Mi az Active Directory összevonási szolgáltatások (ADFS) és hogyan működik?

Az Active Directory Federation Services (ADFS) a Microsoft által kifejlesztett szoftverösszetevő, amely SSO (Single Sign-On) képességeket biztosít a felhasználók számára több alkalmazásban vagy rendszerben. Lehetővé teszi a szervezetek számára, hogy hitelesítési és engedélyezési szolgáltatásaikat vállalati hálózatukon túl a partnerszervezetekre vagy a felhőalapú szolgáltatásokra is kiterjeszthessék.

Mi az Active Directory összevonási szolgáltatások (ADFS)

Az Active Directory Federation Services (ADFS) a Microsoft által kifejlesztett egyszeri bejelentkezési (SSO) megoldás, amely egységes hitelesítési élményt biztosít az alkalmazottak számára, lehetővé téve számukra, hogy egyetlen hitelesítési adatkészlettel több alkalmazáshoz is hozzáférjenek. A jogcímen alapuló hozzáférés-vezérlési engedélyezési modellt használva az ADFS a biztonságot úgy biztosítja, hogy azonosítja a felhasználókat az identitásukhoz kapcsolódó jogcímeken keresztül, amelyeket az identitásszolgáltató által kiadott biztonságos tokenbe csomagolnak. Az ADFS biztonságos hozzáférést biztosít a tartományokhoz, eszközökhöz, webalkalmazásokhoz és rendszerekhez a szervezet Active Directoryján és jóváhagyott, harmadik féltől származó rendszerein belül. Összevont jellege központosítja a felhasználói identitást, lehetővé téve az egyének számára, hogy a meglévő AD-hitelesítő adatok segítségével hozzáférjenek az alkalmazásokhoz a vállalati hálózaton belül és megbízható külső forrásokból. Az ADFS megkönnyíti az AD-be integrált alkalmazások távoli elérését a felhőn keresztül, egyszerűsítve a felhasználói élményt, miközben szigorú biztonsági szabályzatokat tart fenn.

Az Active Directory összevonási szolgáltatások működése

Az ADFS a felhasználói identitások hitelesítésével és a hozzáférési jogosultságok ellenőrzésével működik. A felhasználói személyazonosság-ellenőrzés során az ADFS a vállalat adattárából származó információkra támaszkodik, hogy megerősítse a felhasználói identitást több információ segítségével, például teljes név, alkalmazotti szám, telefonszám, alkalmazotti azonosító vagy e-mail cím. Ez a folyamat követelés alapú hitelesítési modellt követ, amelyben az ADFS létrehoz egy biztonságos tokent, amely minden felhasználóhoz kapcsolódó hozzáférési jogokat vagy jogcímeket tartalmaz. Amikor a felhasználó megpróbál hozzáférni egy rendszerhez, az ADFS összeveti a kérést a jóváhagyott rendszerek és alkalmazások listájával. Harmadik féltől származó rendszerhitelesítéshez az ADFS proxyszolgáltatást használ az Active Directory és a külső alkalmazás között. Ez a szolgáltatás egyesíti a felhasználói identitást és a követelési szabályt, lehetővé téve a felhasználó számára, hogy közvetlenül megkerülje az identitásuk hitelesítését az egyes alkalmazásoknál. Ez a funkció Federated Trust vagy „party trust” néven ismert.

A hitelesítési folyamat jellemzően négy fő lépésből áll. Először a felhasználó hozzáfér az ADFS szolgáltatás által biztosított URL-hez. Az ADFS-szolgáltatás ezután hitelesíti a felhasználót a szervezet AD-szolgáltatásán keresztül. Sikeres hitelesítés esetén az ADFS szolgáltatás hitelesítési igényt generál, és elküldi a felhasználónak. Végül a felhasználó böngészője továbbítja ezt az igényt a célalkalmazásnak, amely a létrehozott Federated Trust szolgáltatás alapján ennek megfelelően megadja vagy megtagadja a hozzáférést.

Példaként képzelje el, hogy egy boltban van, és szeretne vásárolni valamit, de nincs készpénze. A pénztáros hitelkártyát kér, de neked nincs az adott banktól. A pénztáros azt javasolja, hogy menjen a bankjába, és szerezzen egy tokent, amely lehetővé teszi a hitelkártyával történő fizetést. Bemész a bankba, és ott adnak egy tokent. Visszaviszi a tokent a boltba, és átadja a pénztárosnak. A pénztáros ellenőrzi a tokent, és ellenőrzi, hogy van-e elég pénz a számláján a vásárlás fedezésére. A pénztáros ezután engedélyezi a tranzakciót, és Ön hazaviheti a vásárlást.

