Active Directory Federation Services

Active Directory Federation Services (ADFS) si basa sull'architettura dei servizi Web emergente supportata dagli standard industriali, definita nelle specifiche WS-*. ADFS consente l'utilizzo di tecnologie Single Sign-On (SSO) per l'autenticazione degli utenti verso più applicazioni Web correlate durante una singola sessione online. ADFS ottiene tale risultato condividendo identità digitale e diritti ("attestazioni") in maniera sicura all'interno dei confini di sicurezza e dell'organizzazione.

  • Panoramica di ADFS

  • Requisiti per ADFS

  • Aggiungere partner al servizio federativo

  • Aggiungere e configurare archivi account nel servizio federativo

  • Aggiungere applicazioni Web al servizio federativo

  • Risolvere i problemi relativi ad ADFS

  • Risorse per ADFS

  • Interfaccia utente: ADFS


Panoramica di ADFS

Active Directory Federation Services (ADFS) è una funzionalità dei sistemi operativi Windows Server® 2003 R2, Windows Server 2008 e Windows Server 2008 R2 che offre tecnologie Web SSO (Single Sign-On) per eseguire l'autenticazione di un utente in più applicazioni Web correlate durante una singola sessione online. ADFS ottiene tale risultato condividendo identità digitale e diritti ("attestazioni") in maniera sicura all'interno dei confini di sicurezza e dell'organizzazione.

Funzionalità di ADFS

In Windows Server 2008 e Windows Server 2008 R2 ADFS include nuove funzionalità non disponibili in Windows Server 2003 R2. Per ulteriori informazioni sulle nuove funzionalità, vedere la pagina relativa alle novità di ADFS in Windows Server 2008 all'indirizzo http://go.microsoft.com/fwlink/?LinkId=85684.

Di seguito vengono descritte alcune funzionalità principali di ADFS.

  • Federazione e Web SSO

    Un'organizzazione che utilizza Servizi di dominio Active Directory usufruisce dei vantaggi offerti dalla funzionalità SSO tramite l'autenticazione integrata di Windows all'interno dei relativi confini di sicurezza e aziendali. ADFS estende tale funzionalità alle applicazioni connesse direttamente a Internet, consentendo in tal modo un'esperienza utente basata su tecnologie Web SSO a clienti, partner e fornitori quando accedono alle applicazioni basate sul Web dell'organizzazione. È inoltre possibile distribuire server federativi in più organizzazioni al fine di facilitare le transazioni federative business-to-business (B2B) tra organizzazioni partner. Per ulteriori informazioni sulla federazione ADFS, vedere Informazioni sulle progettazioni federative.

  • Interoperabilità con Web Services (WS-*)

    ADFS offre una soluzione per la gestione dell'identità federativa in grado di interagire con altri prodotti di sicurezza che supportano l'architettura dei servizi Web WS-*. In ADFS viene utilizzata a tale scopo la specifica federativa WS-*, denominata WS-Federation, che consente di creare una federazione tra ambienti che non utilizzano il modello di identità di Microsoft® Windows® e ambienti Windows. Per ulteriori informazioni sulle specifiche WS-*, vedere Risorse per ADFS.

  • Architettura estendibile

    ADFS offre un'architettura estendibile che supporta i token di tipo SAML (Security Assertion Markup Language) 1.1 e l'autenticazione Kerberos (nella progettazione Web SSO federativo con trust tra foreste). ADFS è inoltre in grado di eseguire il mapping di attestazioni, ad esempio modificando le attestazioni tramite una regola business personalizzata utilizzata come variabile in una richiesta di accesso. Questa estendibilità può essere sfruttata dalle organizzazioni per modificare ADFS al fine di garantirne la coesistenza con l'infrastruttura di sicurezza e i criteri di business correnti. Per ulteriori informazioni sulla modifica di attestazioni, vedere Informazioni sulle attestazioni.

Estendere Servizi di dominio Active Directory a Internet

Servizi di dominio Active Directory svolge la funzione di servizio primario di gestione delle identità e di autenticazione in numerose organizzazioni. Con Servizi di dominio Active Directory di Windows Server 2003, Windows Server 2008 e Windows Server 2008 R2, è possibile creare trust tra due o più foreste di Windows Server 2003, Windows Server 2008 o Windows Server 2008 R2 per garantire l'accesso alle risorse che risiedono in organizzazioni o Business Unit diverse. Per ulteriori informazioni sui trust tra foreste, vedere la pagina relativa al funzionamento dei trust tra domini e tra foreste all'indirizzo http://go.microsoft.com/fwlink/?LinkId=35356.

In alcune progettazioni, tuttavia, i trust tra foreste non costituiscono un'opzione applicabile. Potrebbe ad esempio essere necessario limitare l'accesso tra organizzazioni esclusivamente a un sottoinsieme ridotto di utenti, anziché consentirlo a ogni membro di una foresta.

Tramite ADFS, le organizzazioni possono estendere le infrastrutture di Active Directory esistenti per garantire l'accesso alle risorse offerte da partner trusted in Internet. Tali partner trusted possono includere terze parti esterne oppure altri reparti o filiali della stessa organizzazione.

ADFS supporta l'autorizzazione e l'autenticazione distribuita tramite Internet. È possibile integrare ADFS nella soluzione di gestione dell'accesso esistente di un'organizzazione o di un reparto per convertire le attestazioni utilizzate nell'organizzazione in attestazioni concordate nell'ambito di una federazione. ADFS è in grado di creare, proteggere e verificare le attestazioni trasferite tra organizzazioni, nonché di controllare e monitorare l'attività di comunicazione tra organizzazioni e reparti per garantire transazioni sicure.

Per ulteriori informazioni di carattere generale su ADFS, vedere gli argomenti seguenti:

  • Informazioni sui servizi ruolo di ADFS

  • Informazioni sulla terminologia utilizzata in ADFS

  • Informazioni sulle relazioni di trust federative

  • Informazioni sulle progettazioni federative

  • Informazioni sulle attestazioni

  • Informazioni sui cookie utilizzati da ADFS

  • Informazioni sui certificati utilizzati da ADFS


Informazioni sui servizi ruolo di ADFS

Active Directory Federation Services (ADFS) è in grado di funzionare solo se i server che eseguono Windows Server 2008 o Windows Server 2008 R2 sono configurati con i servizi ruolo di ADFS appropriati. I servizi ruolo di ADFS sono componenti singoli di ADFS installati nei server che eseguono Windows Server 2008 o Windows Server 2008 R2. Tramite la procedura guidata Aggiunta servizi ruolo è possibile installare i servizi ruolo di ADFS seguenti:

  • Servizio federativo

  • Proxy servizio federativo

  • Agente in grado di riconoscere attestazioni

  • Agente basato su token Windows

In base all'ambiente dell'organizzazione, è necessario distribuire ruoli server ADFS specifici. Nelle sezioni seguenti vengono descritti i ruoli server associati a ognuno dei servizi ruolo di ADFS che è possibile utilizzare al fine di offrire una soluzione per la gestione dell'identità federativa di ADFS.

Server federativi

I server federativi ospitano il servizio ruolo Servizio federativo di ADFS. Tali server vengono utilizzati per indirizzare le richieste di autenticazione provenienti da account utente in altre organizzazioni nel caso di progettazioni Web SSO (Single Sign-On) federativo, oppure da client che possono trovarsi in una posizione qualsiasi su Internet nel caso della progettazione Web SSO. Per ulteriori informazioni sulle diverse progettazioni di ADFS, vedere Informazioni sulle progettazioni federative.

I server federativi ospitano inoltre un servizio token di sicurezza che rilascia token basati sulle credenziali ricevute, ad esempio nome utente e password. Dopo la verifica delle credenziali tramite l'accesso dell'utente, vengono raccolte le attestazioni per l'utente attraverso l'esame dei relativi attributi archiviati in Servizi di dominio Active Directory o in Active Directory Lightweight Directory Services (AD LDS).

Per ulteriori informazioni sui server federativi, vedere Informazioni sul servizio ruolo Servizio federativo.

Proxy server federativi

I proxy server federativi ospitano il servizio ruolo Proxy servizio federativo di ADFS. È possibile distribuire questo tipo di proxy server nella rete perimetrale dell'organizzazione (nota anche come DMZ, rete Extranet o subnet schermata) per inoltrare le richieste ai server federativi che non sono accessibili da Internet.

Nota

Sebbene sia possibile distribuire server separati per ospitare il servizio ruolo Proxy servizio federativo, non è necessario distribuire un server separato come proxy server federativo nella foresta Intranet del partner account o risorse. Questo ruolo viene eseguito automaticamente da un server federativo.

Per ulteriori informazioni sui proxy server federativi, vedere Informazioni sul servizio ruolo Proxy servizio federativo.

Server Web abilitati per ADFS

I server Web che ospitano il servizio ruolo Agente Web ADFS in grado di riconoscere attestazioni o basato su token Windows vengono definiti server Web abilitati per ADFS. Tali server consentono l'accesso sicuro alle applicazioni Web ospitate. L'agente Web ADFS gestisce i token di sicurezza e i cookie di autenticazione inviati a un server Web abilitato per ADFS. Tale server Web richiede una relazione con un servizio federativo, in modo che tutti i token di autenticazione provengano da tale servizio federativo.

Per ulteriori informazioni sui server Web abilitati per ADFS, vedere Informazioni sul servizio ruolo Agente Web ADFS.


Informazioni sul servizio ruolo Servizio federativo

Servizio federativo è un servizio ruolo di Active Directory Federation Services (ADFS) che può essere installato indipendentemente da altri servizi ruolo di ADFS e che svolge la funzione di servizio token di sicurezza. Se si installa il servizio ruolo Servizio federativo su un computer, quest'ultimo diventerà un server federativo e lo snap-in di Active Directory Federation Services verrà reso disponibile nel menu Strumenti di amministrazione di tale computer. Per ulteriori informazioni sullo snap-in ADFS, vedere Utilizzare lo snap-in Active Directory Federation Services.

Il servizio ruolo Servizio federativo è progettato in modo da utilizzare Servizi di dominio Active Directory per il rilascio di token in risposta alle richieste di token di sicurezza. In questo modo domini e foreste Active Directory possono svolgere la funzione di:

  • Provider di identità in grado di formare una federazione con partner account e partner risorse compatibili. In qualità di provider di identità, il servizio federativo può proiettare identità Active Directory in Internet per interagire con applicazioni dei provider di servizi compatibili.

  • Provider di servizi in grado di formare una federazione con partner account e partner risorse compatibili. In qualità di provider di servizi, il servizio federativo può consentire a identità di altre organizzazioni di accedere alle applicazioni basate su Windows e su ASP.NET di un partner.

  • Provider di token di sicurezza per le applicazioni compatibili con la specifica WS-F PRP (WS-Federation Passive Requestor Profile).

In qualità di partner account, il servizio federativo consente agli utenti di accedere alle risorse delle organizzazioni partner. In risposta a una richiesta di un partner risorse, il servizio federativo raccoglie e verifica le credenziali utente in Servizi di dominio Active Directory o in un'istanza di Active Directory Lightweight Directory Services (AD LDS). Il servizio federativo può popolare un insieme di attestazioni di organizzazione basate sugli attributi LDAP (Lightweight Directory Access Protocol) dell'account utente. Le attestazioni di organizzazione vengono quindi mappate alle attestazioni appropriate per il partner risorse e incluse in un token di sicurezza firmato mediante il certificato per la firma di token del servizio federativo. Il token di sicurezza risultante viene inviato come risposta alla richiesta originale del partner risorse, che utilizza quindi il token per consentire l'accesso all'utente.

In qualità di partner risorse, il servizio federativo svolge il ruolo opposto. Quando un utente tenta di accedere a un'applicazione protetta da ADFS, il servizio federativo determina il partner account che dovrà autenticare l'utente e quindi invia una richiesta di autenticazione a tale partner. Quando l'utente restituisce un token di sicurezza, il servizio federativo verifica che il token sia stato firmato correttamente dal partner e quindi estrae le attestazioni dal token. Le attestazioni vengono mappate ad attestazioni di organizzazione e viene applicato il criterio di filtraggio per l'applicazione specifica. Le attestazioni di organizzazione filtrate vengono incluse in un token di sicurezza che viene firmato mediante il certificato per la firma di token del servizio federativo oppure protetto tramite una chiave di sessione Kerberos per l'applicazione Web. Il token di sicurezza risultante viene inviato all'URL (Uniform Resource Locator) dell'applicazione originale, che utilizza quindi il token per consentire l'accesso all'utente.

Il protocollo WS-F PRP viene utilizzato da ADFS per il trasporto di attestazioni nei token di sicurezza rilasciati dal servizio federativo all'applicazione Web. Per ulteriori informazioni sulla specifica WS-F PRP, vedere Risorse per ADFS.

Le attestazioni vengono popolate inizialmente dagli archivi account di Servizi di dominio Active Directory o di AD LDS. Il servizio federativo rilascia i token in base alle credenziali presentate. Dopo che l'archivio account ha verificato le credenziali di un utente, le attestazioni per tale utente vengono generate in base alle regole dei criteri di attendibilità. Il servizio federativo esegue il mapping delle attestazioni in entrata alle attestazioni in uscita appropriate per un partner risorse. I mapping di attestazioni risultanti vengono aggiunti a un token di sicurezza rilasciato al partner risorse. Per ulteriori informazioni sulle attestazioni, vedere Informazioni sulle attestazioni.

Dopo che il servizio federativo ha verificato il token, viene rilasciato un cookie di autenticazione che viene scritto nel browser client. Ogni volta che è necessario autenticare il client, il servizio federativo utilizza questo cookie affinché il client non debba immettere nuovamente le credenziali. In questo modo viene abilitato il Single Sign-On (SSO). Per ulteriori informazioni sui cookie, vedere Informazioni sui cookie utilizzati da ADFS.

Pagine Web del servizio federativo

Il servizio federativo offre una pagina Web in cui viene richiesto all'utente di selezionare un partner account appropriato per l'autenticazione dell'utente, nonché una pagina Web in cui vengono richieste le credenziali utente, ad esempio il nome utente e la password, per l'autenticazione basata su form. È inoltre disponibile una pagina Web che supporta l'autenticazione integrata di Windows.

In aggiunta alle pagine Web, il servizio federativo offre un servizio Web Microsoft ASP.NET che elabora le richieste del client o del proxy server federativo. Il proxy server federativo si trova nella rete perimetrale e svolge la funzione di intermediario tra un client Internet e un servizio federativo nella rete Intranet. Per ulteriori informazioni sul ruolo del proxy server federativo, vedere Informazioni sul servizio ruolo Proxy servizio federativo.

Il servizio federativo risponde a due tipi di richieste di base:

  • Richieste di rilascio di token di sicurezza

  • Richieste di recupero dei dati dei criteri di attendibilità

Individuazione del partner account

L'individuazione del partner account è il processo tramite il quale gli utenti possono identificare il partner account preferito per l'autenticazione in caso di configurazione di più partner account. Il server federativo offre questa scelta al browser client sotto forma di elenco a discesa contenente i nomi dei partner account configurati nei criteri di attendibilità.

Per evitare l'individuazione del partner account, è possibile includere il parametro whr nella stringa di query per la risorsa a cui viene eseguito l'accesso, ad esempio:

https://webserver/testapp/testpage.aspx?whr=urn:federation:<accountpartner>

dove <accountpartner> indica l'area di autenticazione del partner account del client.

Quando si utilizza il parametro whr, il server federativo di risorsa rimuove il parametro e scrive un cookie nel browser client al fine di memorizzare questa impostazione per le richieste future. La richiesta procede quindi come se il parametro non fosse stato specificato.


Utilizzare lo snap-in Active Directory Federation Services

Lo snap-in MMC Active Directory Federation Services (ADFS) viene installato al momento dell'installazione del componente Servizio federativo in Installazione applicazioni in Windows Server 2003 R2 oppure quando si utilizza l'Aggiunta guidata ruoli in Windows Server 2008 o Windows Server 2008 R2. Tale snap-in consente di:

  • Configurare il servizio federativo o la server farm federativa.

  • Gestire i criteri di attendibilità associati al servizio federativo:

    • Amministrare gli archivi account di Servizi di dominio Active Directory o di Active Directory Lightweight Directory Services (AD LDS).

    • Gestire i partner account e risorse che considereranno attendibile l'organizzazione.

    • Gestire attestazioni, certificati utilizzati dai server federativi e applicazioni Web protette da ADFS.

Le impostazioni configurate nello snap-in Active Directory Federation Services vengono archiviate in parte nel file Web.config, che si trova nella directory virtuale del servizio federativo, e in parte nel file dei criteri di attendibilità. È possibile modificare direttamente il file Web.config e inserirlo in server diversi oppure utilizzare lo snap-in Active Directory Federation Services per modificare le impostazioni.

Il file dei criteri di attendibilità non può essere modificato manualmente. È invece possibile modificarlo utilizzando lo snap-in Active Directory Federation Services oppure modificarlo a livello di programmazione tramite il modello a oggetti di ADFS.

Nota

In tale modello a oggetti è incluso il supporto di scripting. Per ulteriori informazioni, vedere la pagina relativa alla panoramica di Active Directory Federation Services all'indirizzo http://go.microsoft.com/fwlink/?LinkId=91836.

Quando si apre lo snap-in Active Directory Federation Services, viene letto il file Web.config contenuto nella directory virtuale del servizio federativo e viene memorizzato il percorso del file dei criteri di attendibilità. Viene quindi visualizzata una gerarchia dell'albero della console in cui sono rappresentati il servizio federativo e tutti gli aspetti dei criteri di attendibilità, inclusi partner, archivi account, applicazioni e attestazioni di organizzazione. Ogni elemento nella gerarchia dell'albero della console dispone di opzioni che è possibile utilizzare per visualizzare, modificare, aggiungere ed eliminare le entità dei criteri di attendibilità.

Nodo Servizio federativo

Il nodo Servizio federativo nell'albero della console dello snap-in Active Directory Federation Services rappresenta il servizio federativo locale assegnato al server federativo in cui si sta visualizzando lo snap-in. Tramite questo nodo nello snap-in ADFS è possibile controllare il server federativo locale, la cui configurazione è diversa da quella dei criteri di attendibilità che è condivisa tra tutti i server federativi nella server farm federativa. La configurazione del server federativo locale viene archiviata nel file Web.config e include gli elementi seguenti:

  • Percorso del file dei criteri di attendibilità

  • Certificato locale da utilizzare per la firma di token

  • Pagine Web Microsoft ASP.NET

  • Livello di registrazione debug e percorso della directory dei file di registro

  • Opzione per abilitare l'accesso anonimo alle attestazioni di organizzazione basate su gruppo


Informazioni sul servizio ruolo Proxy servizio federativo

Proxy servizio federativo è un servizio ruolo di Active Directory Federation Services (ADFS) che può essere installato indipendentemente da altri servizi ruolo di ADFS e che svolge la funzione di proxy in una rete perimetrale (nota anche come DMZ, rete Extranet o subnet schermata) per il servizio federativo. Se si installa il servizio ruolo Proxy servizio federativo in un computer, quest'ultimo diventerà un proxy server federativo e lo snap-in Active Directory Federation Services verrà reso disponibile nel menu Strumenti di amministrazione di tale computer. Per ulteriori informazioni sullo snap-in Active Directory Federation Services, vedere Utilizzare lo snap-in Proxy Active Directory Federation Services.

