De rol van kenmerkopslagplaatsen

In Active Directory Federation Services (AD FS) verwijst het termenkenmerkarchief naar mappen of databases die een organisatie gebruikt om de gebruikersaccounts en hun kenmerkwaarden op te slaan. Nadat deze is geconfigureerd in een organisatie van een identiteitsprovider, haalt AD FS deze kenmerkwaarden op uit de opslag. Er worden claims gemaakt op basis van die informatie, zodat een webtoepassing of service die wordt gehost in een relying party-organisatie, de juiste autorisatiebeslissingen kan nemen wanneer een federatieve gebruiker (een gebruiker waarvan het account is opgeslagen in de organisatie van de id-provider) toegang probeert te krijgen tot de toepassing of service.

Zie de rol van claims voor meer informatie over hoe claims worden gegenereerd.

Hoe kenmerkarchieven passen bij uw AD FS-implementatiedoelen

De locatie van het gebruikerskenmerkarchief en de locatie van waaruit gebruikers verifiëren bepalen hoe u AD FS ontwerpt om de gebruikersidentiteiten te ondersteunen. Afhankelijk van waar het kenmerkarchief zich bevindt en waar gebruikers toegang krijgen tot de toepassing (in een intranet of op internet), hebt u mogelijk een van deze implementatiedoelen:

• Geef uw Active Directory-gebruikers toegang tot uw claimbewuste toepassingen en services. In dit scenario hebben gebruikers in uw organisatie toegang tot een toepassing of service die wordt beveiligd door AD FS wanneer de gebruikers zijn aangemeld bij Active Directory in het bedrijfsintranet. De toepassing of service kan van u of van een partner zijn.

• Geef uw Active Directory-gebruikers toegang tot de toepassingen en services van andere organisaties. In dit scenario hebben gebruikers in uw organisatie toegang tot een toepassing of service die wordt beveiligd door AD FS wanneer de gebruikers zijn aangemeld bij een kenmerkarchief in het bedrijfsintranet en wanneer ze zich op afstand aanmelden vanaf internet. De toepassing of service kan van uzelf of van een partner zijn.

• Geef gebruikers in een andere organisatie toegang tot uw claimbewuste toepassingen en services. In dit scenario moeten gebruikersaccounts in een andere organisatie die zich in een kenmerkarchief op het bedrijfsintranet van die organisatie bevinden, toegang krijgen tot een toepassing die wordt beveiligd door AD FS in uw organisatie. Dit scenario werkt ook wanneer u consumentgerichte gebruikersaccounts die zich in een attributenopslag in het perimeternetwerk van uw organisatie bevinden, toegang moet geven tot een toepassing die wordt beveiligd door AD FS in uw organisatie.

Afhankelijk van de plaatsing van kenmerkopslag en andere vereisten van uw organisatie, kunt u verschillende van deze implementatiedoelen combineren om het ontwerp van uw AD FS-implementatie te voltooien.

Kenmerkopslagplaatsen die door AD FS worden ondersteund

AD FS ondersteunt een breed scala aan directory- en databasearchieven. U kunt ze gebruiken om door de beheerder gedefinieerde kenmerkwaarden te extraheren en claims te vullen met deze waarden. AD FS ondersteunt een van deze mappen of databases als kenmerkarchieven:

• Microsoft Entra Domain Services in Windows Server 2012 en 2012 R2, en in Windows Server 2016 en hoger

• Alle edities van SQL Server 2012, SQL Server 2014 en SQL Server 2016 en hoger

• Aangepaste attributenopslagplaatsen