Rozšíření služby AD FS (Active Directory Federation Services) do AzureExtend Active Directory Federation Services (AD FS) to Azure

Tato referenční architektura implementuje zabezpečenou hybridní síť, která rozšiřuje místní síť do Azure a k provedení federovaného ověření a autorizace pro komponenty běžící v Azure používá službu Active Directory Federation Services (AD FS).This reference architecture implements a secure hybrid network that extends your on-premises network to Azure and uses Active Directory Federation Services (AD FS) to perform federated authentication and authorization for components running in Azure. Nasaďte toto řešení.Deploy this solution.

Zabezpečení hybridní síťové architektury s Active Directory

Stáhněte si soubor aplikace Visio s touto architekturou.Download a Visio file of this architecture.

Služba AD FS může být hostovaná místně. Pokud je ale aplikace hybridní a některé její části jsou implementované v Azure, může být efektivnější replikovat službu AD FS v cloudu.AD FS can be hosted on-premises, but if your application is a hybrid in which some parts are implemented in Azure, it may be more efficient to replicate AD FS in the cloud.

Diagram znázorňuje následující scénáře:The diagram shows the following scenarios:

  • Kód aplikace z partnerské organizace přistupuje k webové aplikaci hostované uvnitř virtuální sítě Azure.Application code from a partner organization accesses a web application hosted inside your Azure VNet.
  • Externí registrovaný uživatel s přihlašovacími údaji uloženými ve službě Active Directory Domain Services přistupuje k webové aplikaci hostované uvnitř virtuální sítě Azure.An external, registered user with credentials stored inside Active Directory Domain Services (DS) accesses a web application hosted inside your Azure VNet.
  • Uživatel připojený k vaší virtuální síti pomocí autorizovaného zařízení spouští webovou aplikaci hostovanou uvnitř virtuální sítě Azure.A user connected to your VNet using an authorized device executes a web application hosted inside your Azure VNet.

Obvyklá využití pro tuto architekturu:Typical uses for this architecture include:

  • Hybridní aplikace, kde úlohy běží částečně místně a částečně v AzureHybrid applications where workloads run partly on-premises and partly in Azure.
  • Řešení, která ke zveřejňování webových aplikací v partnerských organizacích používají federovanou autorizaciSolutions that use federated authorization to expose web applications to partner organizations.
  • Systémy podporující přístup z webových prohlížečů spuštěných vně brány firewall organizaceSystems that support access from web browsers running outside of the organizational firewall.
  • Systémy umožňující uživatelům přistupovat k webovým aplikacím prostřednictvím připojení z autorizovaných externích zařízení, jako jsou například vzdálené počítače, notebooky a jiná mobilní zařízeníSystems that enable users to access to web applications by connecting from authorized external devices such as remote computers, notebooks, and other mobile devices.

Tato referenční architektura se zaměřuje na pasivní federaci, ve které federační servery rozhodují, jak a kdy se má uživatel ověřit.This reference architecture focuses on passive federation, in which the federation servers decide how and when to authenticate a user. Uživatel zadá přihlašovací údaje při spuštění aplikace.The user provides sign in information when the application is started. Nejčastěji tento mechanismus používají webové prohlížeče. Jeho součástí je protokol, který prohlížeč přesměruje na web, kde dojde k ověření uživatele.This mechanism is most commonly used by web browsers and involves a protocol that redirects the browser to a site where the user authenticates. Služba AD FS dále podporuje aktivní federaci, ve které aplikace přebírá odpovědnost za poskytnutí přihlašovacích údajů bez dalšího zásahu uživatele. Tento scénář je ale mimo rámec této architektury.AD FS also supports active federation, where an application takes on responsibility for supplying credentials without further user interaction, but that scenario is outside the scope of this architecture.

Další informace najdete v článku Volba řešení pro integraci místní služby Active Directory s Azure.For additional considerations, see Choose a solution for integrating on-premises Active Directory with Azure.

ArchitekturaArchitecture

Tato architektura rozšiřuje implementaci popsanou v tématu Rozšíření služby AD DS do Azure.This architecture extends the implementation described in Extending AD DS to Azure. Obsahuje následující součásti.It contains the following components.

  • Podsíť AD DS.AD DS subnet. Servery služby AD DS jsou součástí vlastní podsítě s pravidly skupiny zabezpečení sítě fungujícími jako brána firewall.The AD DS servers are contained in their own subnet with network security group (NSG) rules acting as a firewall.

  • Servery AD DS.AD DS servers. Řadiče domény běžící jako virtuální počítače v Azure.Domain controllers running as VMs in Azure. Tyto servery poskytují ověřování místních identit v rámci domény.These servers provide authentication of local identities within the domain.

  • Podsíť AD FS.AD FS subnet. Servery služby AD FS jsou umístěné ve vlastní podsíti s pravidly skupiny zabezpečení sítě fungujícími jako brána firewall.The AD FS servers are located within their own subnet with NSG rules acting as a firewall.

