Rolle der AD FS-KonfigurationsdatenbankThe Role of the AD FS Configuration Database

In der AD FS-Konfigurations Datenbank werden alle Konfigurationsdaten, die eine einzelne Instanz von darstellen, Active Directory-Verbunddienste (AD FS) ( AD FS d ) ( . h. die Verbunddienst, gespeichert ) .The AD FS configuration database stores all the configuration data that represents a single instance of Active Directory Federation Services (AD FS) (that is, the Federation Service). In der AD FS-Konfigurationsdatenbank sind die Parameter definiert, die für einen Verbunddienst benötigt werden, um Partner, Zertifikate, Attributspeicher, Ansprüche und verschiedene Daten zu diesen zugeordneten Entitäten zu identifizieren.The AD FS configuration database defines the set of parameters that a Federation Service requires to identify partners, certificates, attribute stores, claims, and various data about these associated entities. Sie können diese Konfigurationsdaten entweder in einer Microsoft SQL Server- ® Datenbank oder in der internen Windows-Datenbank- ( ) Funktion, die in Windows Server ® 2008, Windows Server 2008 R2 und Windows Server 2012 enthalten ist, speichern ® .You can store this configuration data in either a Microsoft SQL Server® database or the Windows Internal Database (WID) feature that is included with Windows Server® 2008, Windows Server 2008 R2 and Windows Server® 2012.

Hinweis

Sämtliche Inhalte der AD FS-Konfigurationsdatenbank können entweder in einer Instanz der internen Windows-Datenbank oder in einer Instanz der SQL-Datenbank gespeichert werden, jedoch nicht in beiden.The entire contents of the AD FS configuration database can be stored either in an instance of WID or in an instance of the SQL database, but not both. Das bedeutet, Sie können nicht über einige Verbundserver verfügen, die die interne Windows-Datenbank verwenden, während andere Verbundserver eine SQL Server-Datenbank für dieselbe Instanz der AD FS-Konfigurationsdatenbank verwenden.This means that you cannot have some federation servers using WID and others using a SQL Server database for the same instance of the AD FS configuration database.

Weitere Informationen zu den Vor- und Nachteilen bei der Wahl zwischen interner Windows-Datenbank oder SQL Server zum Speichern der AD FS-Konfigurationsdatenbank erhalten Sie in den folgenden Informationen in diesem Abschnitt sowie in den unter Überlegungen zur AD FS-Bereitstellungstopologie bereitgestellten Inhalten:You can use the following information in this topic along with the content provided in AD FS Deployment Topology Considerations to learn about the advantages and disadvantages of choosing either WID or SQL Server to store the AD FS configuration database:

WID verwendet einen relationalen Datenspeicher und verfügt nicht über eine eigene Benutzeroberfläche für die Verwaltungs Benutzeroberfläche ( ) .WID uses a relational data store and does not have its own management user interface (UI). Stattdessen können Administratoren den Inhalt der AD FS Konfigurations Datenbank entweder mithilfe des Snap-Ins AD FS Verwaltung - , Fsconfig.exe oder Windows PowerShell- ™ Cmdlets ändern.Instead, administrators can modify the contents of the AD FS configuration database by using either the AD FS Management snap-in, Fsconfig.exe, or Windows PowerShell™ cmdlets.

Verwenden der internen Windows-Datenbank zum Speichern der AD FS-KonfigurationsdatenbankUsing WID to store the AD FS configuration database

Sie können die AD FS Konfigurations Datenbank mithilfe von wid als Speicher erstellen, indem Sie entweder das Fsconfig.exe Befehls - Zeilen Tool oder den Assistenten zum Konfigurieren von AD FS Verbund Server verwenden.You can create the AD FS configuration database using WID as the store by using either the Fsconfig.exe command-line tool or the AD FS Federation Server Configuration Wizard. Wenn Sie eines dieser Tools verwenden, können Sie eine der folgenden Optionen zum Erstellen Ihrer Verbundservertopologie auswählen.When you use either of these tools, you can choose any of the following options to create your federation server topology. Jede dieser Optionen verwendet die interne Windows-Datenbank zum Speichern der AD FS-Konfigurationsdatenbank:Each of these options uses WID for storing the AD FS configuration database:

  • Erstellen eines eigen - ständigen Verbund ServersCreate a stand-alone federation server

  • Erstellen des ersten Verbundservers in einer VerbundserverfarmCreate the first federation server in a federation server farm

  • Hinzufügen eines Verbundservers zu einer VerbundserverfarmAdd a federation server to a federation server farm

Wenn Sie die Option eigenständig auswählen - , wird wid verwendet, um eine einzelne Instanz der AD FS Konfigurations Datenbank zu speichern.If you select the stand-alone option, WID is used to store a single instance of the AD FS configuration database. Diese Instanz kann nicht vom mehreren Verbundservern gemeinsam genutzt werden.This instance cannot be shared across multiple federation servers. Sie ist nur für Testumgebungen vorgesehen.It is meant for test lab environments only. Weitere Informationen zur - Option eigenständiger Verbund Server oder zum Einrichten eines solchen Servers finden Sie unter eigenständiger Verbund Server mit wid oder Erstellen eines Stand-Alone Verbund Servers.For more information about the stand-alone federation server option or how to set one up, see Stand-Alone Federation Server Using WID or Create a Stand-Alone Federation Server.

Wenn Sie den ersten Verbundserver einer Verbundserverfarmoption auswählen, wird die interne Windows-Datenbank für die Skalierbarkeit konfiguriert, die das spätere Hinzufügen zusätzlicher Verbundserver zur Farm gestattet.If you select the first federation server in a federation server farm option, WID is configured for scalability that will permit additional federation servers to be added to the farm at a later time. Weitere Informationen zum Bereitstellen oder Einrichten einer internen Windows-Datenbankfarm finden Sie unter Verbundserverfarm mit WID oder Erstellen des ersten Verbundservers in einer Verbundserverfarm.For more information about deploying a WID farm or how to set one up, see Federation Server Farm Using WID or Create the First Federation Server in a Federation Server Farm

Wenn Sie die Option zum Hinzufügen eines Verbundservers auswählen, wird die interne Windows-Datenbank für die Replikation der Konfigurationsdatenbankänderungen in festgelegten Intervallen auf dem neuen Verbundserver konfiguriert.If you select the add a federation server option, WID is configured to replicate configuration database changes to the new federation server at set intervals. Weitere Informationen zum Hinzufügen eines Verbundservers zu einer internen Windows-Datenbankfarm finden Sie unter Verbundserverfarm mit WID oder Hinzufügen eines Verbundservers zu einer Verbundserverfarm.For more information about adding a federation server to a WID farm, see Federation Server Farm Using WID or Add a Federation Server to a Federation Server Farm.

Hinweis

Beim Bereitstellen einer Verbund Serverfarm mit wid sind einige Features von AD FS möglicherweise nicht verfügbar.When you deploy a federation server farm using WID, some features of AD FS may not be available. Damit Sie beim Konfigurieren Ihrer Serverfarm Zugriff auf die vollständige Featuregruppe haben, erwägen Sie stattdessen die Verwendung von Microsoft SQL Server zum Speichern der AD FS-Konfigurationsdatenbank.To have access to the full feature set when you configure your server farm, consider using Microsoft SQL Server to store the AD FS configuration database instead. Weitere Informationen finden Sie unter Überlegungen zur AD FS-Bereitstellungstopologie.For more information, see AD FS Deployment Topology Considerations.

Funktionsweise einer Verbundserverfarm mit internen Windows-DatenbankenHow a WID federation server farm works

In diesem Abschnitt werden wichtige Konzepte erläutert, die beschreiben, wie die Verbundserverfarm mit internen Windows-Datenbanken Daten zwischen einem primären Verbundserver und sekundären Verbundservern replizieren.This section describes important concepts that describe how the WID federation server farm replicates data between a primary federation server and secondary federation servers. ..