Un proxy server federativo partecipa al protocollo WS-F PRP (WS-Federation Passive Requestor Profile) comunicando con un servizio federativo protetto per conto del client. Quando il proxy server federativo viene utilizzato per garantire la protezione di un partner account, raccoglie informazioni sulle credenziali utente da browser client. Quando il proxy server federativo viene utilizzato per garantire la protezione di un partner risorse, inoltra al servizio federativo le richieste in ingresso e in uscita delle applicazioni Web.

Se necessario, il proxy server federativo archivia inoltre i cookie HTTP (Hypertext Transfer Protocol) per facilitare il processo Single Sign-On (SSO). Il proxy server federativo consente la scrittura di tutti e tre i tipi di cookie, ovvero cookie di autenticazione, cookie del partner account e cookie di disconnessione. Per ulteriori informazioni sui cookie, vedere Informazioni sui cookie utilizzati da ADFS.


Utilizzare lo snap-in Proxy Active Directory Federation Services

Lo snap-in MMC Proxy Active Directory Federation Services viene installato al momento dell'installazione del componente Proxy servizio federativo in Installazione applicazioni in Windows Server 2003 R2 oppure quando si utilizza l'Aggiunta guidata ruoli in Windows Server 2008 o Windows Server 2008 R2. Tale snap-in consente di:

  • Configurare il servizio federativo per cui tale proxy server federativo svolge la funzione di proxy.

  • Determinare le modalità di raccolta delle informazioni relative alle credenziali utente da browser client e applicazioni Web.

Le impostazioni contenute nello snap-in Proxy Active Directory Federation Services vengono archiviate nel file Web.config all'interno della directory virtuale del Proxy servizio federativo.

Nodo Proxy servizio federativo

Nel nodo Proxy servizio federativo incluso nella gerarchia dell'albero della console dello snap-in sono rappresentate le impostazioni correnti del proxy server federativo. Tale nodo dello snap-in Proxy Active Directory Federation Services consente di controllare la configurazione del proxy server federativo locale. Il certificato di autenticazione client effettivo con la chiave privata è contenuto nell'archivio certificati personali del computer locale.

In Active Directory Federation Services (ADFS) viene effettuata la distinzione tra la configurazione locale di un proxy server federativo e la configurazione dei criteri di attendibilità condivisa da tutti i server inclusi nella server farm federativa. La configurazione del proxy locale viene archiviata nel file Web.config e include gli elementi seguenti:

  • URL (Uniform Resource Locator) del servizio federativo

  • Certificato di autenticazione client che deve essere utilizzato dal proxy server federativo per la comunicazione con il servizio federativo basata sui protocolli TLS/SSL (Transport Layer Security/Secure Sockets Layer)

  • Pagine Web Microsoft ASP.NET

Vedere anche

  • Informazioni sul servizio ruolo Proxy servizio federativo


Informazioni sul servizio ruolo Agente Web ADFS

Agente Web ADFS (Active Directory Federation Services) è un servizio ruolo di ADFS che è possibile installare indipendentemente da altri servizi ruolo di ADFS. Se si installa questo servizio ruolo su un computer, tale computer diventa un server Web abilitato per ADFS

che utilizza i token di sicurezza e consente o nega l'accesso di un utente a un'applicazione Web. A tale scopo, il server Web abilitato per ADFS richiede di stabilire una relazione con un servizio federativo della risorsa in modo da poter indirizzare l'utente al Servizio federativo in base alle necessità.

È possibile utilizzare l'agente Web ADFS per due tipi diversi di applicazioni:

  • Applicazioni in grado di riconoscere attestazioni: applicazioni Microsoft ASP.NET scritte negli oggetti ADFS pubblicati che consentono di eseguire query relative ad attestazioni basate su token di sicurezza ADFS. Le decisioni relative alle autorizzazioni vengono prese dalle applicazioni in base a tali attestazioni.

  • Applicazioni basate su token Windows NT: applicazioni che utilizzano meccanismi di autorizzazione basati su Windows. L'agente Web ADFS supporta la conversione di un token di sicurezza ADFS in un token di accesso Windows NT® a livello di rappresentazione.

Il server Web abilitato per ADFS archivia inoltre i cookie HTTP (Hypertext Transfer Protocol) nei client in cui sono necessari per facilitare il processo Single Sign-On (SSO). L'agente Web ADFS è costituito da due componenti separati:

  • Estensione agente basato su token Windows ADFS

  • Servizio Autenticazione agente Web ADFS

Estensione agente basato su token Windows ADFS

L'Estensione agente basato su token Windows ADFS è un'estensione ISAPI (Internet Server Application Programming Interface) che consente di configurare le informazioni nella metabase di IIS (Internet Information Services). In Gestione IIS è possibile utilizzare le pagine delle proprietà URL servizio federativo e Agente Web ADFS per amministrare i criteri e i certificati che consentono di verificare i cookie e i token di sicurezza ADFS.

Le proprietà dell'agente Web ADFS indicate nella tabella seguente sono ereditabili. Tali proprietà sono necessarie in una risorsa IIS se l'estensione ISAPI dovrà supportare il protocollo WS-F PRP (WS-Federation Passive Requestor Profile).

Proprietà | Descrizione
URL servizio federativo | URL (Uniform Resource Locator) del servizio federativo. Tale URL è necessario al fine di consentire l'esecuzione di query relative alle informazioni sui trust.
Percorso cookie | Percorso specificato quando viene scritto il cookie di autenticazione.
Dominio cookie | Dominio di validità del cookie.
URL restituito | URL a cui viene indirizzato il token del servizio federativo dopo che è stata eseguita l'autenticazione nel servizio stesso. Tale URL deve corrispondere all'elemento Audience del token, che viene controllato dal servizio di Windows.

Servizio Autenticazione agente Web ADFS

Il servizio Autenticazione agente Web ADFS convalida i token e i cookie in ingresso. Viene eseguito con l'account di sistema locale per generare un token utilizzando Service-for-User (S4U), che consente di ottenere un token Windows per il client specificando un nome dell'entità utente (UPN) senza password, oppure il pacchetto di autenticazione ADFS. Non è invece necessario eseguire il pool di applicazioni di IIS con l'account di sistema locale.

Il servizio Autenticazione agente Web ADFS dispone di interfacce che possono essere chiamate soltanto con una chiamata di procedura remota locale (LRPC), non con una chiamata di procedura remota (RPC). Questo servizio restituisce un token di accesso Windows NT a livello di rappresentazione se è stato specificato un token di sicurezza o un cookie ADFS.

Vedere anche

  • Informazioni sui servizi ruolo di ADFS


Informazioni sulla terminologia utilizzata in ADFS

In Active Directory Federation Services (ADFS) viene utilizzata la terminologia di numerose tecnologie diverse, tra cui Servizi certificati, Internet Information Services (IIS), Servizi di dominio Active Directory, Active Directory Lightweight Directory Services (AD LDS) e Web Services (WS-*). Nella tabella seguente vengono descritti tali termini.

Termine Descrizione

server federativo di account

Server federativo che si trova nella rete aziendale dell'organizzazione partner account. Questo server rilascia token di sicurezza agli utenti in base all'autenticazione utente. Il server esegue l'autenticazione di un utente, estrae gli attributi rilevanti e le informazioni sull'appartenenza a gruppi dall'archivio account e genera e firma un token di sicurezza da restituire all'utente che verrà utilizzato nella relativa organizzazione o verrà inviato a un'organizzazione partner.

proxy del server federativo di account

Proxy server federativo che si trova nella rete perimetrale dell'organizzazione partner account. Questo proxy server raccoglie le credenziali di autenticazione da un client che esegue l'accesso su Internet o dalla rete perimetrale e passa tali credenziali al server federativo di account.

partner account

Partner federativo considerato attendibile dal servizio federativo per il rilascio dei token di sicurezza ai relativi utenti (ovvero agli utenti dell'organizzazione partner account) in modo da consentirne l'accesso alle applicazioni basate sul Web nel partner risorse.

Active Directory Federation Services (ADFS)

Componente di Windows Server 2003 R2, Windows Server 2008 e Windows Server 2008 R2 che offre tecnologie Web SSO (Single Sign-On) per eseguire l'autenticazione di un utente in più applicazioni Web durante una singola sessione online. ADFS ottiene tale risultato condividendo identità digitale e diritti in maniera sicura all'interno dei confini di sicurezza e dell'organizzazione. ADFS supporta WS-F PRP (WS-Federation Passive Requestor Profile).

Agente Web ADFS

Servizio ruolo installabile di ADFS utilizzato per la creazione di un server Web abilitato per ADFS. Un agente Web ADFS utilizza i token di sicurezza e i cookie di autenticazione firmati da un server federativo valido per consentire o negare l'accesso di un utente all'applicazione protetta, considerando contemporaneamente le impostazioni di controllo dell'accesso specifiche dell'applicazione.

server Web abilitato per ADFS

Server Web che esegue Windows Server 2003 R2, Windows Server 2008 o Windows Server 2008 R2, configurato con il software dell'agente Web ADFS appropriato, ovvero l'agente in grado di riconoscere attestazioni o l'agente basato su token Windows, che è necessario per l'autenticazione e l'autorizzazione dell'accesso federativo alle applicazioni basate sul Web ospitate localmente.

attestazione

Dichiarazione di un server (ad esempio nome, identità, chiave, gruppo, privilegio o funzionalità) relativa a un client.

applicazione in grado di riconoscere attestazioni

Applicazione Microsoft ASP.NET che esegue l'autorizzazione in base alle attestazioni presenti in un token di sicurezza ADFS.

mapping di attestazioni

Azione di associazione, rimozione, filtraggio o trasferimento di attestazioni tra vari insiemi di attestazioni.

pagina Web di individuazione del partner account del client

Pagina Web che interagisce con l'utente per determinarne il partner account di appartenenza quando ADFS non è in grado di determinare automaticamente il partner account che deve eseguire l'autenticazione dell'utente.

certificato di autenticazione client

In ADFS, rappresenta un certificato utilizzato dai proxy server federativi per autenticare un client con il servizio federativo.

pagina Web di chiusura sessione client

Pagina Web avviata per offrire un riscontro visivo all'utente quando ADFS esegue un'operazione di chiusura della sessione con esito positivo.

pagina Web di accesso client

Pagina Web avviata per consentire l'interazione utente quando ADFS raccoglie le credenziali del client. Nella pagina Web di accesso client può essere utilizzata qualsiasi regola business necessaria per determinare il tipo di credenziali da raccogliere.

applicazione federata

Applicazione basata sul Web abilitata per ADFS a cui possono pertanto accedere gli utenti federati.

utente federato

Utente con account in un'organizzazione partner account che può accedere alle applicazioni federate di un'organizzazione partner risorse.

federazione

Coppia di aree di autenticazione o domini che hanno stabilito una relazione di trust federativa.

server federativo

Computer che esegue Windows Server 2003 R2, Windows Server 2008 o Windows Server 2008 R2, configurato per ospitare il componente Servizio federativo di ADFS. I server federativi sono in grado di autenticare o indirizzare le richieste da account utente in altre organizzazioni e da client che risiedono in qualsiasi posizione su Internet.

proxy server federativo

Computer che esegue Windows Server 2003 R2, Windows Server 2008 o Windows Server 2008 R2, configurato per ospitare il componente Proxy servizio federativo di ADFS. Questo tipo di proxy server offre servizi proxy con funzione di intermediari tra un client Internet e un server federativo protetto da firewall in una rete aziendale.

Servizio federativo

Servizio ruolo installabile di ADFS utilizzato per la creazione di un server federativo. Se installato, il servizio federativo rilascia token in risposta alle richieste di token di sicurezza. È possibile configurare più server federativi al fine di garantire la tolleranza di errore e il bilanciamento del carico per un servizio federativo singolo.

Proxy servizio federativo

Servizio ruolo installabile di ADFS utilizzato per la creazione di un proxy server federativo. Se installato, il servizio ruolo Proxy servizio federativo utilizza protocolli WS-F PRP per raccogliere le informazioni relative alle credenziali utente da browser client e applicazioni Web e inviarle al servizio federativo per loro conto.

attestazioni di organizzazione

Attestazioni in formato intermedio o normalizzato all'interno dello spazio dei nomi di un'organizzazione.

client passivo

Browser HTTP (Hypertext Transfer Protocol) con ampio supporto per numerose versioni di HTTP, in grado di utilizzare cookie. In Windows Server 2003 R2, Windows Server 2008 e Windows Server 2008 R2, ADFS supporta solo client passivi ed è conforme alla specifica WS-F PRP.

account della risorsa

Entità di sicurezza singola, in genere un account utente, creata in Servizi di dominio Active Directory e utilizzata per il mapping a un unico utente federato. Un account della risorsa è necessario quando si forma una federazione di applicazioni basate su token Windows NT, in quanto l'agente basato su token Windows NT deve fare riferimento a un'entità utente di Active Directory nella foresta del partner risorse per creare il token di accesso Windows NT e imporre in tal modo le autorizzazioni per il controllo di accesso sull'applicazione.

server federativo di risorsa

Server federativo nell'organizzazione partner risorse. Il server federativo di risorsa rilascia in genere token di sicurezza agli utenti in base a un token di sicurezza rilasciato da un server federativo di account. Il server esegue le operazioni seguenti:

  • Riceve il token di sicurezza.

  • Verifica la firma.

  • Trasforma le attestazioni di organizzazione in base ai propri criteri di attendibilità.

  • Genera un nuovo token di sicurezza in base alle informazioni contenute nel token di sicurezza in ingresso.

  • Firma il nuovo token da restituire all'utente e infine all'applicazione Web.

proxy del server federativo di risorsa

Proxy server federativo che si trova nella rete perimetrale dell'organizzazione partner risorse. Questo proxy esegue l'individuazione del partner account per i client Internet e reindirizza i token di sicurezza in ingresso al server federativo di risorsa.

gruppo di risorse

Gruppo di sicurezza singolo, creato in Servizi di domino Active Directory, a cui vengono mappate le attestazioni basate su gruppo in ingresso, ovvero le attestazioni basate su gruppo di ADFS provenienti dal partner account. Dopo che è stato eseguito il mapping degli utenti federati a un gruppo di risorse, i server Web abilitati per ADFS saranno in grado di prendere decisioni relative alle autorizzazioni per le applicazioni basate su token Windows NT in base alle autorizzazioni di accesso assegnate agli ID di sicurezza (SID) del gruppo di risorse.

partner risorse

Partner federativo che considera attendibile il servizio federativo per il rilascio dei token di sicurezza basati su attestazione relativi alle applicazioni basate sul Web (ovvero le applicazioni nell'organizzazione partner risorse), a cui possono accedere gli utenti nel partner account.

token di sicurezza

Unità di dati con firma crittografata che esprime una o più attestazioni. In ADFS un token di sicurezza firmato indica che il server federativo che lo ha rilasciato ha verificato con esito positivo l'autenticità dell'utente federato.

servizio token di sicurezza

Servizio Web che rilascia token di sicurezza. Tale servizio crea asserzioni, basate su evidenze considerate attendibili, per qualsiasi destinatario lo consideri attendibile o per destinatari specifici. Per comunicare trust, un servizio richiede una prova, ad esempio una firma, in grado di dimostrare la conoscenza di un token di sicurezza o di un insieme di token di sicurezza. Un servizio può generare direttamente i token oppure basarsi su un servizio token di sicurezza separato per il rilascio di un token di sicurezza con la relativa dichiarazione di trust. Tale meccanismo costituisce la base della negoziazione di trust. In ADFS, il servizio federativo è un servizio token di sicurezza.

certificato di autenticazione server

Certificato utilizzato da server Web abilitati per ADFS, server federativi e proxy server federativi al fine di proteggere il traffico dei servizi Web relativo alla comunicazione con altri server e con i client Web.

server farm

In ADFS, insieme di server federativi con carico bilanciato, proxy server federativi o server Web che ospitano l'agente Web ADFS.

Single Sign-On (SSO)

Ottimizzazione della sequenza di autenticazione al fine di eliminare il carico di lavoro dovuto ad azioni di accesso ripetute da parte di un utente finale.

certificato per la firma di token

Certificato X.509 con coppia di chiavi pubblica e privata associata utilizzata dai server federativi per apporre la firma digitale su tutti i relativi token di sicurezza generati.

URI (Uniform Resource Identifier)

Stringa compatta di caratteri che identifica una risorsa astratta o fisica. Per ulteriori informazioni sugli URI, vedere la RFC (Request for Comments) 2396 all'indirizzo http://go.microsoft.com/fwlink/?LinkId=48289. In ADFS, gli URI vengono utilizzati per identificare in modo univoco partner e archivi account.

certificato di verifica

Certificato che rappresenta la parte relativa alla chiave pubblica di un certificato per la firma di token. Ogni certificato di verifica viene archiviato nei criteri di attendibilità e utilizzato dal server federativo in un'unica organizzazione per verificare che i token di sicurezza in ingresso siano stati rilasciati da server federativi validi nella farm dell'organizzazione e in altre organizzazioni.

Web Services

(WS-*)

Specifiche per un'architettura dei servizi Web basata su standard industriali quali SOAP (Simple Object Access Protocol), XML, WSDL (Web Service Description Language) e UDDI (Universal Description, Discovery, and Integration). WS-* offre una base per la distribuzione di soluzioni aziendali complete e interoperative nell'organizzazione estesa, con la possibilità di gestire sicurezza e identità federativa.

Il modello dei servizi Web è basato sul principio che i sistemi dell'organizzazione sono scritti in linguaggi diversi e con modelli di programmazione diversi ed inoltre vengono eseguiti e sono accessibili da molti tipi diversi di dispositivi. I servizi Web consentono di creare sistemi distribuiti in grado di connettersi e interagire reciprocamente in modo semplice ed efficiente tramite Internet, indipendentemente dal linguaggio in cui sono stati scritti o dalla piattaforma su cui vengono eseguiti.

WS-Security (Web Services Security)

Serie di specifiche che descrive l'associazione di intestazioni di crittografia e firme ai messaggi SOAP. WS-Security descrive inoltre l'associazione di token di sicurezza, inclusi quelli binari come ad esempio certificati X.509 e ticket Kerberos, ai messaggi. In ADFS, le specifiche WS-Security vengono utilizzate per la firma dei token di sicurezza tramite Kerberos.

applicazione basata su token Windows NT

Applicazione Windows che utilizza un token Windows NT per l'autorizzazione degli utenti.

WS-Federation

Specifica che definisce un modello e un insieme di messaggi per la negoziazione di trust e la federazione di informazioni di identità e di autenticazione tra aree di autenticazione di trust diverse.

La specifica WS-Federation identifica due origini per le richieste di autenticazione e identità tra aree di autenticazione di trust:

  • Richiedenti attivi, ad esempio applicazioni abilitate all'uso di SOAP

  • Richiedenti passivi, definiti come browser HTTP in grado di supportare numerose versioni di HTTP, ad esempio HTTP 1.1

WS-F PRP (WS-Federation Passive Requestor Profile)

Implementazione della specifica WS-Federation che propone un protocollo standard per l'applicazione del framework federativo nei client passivi, ad esempio nei Web browser. Nell'ambito di questo protocollo è previsto che i richiedenti di servizi Web accettino i nuovi meccanismi di sicurezza e siano in grado di interagire con i provider di servizi Web.