  • Servery AD FS.AD FS servers. Servery služby AD FS poskytují federovanou autorizaci a ověřování.The AD FS servers provide federated authorization and authentication. V této architektuře provádějí následující úkoly:In this architecture, they perform the following tasks:

    • Přijímají tokeny zabezpečení obsahující deklarace identity vytvořené partnerským federačním serverem jménem uživatele partnera.Receiving security tokens containing claims made by a partner federation server on behalf of a partner user. Služba AD FS ověří, že jsou tokeny platné, dříve než deklarace identity předá k autorizaci požadavků webové aplikaci běžící v Azure.AD FS verifies that the tokens are valid before passing the claims to the web application running in Azure to authorize requests.

      Aplikace běžící v Azure je předávající straně.The application running in Azure is the relying party. Partnerský federační server musí vystavit takové deklarace identity, kterým webová aplikace rozumí.The partner federation server must issue claims that are understood by the web application. Partnerské federační servery se označují jako partneři poskytující účty, protože odesílají žádosti o přístup jménem ověřených účtů v partnerské organizaci.The partner federation servers are referred to as account partners, because they submit access requests on behalf of authenticated accounts in the partner organization. Servery služby AD FS se označují jako partneři poskytující prostředky, protože poskytují přístup k prostředkům (webová aplikace).The AD FS servers are called resource partners because they provide access to resources (the web application).

    • Ověřují a autorizují příchozí žádosti od externích uživatelů používajících webový prohlížeč nebo zařízení, které potřebuje přístup k webovým aplikacím, pomocí služby AD DS a služby Active Directory Device Registration Service.Authenticating and authorizing incoming requests from external users running a web browser or device that needs access to web applications, by using AD DS and the Active Directory Device Registration Service.

    Servery služby AD FS jsou nakonfigurované jako farma, ke které se přistupuje prostřednictvím služby Azure Load Balancer.The AD FS servers are configured as a farm accessed through an Azure load balancer. Tato implementace vylepšuje dostupnost a škálovatelnost.This implementation improves availability and scalability. Servery služby AD FS se nezveřejňují přímo na internetu.The AD FS servers are not exposed directly to the Internet. Veškerý internetový provoz se filtruje prostřednictvím proxy serverů webových aplikací služby AD FS a zóny DMZ (označované také jako hraniční síť).All Internet traffic is filtered through AD FS web application proxy servers and a DMZ (also referred to as a perimeter network).

    Další informace o tom, jak funguje služba AD FS, najdete v tématu Přehled služby Active Directory Federation Services.For more information about how AD FS works, see Active Directory Federation Services Overview. Článek Nasazení služby AD FS v Azure navíc obsahuje podrobný úvod k implementaci.Also, the article AD FS deployment in Azure contains a detailed step-by-step introduction to implementation.

  • Podsíť proxy serveru služby AD FS.AD FS proxy subnet. Proxy servery služby AD FS mohou být umístěny ve vlastní podsíti s pravidly skupiny zabezpečení sítě zajišťujícími ochranu.The AD FS proxy servers can be contained within their own subnet, with NSG rules providing protection. Servery v této podsíti jsou zveřejněny na internetu prostřednictvím sady síťových virtuálních zařízení, která poskytují bránu firewall mezi virtuální sítí Azure a internetem.The servers in this subnet are exposed to the Internet through a set of network virtual appliances that provide a firewall between your Azure virtual network and the Internet.

  • Proxy servery webových aplikací (WAP) služby AD FS.AD FS web application proxy (WAP) servers. Tyto virtuální počítače fungují jako servery služby AD FS pro příchozí žádosti z partnerských organizací a externích zařízení.These VMs act as AD FS servers for incoming requests from partner organizations and external devices. Servery WAP fungují jako filtr, který servery služby AD FS chrání před přímým přístupem z internetu.The WAP servers act as a filter, shielding the AD FS servers from direct access from the Internet. Stejně jako u serverů služby AD FS vám nasazení serverů WAP ve farmě s vyrovnáváním zatížení zajistí větší dostupnost a škálovatelnost než nasazení kolekce samostatných serverů.As with the AD FS servers, deploying the WAP servers in a farm with load balancing gives you greater availability and scalability than deploying a collection of stand-alone servers.

    Poznámka

    Podrobné informace o instalaci serverů WAP najdete v tématu Instalace a konfigurace proxy serveru webových aplikací.For detailed information about installing WAP servers, see Install and Configure the Web Application Proxy Server

  • Partnerská organizace.Partner organization. Partnerská organizace používající webovou aplikaci, která požaduje přístup k webové aplikaci spuštěné v Azure.A partner organization running a web application that requests access to a web application running in Azure. Federační server v partnerské organizaci ověřuje požadavky místně a odesílá tokeny zabezpečení obsahující deklarace identity službě AD FS běžící v Azure.The federation server at the partner organization authenticates requests locally, and submits security tokens containing claims to AD FS running in Azure. Služba AD FS v Azure ověří tokeny zabezpečení a pokud jsou platné, může předat deklarace identity webové aplikaci běžící v Azure, aby je autorizovala.AD FS in Azure validates the security tokens, and if valid can pass the claims to the web application running in Azure to authorize them.

