиновая кредитная карта
    Кредиты Пробизнесбанка. До 1 000 000 рублей до 10 лет. Без залога
    prbbank.blogspot.com