Vedere anche

  • Panoramica di ADFS


Informazioni sulle relazioni di trust federative

È possibile utilizzare Active Directory Federation Services (ADFS) per consentire transazioni online efficienti e sicure tra organizzazioni partner unite da relazioni di trust federative, ovvero da un accordo aziendale o partnership tra due organizzazioni.

Come illustrato nella figura seguente, è possibile stabilire relazioni di trust federative tra due organizzazioni partner se in entrambe viene distribuito almeno un server federativo ADFS e le impostazioni del servizio federativo sono configurate in modo appropriato. La freccia unidirezionale indica la direzione del trust che, come nel caso di trust Windows, è orientata sempre verso il lato account della foresta. Per tale motivo, l'autenticazione proviene dall'organizzazione partner account ed è diretta verso l'organizzazione partner risorse.

Relazione di trust federativa che unisce le organizzazioni partner
Nota

A differenza dei trust Windows, che richiedono un canale sicuro costantemente connesso tra due o più domini per un corretto funzionamento, le relazioni di trust federative non richiedono tale canale in quanto nella rete non si verificano comunicazioni dirette tra il servizio federativo dell'account e il Servizio federativo della risorsa quando si stabilisce questo tipo di relazione.

Dopo la creazione della relazione di trust federativa, gli utenti che si trovano nell'organizzazione partner account potranno inviare richieste di autenticazione al server Web abilitato per ADFS nell'organizzazione partner risorse. Una relazione di trust federativa viene creata se il componente Servizio federativo di ADFS è installato sia nell'organizzazione partner account che nell'organizzazione partner risorse ed entrambe le organizzazioni utilizzano lo snap-in Active Directory Federation Services per configurare in modo appropriato il partner account e il partner risorse.

Se un lato della relazione di trust federativa, ovvero il partner account o il partner risorse, non è configurato oppure è stato configurato in modo non corretto dall'amministratore di una delle due organizzazioni, la relazione di trust federativa non verrà creata. Per ulteriori informazioni sulla creazione di relazioni di trust federative, consultare il contenuto della Guida dettagliata di ADFS o le informazioni relative alla distribuzione nella home page di Active Directory Federation Services all'indirizzo http://go.microsoft.com/fwlink/?LinkId=91867.

Nota

Le relazioni di trust federative non vengono utilizzate nella progettazione Web SSO (Single Sign-On) federativo di ADFS. Per ulteriori informazioni sulla progettazione Web SSO, vedere Informazioni sulle progettazioni federative.


Informazioni sulle progettazioni federative

Active Directory Federation Services (ADFS) supporta progettazioni di identità federativa (note anche come scenari federativi) in cui vengono utilizzate le specifiche WS-Federation (Web Services Federation), WS-F PRP (WS-Federation Passive Requestor Profile) e WS-Federation Passive Requestor Interoperability Profile. La soluzione ADFS facilita la gestione delle identità federative da parte degli amministratori consentendo alle organizzazioni di condividere in modo sicuro le informazioni di identità di un utente tramite relazioni di trust federative. Nelle descrizioni seguenti relative a tre progettazioni di distribuzione viene illustrato come è possibile utilizzare una combinazione di ruoli server ADFS per creare identità federative in base alle esigenze dell'organizzazione. Per ulteriori informazioni sui vari ruoli server, vedere Informazioni sui servizi ruolo di ADFS.

Web SSO federativo

La progettazione Web SSO (Single Sign-On) federativo prevede comunicazioni sicure che spesso attraversano più firewall, reti perimetrali e server di risoluzione dei nomi, oltre all'intera infrastruttura di routing Internet. La comunicazione in un ambiente Web SSO federativo consente transazioni online più efficienti e sicure tra le organizzazioni unite da relazioni di trust federative.

Come illustrato nella figura seguente, è possibile stabilire una relazione di trust federativa tra due aziende. In questa progettazione, i server federativi indirizzano le richieste di autenticazione provenienti da account utente di Tailspin Toys ad applicazioni basate sul Web che si trovano nella rete di Online Retailer.

Scenario SSO Web federativo

Le richieste provenienti da partner considerati attendibili vengono autenticate dai server federativi in base alle credenziali dei partner. Le rappresentazioni delle credenziali vengono scambiate sotto forma di token di sicurezza.

Per garantire una sicurezza avanzata, è possibile utilizzare proxy server federativi per l'inoltro delle richieste ai server federativi che non sono accessibili direttamente da Internet.

Web SSO federativo con trust tra foreste

La progettazione Web SSO federativo con trust tra foreste prevede due foreste di Active Directory in un'unica organizzazione, come illustrato nella figura seguente. Una delle foreste si trova nella rete perimetrale dell'organizzazione (nota anche come DMZ, rete Extranet o subnet schermata), mentre l'altra foresta si trova nella rete interna. Viene stabilito un trust tra foreste unidirezionale affinché la foresta nella rete perimetrale consideri attendibile la foresta nella rete interna. In entrambe le reti vengono distribuiti server federativi. Viene stabilita una relazione di trust federativa in modo da consentire l'utilizzo degli account nella foresta interna per accedere a un'applicazione basata sul Web nella rete perimetrale, indipendentemente dal fatto che gli account accedano al sito dalla foresta Intranet oppure da Internet.

Scenario Web SSO federativo con trust tra foreste

In questa progettazione gli utenti esterni, ad esempio i clienti, possono accedere all'applicazione Web eseguendo l'autenticazione con il server federativo degli account esterni, che si trova nella rete perimetrale. Gli utenti esterni dispongono di account utente nella foresta di Active Directory della rete perimetrale. Gli utenti interni, ad esempio i dipendenti, possono inoltre accedere all'applicazione Web eseguendo l'autenticazione con il server federativo degli account interni, che si trova nella rete interna. Gli utenti interni dispongono di account utente nella foresta di Active Directory interna.

Se l'applicazione basata sul Web è un'applicazione basata su token Windows NT, l'agente Web ADFS in esecuzione nel server dell'applicazione Web intercetta le richieste e crea token di sicurezza Windows NT, necessari all'applicazione Web per prendere decisioni relative alle autorizzazioni. Per gli utenti esterni, questo è possibile perché il server Web abilitato per ADFS che ospita l'applicazione basata su token Windows NT viene aggiunto al dominio nella foresta esterna. Per gli utenti interni, questo è possibile grazie alla relazione di trust tra la foresta perimetrale e la foresta interna.

Se l'applicazione basata sul Web è un'applicazione in grado di riconoscere attestazioni, non è necessario che l'agente Web ADFS in esecuzione nel server dell'applicazione Web crei token di sicurezza Windows NT per l'utente. L'agente Web ADFS può esporre le attestazioni ricevute, consentendo all'applicazione di prendere decisioni relative alle autorizzazioni in base ai contenuti del token di sicurezza fornito dal server federativo degli account. Per tale motivo, quando vengono distribuite applicazioni in grado di riconoscere attestazioni, non è necessario che il server Web abilitato per ADFS venga aggiunto al dominio e non è richiesta la relazione di trust tra la foresta esterna e quella interna.

Web SSO

Nella progettazione Web SSO di ADFS, gli utenti devono eseguire l'autenticazione una sola volta per accedere a più applicazioni basate sul Web. In questa progettazione, tutti gli utenti sono esterni e non esiste alcuna relazione di trust federativa. Poiché è necessario che i server Web abilitati per ADFS siano accessibili da Internet e che inoltre siano stati aggiunti al dominio di Active Directory, tali server sono connessi a due reti, ovvero sono multihomed. La prima rete, ovvero la rete perimetrale, è connessa a Internet per garantire la connettività necessaria. Le seconda rete, ovvero la rete protetta, contiene la foresta di Active Directory che non è accessibile direttamente da Internet. Anche il proxy server federativo è multihomed per garantire la connettività necessaria al server federativo e a Internet. In questa progettazione, l'inserimento del server federativo in una rete che non è accessibile direttamente da Internet consente di ridurre notevolmente i rischi per il server federativo.

Scenario SSO Web


Informazioni sulle attestazioni

Le attestazioni sono dichiarazioni relative agli utenti (ad esempio nome, identità, chiave, gruppo, privilegio o funzionalità), riconosciute da entrambi i partner di una federazione Active Directory Federation Services (ADFS) e utilizzate a scopo di autorizzazione in un'applicazione.

Il servizio federativo ADFS esegue la negoziazione di trust tra numerose entità diverse ed è progettato per consentire lo scambio trusted di attestazioni contenenti valori arbitrari. Il partner di destinazione (ad esempio un partner risorse) utilizza quindi tali attestazioni per prendere decisioni relative alle autorizzazioni.

Gli scenari possibili per il flusso di attestazioni attraverso il servizio federativo sono tre:

  • Il servizio federativo dell'account riceve le attestazioni dall'archivio account e le invia al partner risorse.

  • Il servizio federativo della risorsa riceve le attestazioni dal partner account e le invia all'applicazione della risorsa.

  • Il servizio federativo riceve le attestazioni dall'archivio account e le invia all'applicazione della risorsa.

È possibile configurare il servizio federativo in modo che svolga tutti e tre i ruoli indicati e, pertanto, facilitare i tre flussi di comunicazione mediante un unico servizio federativo.

Il servizio federativo supporta tre tipi di attestazioni, ovvero attestazioni d'identità, attestazioni basate su gruppo e attestazioni personalizzate. Nella tabella seguente viene descritto in modo più dettagliato ognuno di questi tipi.

Tipo di attestazione Descrizione

Identità

In ADFS i tipi UPN, Posta elettronica e Nome comune vengono definiti tipi di attestazione d'identità.

  • UPN: indica un nome dell'entità utente (UPN) con autenticazione Kerberos, ad esempio utente@areaautenticazione. Solo un'attestazione può essere di tipo UPN. Anche se è necessario comunicare più valori UPN, solo un'attestazione può essere di questo tipo. È tuttavia possibile configurare UPN aggiuntivi come tipi di attestazione personalizzata.

  • Posta elettronica: indica nomi di posta elettronica conformi alla RFC (Request for Comments) 2822 nel formato utente@dominio. Solo un'attestazione può essere di tipo Posta elettronica. Anche se è necessario comunicare più valori di tipo Posta elettronica, solo un'attestazione può essere di questo tipo. È tuttavia possibile configurare valori di tipo Posta elettronica aggiuntivi come tipi di attestazione personalizzata.

  • Nome comune: indica una stringa arbitraria utilizzata per la personalizzazione, ad esempio John Smith o Dipendente della Tailspin Toys. Solo un'attestazione può essere di tipo Nome comune. Poiché non esiste alcun meccanismo per garantire l'univocità dell'attestazione basata su nome comune, è necessario prestare attenzione quando si utilizza questo tipo di attestazione per decisioni relative alle autorizzazioni.

Gruppo

Indica l'appartenenza a un gruppo o a un ruolo. Gli amministratori definiscono attestazioni singole con il tipo di gruppo "Attestazioni basate su gruppo". È ad esempio possibile definire l'insieme di attestazioni basate su gruppo [Sviluppatore, Tester, Program manager]. Ogni attestazione basata su gruppo costituisce un'unità amministrativa separata per il popolamento e il mapping di attestazioni. Il valore di un'attestazione basata su gruppo può essere paragonato a un valore booleano che indica l'appartenenza.

Personalizzata

Indica un'attestazione che contiene informazioni personalizzate relative a un utente, ad esempio il numero ID del dipendente.

Se in un token sono presenti più tipi di attestazione d'identità, le relative priorità verranno assegnate nell'ordine seguente:

  1. UPN

  2. Posta elettronica

  3. Nome comune

Per l'emissione di un token, è necessaria la presenza di almeno uno di questi tipi di attestazione d'identità.

Mapping di attestazioni

ADFS utilizza il protocollo WS-F PRP (WS-Federation Passive Requestor Protocol), che trasporta le attestazioni nei token di sicurezza emessi dal servizio federativo. Le attestazioni vengono popolate inizialmente dagli archivi account di Servizi di dominio Active Directory o di Active Directory Lightweight Directory Services (AD LDS).

Il servizio federativo può eseguire il mapping di attestazioni in ingresso o in uscita di un partner federativo. Il mapping di attestazioni consiste nell'azione di associazione, rimozione, filtraggio o trasferimento di attestazioni in ingresso all'interno di attestazioni in uscita. Il mapping di attestazioni può essere diverso per ogni partner federativo. La definizione del popolamento e del mapping di queste attestazioni è importante per la configurazione della federazione. Per i mapping di attestazioni vengono utilizzati confronti tra stringhe in cui viene fatta distinzione tra maiuscole e minuscole. Nella figura seguente viene illustrato il processo di mapping di attestazioni.

Il processo di mapping richieste

Insiemi di attestazioni di organizzazione

Viene eseguito il mapping di tutte le attestazioni in ingresso alle attestazioni di organizzazione. Le attestazioni di organizzazione sono attestazioni in formato intermedio o normalizzato all'interno dello spazio dei nomi di un'organizzazione. Tutte le azioni interne del servizio federativo vengono eseguite sull'insieme di attestazioni di organizzazione. Le attestazioni di organizzazione vengono utilizzate dalle applicazioni della risorsa.

Con le attestazioni di organizzazione, non è necessario amministrare singolarmente i mapping tra due organizzazioni qualsiasi che devono comunicare. Ogni organizzazione definisce un mapping singolo in uscita o in ingresso per le proprie attestazioni di organizzazione, semplificando in tal modo l'amministrazione di ADFS. Se ad esempio la federazione comprende:

x partner account

y applicazioni della risorsa

includerà x + y mapping di attestazioni.

Si tratta di una quantità ridotta rispetto alla quantità potenziale di x × y mapping di attestazioni. Come esempio concreto, si supponga che un servizio federativo comprenda:

3 partner account

7 applicazioni della risorsa

Quando il mapping viene eseguito direttamente dalle attestazioni in ingresso a quelle in uscita, la federazione richiede solo 10 mapping di attestazioni rispetto ai 21 mapping di attestazioni potenziali.

Posta elettronica

Per i tipi di attestazione basata su posta elettronica viene eseguito sempre il mapping a tipi di attestazione basata su posta elettronica. Durante questo processo, nel servizio federativo dell'account è possibile eseguire il mapping del suffisso di dominio a un valore costante proteggendo in tal modo un'organizzazione partner dalla divulgazione accidentale di informazioni sulla struttura della foresta interna a un'altra organizzazione. Nel servizio federativo della risorsa è possibile filtrare il suffisso di dominio in base a un elenco di valori costanti.

Nell'esempio seguente viene descritta una federazione ADFS tra due organizzazioni, Tailspin Toys e Adventure Works, che rappresentano rispettivamente il partner account e il partner risorse.

  • Tailspin Toys, in qualità di servizio federativo dell'account, esegue il mapping dell'attestazione di organizzazione basata su posta elettronica all'attestazione basata su posta elettronica in uscita per Adventure Works. Durante il processo viene eseguito il mapping di tutti i suffissi di posta elettronica a tailspintoys.com. Supponendo che l'attestazione di organizzazione basata su posta elettronica sia e-mail=jsmith@sales.tailspintoys.com, l'attestazione basata su posta elettronica in uscita sarà e-mail=jsmith@tailspintoys.com.

  • Adventure Works, in qualità di servizio federativo della risorsa, esegue il mapping dell'attestazione basata su posta elettronica in ingresso di Tailspin Toys all'attestazione di organizzazione basata su posta elettronica e, durante il processo, l'elenco di suffissi viene filtrato in base a tailspintoys.com. Un'attestazione basata su posta elettronica in ingresso di Tailspin Toys corrispondente a e-mail=jsmith@tailspintoys.com verrà pertanto accettata, mentre un'attestazione basata su posta elettronica in ingresso di Tailspin Toys corrispondente a e-mail=jsmith@adventure-works.com verrà rifiutata.

UPN

Per i tipi di attestazione basata su UPN viene eseguito sempre il mapping a tipi di attestazione basata su UPN. Queste attestazioni vengono sottoposte al filtraggio e al mapping dei suffissi in modo analogo alle attestazioni basate su posta elettronica. Poiché tuttavia Servizi di dominio Active Directory consente l'utilizzo di UPN senza il simbolo @, il servizio federativo dell'account aggiunge il simbolo @, seguito dal suffisso nel caso in cui sia stato definito un mapping di suffissi UPN. Se invece viene passato un suffisso qualsiasi, il servizio federativo trasmette l'UPN così com'è, senza il simbolo @. Sul lato risorsa, se sono consentiti tutti i suffissi UPN, l'UPN senza il simbolo @ viene accettato. Se invece è consentito un suffisso UPN specifico, l'UPN senza il simbolo @ viene rifiutato.

Nome comune

Per i tipi di attestazione basata su nome comune viene eseguito sempre il mapping a tipi di attestazione basata su nome comune. Queste attestazioni non sono soggette a ulteriori regole.

Personalizzata

Per i tipi di attestazione personalizzata viene eseguito sempre il mapping ad altri tipi di attestazione personalizzata. Nel caso di un insieme di attestazioni in ingresso corrispondente a (UPN, Custom=[NumeroDipendente, IDContribuente]) e di un insieme di attestazioni di organizzazione corrispondente a (UPN, Custom=[Dipendente, NumeroPrevidenzaSociale]), è ad esempio possibile creare mapping personalizzati da NumeroDipendente a Dipendente e da IDContribuente a NumeroPrevidenzaSociale.

Gruppo

Per i tipi di attestazione basata su gruppo viene eseguito sempre il mapping ad altri tipi di attestazione basata su gruppo. Nel caso di un insieme di attestazioni in ingresso corrispondente a (UPN, Group=[Uno, Due, Tre]) e di un insieme di attestazioni di organizzazione corrispondente a (UPN, Group=[X,Y,Z]), è ad esempio possibile creare mapping personalizzati da Uno a Y, da Due a X e da Tre a Z.

Mapping da gruppo a UPN

Oltre ai mapping standard descritti nelle sezioni precedenti, è possibile utilizzare un mapping di attestazioni speciale da gruppo a UPN. Questo tipo di mapping è supportato nel servizio federativo della risorsa solo quando le attestazioni in ingresso provengono da un partner account. In questo caso, non viene eseguito il mapping dei tipi di attestazione basata su UPN a tipi di attestazione basata su UPN, bensì viene specificato un elenco ordinato di mapping di attestazioni da gruppo a UPN.

L'elenco da gruppo a UPN potrebbe essere ad esempio il seguente:

  1. Da Dev a developers@internal.tailspintoys.com

  2. Da Test a testers@internal.tailspintoys.com

  3. Da PM a progmgrs@internal.tailspintoys.com

Nel caso di un insieme di attestazioni in ingresso corrispondente a (Common name=John Smith, Group=[Dev]), l'insieme di attestazioni di organizzazione contiene (Common name=John Smith, UPN=developers@internal.tailspintoys.com). Tenere presente che si tratta di un elenco ordinato. Un insieme di attestazioni corrispondente a (Common name=John Smith, Group=[Dev,PM]) avrà pertanto come risultato (Common name=John Smith, UPN=developers@internal.tailspintoys.com). Se inoltre l'attestazione in ingresso include un UPN, quest'ultimo verrà sovrascritto. Questa regola di mapping speciale supporta gli account delle risorse basati su gruppo che accedono a risorse legacy. L'ordine dei mapping da gruppo a UPN è specificato nei criteri di attendibilità per il servizio federativo.