Primärer VerbundserverPrimary federation server

Ein primärer Verbund Server ist ein Computer, auf dem Windows Server 2008, Windows Server 2008 R2 oder Windows Server 2012 ausgeführt wird ® , der in der Verbund Server Rolle mit dem Konfigurations-Assistenten für den AD FS-Verbund Server konfiguriert wurde und über eine Lese-/Schreibkopie der AD FS Konfigurations Datenbank verfügt.A primary federation server is a computer running Windows Server 2008, Windows Server 2008 R2 or Windows Server® 2012 that has been configured in the federation server role with the AD FS Federation Server Configuration Wizard and that has a read/write copy of the AD FS configuration database. Der primäre Verbund Server wird immer erstellt, wenn Sie den Konfigurations-Assistenten für den AD FS-Verbund Server verwenden und die Option zum Erstellen eines neuen Verbunddienst auswählen und diesen Computer zum ersten Verbund Server in der Farm machen.The primary federation server is always created when you use the AD FS Federation Server Configuration Wizard and select the option to create a new Federation Service and make that computer the first federation server in the farm. Alle anderen Verbundserver in dieser Farm, die auch als sekundäre Verbundserver bezeichnet werden, müssen die am primären Verbundserver vorgenommenen Änderungen mit einer Kopie der AD FS-Konfigurationsdatenbank synchronisieren, die lokal gespeichert wird.All other federation servers in this farm, also known as secondary federation servers, must synchronize changes that are made on the primary federation server to a copy of the AD FS configuration database that is stored locally.

Sekundäre VerbundserverSecondary federation servers

Sekundäre Verbund Server speichern eine Kopie der AD FS Konfigurations Datenbank vom primären Verbund Server, diese Kopien sind jedoch schreibgeschützt - .Secondary federation servers store a copy of the AD FS configuration database from the primary federation server, but these copies are read-only. Sekundäre Verbundserver stellen eine Verbindung zum primären Verbundserver in der Farm her und führen eine Synchronisierung durch, indem sie den Server in regelmäßigen Intervallen abfragen, um auf geänderte Daten zu prüfen.Secondary federation servers connect to and synchronize the data with the primary federation server in the farm by polling it at regular intervals to check whether data has changed. Die sekundären Verbund Server sind vorhanden, um Fehlertoleranz für den primären Verbund Server bereitzustellen und gleichzeitig für den Lasten - Ausgleich von Zugriffs Anforderungen zu fungieren, die an verschiedenen Standorten in der gesamten Netzwerkumgebung vorgenommen werdenThe secondary federation servers exist to provide fault tolerance for the primary federation server while acting to load-balance access requests that are made in different sites throughout your network environment.

Hinweis

Wenn ein primärer Verbundserver abstürzt und offline ist, werden Anforderungen weiterhin von allen sekundären Verbundservern verarbeitet.If a primary federation server crashes and is offline, all secondary federation servers continue to process requests as normal. Es können jedoch keine neuen Änderungen am Verbunddienst vorgenommen werden, bis der primäre Verbundserver wieder online ist.However, no new changes can be made to the Federation Service until the primary federation server has been brought back online. Sie können mithilfe von Windows PowerShell auch einen sekundären Verbundserver als neuen primären Verbundserver festlegen.You can also nominate a secondary federation server to become the primary federation server by using Windows PowerShell. Weitere Informationen finden Sie unter AD FS Verwaltung mit Windows PowerShell.For more information, see the AD FS Administration with Windows PowerShell.