    Poznámka

    Můžete také nakonfigurovat tunel VPN pomocí brány Azure a zajistit tak důvěryhodným partnerům přímý přístup ke službě AD FS.You can also configure a VPN tunnel using Azure gateway to provide direct access to AD FS for trusted partners. Žádosti přijaté od těchto partnerů neprocházejí přes servery WAP.Requests received from these partners do not pass through the WAP servers.

DoporučeníRecommendations

Následující doporučení platí pro většinu scénářů.The following recommendations apply for most scenarios. Pokud nemáte konkrétní požadavek, který by těmto doporučením nedopovídal, postupujte podle nich.Follow these recommendations unless you have a specific requirement that overrides them.

Doporučení pro sítěNetworking recommendations

Pro každý virtuální počítač hostující servery AD FS a WAP se statickými privátními IP adresami nakonfigurujte síťové rozhraní.Configure the network interface for each of the VMs hosting AD FS and WAP servers with static private IP addresses.

Neudělujte virtuálním počítačům služby AD FS veřejné IP adresy.Do not give the AD FS VMs public IP addresses. Další informace najdete v tématu aspekty zabezpečení oddílu.For more information, see the Security considerations section.

Nastavte IP adresu preferovaných a sekundárních serverů DNS pro síťová rozhraní jednotlivých virtuálních počítačů AD FS a WAP, aby odkazovaly na virtuální počítače služby Active Directory DS.Set the IP address of the preferred and secondary domain name service (DNS) servers for the network interfaces for each AD FS and WAP VM to reference the Active Directory DS VMs. Virtuální počítače Active Directory DS by měly používat službu DNS.The Active Directory DS VMs should be running DNS. Tento krok je nezbytný, abyste mohli jednotlivým virtuálním počítačům povolit připojit se k doméně.This step is necessary to enable each VM to join the domain.

Instalace AD FSAD FS installation

Podrobné pokyny pro instalaci a konfiguraci služby AD FS obsahuje článek Nasazení farmy federačních serverů.The article Deploying a Federation Server Farm provides detailed instructions for installing and configuring AD FS. Před konfigurací prvního serveru AD FS ve farmě proveďte následující úkoly:Perform the following tasks before configuring the first AD FS server in the farm:

  1. Získejte veřejně důvěryhodný certifikát pro ověřování serveru.Obtain a publicly trusted certificate for performing server authentication. Název subjektu musí obsahovat název, který klienti používají pro přístup k federační službě.The subject name must contain the name clients use to access the federation service. Může to být název DNS zaregistrovaný pro nástroj pro vyrovnávání zatížení, například adfs.contoso.com (z bezpečnostních důvodů nepoužívejte názvy se zástupnými znaky, jako je například * .contoso.com).This can be the DNS name registered for the load balancer, for example, adfs.contoso.com (avoid using wildcard names such as *.contoso.com, for security reasons). Na všech virtuálních počítačích serverů AD FS používejte stejný certifikát.Use the same certificate on all AD FS server VMs. Certifikát si můžete koupit od důvěryhodné certifikační autority. Pokud ale vaše organizace používá službu AD CS (Active Directory Certificate Services), můžete si vytvořit vlastní.You can purchase a certificate from a trusted certification authority, but if your organization uses Active Directory Certificate Services you can create your own.

    Alternativní název subjektu se používá službou DRS (Device Registration Service) k povolení přístupu z externích zařízení.The subject alternative name is used by the device registration service (DRS) to enable access from external devices. Měl by být ve tvaru enterpriseregistration.contoso.com.This should be of the form enterpriseregistration.contoso.com.

    Další informace najdete v tématu Získání a konfigurace certifikátu SSL (Secure Sockets Layer) pro službu AD FS.For more information, see Obtain and Configure a Secure Sockets Layer (SSL) Certificate for AD FS.