Controllo di attestazioni

Alcune attestazioni basate su gruppo e personalizzate possono essere designate come controllabili. Quando il controllo è abilitato, è possibile esporre il nome dell'attestazione nel registro eventi di sicurezza ma il valore dell'attestazione viene omesso. Il numero di previdenza sociale è un esempio di attestazione controllabile. In questo caso, il nome dell'attestazione viene esposto ma il valore del numero effettivo archiviato nell'attestazione viene omesso. Il valore dell'attestazione non viene controllato durante la creazione o il mapping dell'attestazione.

Nota

I tipi di attestazione d'identità sono sempre controllabili.

Vedere anche

  • Panoramica di ADFS


Informazioni sui cookie utilizzati da ADFS

In Active Directory Federation Services (ADFS) vengono utilizzati i tipi di cookie seguenti:

  • Cookie di autenticazione

  • Cookie del partner account

  • Cookie di disconnessione

Cookie di autenticazione

I cookie di autenticazione possono essere installati sia dal servizio federativo che dall'agente Web ADFS. L'agente Web ADFS riceve un token di sicurezza ADFS e lo utilizza come valore del cookie. Il vantaggio relativo al server Web abilitato per ADFS consiste nel fatto che non è necessario configurarlo con una coppia di chiavi pubblica/privata in grado di firmare e verificare i cookie corrispondenti. Il servizio federativo pubblica tutte le informazioni necessarie per convalidare i token.

Nel servizio federativo il token di sicurezza incluso in un cookie contiene le attestazioni di organizzazione per il client. Tali attestazioni possono essere mappate ad attestazioni in uscita per una risorsa specifica. L'agente Web ADFS può inoltre autenticare e utilizzare i cookie rilasciati dal servizio federativo. Il server Web abilitato per ADFS riceve un cookie quando viene raggiunto dal client. L'agente Web ADFS può quindi autenticare il cookie e utilizzare le attestazioni in esso contenute. Per ulteriori informazioni sull'utilizzo dei token, delle attestazioni e dei cookie di autenticazione nel servizio federativo, vedere Informazioni sul servizio ruolo Servizio federativo.

Il cookie di autenticazione facilita il processo Single Sign-On (SSO). Dopo che il servizio federativo ha convalidato una prima volta il client, il cookie di autenticazione viene scritto nel client. Il servizio federativo crea e utilizza il contenuto del cookie di autenticazione, che non viene letto dai proxy server federativi. Ulteriori autenticazioni vengono eseguite tramite il cookie anziché tramite la raccolta ripetuta delle credenziali del client. Per ulteriori informazioni sui proxy server federativi, vedere Informazioni sul servizio ruolo Proxy servizio federativo.

Nella figura seguente vengono illustrati il contenuto di un cookie di autenticazione e i servizi ruolo di ADFS che utilizzano tale cookie. L'agente Web ADFS comprende sia il servizio Autenticazione agente Web ADFS che l'estensione per l'agente Web basato su token Windows ADFS.

Il contenuto del cookie di autenticazione

Il cookie di autenticazione è sempre un cookie della sessione. Poiché il cookie di autenticazione è firmato ma non crittografato, in ADFS è necessario utilizzare TLS/SSL (Transport Layer Security/Secure Sockets Layer).

Cookie del partner account

Il cookie del partner account facilita il processo SSO. Dopo l'individuazione interattiva dell'appartenenza al partner account, il cookie del partner account viene scritto nel client a condizione che includa un token valido. In ulteriori interazioni vengono utilizzate le informazioni presenti in questo cookie anziché richiedere nuovamente al client informazioni sull'appartenenza al partner account. Il cookie del partner account viene impostato in seguito al processo di individuazione del partner account. Per ulteriori informazioni sull'individuazione del partner account, vedere Informazioni sul servizio ruolo Servizio federativo.

Il cookie del partner account è un cookie permanente di lunga durata. Non è mai firmato né crittografato.

Cookie di disconnessione

Questo tipo di cookie facilita la disconnessione. Quando il servizio federativo rilascia un token, il partner risorse o il server di destinazione del token viene aggiunto al cookie di disconnessione. Quando riceve una richiesta di disconnessione, il servizio federativo o il Proxy servizio federativo invia a ogni server di destinazione del token la richiesta di eliminare tutti gli elementi di autenticazione, ad esempio i cookie memorizzati nella cache, che il partner risorse o il server Web abilitato per ADFS ha eventualmente scritto nel client. Nel caso di un partner risorse, viene inviata una richiesta di eliminazione a tutti i server Web abilitati per ADFS che sono stati utilizzati dal client.

Il cookie di disconnessione è sempre un cookie della sessione. Non è mai firmato né crittografato.


Informazioni sui certificati utilizzati da ADFS

In qualsiasi progettazione di Active Directory Federation Services (ADFS) è necessario utilizzare vari certificati per proteggere la comunicazione e facilitare le richieste di autorizzazione e di autenticazione utente indirizzate ai server federativi, ai proxy server federativi e ai server Web abilitati per ADFS.

Per ulteriori informazioni sui certificati, vedere la pagina relativa all'infrastruttura a chiave pubblica per Windows Server 2003 all'indirizzo http://go.microsoft.com/fwlink/?LinkId=19936.

Certificati utilizzati dai server federativi

Per partecipare alle comunicazioni ADFS, ogni server federativo deve disporre di un certificato di autenticazione server e di un certificato per la firma di token. I criteri di attendibilità richiedono un certificato associato, noto come certificato di verifica, che è la parte corrispondente alla chiave pubblica del certificato per la firma di token.

Certificati di autenticazione server

Il server federativo utilizza i certificati di autenticazione server SSL (Secure Sockets Layer) per proteggere il traffico dei servizi Web relativo alla comunicazione con i client Web o con il proxy server federativo. Questi certificati vengono richiesti e installati tramite lo snap-in Internet Information Services (IIS).

Certificati per la firma di token

Ogni server federativo utilizza un certificato per la firma di token al fine di apporre la firma digitale in tutti i token di sicurezza generati. Poiché ogni token di sicurezza viene firmato digitalmente dal partner account, il partner risorse è in grado di verificare che il token di sicurezza sia stato effettivamente rilasciato dal partner account e non sia stato modificato. In questo modo è possibile impedire agli autori di attacchi di creare o modificare token di sicurezza per ottenere l'accesso non autorizzato alle risorse.

Le firme digitali nei token di sicurezza vengono inoltre utilizzate nel partner account qualora siano disponibili più server federativi. In tal caso, le firme digitali consentono di verificare l'origine e l'integrità dei token di sicurezza rilasciati da altri server federativi nel partner account. Le firme digitali vengono verificate tramite certificati di verifica.

Nota

Ogni certificato per la firma di token contiene una chiave privata associata.

Certificati di verifica

I certificati di verifica consentono di verificare che un token di sicurezza sia stato rilasciato da un server federativo valido e non sia stato modificato. I certificati di verifica rappresentano effettivamente i certificati per la firma di token di altri server federativi.

Per verificare che un token di sicurezza sia stato rilasciato da un determinato server federativo e non sia stato modificato, è necessario che il server federativo disponga di un certificato di verifica per il server federativo che ha rilasciato il token di sicurezza. Se ad esempio il server federativo A rilascia un token di sicurezza e lo invia al server federativo B, quest'ultimo deve disporre di un certificato di verifica per il server federativo A, che svolge la funzione di certificato per la firma dei token per il server federativo A.

Nota

A differenza di un certificato per la firma di token, un certificato di verifica non contiene la chiave privata associata al certificato.

Certificati utilizzati dai proxy server federativi

I server che eseguono il servizio ruolo Proxy servizio federativo devono utilizzare un certificato di autenticazione client e un certificato di autenticazione server.

Certificati di autenticazione client

Ogni proxy server federativo utilizza un certificato di autenticazione client SSL per eseguire l'autenticazione con il servizio federativo. È possibile utilizzare come certificato di autenticazione client del proxy server federativo qualsiasi certificato con utilizzo chiavi avanzato (EKU) per l'autenticazione client. Una copia del certificato di autenticazione client del proxy server federativo viene archiviata sia nel proxy server federativo che nei criteri di attendibilità del server federativo. La chiave privata associata al certificato di autenticazione client del proxy server federativo viene archiviata tuttavia solo nel proxy server federativo.

Nota

L'interfaccia utente Criteri di attendibilità nello snap-in Active Directory Federation Services fa riferimento ai certificati di autenticazione client come certificati di Proxy servizio federativo.

Certificati di autenticazione server

Il proxy server federativo utilizza i certificati di autenticazione server SSL (Secure Sockets Layer) per proteggere il traffico dei servizi Web relativo alla comunicazione con i client Web. Questi certificati vengono richiesti e installati tramite lo snap-in Internet Information Services (IIS).

Certificati utilizzati dai server Web abilitati per ADFS

Ogni server Web abilitato per ADFS che ospita un agente Web ADFS utilizza i certificati di autenticazione server SSL per la comunicazione sicura con i client Web. Questi certificati vengono richiesti e installati tramite lo snap-in Internet Information Services (IIS).


Requisiti per ADFS

Di seguito sono elencati i requisiti hardware e software per Active Directory Federation Services (ADFS).

Requisiti hardware

  • Velocità processore: 133 MHz per computer con processore x86

  • RAM minima consigliata: 256 MB

  • Spazio libero su disco per l'installazione: 10 MB

Requisiti software

ADFS è basato sulla funzionalità server incorporata in Windows Server 2003 R2, Windows Server 2008 e Windows Server 2008 R2. Non è possibile eseguire i servizi ruolo Servizio federativo, Proxy servizio federativo e Agente Web ADFS nei sistemi operativi precedenti. In questa sezione vengono descritti i requisiti software per ogni servizio ruolo di ADFS, nonché le configurazioni software generali necessarie per ADFS nell'ambiente di rete.

Nota

I servizi ruolo Servizio federativo e Proxy servizio federativo non possono coesistere nello stesso computer.

Servizio federativo

Nei computer che eseguono il servizio federativo è necessario installare il software seguente:

  • Windows Server 2003 R2 Enterprise Edition, Windows Server 2003 R2 Datacenter Edition, Windows Server 2008 Enterprise, Windows Server 2008 Datacenter, Windows Server 2008 R2 Standard, Windows Server 2008 R2 Enterprise o Windows Server 2008 R2 Datacenter

  • Internet Information Services (IIS)

  • Microsoft ASP.NET 2.0

  • Microsoft .NET Framework 2.0

Nota

Al termine dell'installazione del servizio federativo, è necessario configurare un sito Web predefinito in IIS con TLS/SSL (Transport Layer Security/Secure Sockets Layer).

Requisiti per gli archivi account di Servizi di dominio Active Directory e di AD LDS

ADFS richiede la presenza di account utente per il servizio federativo dell'account in Servizi di dominio Active Directory o in Active Directory Lightweight Directory Services (AD LDS). Nei controller di dominio Servizi di dominio Active Directory o nei computer che ospitano gli archivi account è necessario installare almeno uno dei sistemi operativi seguenti:

  • Windows Server 2008 R2

  • Windows Server 2008

  • Windows Server 2003 R2

  • Windows Server 2003

  • Windows 2000 con Service Pack 4 (SP4) e aggiornamenti critici

ADFS non richiede modifiche allo schema o al livello di funzionalità in Servizi di dominio Active Directory. Per assicurare il corretto funzionamento di AD LDS con ADFS, installare la versione di AD LDS fornita con Windows Server 2008.

Proxy servizio federativo

Nei computer che eseguono il Proxy servizio federativo è necessario installare il software seguente:

  • Windows Server 2003 R2 Enterprise Edition, Windows Server 2003 R2 Datacenter Edition, Windows Server 2008 Enterprise, Windows Server 2008 Datacenter, Windows Server 2008 R2 Standard, Windows Server 2008 R2 Enterprise o Windows Server 2008 R2 Datacenter

  • IIS

  • ASP.NET 2.0

  • Microsoft .NET Framework 2.0

Nota

Al termine dell'installazione del Proxy servizio federativo, è necessario configurare un sito Web predefinito in IIS con TLS/SSL.

Agente Web ADFS

Nei computer che eseguono l'agente Web ADFS in grado di riconoscere attestazioni o basato su token Windows è necessario installare il software seguente:

  • Windows Server 2003 R2 Standard Edition, Windows Server 2003 R2 Enterprise Edition, Windows Server 2003 R2 Datacenter Edition, Windows Server 2008 Standard, Windows Server 2008 Enterprise, Windows Server 2008 Datacenter, Windows Server 2008 R2 Standard, Windows Server 2008 R2 Enterprise o Windows Server 2008 R2 Datacenter

  • IIS

  • ASP.NET 2.0

  • Microsoft .NET Framework 2.0

Nota

Al termine dell'installazione dell'agente Web ADFS, è necessario configurare almeno un sito Web in IIS con TLS/SSL per consentire agli utenti federati di accedere alle applicazioni basate sul Web ospitate nel server Web abilitato per ADFS.

Autorità di certificazione attendibili

Poiché sia TLS/SSL che la firma di token si basano sui certificati digitali, le Autorità di certificazione (CA) costituiscono una parte essenziale di ADFS. Le CA pubbliche, ad esempio VeriSign, Inc., rappresentano una terza parte ritenuta reciprocamente attendibile che consente l'identificazione dell'identità del proprietario di un certificato. È possibile utilizzare autorità di certificazione dell'organizzazione (enterprise), ad esempio Servizi certificati Microsoft, per garantire la firma di token e altri servizi certificati interni.

Se un client riceve un certificato di autenticazione del server, il computer client verifica che la CA che ha emesso il certificato sia inclusa nell'elenco di CA attendibili del client e non abbia revocato tale certificato. Questa verifica consente di essere certi che il client abbia raggiunto il server desiderato. Quando un certificato viene impiegato per la verifica di token firmati, il client utilizza il certificato per verificare che il token sia stato emesso dal server federativo corretto e che non sia stato alterato.

Connettività di rete TCP/IP

Per il funzionamento di ADFS è necessaria la connettività di rete TCP/IP tra il client, un controller di dominio e i computer che ospitano il servizio federativo, il proxy servizio federativo (se utilizzato) e l'agente Web ADFS.

DNS

Per l'autenticazione degli utenti nella rete Intranet, è necessario configurare i server DNS (Domain Name System) interni nella foresta Intranet in modo che restituiscano il nome canonico (CNAME) del server interno che esegue il servizio federativo. Per ottenere risultati ottimali, non utilizzare file host con DNS.

Web browser

Anche se qualsiasi Web browser corrente con JScript abilitato dovrebbe funzionare come client ADFS, solo Internet Explorer 8, Internet Explorer 7, Internet Explorer 6, Internet Explorer 5 o 5.5, Mozilla Firefox e Safari per Apple Macintosh sono stati testati da Microsoft. Per garantire prestazioni ottimali, è consigliabile abilitare JScript. È necessario che i cookie siano abilitati, o almeno considerati attendibili, per i server federativi e le applicazioni Web a cui viene effettuato l'accesso.

Vedere anche

  • Informazioni sui servizi ruolo di ADFS


Aggiungere partner al servizio federativo

In questa sezione sono contenute le informazioni seguenti, relative a concetti e procedure, necessarie per aggiungere partner federativi al servizio federativo:

  • Informazioni sulle organizzazioni partner

  • Aggiungere un partner risorse

  • Aggiungere un partner account


Informazioni sulle organizzazioni partner

Quando si pianifica una collaborazione federativa tra organizzazioni utilizzando Active Directory Federation Services (ADFS), è innanzitutto necessario stabilire se la propria organizzazione ospiterà una risorsa Web a cui è possibile accedere da altre organizzazioni tramite Internet o viceversa. Questa decisione influisce sulle modalità di distribuzione di ADFS e costituisce un aspetto fondamentale nella pianificazione dell'infrastruttura ADFS.

Per le progettazioni federative, ad esempio quelle di tipo Web SSO federativo e Web SSO federativo con trust tra foreste ma non di tipo Web SSO, in ADFS vengono utilizzati rispettivamente i termini "partner account" e "partner risorse" per distinguere l'organizzazione che ospita gli account (partner account) da quella che ospita le risorse basate sul Web (partner risorse). Il termine "relazione di trust federativa" viene utilizzato in ADFS per caratterizzare la relazione unidirezionale non transitiva stabilita tra il partner account e il partner risorse.

Per ulteriori informazioni sulle progettazioni di ADFS, vedere Informazioni sulle progettazioni federative.

Nelle sezioni seguenti vengono illustrati alcuni concetti relativi ai partner account e ai partner risorse.

Partner account

Nella relazione di trust federativa un partner account rappresenta l'organizzazione in cui sono archiviati fisicamente gli account utente, in un archivio di Servizi di dominio Active Directory o di Active Directory Lightweight Directory Services (AD LDS). Il partner account è responsabile della raccolta e dell'autenticazione delle credenziali di un utente, della creazione delle attestazioni relative a tale utente e dell'inserimento di tali attestazioni nei token di sicurezza. Tali token possono essere inviati attraverso una relazione di trust federativa per eseguire l'accesso a risorse basate sul Web che si trovano nell'organizzazione partner risorse.

In altre parole, un partner account rappresenta l'organizzazione a cui appartengono gli utenti per i quali il servizio federativo sul lato account rilascia i token di sicurezza. Il servizio federativo nell'organizzazione partner account esegue l'autenticazione degli utenti locali e crea i token di sicurezza utilizzati dal partner risorse per prendere decisioni relative alle autorizzazioni.

In relazione a Servizi di dominio Active Directory, il partner account in ADFS è concettualmente equivalente a una foresta singola di Servizi di dominio Active Directory i cui account devono accedere alle risorse che risiedono fisicamente in un'altra foresta. Gli account presenti in questa foresta di esempio possono accedere alle risorse disponibili nella relativa foresta solo se tra le due foreste esiste una relazione di trust esterno o una relazione di trust tra foreste e sono state impostate le autorizzazioni appropriate per le risorse a cui gli utenti tentano di accedere.

Nota

Questo esempio è stato riportato solo per sottolineare l'analogia concettuale della relazione tra le organizzazioni partner account e partner risorse in ADFS con la relazione tra una foresta degli account e una foresta delle risorse in Servizi di dominio Active Directory. Per il funzionamento di ADFS non sono necessari trust esterni e trust tra foreste.

Creare attestazioni da inviare al partner risorse

Un'attestazione è una dichiarazione di un server (ad esempio nome, identità, chiave, gruppo, privilegio o funzionalità) relativa a un client. Le attestazioni create dal partner account vengono utilizzate dal servizio federativo del partner risorse. Nell'elenco seguente vengono descritti i diversi tipi di attestazione che è possibile configurare nel partner account sul lato server federativo di risorsa.