Synchronisieren der AD FS-KonfigurationsdatenbankHow the AD FS configuration database is synchronized

Aufgrund der wichtigen Rolle, die die AD FS-Konfigurations Datenbank spielt, wird Sie auf allen Verbund Servern im Netzwerk zur Verfügung gestellt, um bei der Verarbeitung von - Anforderungen ( bei Verwendung von Netzwerk Lastenausgleich-Anforderungen Fehlertoleranz und Lasten Ausgleichs Funktionen bereitzustellen - ) .Because of the important role that the AD FS configuration database plays, it is made available on all the federation servers in the network to provide fault tolerance and load-balancing capabilities when processing requests (when network load-balancers are used). Die auf dem primären Verbundserver gespeicherte AD FS-Konfigurationsdatenbank muss jedoch synchronisiert werden, damit die sekundären Verbundserver diese Aufgabe übernehmen können.However, for secondary federation servers to serve in this capacity, the AD FS configuration database that is stored on the primary federation server must be synchronized.

Wenn Sie einen Verbundserver zur Farm hinzufügen, stellt der neue Computer, der zu einem sekundären Verbundserver wird, eine Verbindung zum primären Verbundserver her, um die Kopie der AD FS-Konfigurationsdatenbank zu replizieren.When you add a federation server to the farm, the new computer that will become a secondary federation server connects to the primary federation server to replicate the copy of the AD FS configuration database. Von diesem Punkt an ruft der neue Verbundserver regelmäßig Aktualisierungen vom primären Verbundserver ab, wie in der folgenden Abbildung veranschaulicht.From this point forward, the new federation server continues to pull updates from the primary federation server on a regular basis, as shown in the following illustration.

Die Abbildung zeigt, dass der neue Verbund Server weiterhin regelmäßig Updates vom primären Verbund Server per Pull abruft.

Jeder sekundäre Verbundserver prüft den primären Verbundserver alle fünf Minuten auf Änderungen.Each secondary federation server polls the primary federation server every five minutes for changes. -Mithilfe eines Windows PowerShell-Cmdlets können Sie diesen Standardwert von fünf Minuten anpassen oder eine sofortige Synchronisierung erzwingen.You can adjust this default five-minute value or force an immediate synchronization anytime by using a Windows PowerShell cmdlet. Weitere Informationen hierzu finden Sie unter AD FS Verwaltung mit Windows PowerShell.For more information about how to do this, see AD FS Administration with Windows PowerShell.

Der Synchronisierungsprozess der internen Windows-Datenbank unterstützt auch inkrementelle Übertragungen, um zwischenzeitliche Änderungen effizienter zu übertragen.The WID synchronization process also supports incremental transfers for more efficient transfers of intermediate changes. Der inkrementelle Übertragungsprozess erzeugt erheblich weniger Datenverkehr im Netzwerk und die Übertragungen sind dadurch wesentlich schneller abgeschlossen.The incremental transfer process requires substantially less traffic on a network, and transfers are completed much faster.

Hinweis

Die Migration einer AD FS-Konfigurationsdatenbank aus einer internen Windows-Datenbank zu einer Instanz von SQL Server wird unterstützt.The migration of an AD FS configuration database from WID to an instance of SQL Server is supported. Weitere Informationen hierzu finden Sie unter AD FS: Migrieren Ihrer AD FS-Konfigurations Datenbank zu SQL Server auf der TechNet Wiki-Website.For more information about how to do this, see AD FS: Migrate Your AD FS Configuration Database to SQL Server on the TechNet Wiki site.

Verwenden von SQL Server zum Speichern der AD FS-KonfigurationsdatenbankUsing SQL Server to store the AD FS configuration database

Mit dem Fsconfig.exe-Befehlszeilen Tool können Sie die AD FS Konfigurations Datenbank mithilfe einer einzelnen SQL Server Daten Bank Instanz als Speicher erstellen - .You can create the AD FS configuration database using a single SQL Server database instance as the store by using the Fsconfig.exe command-line tool. Die Verwendung einer SQL Server-Datenbank als AD FS-Konfigurationsdatenbank bietet gegenüber der internen Windows-Datenbank die folgenden Vorteile:Using a SQL Server database as the AD FS configuration database provides the following benefits over WID:

  • Administratoren können die Features für hohe Verfügbarkeit von SQL Server nutzen.Administrators can leverage the high availability features of SQL Server

  • Sie bietet zusätzliche Leistungssteigerungen bei hohem Datenverkehr.It provides additional performance increases for high traffic.