  2. V řadiči domény vygenerujte nový kořenový klíč pro službu Key Distribution Service.On the domain controller, generate a new root key for the Key Distribution Service. Dobu platnosti nastavte na aktuální čas minus 10 hodin (tato konfigurace zkracuje zpoždění, ke kterému může dojít při distribuci a synchronizaci klíčů napříč doménou).Set the effective time to the current time minus 10 hours (this configuration reduces the delay that can occur in distributing and synchronizing keys across the domain). Tento krok je nezbytný pro podporu vytvoření skupinového účtu služby, který se používá ke spuštění služby AD FS.This step is necessary to support creating the group service account that is used to run the AD FS service. Následující příkaz prostředí PowerShell ukazuje příklad tohoto postupu:The following PowerShell command shows an example of how to do this:

    Add-KdsRootKey -EffectiveTime (Get-Date).AddHours(-10)
    
  3. Každý virtuální počítač serveru AD FS přidejte do domény.Add each AD FS server VM to the domain.

Poznámka

Abyste mohli službu AD FS nainstalovat, musí být řadič domény, na kterém běží role FSMO emulátoru primárního řadiče domény pro tuto doménu, spuštěný a přístupný z virtuálních počítačů služby AD FS.To install AD FS, the domain controller running the primary domain controller (PDC) emulator flexible single master operation (FSMO) role for the domain must be running and accessible from the AD FS VMs. <<RBC: Existuje způsob, jak to zjednodušit opakované? >><<RBC: Is there a way to make this less repetitive?>>

Vztah důvěryhodnosti služby AD FSAD FS trust

Vytvořte důvěryhodnost federace mezi instalací služby AD FS a federačními servery všech partnerských organizací.Establish federation trust between your AD FS installation, and the federation servers of any partner organizations. Nakonfigurujte všechna požadovaná filtrování a mapování deklarací identit.Configure any claims filtering and mapping required.

  • Pracovníci DevOps každé partnerské organizace musí přidat vztah důvěryhodnosti přijímající strany pro webové aplikace přístupné prostřednictvím serverů AD FS.DevOps staff at each partner organization must add a relying party trust for the web applications accessible through your AD FS servers.
  • Pracovníci DevOps vaší organizace musí nakonfigurovat vztah důvěryhodnosti zprostředkovatele deklarací, aby povolili serverům AD FS důvěřovat deklaracím identit poskytovaným partnerskými organizacemi.DevOps staff in your organization must configure claims-provider trust to enable your AD FS servers to trust the claims that partner organizations provide.
  • Pracovníci DevOps vaší organizace musí dále nakonfigurovat službu AD FS tak, aby předávala deklarace identit webovým aplikacím vaší organizace.DevOps staff in your organization must also configure AD FS to pass claims on to your organization's web applications.

Další informace najdete v tématu Vytvoření důvěryhodnosti federace.For more information, see Establishing Federation Trust.

Publikujte webové aplikace vaší organizace a zpřístupněte je externím partnerům pomocí předběžného ověření prostřednictvím serverů WAP.Publish your organization's web applications and make them available to external partners by using preauthentication through the WAP servers. Další informace najdete v tématu Publikování aplikací pomocí předběžného ověření služby AD FS.For more information, see Publish Applications using AD FS Preauthentication

Služba AD FS podporuje transformaci a rozšíření tokenů.AD FS supports token transformation and augmentation. Služba Azure Active Directory tuto funkci neposkytuje.Azure Active Directory does not provide this feature. Pomocí služby AD FS můžete při nastavování vztahů důvěryhodnosti dělat toto:With AD FS, when you set up the trust relationships, you can:

  • Můžete nakonfigurovat transformace deklarací identit pro autorizační pravidla.Configure claim transformations for authorization rules. Můžete například namapovat zabezpečení skupiny z reprezentace použité podle jiných společností než Microsoft partnerské organizace na něco, co můžou služby Active Directory DS ve vaší organizaci autorizovat.For example, you can map group security from a representation used by a non-Microsoft partner organization to something that Active Directory DS can authorize in your organization.
  • Můžete transformovat deklarace identit z jednoho formátu do jiného.Transform claims from one format to another. Pokud třeba vaše aplikace podporuje pouze deklarace identit SAML 1.1, můžete provést mapování ze SAML 2.0 na SAML 1.1.For example, you can map from SAML 2.0 to SAML 1.1 if your application only supports SAML 1.1 claims.

Monitorování AD FSAD FS monitoring

Sada Microsoft System Center Management Pack pro službu Active Directory Federation Services 2012 R2 poskytuje proaktivní a reaktivní monitorování nasazení služby AD FS pro federační server.The Microsoft System Center Management Pack for Active Directory Federation Services 2012 R2 provides both proactive and reactive monitoring of your AD FS deployment for the federation server. Tato sada Management Pack monitoruje:This management pack monitors:

  • Události, které služba AD FS zaznamenává do svých protokolů událostíEvents that the AD FS service records in its event logs.
  • Údaje o výkonu, které shromažďují čítače výkonu služby AD FSThe performance data that the AD FS performance counters collect.
  • Celkový stav systému služby AD FS a webových aplikací (přijímající strany) a poskytuje výstrahy pro kritické problémy a upozornění.The overall health of the AD FS system and web applications (relying parties), and provides alerts for critical issues and warnings.