  • Attestazione basata su UPN

    Quando si configura il partner account, è possibile specificare un elenco di domini e suffissi del nome dell'entità utente (UPN) accettati dal partner account. Se viene ricevuta un'identità UPN in cui la parte relativa al dominio non è presente nell'elenco, la richiesta verrà rifiutata.

  • Attestazione basata su posta elettronica

    Quando si configura il partner account, è possibile specificare un elenco di domini e suffissi di posta elettronica accettati dal partner account. Come nel caso di un'attestazione basata su UPN, se viene ricevuta un'identità basata su posta elettronica in cui la parte relativa al dominio non è presente nell'elenco, la richiesta verrà rifiutata.

  • Attestazione basata su nome comune

    Quando si configura il partner account, è possibile specificare se le attestazioni basate su nome comune possono essere ricevute dal partner account. Non è possibile eseguire il mapping di questo tipo di attestazione, che viene semplicemente passata al partner account nel caso in cui sia abilitata.

  • Attestazioni basate su gruppo

    Quando si configura il partner account, è possibile specificare un insieme di attestazioni basate su gruppo in ingresso accettate dal partner. È quindi possibile associare ogni gruppo in ingresso valido a un'attestazione di organizzazione basata su gruppo. In questo modo viene creato un mapping del gruppo. Se viene rilevato un gruppo in ingresso privo di mapping, verrà ignorato.

  • Attestazioni personalizzate

    Quando si configura il partner account, è possibile specificare un insieme di nomi in ingresso di attestazioni personalizzate accettate dal partner. È quindi possibile eseguire il mapping di ogni nome in ingresso valido a un'attestazione di organizzazione personalizzata. In questo modo viene creato un mapping del nome. Se viene rilevata un'attestazione personalizzata in ingresso priva di mapping, verrà ignorata.

Partner risorse

Un partner risorse è il secondo partner organizzativo nella relazione di trust federativa. Tale partner è l'organizzazione in cui risiedono i server Web abilitati per ADFS che ospitano una o più applicazioni basate sul Web, ovvero le risorse. Il partner risorse stabilisce una relazione di trust con il partner account per eseguire l'autenticazione degli utenti. Per prendere decisioni relative alle autorizzazioni, il partner risorse utilizza pertanto le attestazioni inserite nei token di sicurezza provenienti dagli utenti del partner account.

In altre parole, un partner risorse rappresenta l'organizzazione i cui server Web abilitati per ADFS sono protetti dal servizio federativo sul lato risorse. Il servizio federativo del partner risorse utilizza i token di sicurezza creati dal partner account per prendere decisioni relative alle autorizzazioni dei server Web abilitati per ADFS che si trovano nel partner risorse.

Affinché un server Web abilitato per ADFS nell'organizzazione partner risorse svolga la funzione di risorsa di ADFS, è necessario installare il componente Agente Web ADFS. I server Web che svolgono la funzione di risorsa di ADFS possono ospitare sia applicazioni in grado di riconoscere attestazioni che applicazioni basate su token Windows NT.

Nota

Se l'applicazione ospitata dal server Web abilitato per ADFS è un'applicazione basata su token Windows NT, potrebbe essere necessario un account della risorsa per la foresta di Servizi di dominio Active Directory nell'organizzazione partner risorse.

In relazione a Servizi di dominio Active Directory, il partner risorse è concettualmente equivalente a una foresta singola le cui risorse sono rese disponibili, tramite una relazione di trust esterno o una relazione di trust tra foreste, per gli account archiviati fisicamente in un'altra foresta.

Nota

Questo esempio è stato riportato solo per sottolineare l'analogia concettuale della relazione tra le organizzazioni partner account e partner risorse in ADFS con la relazione tra una foresta di account e una foresta di risorse in Servizi di dominio Active Directory. Per il funzionamento di ADFS non sono necessari trust esterni e trust tra foreste.

Utilizzare attestazioni provenienti dal partner account

Un partner risorse utilizza le attestazioni create e inserite nei token di sicurezza dal servizio federativo del partner account. Nell'elenco seguente vengono descritte le possibili modalità di invio delle attestazioni al partner risorse.

  • Attestazione basata su UPN

    Quando si configura il partner risorse, è possibile specificare se un'attestazione basata su UPN deve essere inviata al partner risorse. È inoltre possibile specificare un mapping di suffissi in modo che ogni suffisso venga mappato a un suffisso in uscita specificato. È ad esempio possibile eseguire il mapping di julianp@sales.tailspintoys.com a julianp@tailspintoys.com. Si noti che è possibile specificare un unico suffisso in uscita.

  • Attestazione basata su posta elettronica

    Quando si configura il partner risorse, è possibile specificare se un'attestazione basata su posta elettronica deve essere inviata al partner risorse. È inoltre possibile specificare un mapping di suffissi in modo che ogni suffisso venga mappato a un suffisso specificato. È ad esempio possibile eseguire il mapping di vernettep@sales.tailspintoys.com a vernettep@tailspintoys.com. Si noti che è possibile specificare un unico suffisso in uscita.

  • Attestazione basata su nome comune

    Quando si configura il partner risorse, è possibile specificare se le attestazioni basate su nome comune possono essere inviate al partner risorse. Non è possibile eseguire il mapping di questo tipo di attestazione, che viene semplicemente passata al partner risorse nel caso in cui sia abilitata.

  • Attestazioni basate su gruppo

    Quando si configura il partner risorse, è possibile specificare un insieme di attestazioni basate su gruppo in uscita che verranno accettate dal partner risorse. È quindi possibile associare ogni attestazione valida di questo tipo alle attestazioni di organizzazione basate su gruppo. In questo modo viene creato un insieme di mapping relativi al gruppo. Non vengono create attestazioni di organizzazione basate su gruppo che non corrispondono a un'attestazione basata su gruppo in uscita.

  • Attestazioni personalizzate

    Quando si configura il partner risorse, è possibile specificare un insieme di attestazioni personalizzate in uscita accettate dal partner risorse. È possibile eseguire il mapping di ogni attestazione valida di questo tipo a un'attestazione di organizzazione personalizzata. In questo modo viene creato un insieme di mapping relativi al nome. Non vengono create attestazioni di organizzazione personalizzate che non corrispondono a un'attestazione personalizzata in uscita.

Consenti privacy identità avanzata

L'opzione Consenti privacy identità avanzata è un'impostazione facoltativa che può essere configurata nei criteri di attendibilità di un partner risorse. Se l'opzione Consenti privacy identità avanzata è abilitata, viene eseguito l'hashing della parte relativa al nome utente delle attestazioni basate su UPN e su posta elettronica in uscita e il nome comune viene sostituito con un valore casuale.

Lo scopo di questa funzionalità è prevenire le situazioni seguenti:

  • Individuazione della correlazione tra le attestazioni d'identità e le informazioni che consentono l'identificazione personale dell'utente da parte del partner risorse.

  • Accordo illecito tra i partner al fine di individuare la correlazione tra le attestazioni d'identità e le informazioni che consentono l'identificazione personale dell'utente. Questa impostazione consente di creare un hash univoco per ogni partner in modo che i valori delle attestazioni d'identità siano diversi tra partner di aree di autenticazione trusting diverse ma coerenti nelle sessioni relative a un partner singolo.

  • Attacchi con dizionario semplici contro l'hash tramite il salt del valore utente con i dati presenti nei criteri di attendibilità, che non sono noti ai partner risorse.


Aggiungere un partner risorse

L'Aggiunta guidata partner risorse consente di aggiungere un nuovo partner risorse manualmente oppure tramite l'importazione di un file dei criteri. Per ulteriori informazioni sulla funzionalità di importazione migliorata in questa versione di Active Directory Federation Services (ADFS), vedere la pagina relativa alle novità di ADFS in Windows Server 2008 all'indirizzo http://go.microsoft.com/fwlink/?LinkId=85684.

La procedura guidata consente di aggiungere un partner risorse che renderà disponibile un'applicazione Web per gli utenti con account residenti nell'archivio account di Servizi di dominio Active Directory o di Active Directory Lightweight Directory Services (AD LDS).

Per eseguire queste procedure, è necessaria almeno l'appartenenza al gruppo Administrators locale oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Aggiungere manualmente un partner risorse

Per aggiungere manualmente un partner risorse, è possibile utilizzare la procedura seguente.

Per aggiungere manualmente un partner risorse

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Active Directory Federation Services.

  2. Nell'albero della console fare doppio clic su Servizio federativo, su Criteri di attendibilità e quindi su Organizzazioni partner.

  3. Nell'albero della console fare clic con il pulsante destro del mouse su Partner risorse, scegliere Nuovo e quindi Partner risorse.

  4. Nella pagina Aggiunta guidata partner risorse fare clic su Avanti.

  5. Nella pagina Importa file dei criteri verificare che l'opzione No sia selezionata e quindi fare clic su Avanti.

  6. Nella pagina Dettagli partner risorse eseguire una delle operazioni seguenti e quindi fare clic su Avanti:

    • In Nome visualizzato digitare il nome del partner risorse.

    • In URI servizio federativo digitare l'URI (Uniform Resource Identifier) relativo al partner risorse.

    • In URL endpoint servizio federativo digitare l'URL (Uniform Resource Locator) del servizio federativo.

  7. Nella pagina Scenario federativo eseguire una delle operazioni seguenti e quindi fare clic su Avanti:

    • Se si intende stabilire una relazione di trust federativa con un'altra organizzazione o se non si desidera utilizzare un trust tra foreste esistente, fare clic su Web SSO federativo.

    • Se si intende stabilire una relazione di trust federativa all'interno della stessa organizzazione nel caso in cui i due lati condividano già un trust tra foreste, fare clic su Web SSO federativo con trust tra foreste.

  8. Nella pagina Attestazioni d'identità partner risorse selezionare una o più attestazioni d'identità da condividere con il partner risorse e quindi fare clic su Avanti:

    • Se il partner risorse richiede attestazioni basate sul nome dell'entità utente (UPN) per prendere decisioni relative alle autorizzazioni, selezionare la casella di controllo Attestazione basata su UPN.

    Nota

    Se è stato selezionato lo scenario Web SSO federativo con trust tra foreste, l'opzione Attestazione basata su UPN sarà selezionata e non sarà possibile configurarla poiché uno scenario di questo tipo richiede attestazioni basate su UPN.

    • Se il partner risorse richiede attestazioni basate su posta elettronica per prendere decisioni relative alle autorizzazioni, selezionare la casella di controllo Attestazione basata su posta elettronica.

    • Se il partner risorse richiede attestazioni basate su nome comune per prendere decisioni relative alle autorizzazioni, selezionare la casella di controllo Attestazione basata su nome comune.

  9. Se è stata selezionata l'opzione Attestazione basata su UPN come attestazione d'identità, nella pagina Seleziona suffisso UPN eseguire una delle operazione seguenti e quindi fare clic su Avanti:

    • Per trasferire tutti i suffissi UPN senza sostituirli, fare clic su Trasferisci tutti i suffissi UPN senza modifiche.

    • Per sostituire tutti i suffissi UPN con un suffisso diverso, fare clic su Sostituisci tutti i suffissi UPN con e quindi digitare il suffisso sostitutivo che si desidera utilizzare.

  10. Se è stata selezionata l'opzione Attestazione basata su posta elettronica come attestazione d'identità, nella pagina Seleziona suffisso di posta elettronica eseguire una delle operazioni seguenti e quindi fare clic su Avanti:

    • Per trasferire tutti i suffissi di posta elettronica senza sostituirli, fare clic su Trasferisci tutti i suffissi di posta elettronica senza modifiche.

    • Per sostituire tutti i suffissi di posta elettronica con un suffisso diverso, fare clic su Sostituisci tutti i suffissi di posta elettronica con e quindi digitare il suffisso sostitutivo che si desidera utilizzare.

    Nota

    Per le attestazioni basate su nome comune non sono necessarie informazioni aggiuntive.

  11. Se non si desidera abilitare immediatamente il partner risorse, nella pagina Abilita partner risorse deselezionare la casella di controllo Abilita partner risorse e quindi fare clic su Avanti.

  12. Per aggiungere il nuovo partner risorse e chiudere la procedura guidata, fare clic su Fine.

Aggiungere un partner risorse tramite l'importazione di un file dei criteri

Per aggiungere un partner risorse tramite l'importazione di un file dei criteri, è possibile utilizzare la procedura seguente.

Per aggiungere un partner risorse tramite l'importazione di un file dei criteri

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Active Directory Federation Services.

  2. Nell'albero della console fare doppio clic su Servizio federativo, su Criteri di attendibilità e quindi su Organizzazioni partner.

  3. Fare clic con il pulsante destro del mouse su Partner risorse, scegliere Nuovo e quindi Partner risorse.

  4. Nella pagina Aggiunta guidata partner risorse fare clic su Avanti.

  5. Nella pagina Importa file dei criteri eseguire una delle operazioni seguenti e quindi fare clic su Avanti:

    • Fare clic su Sì.

    • In File dei criteri di interoperabilità partner selezionare o digitare il percorso del file dei criteri del partner risorse.

  6. Nella pagina Dettagli partner risorse, in Nome visualizzato, digitare il nome visualizzato del partner risorse, verificare che le impostazioni aggiuntive importate relative al partner siano corrette e quindi fare clic su Avanti.

  7. Nella pagina Scenario federativo eseguire una delle operazioni seguenti e quindi fare clic su Avanti:

    • Se si intende stabilire una relazione di trust federativa con un'altra organizzazione o se non si desidera utilizzare un trust tra foreste esistente, fare clic su Web SSO federativo.

    • Se si intende stabilire una relazione di trust federativa all'interno della stessa organizzazione nel caso in cui i due lati condividano già un trust tra foreste, fare clic su Web SSO federativo con trust tra foreste.

  8. Nella pagina Attestazioni d'identità partner risorse selezionare una o più attestazioni d'identità che il partner risorse riceverà dal partner account e quindi fare clic su Avanti:

    • Se il partner risorse richiede attestazioni basate su UPN per prendere decisioni relative alle autorizzazioni, selezionare la casella di controllo Attestazione basata su UPN.

    Nota

    Se è stato selezionato lo scenario Web SSO federativo con trust tra foreste, l'opzione Attestazione basata su UPN sarà selezionata e non sarà possibile configurarla poiché uno scenario di questo tipo richiede attestazioni basate su UPN.

    • Se il partner risorse richiede attestazioni basate su posta elettronica per prendere decisioni relative alle autorizzazioni, selezionare la casella di controllo Attestazione basata su posta elettronica.

    • Se il partner risorse richiede attestazioni basate su nome comune per prendere decisioni relative alle autorizzazioni, selezionare la casella di controllo Attestazione basata su nome comune.

  9. Se è stata selezionata l'opzione Attestazione basata su UPN come attestazione d'identità, nella pagina Seleziona suffisso UPN eseguire una delle operazione seguenti e quindi fare clic su Avanti:

    • Per trasferire tutti i suffissi UPN senza sostituirli, fare clic su Trasferisci tutti i suffissi UPN senza modifiche.

    • Per sostituire tutti i suffissi UPN con un suffisso diverso, fare clic su Sostituisci tutti i suffissi UPN con, digitare il suffisso sostitutivo che si desidera utilizzare e quindi fare clic su Aggiungi.

  10. Se è stata selezionata l'opzione Attestazione basata su posta elettronica come attestazione d'identità, nella pagina Seleziona suffisso di posta elettronica eseguire una delle operazioni seguenti e quindi fare clic su Avanti:

    • Per trasferire tutti i suffissi di posta elettronica senza sostituirli, fare clic su Trasferisci tutti i suffissi di posta elettronica senza modifiche.

    • Per sostituire tutti i suffissi di posta elettronica con un suffisso diverso, fare clic su Sostituisci tutti i suffissi di posta elettronica con e quindi digitare il suffisso sostitutivo che si desidera utilizzare.

    Nota

    Per le attestazioni basate su nome comune non sono necessarie informazioni aggiuntive.

  11. Se non si desidera abilitare immediatamente il partner risorse, nella pagina Abilita partner risorse deselezionare la casella di controllo Abilita partner risorse e quindi fare clic su Avanti.

  12. Per aggiungere il nuovo partner risorse e chiudere la procedura guidata, fare clic su Fine.

Ulteriori riferimenti

  • Informazioni sulle organizzazioni partner

  • Informazioni sulle relazioni di trust federative


Aggiungere un partner account

L'Aggiunta guidata partner account consente di aggiungere un nuovo partner account manualmente oppure tramite l'importazione di un file dei criteri. In questo modo gli account utente nel partner account saranno in grado di accedere alle applicazioni Web protette dal servizio federativo. Per ulteriori informazioni sulla funzionalità di importazione migliorata in questa versione di Active Directory Federation Services (ADFS), vedere la pagina relativa alle novità di ADFS in Windows Server 2008 all'indirizzo http://go.microsoft.com/fwlink/?LinkId=85684.

Per eseguire queste procedure, è necessaria almeno l'appartenenza al gruppo Administrators locale oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Aggiungere manualmente un partner account

Per aggiungere manualmente un partner account, è possibile utilizzare la procedura seguente.

Per aggiungere manualmente un partner account

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Active Directory Federation Services.

  2. Nell'albero della console fare doppio clic su Servizio federativo, su Criteri di attendibilità e quindi su Organizzazioni partner.

  3. Fare clic con il pulsante destro del mouse su Partner account, scegliere Nuovo e quindi Partner account.

  4. Nella pagina Aggiunta guidata partner account fare clic su Avanti.

  5. Nella pagina Importa file dei criteri fare clic su No e quindi su Avanti.

  6. Nella pagina Dettagli partner account eseguire una delle operazioni seguenti e quindi fare clic su Avanti:

    • In Nome visualizzato digitare il nome visualizzato del partner account.

    • In URI servizio federativo digitare l'URI (Uniform Resource Identifier) del servizio federativo.

    • In URL endpoint servizio federativo digitare l'URL (Uniform Resource Locator) del servizio federativo.

  7. Nella pagina Certificato di verifica partner account digitare o selezionare il percorso del certificato di verifica e quindi fare clic su Avanti.

  8. Nella pagina Scenario federativo eseguire una delle operazioni seguenti e quindi fare clic su Avanti:

    • Se si intende stabilire una relazione di trust federativa con un'altra organizzazione o se non si desidera utilizzare un trust tra foreste esistente, fare clic su Web SSO federativo e quindi andare al passaggio 10.

    • Se si intende stabilire una relazione di trust federativa all'interno della stessa organizzazione nel caso in cui i due lati condividano già un trust tra foreste, fare clic su Web SSO federativo con trust tra foreste.

  9. Nella pagina Web SSO federativo con trust tra foreste eseguire una delle operazioni seguenti e quindi fare clic su Avanti:

    • Per accettare utenti in tutti i domini considerati trusted dal partner account, fare clic su Tutti i domini e le foreste di Servizi di dominio Active Directory. Verrà accettato qualsiasi utente in grado di eseguire l'autenticazione con il partner account.

    • Per accettare account utente che si trovano in alcuni domini considerati trusted dal partner account, fare clic su I seguenti domini o foreste di Servizi di dominio Active Directory. In Nuovo dominio o foresta trusted di Servizi di dominio Active Directory digitare il nome di un dominio o di una foresta e quindi fare clic su Aggiungi. Verranno accettati solo gli utenti dei domini specificati.