Ebben a példában a webhely a pénztáros, az ADFS-kiszolgáló az Ön bankja, a token pedig a hitelkártya. A felhasználó te vagy, az ügyfél. Ahogyan a pénztárosnak meg kell győződnie arról, hogy elegendő pénze van-e a vásárlás befejezéséhez, a webhelynek is meg kell győződnie arról, hogy a felhasználó rendelkezik-e a megfelelő engedélyekkel a kért információk eléréséhez. A token lehetőséget biztosít a webhely számára a felhasználó személyazonosságának és engedélyeinek ellenőrzésére.

Az Active Directory összevonási szolgáltatások összetevői

Az alábbiakban bemutatjuk az ADFS fő összetevőit:

1. Entra ID (Azure AD)
2. Azure AD Connect
3. ADFS webszerver
4. Összevonási szerver
5. Összevonási kiszolgáló proxy

1. Entra ID (Azure AD): Az Entra ID, korábban az Azure AD, a Microsoft szabadalmaztatott felhőalapú címtárszolgáltatása. Lehetővé teszi a hálózati rendszergazdák számára, hogy fiókjogokat rendeljenek hozzá és kezeljenek minden hálózati erőforráshoz. Az Entra ID segítségével a szervezetek hatékonyan szabályozhatják a hálózatukon belüli különféle szoftveralkalmazásokhoz és adatokhoz való hozzáférést.

2. Azure AD Connect: Az Azure AD Connect egy modul, amely megkönnyíti az Active Directory és az Azure AD közötti kapcsolatot. Gyakran használják hibrid üzembe helyezésekben, lehetővé téve a szervezetek számára, hogy integrálják helyszíni AD-infrastruktúrájukat a felhőalapú Azure AD-szolgáltatásokkal. Az Azure AD Connect biztosítja a felhasználói identitások és attribútumok zökkenőmentes szinkronizálását a két környezet között.

3. ADFS webszerver: Az ADFS webszerver gazdaként szolgál az ADFS webügynök számára, amely a hitelesítési célokra használt biztonsági tokenek és hitelesítési cookie-k kezeléséért felelős. Ez a dedikált szerver tárolja és karbantartja ezeket a biztonsági tokeneket, valamint egyéb hitelesítési eszközöket, például a cookie-kat. Az ADFS webszerver kulcsfontosságú szerepet játszik a felhasználói hitelesítő adatok biztonságos ellenőrzésében és a jogosult erőforrásokhoz való hozzáférés biztosításában.

4. Összevonási kiszolgáló: Az összevonási kiszolgáló segít az üzleti partnerek közötti egyesített bizalmi kapcsolatok kezelésében. Feldolgozza a külső felhasználók hitelesítési kéréseit, és olyan biztonsági token-szolgáltatást üzemeltet, amely az Active Directory hitelesítő adatainak ellenőrzése alapján állít ki jogkivonatokat a követelésekhez. Ez az egyszeri bejelentkezési (SSO) eszköz lehetővé teszi a hitelesítési és hozzáférési szolgáltatásokat több rendszer számára különböző vállalatokon belül, a tárhely szervezet Active Directoryján alapuló közös biztonsági token használatával.

5. Összevonási kiszolgálóproxy: Az összevonási kiszolgálóproxy átjáróként működik a szervezet Active Directoryja és a külső célok között. A biztonsági kockázatok megelőzése érdekében összehangolja a hozzáférési kérelmeket az összevonási kiszolgálóval, amely nincs közvetlenül kitéve az internetnek. Az összevonási kiszolgáló proxy a szervezet extranetjén van telepítve, lehetővé téve a külső ügyfelek számára, hogy csatlakozzanak és kérjenek biztonsági tokent. Ezeket a kéréseket hitelesítési és engedélyezési célból továbbítja az összevonási kiszolgálónak.