Aspekty zabezpečeníScalability considerations

Následující aspekty shrnuté z článku Plánování nasazení služby AD FS poskytují výchozí bod pro definování velikosti farem služby AD FS:The following considerations, summarized from the article Plan your AD FS deployment, give a starting point for sizing AD FS farms:

  • Pokud máte méně než 1 000 uživatelů, nevytvářejte vyhrazené servery. Místo toho nainstalujte službu AD FS na všechny servery služby Active Directory DS v cloudu.If you have fewer than 1000 users, do not create dedicated servers, but instead install AD FS on each of the Active Directory DS servers in the cloud. Abyste mohli zachovat dostupnost, ujistěte se, že máte alespoň dva servery služby Active Directory DS.Make sure that you have at least two Active Directory DS servers to maintain availability. Vytvořte jeden server WAP.Create a single WAP server.
  • Pokud máte 1 000 až 15 000 uživatelů, vytvořte dva vyhrazené servery služby AD FS a dva vyhrazené servery WAP.If you have between 1000 and 15000 users, create two dedicated AD FS servers and two dedicated WAP servers.
  • Pokud máte 15 000 až 60 000 uživatelů, vytvořte tři až pět vyhrazených serverů služby AD FS a alespoň dva vyhrazené servery WAP.If you have between 15000 and 60000 users, create between three and five dedicated AD FS servers and at least two dedicated WAP servers.

Tyto aspekty předpokládají, že používáte duální čtyřjádrový virtuální počítač (Standard D4_v2 nebo lepší) v Azure.These considerations assume that you are using dual quad-core VM (Standard D4_v2, or better) sizes in Azure.

Pokud k ukládání konfiguračních dat služby AD FS používáte interní databázi Windows, můžete mít ve farmě maximálně osm serverů služby AD FS.If you are using the Windows Internal Database to store AD FS configuration data, you are limited to eight AD FS servers in the farm. Pokud předpokládáte, že v budoucnu jich budete potřebovat více, použijte SQL Server.If you anticipate that you will need more in the future, use SQL Server. Další informace najdete v tématu Role konfigurační databáze AD FS.For more information, see The Role of the AD FS Configuration Database.

Aspekty dostupnostiAvailability considerations

Pokud chcete zlepšit dostupnost služby, vytvořte farmu služby AD FS s alespoň dvěma servery.Create an AD FS farm with at least two servers to increase availability of the service. Pro každý virtuální počítač služby AD FS ve farmě použijte jiný účet úložiště.Use different storage accounts for each AD FS VM in the farm. Pomůžete tak zajistit, aby chyba jednoho účtu úložiště nezpůsobila nedostupnost celé farmy.This approach helps to ensure that a failure in a single storage account does not make the entire farm inaccessible.

Vytvořte samostatnou skupinu dostupnosti Azure pro virtuální počítače AD FS a WAP.Create separate Azure availability sets for the AD FS and WAP VMs. Ujistěte se, že jsou v každé skupině alespoň dva virtuální počítače.Ensure that there are at least two VMs in each set. Každá skupina dostupnosti musí mít alespoň dvě aktualizační domény a dvě domény selhání.Each availability set must have at least two update domains and two fault domains.

Nástroje pro vyrovnávání zatížení pro virtuální počítače AD FS a WAP nakonfigurujte následujícím způsobem:Configure the load balancers for the AD FS VMs and WAP VMs as follows:

  • K zabezpečení externího přístupu k virtuálním počítačům WAP použijte nástroj Azure Load Balancer a k distribuci zatížení napříč servery AD FS ve farmě použijte interní nástroj pro vyrovnávání zatížení.Use an Azure load balancer to provide external access to the WAP VMs, and an internal load balancer to distribute the load across the AD FS servers in the farm.

  • Na servery AD FS/WAP předávejte pouze provoz na portu 443 (HTTPS).Only pass traffic appearing on port 443 (HTTPS) to the AD FS/WAP servers.

  • Nástroji pro vyrovnávání zatížení udělte statickou IP adresu.Give the load balancer a static IP address.

  • Vytvořte sondu stavu pomocí protokolu HTTP proti /adfs/probe.Create a health probe using HTTP against /adfs/probe. Další informace najdete v tématu kontroly stavu nástroje pro vyrovnávání zatížení hardwaru a Proxy webových aplikací / AD FS 2012 R2.For more information, see Hardware Load Balancer Health Checks and Web Application Proxy / AD FS 2012 R2.

    Poznámka

    Servery služby AD FS používají protokol SNI (Indikace názvu serveru), proto se pokus nástroje pro vyrovnávání zatížení o sondu pomocí koncového bodu HTTPS nepodaří.AD FS servers use the Server Name Indication (SNI) protocol, so attempting to probe using an HTTPS endpoint from the load balancer fails.

  • Do domény pro nástroj pro vyrovnávání zatížení služby AD FS přidejte záznam DNS A.Add a DNS A record to the domain for the AD FS load balancer. Zadejte IP adresu nástroje pro vyrovnávání zatížení a pojmenujte ho v doméně (například adfs.contoso.com).Specify the IP address of the load balancer, and give it a name in the domain (such as adfs.contoso.com). Jedná se o název, který používají klienti a servery WAP pro přístup k serverové farmě služby AD FS.This is the name clients and the WAP servers use to access the AD FS server farm.