  10. Nella pagina Attestazioni d'identità partner account selezionare una o più attestazioni d'identità da condividere con il partner risorse e quindi fare clic su Avanti:

    • Se il partner risorse richiede attestazioni basate sul nome dell'entità utente (UPN) per prendere decisioni relative alle autorizzazioni, selezionare la casella di controllo Attestazione basata su UPN.

    Importante

    Quando vengono utilizzate attestazioni basate su UPN o su posta elettronica per prendere decisioni relative alle autorizzazioni, è fondamentale che ogni partner disponga di un suffisso UPN o di posta elettronica univoco. Se due partner account dispongono dello stesso suffisso UPN o di posta elettronica, potrebbe non essere possibile identificare in modo univoco gli utenti. In tal caso, un utente appartenente a un partner account potrebbe ricevere le autorizzazioni destinate a un utente appartenente a un partner account diverso. Una situazione di questo tipo potrebbe inoltre causare una riduzione significativa della sicurezza in quanto un amministratore potrebbe creare intenzionalmente account utente per rappresentare utenti appartenenti a uno degli altri partner account.

    Nota

    Se è stato selezionato lo scenario Web SSO federativo con trust tra foreste, l'opzione Attestazione basata su UPN sarà selezionata e non sarà possibile configurarla poiché uno scenario di questo tipo richiede attestazioni basate su UPN.

    • Se il partner risorse richiede attestazioni basate su posta elettronica per prendere decisioni relative alle autorizzazioni, selezionare la casella di controllo Attestazione basata su posta elettronica.

    • Se il partner risorse richiede attestazioni basate su nome comune per prendere decisioni relative alle autorizzazioni, selezionare la casella di controllo Attestazione basata su nome comune.

  11. Se è stata selezionata l'opzione Attestazione basata su UPN come attestazione d'identità, nella pagina Suffissi UPN accettati eseguire una delle operazioni seguenti e quindi fare clic su Avanti:

    • Se è stata selezionata l'opzione Web SSO federativo con trust tra foreste, fare clic su Tutti i suffissi UPN o su Solo i suffissi presenti nell'elenco seguente, digitare il suffisso accettato e quindi fare clic su Aggiungi.

    • Se è stata selezionata l'opzione Web SSO federativo, in Aggiunta nuovo suffisso digitare il suffisso accettato e quindi fare clic su Aggiungi.

  12. Se è stata selezionata l'opzione Attestazione basata su posta elettronica come attestazione d'identità, nella pagina Suffissi di posta elettronica accettati eseguire una delle operazioni seguenti e quindi fare clic su Avanti:

    • Se è stata selezionata l'opzione Web SSO federativo con trust tra foreste, fare clic su Tutti i suffissi di posta elettronica o su Solo i suffissi presenti nell'elenco seguente, digitare il suffisso accettato e quindi fare clic su Aggiungi.

    • Se è stata selezionata l'opzione Web SSO federativo, in Aggiunta nuovo suffisso digitare il suffisso accettato e quindi fare clic su Aggiungi.

    Nota

    Per le attestazioni basate su nome comune non sono necessarie informazioni aggiuntive.

  13. Se non si desidera abilitare immediatamente il partner account, nella pagina Abilita partner account deselezionare la casella di controllo Abilita partner account e quindi fare clic su Avanti.

  14. Per aggiungere il nuovo partner account e chiudere la procedura guidata, fare clic su Fine.

Aggiungere un partner account tramite l'importazione di un file dei criteri

Per aggiungere un partner account tramite l'importazione di un file dei criteri, è possibile utilizzare la procedura seguente.

Per aggiungere un partner account tramite l'importazione di un file dei criteri

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Active Directory Federation Services.

  2. Nell'albero della console fare doppio clic su Servizio federativo, su Criteri di attendibilità e quindi su Organizzazioni partner.

  3. Fare clic con il pulsante destro del mouse su Partner account, scegliere Nuovo e quindi Partner account.

  4. Nella pagina Aggiunta guidata partner account fare clic su Avanti.

  5. Nella pagina Importa file dei criteri eseguire una delle operazioni seguenti e quindi fare clic su Avanti:

    • Fare clic su Sì.

    • In File dei criteri di interoperabilità partner selezionare o digitare il percorso del file dei criteri del partner account.

  6. Nella pagina Dettagli partner account, in Nome visualizzato, digitare il nome visualizzato del partner account, verificare che le impostazioni aggiuntive importate relative al partner siano corrette e quindi fare clic su Avanti.

  7. Nella pagina Certificato di verifica partner account eseguire una delle operazioni seguenti e quindi fare clic su Avanti:

    • Fare clic su Usa il certificato di verifica nel file di importazione dei criteri.

    • Fare clic su Usa certificato di verifica diverso e quindi digitare il percorso del certificato o fare clic su Sfoglia.

  8. Nella pagina Scenario federativo eseguire una delle operazioni seguenti e quindi fare clic su Avanti:

    • Se si intende stabilire una relazione di trust federativa con un'altra organizzazione o se non si desidera utilizzare un trust tra foreste esistente, fare clic su Web SSO federativo e quindi andare al passaggio 10.

    • Se si intende stabilire una relazione di trust federativa all'interno della stessa organizzazione nel caso in cui i due lati condividano già un trust tra foreste, fare clic su Web SSO federativo con trust tra foreste.

  9. Nella pagina Web SSO federativo con trust tra foreste eseguire una delle operazioni seguenti e quindi fare clic su Avanti:

    • Per accettare utenti in tutti i domini considerati trusted dal partner account, fare clic su Tutti i domini e le foreste di Servizi di dominio Active Directory. Verrà accettato qualsiasi utente in grado di eseguire l'autenticazione con il partner account.

    • Per accettare account utente che si trovano in alcuni domini considerati trusted dal partner account, fare clic su I seguenti domini o foreste di Servizi di dominio Active Directory. In Nuovo dominio o foresta trusted di Servizi di dominio Active Directory digitare il nome del dominio o della foresta e quindi fare clic su Aggiungi. Verranno accettati solo gli utenti dei domini specificati.

  10. Nella pagina Attestazioni d'identità partner account selezionare una o più attestazioni d'identità che verranno offerte dal partner e quindi fare clic su Avanti:

    • Se il partner risorse richiede attestazioni basate su UPN per prendere decisioni relative alle autorizzazioni, selezionare la casella di controllo Attestazione basata su UPN.

    Importante

    Quando vengono utilizzate attestazioni basate su UPN o su posta elettronica per prendere decisioni relative alle autorizzazioni, è fondamentale che ogni partner account disponga di un suffisso UPN o di posta elettronica univoco. Se due partner account dispongono dello stesso suffisso UPN o di posta elettronica, potrebbe non essere possibile identificare in modo univoco gli utenti. In tal caso, un utente appartenente a un partner account potrebbe ricevere le autorizzazioni destinate a un utente appartenente a un partner account diverso. Una situazione di questo tipo potrebbe inoltre causare una riduzione significativa della sicurezza in quanto un amministratore potrebbe creare intenzionalmente account utente per rappresentare utenti appartenenti a uno degli altri partner account.

    Nota

    Se è stato selezionato lo scenario Web SSO federativo con trust tra foreste, l'opzione Attestazione basata su UPN sarà selezionata e non sarà possibile configurarla poiché uno scenario di questo tipo richiede attestazioni basate su UPN.

    • Se il partner risorse richiede attestazioni basate su posta elettronica per prendere decisioni relative alle autorizzazioni, selezionare la casella di controllo Attestazione basata su posta elettronica.

    • Se il partner risorse richiede attestazioni basate su nome comune per prendere decisioni relative alle autorizzazioni, selezionare la casella di controllo Attestazione basata su nome comune.

  11. Se è stata selezionata l'opzione Attestazione basata su UPN come attestazione d'identità, nella pagina Suffissi UPN accettati eseguire una delle operazioni seguenti e quindi fare clic su Avanti:

    • Se è stata selezionata l'opzione Web SSO federativo con trust tra foreste, fare clic su Tutti i suffissi UPN o su Solo i suffissi presenti nell'elenco seguente, digitare il suffisso accettato e quindi fare clic su Aggiungi.

    • Se è stata selezionata l'opzione Web SSO federativo, in Aggiunta nuovo suffisso digitare il suffisso accettato e quindi fare clic su Aggiungi.

  12. Se è stata selezionata l'opzione Attestazione basata su posta elettronica come attestazione d'identità, nella pagina Suffissi di posta elettronica accettati eseguire una delle operazioni seguenti e quindi fare clic su Avanti:

    • Se è stata selezionata l'opzione Web SSO federativo con trust tra foreste, fare clic su Tutti i suffissi di posta elettronica o su Solo i suffissi presenti nell'elenco seguente, digitare il suffisso accettato e quindi fare clic su Aggiungi.

    • Se è stata selezionata l'opzione Web SSO federativo, in Aggiunta nuovo suffisso digitare il suffisso accettato e quindi fare clic su Aggiungi.

  13. Se non si desidera abilitare immediatamente il partner account, nella pagina Abilita partner account deselezionare la casella di controllo Abilita partner account e quindi fare clic su Avanti.

  14. Per aggiungere il nuovo partner account e chiudere la procedura guidata, fare clic su Fine.

Rinominare un partner account importato

Per rinominare un partner account importato, è possibile utilizzare la procedura seguente.

Per rinominare un partner account importato

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Active Directory Federation Services.

  2. Nell'albero della console fare doppio clic su Servizio federativo, su Criteri di attendibilità, quindi su Organizzazioni partner e infine su Partner account.

  3. Fare clic con il pulsante destro del mouse sul partner account e quindi scegliere Rinomina.

  4. Digitare un nuovo nome per il partner account.

Ulteriori riferimenti

  • Informazioni sulle organizzazioni partner

  • Informazioni sulle relazioni di trust federative


Aggiungere e configurare archivi account nel servizio federativo

In questa sezione sono contenute le informazioni seguenti, relative a concetti e procedure, necessarie per aggiungere e configurare gli archivi account:

  • Informazioni sugli archivi account

  • Aggiungere un archivio account di Servizi di dominio Active Directory

  • Aggiungere un archivio account di AD LDS

  • Configurare la priorità degli archivi account


Informazioni sugli archivi account

Active Directory Federation Services (ADFS) utilizza gli archivi account per l'accesso degli utenti e l'estrazione delle relative attestazioni di sicurezza. È possibile configurare più archivi account per un servizio federativo singolo, nonché definirne la priorità. Per la comunicazione con gli archivi account, il servizio federativo utilizza LDAP (Lightweight Directory Access Protocol). ADFS supporta i due archivi account seguenti:

  • Servizi di dominio Active Directory

  • Active Directory Lightweight Directory Services (AD LDS)

In ADFS vengono utilizzate distribuzioni a livello di organizzazione di Servizi di dominio Active Directory o istanze di AD LDS. In caso di interazione con Servizi di dominio Active Directory, ADFS può sfruttare i vantaggi offerti dalle relative tecnologie di autenticazione avanzata, tra cui Kerberos, i certificati digitali X.509 e le smart card. In caso di interazione con AD LDS, ADFS utilizza il binding LDAP come mezzo di autenticazione degli utenti.

Archivi account di Servizi di dominio Active Directory

ADFS è strettamente integrato con Servizi di dominio Active Directory, da cui recupera gli attributi utente ed esegue l'autenticazione degli utenti. ADFS utilizza inoltre l'autenticazione integrata di Windows e i token di sicurezza creati da Active Directory.

Per l'accesso di un utente a Servizi di dominio Active Directory è necessario un nome utente nel formato del nome dell'entità utente (UPN), ovvero utente@adatum.com, oppure nel formato del nome di account di Gestione account di sicurezza (SAM), ovvero adatum\utente.

I token di accesso, generati al momento dell'accesso di un utente, contengono gli ID di sicurezza (SID) per l'utente e tutti i gruppi a cui l'utente appartiene. A ogni processo avviato dall'utente viene assegnata una copia del token di accesso.

Dopo l'accesso e la rappresentazione dell'utente, dal token di accesso vengono enumerati gli ID di sicurezza (SID). Viene quindi eseguito il mapping dei SID ad attestazioni di organizzazione basate su gruppo.

Attenzione

Quando si abilita l'opzione relativa ai trust Windows nel servizio federativo dell'account, i SID effettivi vengono inviati all'organizzazione partner risorse tramite Internet, con potenziali rischi di sicurezza. Tali SID vengono inseriti nel token SAML (Security Assertion Markup Language) di ADFS. È pertanto consigliabile abilitare questa opzione solo se si utilizza la progettazione Web SSO federativo con trust tra foreste. Tale progettazione è stata creata per stabilire comunicazioni sicure all'interno della stessa organizzazione.

Le attestazioni basate su posta elettronica, le attestazioni basate su nome comune e le attestazioni personalizzate possono essere estratte dagli attributi degli oggetti utente definiti in Servizi di dominio Active Directory se l'account del servizio federativo viene utilizzato per eseguire una ricerca LDAP di un oggetto.

È necessario che l'account del servizio federativo disponga dei diritti di accesso all'oggetto utente. Se l'oggetto utente risiede in un dominio diverso da quello in cui risiede l'account del servizio federativo, è necessario che il primo dominio disponga di un trust tra domini di Servizi di dominio Active Directory con il secondo dominio.

Non è possibile verificare direttamente l'esistenza di un determinato nome utente in Servizi di dominio Active Directory e in tutte le directory con cui questo stabilisce, in modo diretto o transitivo, relazioni di trust. Servizi di dominio Active Directory restituisce un errore autorevole solo se il tentativo di accesso non riesce a causa di restrizioni dei criteri. Di seguito sono elencati esempi di errori dovuti a restrizioni dei criteri:

  • L'account è disabilitato.

  • La password dell'account è scaduta.

  • All'account non è consentito l'accesso al computer.

  • All'account sono applicate restrizioni sull'orario di accesso e l'accesso non è attualmente consentito.

Negli altri casi, gli errori di accesso ad archivi account di Servizi di dominio Active Directory sono sempre non autorevoli e viene eseguito un tentativo utilizzando l'archivio account con priorità successiva. Per ulteriori informazioni sugli errori di accesso agli archivi account, vedere Risolvere i problemi relativi ad ADFS.

Archivi account di AD LDS

AD LDS consente l'archiviazione e il recupero dei dati per applicazioni abilitate all'uso di directory, senza le dipendenze necessarie per Servizi di dominio Active Directory. In AD LDS sono disponibili molte funzionalità identiche a quelle di Servizi di dominio Active Directory, ma non è necessaria la distribuzione di domini o di controller di dominio. Con modalità analoghe a quelle impiegate per utilizzare le informazioni degli archivi account di Servizi di dominio Active Directory, ADFS può inoltre recuperare gli attributi utente ed eseguire l'autenticazione degli utenti tramite AD LDS.

Nota

ADFS non è in grado di autenticare gli account di AD LDS con nomi che contengono parentesi. Gli account con una parentesi aperta nel nome utente causano un errore di ricerca LDAP poiché il nome utente forma un filtro LDAP non valido.

L'account del servizio federativo ottiene le attestazioni utilizzate per eseguire una ricerca LDAP dell'oggetto. Per ulteriori informazioni, vedere Informazioni sulle attestazioni. Questo processo comprende due passaggi:

  • Nel primo passaggio, l'account del servizio federativo individua l'oggetto utente cercando l'oggetto il cui attributo configurato è uguale al nome utente specificato. Per proteggere questa comunicazione, l'account del servizio federativo utilizza l'autenticazione Kerberos o la crittografia NTML.

    Nota

    Per questo processo, è necessario che il server AD LDS faccia parte di un dominio che ha stabilito una relazione di trust con il dominio di cui il servizio federativo è membro.

  • Nel passaggio successivo vengono convalidate le credenziali utente eseguendo il binding LDAP all'oggetto utente trovato con la password specificata. Se le proprietà dell'archivio account di AD LDS nei criteri di attendibilità sono state configurate con TLS/SSL (Transport Layer Security/Secure Sockets Layer), le credenziali utente verranno protette.

    Importante

    È consigliabile proteggere il traffico tra il server AD LDS e il server federativo tramite TLS/SSL o in altro modo, ad esempio utilizzando IPSec (Internet Protocol Security).

Se la query LDAP con il nome utente specificato restituisce più oggetti, tale risultato verrà considerato un errore di autenticazione.

L'account utente viene cercato innanzitutto nell'archivio account di AD LDS, se configurato, e quindi negli altri archivi LDAP configurati nell'ordine specificato. Se l'account utente viene individuato in uno degli archivi, quest'ultimo consentirà l'accesso autorevole dell'utente mentre gli altri archivi account non verranno chiamati per l'elaborazione della richiesta di accesso dell'utente.

Determinare l'ordine di priorità delle richieste di accesso degli utenti

Quando un utente invia una richiesta di accesso a Servizi di dominio Active Directory o ad AD LDS tramite un client ADFS, la richiesta viene passata immediatamente all'archivio account specificato. Se tuttavia non viene specificato l'URI (Uniform Resource Identifier) dell'archivio account, il servizio federativo esegue un tentativo di accesso dell'utente in ognuno degli archivi account in base all'ordine di priorità. Il risultato dell'autenticazione viene restituito se:

  • È presente un solo archivio configurato e vengono restituite le informazioni relative alla verifica delle credenziali.

  • L'URI dell'archivio è stato specificato nella richiesta di accesso e vengono restituite le informazioni relative alla verifica delle credenziali.

  • Il risultato dell'autenticazione da parte di uno degli archivi è autorevole.

  • L'autenticazione da parte di uno degli archivi ha avuto esito positivo.

Disabilitare gli archivi account

È possibile contrassegnare ogni archivio account come abilitato o disabilitato. Se un archivio account è disabilitato, non partecipa alle operazioni relative agli archivi account. I cookie con attestazioni originate da un archivio account attualmente disabilitato vengono ignorati o eliminati e il client viene reindirizzato alla pagina di accesso.


Aggiungere un archivio account di Servizi di dominio Active Directory

Active Directory Federation Services (AD FS) è strettamente integrato con Servizi di dominio Active Directory. Se quest'ultimo viene utilizzato nella configurazione di ADFS come archivio account, ADFS recupera gli attributi di dominio ed esegue l'autenticazione degli utenti basandosi su Servizi di dominio Active Directory. ADFS utilizza inoltre l'autenticazione integrata di Windows e i token di sicurezza creati da Active Directory.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators locale oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

La procedura seguente consente di aggiungere un archivio account di Servizi di dominio Active Directory alla configurazione di ADFS.

Per aggiungere un archivio account di Servizi di dominio Active Directory

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Active Directory Federation Services.

  2. Nell'albero della console fare doppio clic su Servizio federativo, su Criteri di attendibilità e quindi su Organizzazione.

  3. Fare clic con il pulsante destro del mouse su Archivi account, scegliere Nuovo e quindi Archivio account.

  4. Nella pagina Aggiunta guidata archivio account fare clic su Avanti.

  5. Nella pagina Tipo di archivio account fare clic su Active Directory Lightweight Directory Services (AD LDS) e quindi su Avanti.