  • Er bietet Funktionen zur Unterstützung der SAML-artefaktauflösung und der - ( im folgenden beschriebenen Wiedergabe Erkennung für SAML/WS-Verbund Token ) .It provides feature support of SAML artifact resolution and SAML/WS-Federation token replay detection (described below).

Der Begriff "primärer Verbund Server" trifft nicht zu, wenn die AD FS Konfigurations Datenbank in einer SQL-Daten Bank Instanz gespeichert wird, da alle Verbund Server gleichermaßen Lese-und Schreibzugriff auf die AD FS Konfigurations Datenbank haben, die dieselbe gruppierte SQL Server Instanz verwendet, wie in der folgenden Abbildung dargestellt.The term "primary federation server" does not apply when the AD FS configuration database is stored in a SQL database instance because all federation servers can equally read and write to the AD FS configuration database that is using the same clustered SQL Server instance, as shown in the following illustration.

Rollen AD FS

Sie können SQL Server verwenden, um zwei oder mehr Server so zu konfigurieren, dass Sie als Server Cluster zusammenarbeiten, um sicherzustellen, dass AD FS hoch verfügbar gemacht wird, um eingehende Client Anforderungen zu verarbeiten.You can use SQL Server to configure two or more servers to work together as a server cluster to ensure that AD FS is made highly available to service incoming client requests. Hohe Verfügbarkeit bietet eine Architektur mit horizontaler Skalierung - , in der Sie die Serverkapazität durch Hinzufügen zusätzlicher Server erhöhen können.High availability provides a scale-out architecture in which you can increase server capacity by adding additional servers. Einzelne Fehlerquellen werden durch automatische Clusterfailover verringert.Single points of failure are mitigated by automatic cluster failover.

Sie können Hochverfügbarkeit erreichen, indem Sie den Netzwerk - Lastenausgleich und die Failoverdienste verwenden, die von den SQL-Clustering-TechnologienYou can achieve high availability by using the network load-balancing and failover services that SQL clustering technologies provide. Weitere Informationen zum Konfigurieren von SQL Server für Hochverfügbarkeit finden Sie unter Übersicht über Lösungen mit hoher verfügbarkeit.For more information about how to configure SQL Server for high availability, see High Availability Solutions Overview.

SAML-ArtefaktauflösungSAML artifact resolution

Security Assertion Markup Language ( SAML- ) artefaktauflösung ist ein Endpunkt, der auf dem Teil des SAML 2,0-Protokolls basiert und beschreibt, wie eine vertrauende Seite ein Token direkt von einem Anspruchs Anbieter abrufen kann.Security Assertion Markup Language (SAML) artifact resolution is an endpoint based on the part of the SAML 2.0 protocol that describes how a relying party can retrieve a token directly from a claims provider. In der ersten Phase des Auflösungsprozesses kontaktiert ein Browserclient einen Ressourcenverbundserver und stellt diesem ein Artefakt bereit.In the first stage of the resolution process, a browser client contacts a resource federation server and provides it with an artifact. In der zweiten Phase wird das Artefakt von Ressourcenverbundservern zum Auflösen der Artefaktnachricht an die URL eines SAML-Artefaktendpunkts gesendet, der in einer Kontopartnerorganisation gehostet wird.In the second stage, resource federation servers send the artifact to a SAML artifact endpoint URL that is hosted somewhere in an account partner organization in order to resolve the artifact message. In der letzten Phase sendet der Kontoverbundserver das Token im Namen des Browserclients an den Verbundserver.In the final stage, the account federation server issues the token to the federation server on behalf of the browser client.