K uložení informací o konfiguraci služby AD FS můžete použít SQL Server nebo interní databázi Windows.You can use either SQL Server or the Windows Internal Database to hold AD FS configuration information. Interní databáze Windows poskytuje základní redundanci.The Windows Internal Database provides basic redundancy. Změny se zapisují přímo pouze do jedné z databází služby AD FS v clusteru AD FS, zatímco ostatní servery udržují své databáze aktualizované pomocí vyžádané replikace.Changes are written directly to only one of the AD FS databases in the AD FS cluster, while the other servers use pull replication to keep their databases up to date. Když použijete SQL Server, můžete zajistit redundanci kompletní databáze a vysokou dostupnost pomocí clusteringu převzetí služeb při selhání nebo zrcadlení.Using SQL Server can provide full database redundancy and high availability using failover clustering or mirroring.

Aspekty správyManageability considerations

Pracovníci DevOps by měli být připraveni provádět následující úkoly:DevOps staff should be prepared to perform the following tasks:

  • Správu federačních serverů, včetně správy farmy služby AD FS, správy zásad důvěryhodnosti na federačních serverech a správy certifikátů používaných federačními službamiManaging the federation servers, including managing the AD FS farm, managing trust policy on the federation servers, and managing the certificates used by the federation services.
  • Správu serverů WAP, včetně správy farmy WAP a certifikátůManaging the WAP servers including managing the WAP farm and certificates.
  • Správu webových aplikací, včetně konfigurace přijímajících stran, metod ověření a mapování deklaracíManaging web applications including configuring relying parties, authentication methods, and claims mappings.
  • Zálohování komponent služby AD FSBacking up AD FS components.

Aspekty zabezpečeníSecurity considerations

Služba AD FS používá protokol HTTPS, proto se ujistěte, že pravidla NSG pro podsíť obsahující webové vrstvy povolují požadavky HTTPS virtuálních počítačů.AD FS uses HTTPS, so make sure that the NSG rules for the subnet containing the web tier VMs permit HTTPS requests. Tyto požadavky můžou pocházet z místní sítě, podsítí obsahujících webovou vrstvu, obchodní vrstvu, datovou vrstvu, privátní zónu DMZ, veřejnou zónu DMZ a podsítě obsahující servery služby AD FS.These requests can originate from the on-premises network, the subnets containing the web tier, business tier, data tier, private DMZ, public DMZ, and the subnet containing the AD FS servers.

Braňte přímému zveřejňování serverů služby AD FS na internetu.Prevent direct exposure of the AD FS servers to the Internet. Servery služby AD FS jsou počítače připojené k doméně, které mají plnou autorizaci k udělování tokenů zabezpečení.AD FS servers are domain-joined computers that have full authorization to grant security tokens. Pokud je server ohrožený, uživatel se zlými úmysly může vystavovat úplné přístupové tokeny pro všechny webové aplikace a všechny federační servery chráněné službou AD FS.If a server is compromised, a malicious user can issue full access tokens to all web applications and to all federation servers that are protected by AD FS. Pokud musí váš systém zpracovávat žádosti externích uživatelů, kteří se nepřipojují z důvěryhodných partnerských webů, použijte ke zpracování těchto žádostí servery WAP.If your system must handle requests from external users not connecting from trusted partner sites, use WAP servers to handle these requests. Další informace najdete v tématu Kam umístit proxy federačního serveru.For more information, see Where to Place a Federation Server Proxy.

Servery AD FS a servery WAP umístěte do samostatných podsítí s vlastními branami firewall.Place AD FS servers and WAP servers in separate subnets with their own firewalls. Pravidla brány firewall můžete definovat pomocí pravidel skupiny zabezpečení sítě.You can use NSG rules to define firewall rules. Všechny brány firewall by měly umožňovat provoz na portu 443 (HTTPS).All firewalls should allow traffic on port 443 (HTTPS).

Omezte přímý přístup pomocí přihlášení k serverům AD FS a WAP.Restrict direct sign in access to the AD FS and WAP servers. Připojit by se měli být schopni pouze pracovníci DevOps.Only DevOps staff should be able to connect. Servery WAP nepřipojujte k doméně.Do not join the WAP servers to the domain.

Zvažte použití sady síťových virtuálních zařízení, která pro účely auditování protokoluje podrobné informace týkající se provozu procházejícího skrz hranici vaší virtuální sítě.Consider using a set of network virtual appliances that logs detailed information on traffic traversing the edge of your virtual network for auditing purposes.