    Nota

    A un servizio federativo può essere associato un unico archivio di Servizi di dominio Active Directory. Se l'opzione Servizi di dominio Active Directory non è disponibile, per questo servizio federativo è già stato creato un archivio di Servizi di dominio Active Directory.

  6. Se non si desidera abilitare immediatamente l'archivio account, nella pagina Abilita archivio account deselezionare la casella di controllo Abilita archivio account e quindi fare clic su Avanti.

  7. Per aggiungere il nuovo archivio account e chiudere la procedura guidata, fare clic su Fine.

Ulteriori riferimenti

  • Informazioni sugli archivi account


Aggiungere un archivio account di AD LDS

Active Directory Lightweight Directory Services (AD LDS) consente l'archiviazione e il recupero dei dati per applicazioni abilitate all'uso di directory, senza le dipendenze necessarie per Servizi di dominio Active Directory. In AD LDS sono disponibili molte funzionalità identiche a quelle di Servizi di dominio Active Directory, ma non è necessaria la distribuzione di domini o di controller di dominio. Con modalità analoghe a quelle impiegate per utilizzare le informazioni degli archivi account di Servizi di dominio Active Directory, se viene configurato per utilizzare AD LDS come archivio account, ADFS recupera inoltre gli attributi utente da AD LDS e autentica gli utenti in AD LDS.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators locale oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

La procedura seguente consente di aggiungere un archivio account di AD LDS alla configurazione di ADFS.

Per aggiungere un archivio account di AD LDS

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Active Directory Federation Services.

  2. Nell'albero della console fare doppio clic su Servizio federativo, su Criteri di attendibilità e quindi su Organizzazione.

  3. Fare clic con il pulsante destro del mouse su Archivi account, scegliere Nuovo e quindi Archivio account.

  4. Nella pagina Aggiunta guidata archivio account fare clic su Avanti.

  5. Nella pagina Tipo di archivio account fare clic su Active Directory Lightweight Directory Services (AD LDS) e quindi su Avanti.

  6. Nella pagina Dettagli archivio AD LDS eseguire le operazioni seguenti e quindi fare clic su Avanti:

    • In Nome visualizzato archivio account digitare il nome descrittivo dell'archivio account.

    • In URI archivio account digitare l'URI (Uniform Resource Identifier) dell'archivio account di AD LDS.

  7. Nella pagina Impostazioni server AD LDS eseguire le operazioni seguenti e quindi fare clic su Avanti:

    • In Nome o indirizzo IP del server AD LDS digitare il nome o l'indirizzo IP del server AD LDS.

    • In Numero porta digitare il numero di porta TCP/IP per il servizio dell'account.

    • In Nome distinto di base ricerca LDAP digitare il nome distinto, ad esempio DC=adatum,DC=com.

    • In Attributo LDAP nome utente digitare il nome dell'attributo del nome utente, ad esempio userPrincipalName.

  8. Nella pagina Attestazioni d'identità selezionare una o più attestazioni d'identità che verranno offerte dall'archivio account e quindi fare clic su Avanti:

    • Se l'archivio account offre attestazioni d'identità basate su UPN, selezionare la casella di controllo Nome entità utente (UPN) e quindi digitare il nome dell'attributo LDAP (Lightweight Directory Access Protocol).

    • Se l'archivio account offre attestazioni d'identità basate su posta elettronica, selezionare la casella di controllo Posta elettronica e quindi digitare il nome dell'attributo LDAP.

    • Se l'archivio account offre attestazioni d'identità basate su nome comune, selezionare la casella di controllo Nome comune e quindi digitare il nome dell'attributo LDAP.

  9. Se non si desidera abilitare immediatamente questo archivio account, nella pagina Abilita archivio account deselezionare la casella di controllo Abilita archivio account e quindi fare clic su Avanti.

  10. Per aggiungere il nuovo archivio account e chiudere la procedura guidata, fare clic su Fine.
Nota

ADFS non è in grado di autenticare gli account di AD LDS con nomi che contengono parentesi. Gli account con una parentesi aperta nel nome utente causano un errore di ricerca LDAP poiché il nome utente forma un filtro LDAP non valido.

Ulteriori riferimenti

  • Informazioni sugli archivi account


Configurare la priorità degli archivi account

Quando si aggiungono più archivi account alla configurazione di Active Directory Federation Services (ADFS), la relativa priorità determina l'ordine in cui ADFS utilizza tali archivi. ADFS tenta di autenticare gli utenti con il primo archivio account. Solo se l'autenticazione di un utente ha esito negativo verrà eseguito un tentativo di autenticazione con l'archivio account successivo nell'elenco delle priorità. ADFS tenterà di autenticare l'utente fino a quando non è stato autenticato correttamente o fino a quando non sono stati eseguiti tentativi con tutti gli archivi account. Non appena l'autenticazione dell'utente viene eseguita correttamente utilizzando un archivio account, i tentativi di utilizzo di altri archivi account verranno interrotti.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators locale oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

La procedura seguente consente di configurare la priorità degli archivi account.

Per configurare la priorità degli archivi account

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Active Directory Federation Services.

  2. Nell'albero della console fare doppio clic su Servizio federativo, su Criteri di attendibilità e quindi su Organizzazione.

  3. Fare clic con il pulsante destro del mouse su Archivi account e quindi scegliere Priorità archivio.

  4. Nella finestra di dialogo Priorità archivi account selezionare un archivio account, utilizzare i pulsanti Su e Giù per spostare l'archivio account nell'elenco delle priorità e quindi fare clic su OK.

Ulteriori riferimenti

  • Informazioni sugli archivi account


Aggiungere applicazioni Web al servizio federativo

In questa sezione sono contenute le informazioni seguenti, relative a concetti e procedure, necessarie per aggiungere riferimenti di applicazioni Web al servizio federativo:

  • Informazioni sui tipi di applicazioni per la federazione ADFS

  • Aggiungere un'applicazione basata su token Windows NT

  • Aggiungere un'applicazione in grado di riconoscere attestazioni


Informazioni sui tipi di applicazioni per la federazione ADFS

Durante il processo di progettazione della distribuzione di Active Directory Federation Services (ADFS), è necessario identificare il tipo di applicazione federata che si desidera proteggere tramite Servizi di dominio Active Directory. Affinché un'applicazione sia federata, deve corrispondere ad almeno uno dei tipi di applicazioni descritti nelle sezioni seguenti.

Per ulteriori informazioni sul supporto applicazioni migliorato in questa versione di ADFS, vedere la pagina relativa alle novità di ADFS in Windows Server 2008 all'indirizzo http://go.microsoft.com/fwlink/?LinkId=85684.

Applicazione in grado di riconoscere attestazioni

Le attestazioni sono dichiarazioni relative agli utenti (ad esempio nome, identità, chiave, gruppo, privilegio o funzionalità), riconosciute da entrambi i partner di una federazione ADFS e utilizzate a scopo di autorizzazione in un'applicazione.

Un'applicazione in grado di riconoscere attestazioni è un'applicazione Microsoft ASP.NET scritta utilizzando la libreria di classi ADFS. Questo tipo di applicazione è perfettamente in grado di utilizzare le attestazioni ADFS per prendere direttamente decisioni relative alle autorizzazioni e accetta le attestazioni inviate dal servizio federativo nei token di sicurezza ADFS. Per ulteriori informazioni sull'utilizzo dei token di sicurezza e delle attestazioni nel servizio federativo, vedere Informazioni sul servizio ruolo Servizio federativo.

Il mapping di attestazioni consiste nell'azione di associazione, rimozione, filtraggio o trasferimento di attestazioni in ingresso all'interno di attestazioni in uscita. Tale mapping non viene eseguito in caso di invio delle attestazioni a un'applicazione, a cui vengono invece inviate solo le attestazioni di organizzazione specificate dall'amministratore del servizio federativo nel partner risorse. Le attestazioni di organizzazione sono attestazioni in formato intermedio o normalizzato all'interno dello spazio dei nomi di un'organizzazione. Per ulteriori informazioni sulle attestazioni e sul relativo mapping, vedere Informazioni sulle attestazioni.

Nell'elenco seguente vengono descritte le attestazioni di organizzazione che possono essere utilizzate dalle applicazioni in grado di riconoscere attestazioni:

  • Attestazioni d'identità (UPN/Posta elettronica/Nome comune)

    Quando si configura l'applicazione, si specificano le attestazioni d'identità che verranno inviate all'applicazione. Non vengono eseguite operazioni di mapping o filtraggio.

  • Attestazioni basate su gruppo

    Quando si configura l'applicazione, si specificano le attestazioni di organizzazione basate su gruppo che verranno inviate all'applicazione. Le attestazioni di organizzazione basate su gruppo che non sono state designate per l'invio all'applicazione verranno ignorate.

  • Attestazioni personalizzate

    Quando si configura l'applicazione, si specificano le attestazioni di organizzazione personalizzate che verranno inviate all'applicazione. Le attestazioni di organizzazione personalizzate che non sono state designate per l'invio all'applicazione verranno ignorate.

Autorizzazione in grado di riconoscere attestazioni

L'autorizzazione in grado di riconoscere attestazioni comprende un modulo HTTP (Hypertext Transfer Protocol) e oggetti per l'esecuzione di query sulle attestazioni trasportate nel token di sicurezza ADFS. Questo tipo di autorizzazione è supportato solo per le applicazioni Microsoft ASP.NET.

Il modulo HTTP elabora i messaggi di protocollo ADFS in base alle impostazioni di configurazione contenute nel file Web.config dell'applicazione Web. Le pagine Web eseguono attività di autenticazione e autorizzazione. Il modulo HTTP autentica inoltre i cookie, da cui ottiene le attestazioni.

Applicazione basata su token Windows NT

Un'applicazione basata su token Windows NT è un'applicazione di Internet Information Services (IIS) progettata per l'utilizzo dei meccanismi tradizionali di autorizzazione nativi di Windows, ma non per l'utilizzo di attestazioni ADFS.

Le applicazioni basate su token Windows NT possono essere utilizzate solo dagli utenti Windows dell'area di autenticazione locale o di qualsiasi area di autenticazione considerata trusted dall'area di autenticazione locale, ovvero solo dagli utenti che possono accedere al computer con meccanismi di autenticazione basati su token Windows NT.

Nota

Nelle progettazioni federative, per l'autenticazione basata su token Windows NT potrebbero quindi essere necessari account delle risorse o gruppi di risorse.

Il token di sicurezza ADFS inviato all'agente basato su token Windows NT può contenere uno dei seguenti tipi di attestazioni:

  • Un'attestazione basata sul nome dell'entità utente (UPN) per l'utente

  • Un'attestazione basata su posta elettronica per l'utente

  • Un'attestazione basata su gruppo

  • Un'attestazione personalizzata per l'utente

  • Un'attestazione basata su UPN, su posta elettronica, su nome comune o personalizzata che contiene gli ID di sicurezza (SID) dell'account utente (si applica solo quando l'opzione Trust Windows è abilitata).

Il server Web abilitato per ADFS genera un token Windows di accesso a livello di rappresentazione, che acquisisce le informazioni sulla sicurezza per un processo client consentendo a un servizio di "rappresentare" il processo client nelle operazioni di sicurezza.

Per le applicazioni Web basate su token Windows NT, la modalità di creazione di un token Windows NT è determinata dall'ordine di processo seguente:

  1. Se l'elemento Advice SAML del token SAML (Security Assertion Markup Language) contiene SID, per generare il token Windows NT vengono utilizzati i SID.

  2. Se il token SAML non contiene SID ma un'attestazione d'identità basata sul nome dell'entità utente (UPN), per generare il token Windows NT viene utilizzata l'attestazione basata su UPN.

  3. Se il token SAML non contiene SID e l'attestazione d'identità basata su UPN nell'attestazione d'identità basata su posta elettronica è presente, tale attestazione viene interpretata come UPN e utilizzata per generare il token Windows NT.

Questo comportamento è indipendente dal fatto che l'attestazione d'identità basata su UPN o posta elettronica sia specificata o meno come attestazione d'identità utilizzata per generare il token Windows NT quando si crea la voce del criterio di attendibilità per l'applicazione Web nel servizio federativo.

Autorizzazione basata su Windows tradizionale

Per il supporto relativo alla conversione di un token di sicurezza ADFS in un token di accesso Windows NT a livello di rappresentazione sono necessari alcuni componenti.

  • Estensione ISAPI (Internet Server Application Programming Interface): questo componente verifica i cookie ADFS e i token di sicurezza ADFS del servizio federativo, esegue i reindirizzamenti di protocollo appropriati e scrive i cookie necessari per il funzionamento di ADFS.

  • Pacchetto di autenticazione ADFS: questo pacchetto genera un token di accesso a livello di rappresentazione in base a un UPN per un account di dominio. Richiede che il chiamante disponga del privilegio TCB (Trusted Computing Base).

  • Pagine delle proprietà Agente Web ADFS e URL servizio federativo nello snap-in Gestione IIS: queste pagine consentono di amministrare criteri e certificati per la verifica dei cookie e dei token di sicurezza ADFS.

  • Servizio Autenticazione agente Web ADFS: questo servizio viene eseguito con l'account di sistema locale per generare un token utilizzando Service-for-User (S4U) o il pacchetto di autenticazione ADFS. Non è invece necessario eseguire il pool di applicazioni di Internet Information Services (IIS) con l'account di sistema locale. Il servizio Autenticazione agente Web ADFS dispone di interfacce che possono essere chiamate soltanto con una chiamata di procedura remota locale (LRPC), non con una chiamata di procedura remota (RPC). Se viene passato un token di sicurezza ADFS o un cookie ADFS, il servizio restituisce un token di accesso Windows NT a livello di rappresentazione.

  • Filtro ISAPI dell'agente Web ADFS: alcune applicazioni Web tradizionali di IIS utilizzano un filtro ISAPI che potrebbe modificare i dati in ingresso, ad esempio gli URL (Uniform Resource Locator). In questo caso, è necessario abilitare il filtro ISAPI dell'agente Web ADFS e configurarlo come filtro con priorità più alta. Per impostazione predefinita, tale filtro non è abilitato.


Aggiungere un'applicazione basata su token Windows NT

Un'applicazione basata su token Windows NT è un'applicazione di Internet Information Services (IIS) progettata per l'utilizzo dei meccanismi tradizionali di autorizzazione nativi di Windows. Questo tipo di applicazione non è in grado di utilizzare attestazioni ADFS (Active Directory Federation Services).

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators locale oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

La procedura seguente consente di aggiungere un'applicazione basata su token Windows NT ai criteri di attendibilità del servizio federativo.

Per aggiungere un'applicazione basata su token Windows NT

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Active Directory Federation Services.

  2. Nell'albero della console fare doppio clic su Servizio federativo, su Criteri di attendibilità e quindi su Organizzazione.

  3. Fare clic con il pulsante destro del mouse su Applicazioni, scegliere Nuovo e quindi Applicazione.

  4. Nella pagina Aggiunta guidata applicazione fare clic su Avanti.

  5. Nella pagina Tipo applicazione fare clic su Applicazione basata su token Windows NT e quindi su Avanti.

  6. Nella pagina Dettagli applicazione eseguire le operazioni seguenti e quindi fare clic su Avanti:

    • In Nome visualizzato applicazione digitare il nome dell'applicazione.

    • In URL applicazione digitare l'URL (Uniform Resource Locator) dell'applicazione.

    Importante

    L'URL deve corrispondere all'URL restituito configurato nell'agente Web ADFS per questa applicazione.

  7. Nella pagina Attestazione di identità accettata selezionare un tipo di attestazione d'identità che verrà utilizzato dall'applicazione per prendere decisioni relative alle autorizzazioni e quindi fare clic su Avanti:

    • Se l'applicazione richiede attestazioni d'identità basate sul nome dell'entità utente (UPN) per prendere decisioni relative alle autorizzazioni, fare clic su Nome entità utente (UPN).

    • Se l'applicazione richiede attestazioni d'identità basate su posta elettronica per prendere decisioni relative alle autorizzazioni, fare clic su Posta elettronica.

  8. Se non si desidera abilitare immediatamente l'applicazione basata su token Windows NT, nella pagina Abilita applicazione deselezionare la casella di controllo Abilita applicazione e quindi fare clic su Avanti.

  9. Per aggiungere la nuova applicazione basata su token Windows NT e chiudere la procedura guidata, fare clic su Fine.

Ulteriori riferimenti

  • Informazioni sui tipi di applicazioni per la federazione ADFS


Aggiungere un'applicazione in grado di riconoscere attestazioni

Le attestazioni sono dichiarazioni relative agli utenti (ad esempio nome, identità, chiave, gruppo, privilegio o funzionalità), riconosciute da entrambi i partner di una federazione Active Directory Federation Services (ADFS) e utilizzate a scopo di autorizzazione in un'applicazione. Un'applicazione in grado di riconoscere attestazioni è un'applicazione Microsoft ASP.NET scritta utilizzando la libreria di classi ADFS. Questo tipo di applicazione è perfettamente in grado di utilizzare le attestazioni ADFS per prendere direttamente decisioni relative alle autorizzazioni e accetta le attestazioni inviate dal servizio federativo nei token di sicurezza ADFS.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators locale oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

La procedura seguente consente di aggiungere un'applicazione in grado di riconoscere attestazioni ai criteri di attendibilità del servizio federativo.

Per aggiungere un'applicazione in grado di riconoscere attestazioni

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Active Directory Federation Services.

  2. Nell'albero della console fare doppio clic su Servizio federativo, su Criteri di attendibilità e quindi su Organizzazione.

  3. Fare clic con il pulsante destro del mouse su Applicazioni, scegliere Nuovo e quindi Applicazione.

  4. Nella pagina Aggiunta guidata applicazione fare clic su Avanti.

  5. Nella pagina Tipo applicazione fare clic su Applicazione in grado di riconoscere attestazioni e quindi su Avanti.

  6. Nella pagina Dettagli applicazione eseguire le operazioni seguenti e quindi fare clic su Avanti:

    • In Nome visualizzato applicazione digitare il nome dell'applicazione.

    • In URL applicazione digitare l'URL (Uniform Resource Locator) dell'applicazione.

    Importante

    L'URL deve corrispondere all'URL restituito configurato nell'agente Web ADFS per questa applicazione.

  7. Nella pagina Attestazioni di identità accettate selezionare ogni tipo di attestazione d'identità che verrà utilizzato dall'applicazione per prendere decisioni relative alle autorizzazioni e quindi fare clic su Avanti:

    • Se l'applicazione richiede attestazioni d'identità basate sul nome dell'entità utente (UPN) per prendere decisioni relative alle autorizzazioni, selezionare la casella di controllo Nome entità utente (UPN).

    • Se l'applicazione richiede attestazioni d'identità basate su posta elettronica per prendere decisioni relative alle autorizzazioni, selezionare la casella di controllo Posta elettronica.

    • Se l'applicazione richiede attestazioni d'identità basate su nome comune per prendere decisioni relative alle autorizzazioni, selezionare la casella di controllo Nome comune.

  8. Se non si desidera abilitare immediatamente l'applicazione in grado di riconoscere attestazioni, nella pagina Abilita applicazione deselezionare la casella di controllo Abilita applicazione e quindi fare clic su Avanti.

  9. Per aggiungere la nuova applicazione in grado di riconoscere attestazioni e chiudere la procedura guidata, fare clic su Fine.