Hinweis

Wenn Sie Administrator in einer Konto Partnerorganisation sind, stellen Sie sicher, dass Sie ein SSL-Zertifikat, das mit einem Stamm Zertifikat eines Mitglieds des Windows-Programms für Stamm Zertifikate verkettet ist, an die passive Verbund Website in den IIS- ( \ Websites der \ Standard Website-ADFS-Zertifizierungsstelle \ \ ) auf allen Konto Verbund Servern in der Farm zuweisen oder binden.If you are an administrator in an account partner organization, make sure to assign or bind an SSL certificate, which chains to a root certificate of a member of the Windows Root Certificate Program, to the federation passive Web site in IIS (\Sites\Default Web Site\adfs\ls) on all the account federation servers in the farm. Dies ist wichtig, um zu verhindern, dass Ressourcenverbundserver das SSL-Zertifikat manuell zum Zertifikatspeicher für vertrauenswürdige Personen des lokalen Computers hinzufügen müssen. Zudem soll es verhindern, dass Sie das in Ihrer Organisation veröffentlichte Artefakt nicht auflösen können.This is important to prevent resource federation servers from having to manually add the SSL certificate to the Local Computers Trusted People certificate store or from being unable to resolve the artifact that is published in your organization.

Wiedergabe Erkennung für SAML/WS-Verbund TokenSAML/WS - Federation token replay detection

Der Begriff Tokenwiedergabe bezieht sich auf den Vorgang, bei dem ein Browserclient in einer Kontopartnerorganisation versucht, dasselbe Token zu senden, das er von einem Kontoverbundserver mehrmals erhalten hat, um sich für einen Ressourcenverbundserver zu authentifizieren.The term token replay refers to the act by which a browser client in an account partner organization attempts to send the same token it received from an account federation server multiple times to authenticate to a resource federation server. Dieser Vorgang tritt auf, wenn ein Benutzer auf die Schaltfläche Zurück seines Browsers klickt, um die Authentifizierungsseite erneut zu übermitteln.This act occurs when a user clicks the Back button of their browser in an effort to resubmit the authentication page.

AD FS stellt das Feature Tokenwiedergabeerkennung bereit, mit dem mehrere Tokenanforderungen erkannt und verworfen werden können, die dasselbe Token verwenden.AD FS provides a feature referred to as token replay detection by which multiple token requests using the same token can be detected and then discarded. Wenn diese Funktion aktiviert ist, schützt die tokenwiedergabe-Erkennung die Integrität der Authentifizierungsanforderungen sowohl im - passiven WS-Verbund Profil als auch im SAML-WebSSO-Profil, indem sichergestellt wird, dass das gleiche Token nie mehrmals verwendet wird.When this feature is enabled, token replay detection protects the integrity of authentication requests in both the WS-Federation passive profile and the SAML WebSSO profile by making sure that the same token is never used more than once. Dieses Feature sollte in Situationen aktiviert sein, in denen die Sicherheit eine wichtige Rolle spielt, z. B. bei der Verwendung von Kioskcomputern.This feature should be enabled in situations where security is a very high concern such as when using kiosks.

Im Kioskbeispiel kann sich ein Benutzer bei allen Websites abmelden und ein böswilliger Benutzer später versuchen, den Browserverlauf zu verwenden, um die Verbundauthentifizierungsseite erneut zu übermitteln, die vom vorherigen Benutzer geladen wurde.In the kiosk example, a user can log off of all Web sites and later a malicious user can attempt to use the browser history in order to resubmit the federated authentication page that was loaded by the previous user. Dieses Feature entschärft dieses Problem, indem zusätzliche Informationen zu den einzelnen erfolgreichen Authentifizierungen einer Kontopartnerorganisation gespeichert werden, um die nachfolgende Wiedergabe des Tokens zu erkennen und zu verhindern, dass mehrere Authentifizierungsversuche erfolgreich ausgeführt werden.This feature mitigates this concern by storing additional information about each successful authentication made by an account partner organization in order to detect subsequent replays of the token and prevent multiple authentication attempts from succeeding.