Az Active Directory összevonási szolgáltatások előnyei

Az ADFS megoldásként jelent meg az Active Directory és az Integrated Windows Authentication (IWA) korlátainak kezelésére az AD-be integrált alkalmazásokhoz hozzáférő felhasználók hitelesítésében. Mivel a szervezetek több mint 90%-a használja az Active Directoryt, és sokan alkalmazzák az ADFS-t, a végfelhasználók számára a következő előnyökkel jár:

Biztonság: Az ADFS csökkenti a hagyományos jelszavakra való támaszkodást a hitelesítés során. Az ADFS használatával a szervezetek olyan erős hitelesítési mechanizmusokat valósíthatnak meg, mint például a többtényezős hitelesítés (MFA), amely jelentősen csökkenti a jelszóval kapcsolatos biztonsági rések kockázatát.

Egyszerűség: Az ADFS kiküszöböli annak szükségességét, hogy a felhasználók több jelszót emlékezzenek, így csökken az elfelejtett jelszavak és a kapcsolódó fiókzárolási problémák kockázata. Ezenkívül az ADFS leegyszerűsíti a felhasználói fiókok deaktiválásának folyamatát, amikor az alkalmazottak elhagyják a szervezetet. Az informatikai rendszergazdák gyorsan és egyszerűen letilthatják a hozzáférést a távozó alkalmazott fiókjához kapcsolódó összes alkalmazáshoz és erőforráshoz, így biztosítva a szervezet biztonságát és megfelelőségét.

Tapasztalat: Az ADFS zökkenőmentes és problémamentes élményt biztosít a felhasználóknak az alkalmazások elérésekor. Azáltal, hogy nincs szükség több bejelentkezésre és jelszó megadására, az ADFS növeli a felhasználók termelékenységét és elégedettségét.

Hatékonyság: Az ADFS lehetővé teszi a felhasználók számára, hogy zökkenőmentesen válthassanak az alkalmazások és a feladatok között a jelszókérés okozta megszakítások nélkül. Ez a gördülékeny mozgás növeli az általános felhasználói hatékonyságot és termelékenységet, és minimalizálja a jelszóproblémákkal kapcsolatos IT-támogatási kérések számát.

Az Active Directory összevonási szolgáltatások hátrányai

Az alábbiakban felsoroljuk az ADFS néhány hátrányát:

Infrastruktúraköltségek: Az ADFS-hez Windows Server-licenc és dedikált szerver szükséges. Ez jelentős előzetes költségekkel járhat, különösen azon szervezetek számára, amelyek még nem rendelkeznek Windows Server környezettel.

Működési és karbantartási költségek: Az ADFS hatékony működéséhez és karbantartásához mélyreható műszaki szakértelmet és támogatást igényel. Ez kihívást jelenthet azoknak a szervezeteknek, amelyek nem rendelkeznek a szükséges belső erőforrásokkal. Ezenkívül az ADFS konfigurálása, üzembe helyezése, üzemeltetése és más rendszerekkel, például az Azure AD-vel való integrálása bonyolult lehet, ami tovább növelheti az ADFS-hez kapcsolódó költségeket.

További korlátozások: Az ADFS nem támogatja a felhasználók vagy csoportok, nyomtatószerverek vagy a legtöbb távoli asztali kapcsolat közötti fájlmegosztást. Ezenkívül az ADFS nem biztosít hozzáférést az Active Directory-erőforrásokhoz, például a csoportházirendekhez vagy felhasználói fiókokhoz.

Összefoglalva, az Active Directory Federation Services (ADFS) hídként működik a szervezet belső hálózata és a külső erőforrások között, zökkenőmentesen hitelesíti a felhasználókat, és biztonságos hozzáférést biztosít a helyszíni vagy a felhőben tárolt alkalmazásokhoz és szolgáltatásokhoz. Az ADFS iparági szabványos protokollok és erős titkosítási módszerek használatával fokozza a biztonságot, biztosítva, hogy az érzékeny adatok védve maradjanak a hitelesítési és engedélyezési folyamatok során. Az ADFS bevezetésével a szervezetek javíthatják általános biztonsági helyzetüket, miközben egyszerűsítik a felhasználói hozzáférést és javítják az általános felhasználói élményt.

Ha szeretné látni, hogy a Lepide hogyan tud segíteni Active Directory-környezete biztonságában, ütemezze be a bemutatót valamelyik mérnökünkkel, vagy kezdje el az ingyenes próbaverziót még ma.