30、Active Directory Federation Services 详解

Active Directory Federation Services 详解

1. 引言

Active Directory Federation Services (AD FS) 是微软的身份联合解决方案，它允许在组织边界之间进行身份识别、授权和认证。当建立联合信任后，用户可以使用本地凭据访问其他组织托管的资源，配置正确时还能访问云端资源。与传统的全森林或域信任关系相比，AD FS 能实现对合作伙伴组织间信息和资源的高度受限访问，同时允许各方使用自己的凭据进行身份验证。

2. AD FS 组件

AD FS 在 Windows Server 2019 中的部署由两个组件构成：
- 联合服务器（Federation Server） ：承载联合服务器角色的计算机管理涉及身份声明的请求。部署 AD FS 时，Active Directory 森林中至少要有一个联合服务器。
- Web 应用程序代理（Web Application Proxy） ：当需要为不可信网络（如 Internet）上的客户端提供 AD FS 功能时，可在周边网络部署充当 Web 应用程序代理的计算机。该服务器将连接中继到内部网络的联合服务器，此角色也可安装在独立计算机上。在 Windows Server 2012 及更早版本的 AD FS 中，该角色称为联合代理。

graph LR
    classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px;
    A(客户端