Nasazení řešeníDeploy the solution

Nasazení pro tuto architekturu je dostupné na GitHubu.A deployment for this architecture is available on GitHub. Všimněte si, že celé nasazení může trvat až dvě hodiny, což zahrnuje vytváření brány VPN a spouštění skriptů, které slouží ke konfiguraci služby Active Directory a AD FS.Note that the entire deployment can take up to two hours, which includes creating the VPN gateway and running the scripts that configure Active Directory and AD FS.

PožadavkyPrerequisites

  1. Klonování, rozvětvit nebo stáhněte soubor zip pro úložiště GitHub.Clone, fork, or download the zip file for the GitHub repository.

  2. Nainstalujte Azure CLI 2.0.Install Azure CLI 2.0.

  3. Nainstalujte balíček npm stavebních bloků Azure.Install the Azure building blocks npm package.

    npm install -g @mspnp/azure-building-blocks
    
  4. Z příkazového řádku bash řádku nebo řádku Powershellu se přihlaste ke svému účtu Azure následujícím způsobem:From a command prompt, bash prompt, or PowerShell prompt, sign into your Azure account as follows:

    az login
    

Nasazení simulovaného místního datacentraDeploy the simulated on-premises datacenter

  1. Přejděte adfs složky úložiště GitHub.Navigate to the adfs folder of the GitHub repository.

  2. Otevřete soubor onprem.json.Open the onprem.json file. Hledat výskyty adminPassword, Password, a SafeModeAdminPassword a aktualizovat hesla.Search for instances of adminPassword, Password, and SafeModeAdminPassword and update the passwords.

  3. Spusťte následující příkaz a počkejte na dokončení nasazení:Run the following command and wait for the deployment to finish:

    azbb -s <subscription_id> -g <resource group> -l <location> -p onprem.json --deploy
    

Nasazení infrastruktury AzureDeploy the Azure infrastructure

  1. Otevřete soubor azure.json.Open the azure.json file. Hledat výskyty adminPassword a Password a přidejte hodnoty pro hesla.Search for instances of adminPassword and Password and add values for the passwords.

  2. Spusťte následující příkaz a počkejte na dokončení nasazení:Run the following command and wait for the deployment to finish:

    azbb -s <subscription_id> -g <resource group> -l <location> -p azure.json --deploy
    

Vytvořit farmu služby AD FSSet up the AD FS farm

  1. Otevřete soubor adfs-farm-first.json.Open the adfs-farm-first.json file. Vyhledejte AdminPassword a nahradit výchozí heslo.Search for AdminPassword and replace the default password.

  2. Spusťte následující příkaz:Run the following command:

    azbb -s <subscription_id> -g <resource group> -l <location> -p adfs-farm-first.json --deploy
    
  3. Otevřete soubor adfs-farm-rest.json.Open the adfs-farm-rest.json file. Vyhledejte AdminPassword a nahradit výchozí heslo.Search for AdminPassword and replace the default password.

  4. Spusťte následující příkaz a počkejte na dokončení nasazení:Run the following command and wait for the deployment to finish:

    azbb -s <subscription_id> -g <resource group> -l <location> -p adfs-farm-rest.json --deploy
    

Konfigurace služby AD FS (část 1)Configure AD FS (part 1)

  1. Otevře relaci vzdálené plochy k virtuálnímu počítači s názvem ra-adfs-jb-vm1, což je jumpbox virtuálního počítače.Open a remote desktop session to the VM named ra-adfs-jb-vm1, which is the jumpbox VM. Uživatelské jméno je testuser.The user name is testuser.

  2. Z jumpboxu, otevřete relaci vzdálené plochy k virtuálnímu počítači s názvem ra-adfs-proxy-vm1.From the jumpbox, open a remote desktop session to the VM named ra-adfs-proxy-vm1. Privátní IP adresa je 10.0.6.4.The private IP address is 10.0.6.4.

  3. V této relaci vzdálené plochy, spusťte prostředí PowerShell ISE.From this remote desktop session, run the PowerShell ISE.

  4. V Powershellu přejděte do následujícího adresáře:In PowerShell, navigate to the following directory:

    C:\Packages\Plugins\Microsoft.Powershell.DSC\2.77.0.0\DSCWork\adfs-v2.0
    
  5. Vložte následující kód do podokna Skript a spusťte ho:Paste the following code into a script pane and run it:

    . .\adfs-webproxy.ps1
    $cd = @{
        AllNodes = @(
            @{
                NodeName = 'localhost'
                PSDscAllowPlainTextPassword = $true
                PSDscAllowDomainUser = $true
            }
        )
    }
    
    $c1 = Get-Credential -UserName testuser -Message "Enter password"
    InstallWebProxyApp -DomainName contoso.com -FederationName adfs.contoso.com -WebApplicationProxyName "Contoso App" -AdminCreds $c1 -ConfigurationData $cd
    Start-DscConfiguration .\InstallWebProxyApp
    

    Na Get-Credential výzva, zadejte heslo, které jste zadali v souboru parametrů nasazení.At the Get-Credential prompt, enter the password that you specified in the deployment parameter file.

