Active Directory Federation Services (AD FS) là một tính năng của hệ điều hành Windows Server (OS) mở rộng quyền truy cập đăng nhập một lần ( SSO ) của người dùng cuối vào các ứng dụng và hệ thống bên ngoài tường lửa của công ty .
AD FS làm gì
Công nghệ Active Directory truyền thống của Microsoft lưu trữ tên người dùng và mật khẩu và sử dụng chúng để quản lý và bảo mật quyền truy cập vào máy tính trên miền Windows . Nó cũng cung cấp quyền truy cập SSO vào các ứng dụng của công ty. Dịch vụ Liên kết AD xây dựng dựa trên chức năng này để xác thực người dùng trên các hệ thống của bên thứ ba, chẳng hạn như mạng ngoại vi của công ty khác hoặc dịch vụ do nhà cung cấp dịch vụ đám mây lưu trữ .
Thông qua các khả năng SSO, AD FS có thể xác thực người dùng với các ứng dụng web khác nhau, có liên quan trong một session đã đăng nhập AD FS chia sẻ danh tính của người dùng và quyền truy cập, còn được gọi là yêu cầu , qua các ranh giới bảo mật của tổ chức. Khi người dùng cố gắng truy cập vào một ứng dụng web nhất định từ một trong những đối tác kinh doanh đáng tin cậy của họ – còn được gọi là liên kết (federation) – tổ chức của họ phải xác thực thông tin danh tính của nhân viên thông qua xác nhận quyền sở hữu đối với máy chủ của ứng dụng web. Máy chủ sau đó có thể đưa ra quyết định ủy quyền dựa trên các yêu cầu.
Lợi ích và hạn chế
Active Directory Federation Services nhằm mục đích giảm bớt sự phức tạp xung quanh việc quản lý mật khẩu và cấp phép tài khoản khách, đồng thời nó còn có tầm quan trọng bổ sung khi các tổ chức và nhân viên phụ thuộc nhiều hơn vào phần mềm như một dịch vụ ( SaaS ) và các ứng dụng web . SaaS và các ứng dụng web thường yêu cầu tài khoản người dùng của riêng họ và Dịch vụ liên kết quảng cáo gắn những tên người dùng và mật khẩu đó với danh tính hiện có. Sau khi người dùng đăng nhập bằng thông tin đăng nhập Windows của họ, Dịch vụ Liên kết AD xác thực quyền truy cập vào tất cả các hệ thống của bên thứ ba được chấp thuận.
AD FS mang lại lợi ích cho người dùng, nhân viên CNTT và các nhà phát triển. Với AD FS, CNTT có thể cung cấp kiểm soát đăng nhập và truy cập dựa trên một bộ thông tin xác thực hợp nhất. Ngoài ra, tính năng cung cấp khả năng kiểm soát này trên các ứng dụng hiện đại và kế thừa, tại chỗ và trên đám mây. Người dùng có thể tận hưởng một SSO liền mạch mà không cần phải nhớ các thông tin đăng nhập tài khoản khác nhau, lạ lẫm. AD FS cung cấp cho các nhà phát triển một phương pháp đơn giản để xác thực người dùng có danh tính trong danh bạ tổ chức, cho phép họ tập trung nỗ lực vào những nỗ lực quan trọng hơn.
Có một vài nhược điểm nhỏ khi triển khai AD FS. Nó đòi hỏi các yêu cầu bổ sung về cơ sở hạ tầng và chi phí để thiết lập. Giống như bất kỳ tính năng nào được thêm vào cơ sở hạ tầng, AD FS có thể thêm một số điểm lỗi.
Những đặc điểm quan trọng
SSO, federation
Các khả năng của SSO cho phép các đối tác liên kết chia sẻ trải nghiệm hợp lý khi họ sử dụng các ứng dụng web của tổ chức. Ngoài ra, IT có thể triển khai các máy chủ liên kết trong nhiều tổ chức để cho phép giao dịch giữa các đối tác liên kết.
Khả năng tương tác
Thông qua đặc tả liên kết được gọi là WS-Federation, hệ thống quản lý danh tính liên kết của AD FS có thể tương thích với các sản phẩm khác hỗ trợ kiến trúc dịch vụ web và thậm chí cả môi trường không sử dụng mô hình nhận dạng Microsoft Windows.
Khả năng mở rộng
AD FS hỗ trợ loại mã thông báo bảo mật Security Assertion Markup Language ( SAML ) 1.1 và xác thực Kerberos, đồng thời cũng có thể thay đổi xác nhận quyền sở hữu bằng cách sử dụng yêu cầu truy cập có thể tùy chỉnh. Thông qua kiến trúc có thể mở rộng này, các tổ chức có thể điều chỉnh AD FS để hoạt động với các khuôn khổ kinh doanh và bảo mật hiện tại của họ.
Phiên bản
Active Directory Federation Services lần đầu tiên được phát hành cùng với Windows Server 2003 R2 dưới dạng bản tải xuống bổ sung. Kể từ đó, Microsoft đã phát hành năm phiên bản khác nhau của AD FS.
AD FS 2.0, bản phát hành thứ ba của Microsoft, là bản tải xuống từ sentayho.com.vn, tương thích với Windows Server 2008 và Windows Server 2008 R2. Các nâng cấp của nó bao gồm cải tiến cài đặt với kiểm tra xác thực máy chủ mới, tích hợp chặt chẽ với Microsoft Office SharePoint Server 2007 và Dịch vụ quản lý quyền thư mục hoạt động (AD RMS) và trải nghiệm được cải thiện để thiết lập tin cậy liên kết.
Trong AD FS 3.0 dành cho Windows Server 2012 R2, Microsoft đã thêm khả năng đăng ký và tham gia các thiết bị di động một cách an toàn, hỗ trợ Tài khoản dịch vụ được quản lý theo nhóm (gMSA) và đơn giản hóa nền tảng đăng nhập.
Phiên bản mới nhất, AD FS 4.0 dành cho Windows Server 2016, cho phép đăng nhập bằng xác thực đa yếu tố Azure ( MFA ), thư mục Giao thức truy cập thư mục nhẹ (LDAP) không phải AD và Windows Hello for Business. Microsoft cũng cải thiện quy trình kiểm tra, khả năng tương tác với SAML và quản lý mật khẩu để liên kết người dùng Office 365.