  6. Spusťte následující příkaz, který chcete monitorovat průběh DSC konfigurace:Run the following command to monitor the progress of the DSC configuration:

    Get-DscConfigurationStatus
    

    Může trvat několik minut, než k dosažení konzistence.It can take several minutes to reach consistency. Během této doby může se zobrazit chyby z příkazu.During this time, you may see errors from the command. Při konfigurace úspěšná, výstup by měl vypadat nějak takto:When the configuration succeeds, the output should look similar to the following:

    PS C:\Packages\Plugins\Microsoft.Powershell.DSC\2.77.0.0\DSCWork\adfs-v2.0> Get-DscConfigurationStatus
    
    Status     StartDate                 Type            Mode  RebootRequested      NumberOfResources
    ------     ---------                 ----            ----  ---------------      -----------------
    Success    12/17/2018 8:21:09 PM     Consistency     PUSH  True                 4
    

Konfigurace služby AD FS (část 2)Configure AD FS (part 2)

  1. Z jumpboxu, otevřete relaci vzdálené plochy k virtuálnímu počítači s názvem ra-adfs-proxy-vm2.From the jumpbox, open a remote desktop session to the VM named ra-adfs-proxy-vm2. Privátní IP adresa je 10.0.6.5.The private IP address is 10.0.6.5.

  2. V této relaci vzdálené plochy, spusťte prostředí PowerShell ISE.From this remote desktop session, run the PowerShell ISE.

  3. Přejděte na následující adresář:Navigate to the following directory:

    C:\Packages\Plugins\Microsoft.Powershell.DSC\2.77.0.0\DSCWork\adfs-v2.0
    
  4. Za tímto ve skriptovacím podokně a spusťte skript:Past the following in a script pane and run the script:

    . .\adfs-webproxy-rest.ps1
    $cd = @{
        AllNodes = @(
            @{
                NodeName = 'localhost'
                PSDscAllowPlainTextPassword = $true
                PSDscAllowDomainUser = $true
            }
        )
    }
    
    $c1 = Get-Credential -UserName testuser -Message "Enter password"
    InstallWebProxy -DomainName contoso.com -FederationName adfs.contoso.com -WebApplicationProxyName "Contoso App" -AdminCreds $c1 -ConfigurationData $cd
    Start-DscConfiguration .\InstallWebProxy
    

    Na Get-Credential výzva, zadejte heslo, které jste zadali v souboru parametrů nasazení.At the Get-Credential prompt, enter the password that you specified in the deployment parameter file.

  5. Spuštěním následujícího příkazu můžete sledovat průběh konfigurace DSC:Run the following command to monitor the progress of the DSC configuration:

    Get-DscConfigurationStatus
    

    Může trvat několik minut, než k dosažení konzistence.It can take several minutes to reach consistency. Během této doby může se zobrazit chyby z příkazu.During this time, you may see errors from the command. Při konfigurace úspěšná, výstup by měl vypadat nějak takto:When the configuration succeeds, the output should look similar to the following:

    PS C:\Packages\Plugins\Microsoft.Powershell.DSC\2.77.0.0\DSCWork\adfs-v2.0> Get-DscConfigurationStatus
    
    Status     StartDate                 Type            Mode  RebootRequested      NumberOfResources
    ------     ---------                 ----            ----  ---------------      -----------------
    Success    12/17/2018 8:21:09 PM     Consistency     PUSH  True                 4
    

    Někdy se tento DSC nezdaří.Sometimes this DSC fails. Je-li zkontrolovat stav zobrazuje Status=Failure a Type=Consistency, zkuste znovu spustit krok 4.If the status check shows Status=Failure and Type=Consistency, try re-running step 4.

Přihlaste se k AD FSSign into AD FS

  1. Z jumpboxu, otevřete relaci vzdálené plochy k virtuálnímu počítači s názvem ra-adfs-adfs-vm1.From the jumpbox, open a remote desktop session to the VM named ra-adfs-adfs-vm1. Privátní IP adresa je 10.0.5.4.The private IP address is 10.0.5.4.

  2. Postupujte podle kroků v povolit přihlašování Idp-Initiated na stránce povolit stránku přihlášení.Follow the steps in Enable the Idp-Initiated Sign on page to enable the sign-on page.

  3. Jump box přejděte do https://adfs.contoso.com/adfs/ls/idpinitiatedsignon.htm.From the jump box, browse to https://adfs.contoso.com/adfs/ls/idpinitiatedsignon.htm. Může se zobrazit upozornění, že se pro tento test můžete ignorovat certifikátu.You may receive a certificate warning that you can ignore for this test.

  4. Ověřte, že se zobrazí přihlašovací stránka Contoso Corporation.Verify that the Contoso Corporation sign-in page appears. Přihlaste se jako contoso\testuser.Sign in as contoso\testuser.