Ulteriori riferimenti

  • Informazioni sui tipi di applicazioni per la federazione ADFS


Risolvere i problemi relativi ad ADFS

Problema riscontrato

Problemi relativi all'installazione

  • Viene visualizzata una pagina di errore nel browser con il messaggio "Impossibile visualizzare questa pagina", "Impossibile trovare il server" o "Errore DNS".

  • Durante il tentativo di connessione all'applicazione viene visualizzata una pagina di errore nel browser con il messaggio "Impossibile trovare la pagina" o "Errore HTTP 404 - Impossibile trovare il file o la directory".

  • Dopo avere installato un'applicazione basata su token Windows NT, durante il tentativo di connessione non viene richiesto di scegliere un'area di autenticazione host né di immettere le credenziali di accesso.

Problemi relativi alla registrazione

  • Si desidera abilitare la registrazione nel server federativo di account.

  • Si desidera abilitare la registrazione per il pacchetto di autenticazione dell'agente Web ADFS nel server Web abilitato per ADFS.

  • Si desidera abilitare la registrazione per l'Estensione agente basato su token Windows ADFS nel server Web abilitato per ADFS.

  • Si desidera abilitare la registrazione per il servizio Autenticazione agente Web ADFS nel server Web abilitato per ADFS.

  • Si desidera identificare la directory in cui si trovano i registri.

Problemi relativi ad AD LDS

  • Dopo la creazione dei propri account utente in Active Directory Lightweight Directory Services (AD LDS) e la configurazione dei criteri di attendibilità con le informazioni relative all'archivio di AD LDS, il servizio federativo non è in grado di convalidare gli utenti nell'archivio di AD LDS.

  • È stato abilitato un archivio account di AD LDS, ma il servizio federativo non è in grado di recuperare alcuna attestazione.

Problemi relativi alla configurazione

  • Viene visualizzato un errore del server.

  • Viene visualizzato un errore di convalida.

Problemi relativi all'installazione

Viene visualizzata una pagina di errore nel browser con il messaggio "Impossibile visualizzare questa pagina", "Impossibile trovare il server" o "Errore DNS".

Per risolvere il problema, provare a eseguire le operazioni seguenti:

  • Verificare che tutti i server federativi dispongano di un certificato di autenticazione server emesso per il sito Web predefinito.

  • Verificare che tutti i server Web abilitati per ADFS dispongano di un certificato di autenticazione server emesso per il sito Web in cui risiede l'applicazione.

  • Se viene utilizzato un Proxy servizio federativo di un partner account esterno, verificare che sia stato utilizzato il nome host corretto del servizio federativo durante l'installazione.

  • Se si utilizza un'applicazione basata su token Windows NT, verificare che l'URL (Uniform Resource Locator) del servizio federativo specificato in <nome computer>\URL servizio federativo nello snap-in Gestione Internet Information Services (IIS) sia configurato correttamente.

Durante il tentativo di connessione all'applicazione viene visualizzata una pagina di errore nel browser con il messaggio "Impossibile trovare la pagina" o "Errore HTTP 404 - Impossibile trovare il file o la directory".

Per risolvere i problemi di configurazione, provare ad eseguire le verifiche seguenti:

  • Verificare che l'applicazione Web sia configurata correttamente in Internet Information Services (IIS).

  • Verificare che il nome dell'URL dell'applicazione Web sia specificato correttamente nello snap-in Active Directory Federation Services.

  • Verificare che Microsoft ASP.NET sia installato nel server Web abilitato per ADFS e nel servizio federativo.

  • Se viene visualizzato l'errore 404 dopo aver specificato le proprie credenziali durante un tentativo di connessione a un'applicazione basata su token Windows NT che utilizza ASP, verificare che il gestore ASPClassic in IIS sia abilitato e configurato per la gestione di pagine *.asp. Verificare inoltre che sia stata installata la funzionalità ASP per IIS.

Dopo avere installato un'applicazione basata su token Windows NT, durante il tentativo di connessione non viene richiesto di scegliere un'area di autenticazione host né di immettere le credenziali di accesso.

Verificare che la directory virtuale dell'applicazione basata su token Windows NT sia configurata per l'utilizzo dell'estensione ISAPI (Internet Server Application Programming Interface) Ifsext.dll.

Problemi relativi alla registrazione

Si desidera abilitare la registrazione nel server federativo di account.

Il server federativo di account utilizza un pacchetto di autenticazione per il mapping di certificati client. Per abilitare la registrazione per il pacchetto di autenticazione del server federativo di account, eseguire le operazioni seguenti nell'ordine indicato:

  1. Se non è già installato, installare il componente Servizio federativo di Active Directory Federation Services (ADFS).

  2. Impostare la chiave del Registro di sistema seguente: [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\WebSso\Parameters]

    "DebugLevel"=dword:ffffffff

Si desidera abilitare la registrazione per il pacchetto di autenticazione dell'agente Web ADFS nel server Web abilitato per ADFS.

Il pacchetto di autenticazione dell'agente Web ADFS viene utilizzato dalle applicazioni basate su token Windows NT per generare i token quando Service-for-User (S4U) non è disponibile e inoltre quando il token contiene ID di sicurezza (SID), ad esempio negli scenari in cui vengono utilizzati gruppi di risorse o l'opzione Trust Windows.

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\WebSso\Parameters]

"DebugLevel"=dword:ffffffff

Si desidera abilitare la registrazione per l'Estensione agente basato su token Windows ADFS nel server Web abilitato per ADFS.

L'Estensione agente basato su token Windows ADFS gestisce i protocolli utilizzati da ADFS per l'autenticazione delle richieste.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS\WebServerAgent]

"DebugPrintLevel"=dword:ffffffff

Si desidera abilitare la registrazione per il servizio Autenticazione agente Web ADFS nel server Web abilitato per ADFS.

Il servizio Autenticazione agente Web ADFS convalida i token e i cookie in ingresso.

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\IFSSVC\Parameters]

"DebugPrintLevel"=dword:ffffffff

Si desidera identificare la directory in cui si trovano i registri.

I registri si trovano nella directory %systemroot%\SystemData\ADFS\logs.

Problemi relativi ad AD LDS

Dopo la creazione dei propri account utente in Active Directory Lightweight Directory Services (AD LDS) e la configurazione dei criteri di attendibilità con le informazioni relative all'archivio di AD LDS, il servizio federativo non è in grado di convalidare gli utenti nell'archivio di AD LDS.

Soluzione: Prestare attenzione quando si creano account utente tramite lo snap-in Modifica ADSI per AD LDS. È consigliabile creare sempre un account utente con una password. Se si crea un account utente senza password, utilizzare Modifica ADSI per reimpostare la password dell'account utente. È fondamentale verificare inoltre il valore della proprietà msDS-UserAccountDisabled relativa all'account utente. Il valore di tale proprietà non deve essere Vero, ma Falso o Non impostato. Se il valore della proprietà msDS-UserAccountDisabled è Vero, l'account utente è disabilitato e il servizio federativo non è in grado di convalidare credenziali relative a tale account utente di AD LDS.

È stato abilitato un archivio account di AD LDS, ma il servizio federativo non è in grado di recuperare alcuna attestazione.

Se il servizio federativo viene eseguito con l'account di sistema locale, è necessario aggiungere l'account computer del computer che ospita il servizio federativo al gruppo Lettori nell'archivio di AD LDS.

Se il servizio federativo viene eseguito con l'account Servizio di rete, è necessario aggiungere l'account di dominio al gruppo Lettori nell'archivio di AD LDS.

Problemi relativi alla configurazione

Nella sezione seguente vengono descritti alcuni problemi noti relativi alla configurazione di ADFS.

Viene visualizzato un errore del server.

Errore: Impossibile soddisfare la richiesta di token ricevuta per l'applicazione con URL https://... poiché l'URL non identifica nessuna applicazione trusting conosciuta.

Soluzione: Questo errore viene restituito dal servizio federativo della risorsa quando l'URL dell'applicazione non identifica alcuna applicazione nota. Verificare che l'applicazione sia stata aggiunta ai criteri di attendibilità per il servizio federativo.

Per un'applicazione in grado di riconoscere attestazioni, verificare che l'URL restituito sia digitato correttamente nel file Web.config dell'applicazione e che corrisponda all'URL dell'applicazione specificato nei criteri di attendibilità del servizio federativo.

Per un'applicazione basata su token Windows NT, verificare che l'URL restituito sia digitato correttamente in <nome sito Web>\Autenticazione\Agente basato su token Windows ADFS nello snap-in Gestione Internet Information Services (IIS) e che corrisponda all'URL dell'applicazione specificato nei criteri di attendibilità del servizio federativo.

Viene visualizzato un errore di convalida.

Errore: Errore di convalida MAC ViewState. Se l'applicazione è ospitata in una Web farm oppure in un cluster, verificare che nella configurazione <machineKey> siano specificati lo stesso elemento validationKey e lo stesso algoritmo di convalida.

Impossibile utilizzare AutoGenerate in un cluster. Eccezione non gestita durante l'esecuzione della richiesta Web corrente. Per ulteriori informazioni sull'errore e sul punto di origine nel codice, vedere l'analisi dello stack.

Oppure

Errore: Durante l'esecuzione della richiesta Web corrente è stata generata un'eccezione non gestita. Per informazioni sull'origine e la posizione dell'eccezione, vedere l'analisi dello stack dell'eccezione riportata di seguito.

Soluzione: Tramite un editor di testo aggiungere le impostazioni seguenti al file Web.config nel computer che ospita il servizio federativo, il proxy servizio federativo o l'agente Web ADFS che verrà installato nella farm:

<system.web>

<machineKey>

<machineKey validationKey="specify key for the appropriate algorithm"

decryptionKey="specify key"

validation="SHA1|MD5|3DES"/>

Oppure

Soluzione: Aggiungere l'elemento seguente nella sezione <system.web> del file Web.config nei computer che ospitano il servizio federativo, il proxy servizio federativo o l'agente Web ADFS installati nella farm:

<pages enableViewStateMac="false"/>

Vedere anche

  • Informazioni sui servizi ruolo di ADFS


Risorse per ADFS

Per la documentazione dettagliata su Active Directory Federation Services (ADFS), incluse le procedure per valutare, progettare, distribuire e gestire ADFS, vedere la home page di Active Directory Federation Services all'indirizzo http://go.microsoft.com/fwlink/?LinkId=91867.

Per ulteriori informazioni su ADFS o altre informazioni correlate, vedere le risorse Web seguenti:

  • Pagina relativa all'automazione dell'accesso alle informazioni tramite Identity Management

    (http://go.microsoft.com/fwlink/?LinkId=78692)

  • Pagina relativa alle specifiche Web Services (http://go.microsoft.com/fwlink/?LinkId=44191)

  • Pagina relativa a Web Services e ad altre tecnologie distribuite (http://go.microsoft.com/fwlink/?LinkId=44189)

  • Pagina relativa ai workshop sul protocollo Web Services (http://go.microsoft.com/fwlink/?LinkId=44190)

  • Pagina relativa a WS-I (http://go.microsoft.com/fwlink/?LinkId=44190)


Interfaccia utente: ADFS

Gli argomenti inclusi in questa sezione sono stati progettati per essere letti durante la visualizzazione della finestra associata nello snap-in ADFS (Active Directory Federation Services).

  • Partner account - Generale

  • Partner account - Account risorse

  • Partner account - Certificati di verifica

  • Partner account - Trust Windows

  • Active Directory - Generale

  • AD LDS - Generale

  • AD LDS - Impostazioni

  • Agente basato su token Windows ADFS

  • Applicazione - Avanzate

  • Applicazione - Metodi di autenticazione

  • Applicazione - Generale

  • Estrazione attestazione - Generale

  • Filtro attestazione basata su nome comune - Generale

  • Creare una nuova attestazione di organizzazione

  • Attestazione personalizzata - Generale

  • Filtro attestazione personalizzata - Generale

  • Distribuire ADFS

  • Filtro attestazione basata su posta elettronica - Generale

  • Valutare ADFS

  • Servizio federativo - Avanzate

  • Servizio federativo - Generale

  • Servizio federativo - Risoluzione dei problemi

  • Servizio federativo - Pagine Web

  • Proxy servizio federativo - Generale

  • Proxy servizio federativo - Pagine Web

  • URL dei Servizi federativi

  • Attestazione basata su gruppo - Generale

  • Attestazione basata su gruppo - Gruppo di risorse

  • Filtro attestazione basata su gruppo - Generale

  • Mapping attestazione basata su nome comune in ingresso - Generale

  • Mapping attestazione personalizzata in ingresso - Generale

  • Mapping attestazione basata su posta elettronica in ingresso - Generale

  • Mapping attestazione basata su gruppo in ingresso - Generale

  • Mapping attestazione basata su UPN in ingresso - Generale

  • Mapping attestazione basata su UPN in ingresso - Gruppi

  • Scegliere un certificato per crittografia SSL

  • Scegliere un certificato di autenticazione client

  • Scegliere un certificato per la firma di token

  • Selezionare un criterio di attendibilità

  • Specificare il server federativo

  • Convalidare il server federativo

  • Organizzazione

  • Mapping attestazione basata su nome comune in uscita - Generale

  • Mapping attestazione personalizzata in uscita - Generale

  • Mapping attestazione basata su posta elettronica in uscita - Generale

  • Mapping attestazione basata su gruppo in uscita - Generale

  • Mapping attestazione basata su UPN in uscita - Generale

  • Accesso degli utenti alle applicazioni federate tramite configurazione del servizio federativo

  • Accesso degli utenti federati alle applicazioni Web dell'organizzazione tramite configurazione del servizio federativo

  • Accesso SSO degli utenti alle applicazioni Web tramite configurazione del servizio federativo

  • Accesso degli utenti federati alle applicazioni Web tramite configurazione di un server Web abilitato per ADFS

  • Partner risorse - Avanzate

  • Partner risorse - Generale

  • Criteri di attendibilità

  • Criteri di attendibilità - Avanzate

  • Criteri di attendibilità - Nome visualizzato

  • Criteri di attendibilità - Registro eventi

  • Criteri di attendibilità - Certificati proxy servizio federativo

  • Criteri di attendibilità - Generale

  • Criteri di attendibilità - Modulo di trasformazione

  • Criteri di attendibilità - Certificati di verifica

  • Filtro attestazione basata su UPN - Generale


Partner account - Generale

Abilita partner - Specifica se il partner account è abilitato o disabilitato. Un partner account è un partner federativo considerato attendibile dal servizio federativo per il rilascio dei token di sicurezza basati su attestazione.

Nome visualizzato - Fornisce uno spazio in cui digitare il nome descrittivo del partner account.

URI servizio federativo - Fornisce uno spazio in cui digitare l'URI (Uniform Resource Identifier) del partner account. Un URI è una stringa compatta di caratteri utilizzata per identificare una risorsa astratta o fisica, ad esempio https://sales.adatum.com/adfs/.

URL endpoint servizio federativo - Fornisce uno spazio in cui digitare l'URL (Uniform Resource Locator) endpoint del servizio federativo a cui le applicazioni e le organizzazioni partner inviano richieste e risposte, ad esempio http://sales.adatum.com/adfs/ls/.

Ulteriori riferimenti

  • Informazioni sulle organizzazioni partner

  • Informazioni sul servizio ruolo Servizio federativo


Partner account - Account risorse

In Active Directory Federation Services (ADFS), un account della risorsa è un account utente archiviato in una foresta di Active Directory (la foresta del partner risorse) al solo scopo di rappresentare un account utente utilizzato attivamente, ad esempio da un dipendente, e archiviato in un'altra foresta di Active Directory (la foresta del partner account).

È necessario creare gli account delle risorse nella foresta del partner risorse in modo da consentire al dipendente, il cui account utente si trova nella foresta del partner account, di accedere alle applicazioni basate sul Web e basate su token Windows NT tramite ADFS. Gli account delle risorse e i gruppi di risorse sono inoltre necessari per le applicazioni in grado di riconoscere attestazioni.

La risorsa Web sul lato risorse è protetta con elenchi di controllo di accesso (ACL) di account utente o gruppi nella foresta del partner risorse. È necessario che l'amministratore crei gli account relativi alla risorsa e aggiunga ACL alla risorsa per ognuno di tali account.

Per ridurre il carico amministrativo, l'amministratore sul lato risorse può configurare uno o più gruppi di sicurezza creati in Servizi di dominio Active Directory, che verranno utilizzati per il mapping alle attestazioni basate su gruppo in ingresso dai relativi partner account. Un gruppo di sicurezza di cui è stato eseguito il mapping a un'attestazione basata su gruppo in ingresso e che viene utilizzato da ADFS è detto "gruppo di risorse".

Per configurare i gruppi di risorse, è possibile utilizzare la procedura seguente.

Per configurare un gruppo di risorse

  1. Nello snap-in Utenti e computer di Active Directory in un controller di dominio nella foresta del partner risorse creare un nuovo gruppo di sicurezza.

  2. Assegnare l'accesso appropriato a questo gruppo di sicurezza dalla risorsa Web protetta da ADFS.

  3. Nello snap-in Active Directory Federation Services creare una nuova attestazione basata su gruppo e nella pagina delle proprietà relative alla nuova attestazione fare clic sulla scheda Gruppo di risorse. Fare clic sul pulsante … per eseguire il mapping del nuovo gruppo di sicurezza in Servizi di dominio Active Directory alla nuova attestazione basata su gruppo. A questo punto, il nuovo gruppo di sicurezza è detto "gruppo di risorse".

  4. In Servizio federativo\Criteri di attendibilità\Organizzazioni partner\Partner account\<nomepartneraccount>\ creare un nuovo mapping di attestazione basata su gruppo in ingresso che consenta di eseguire il mapping della nuova attestazione basata su gruppo e dei relativi gruppi di risorse associati a qualsiasi attestazione basata su gruppo in ingresso proveniente dalla foresta del partner account.

Quando si esegue il mapping di un'attestazione basata su gruppo in ingresso a un gruppo di risorse, non è più necessario che un amministratore della foresta del partner risorse crei un account della risorsa per ogni utente nella foresta del partner account che deve accedere all'applicazione basata su token Windows NT protetta da ADFS.

Per impostazione predefinita, ADFS configura le proprietà del partner account in modo da consentire all'amministratore di un partner risorse di eseguire il mapping delle attestazioni basate su gruppo in ingresso a uno o più gruppi di risorse. È tuttavia possibile modificare questo comportamento predefinito selezionando una delle opzioni seguenti per l'account della risorsa:

  • Esistono account risorse per tutti gli utenti - Specifica che viene configurato un account della risorsa per ogni utente del partner account che deve accedere alla risorsa. In questo caso, non viene eseguito il mapping delle attestazioni basate su gruppo in ingresso ai gruppi di risorse anche se questi ultimi sono configurati.

  • Esistono account risorse per alcuni utenti (preferenza: account risorse) - Specifica se i gruppi di risorse devono essere utilizzati o meno per alcuni account utente. È pertanto possibile che per alcuni utenti siano stati creati singoli account delle risorse, mentre la configurazione di altri utenti prevede l'utilizzo di gruppi di risorse. Quando questa opzione è selezionata, ADFS esegue innanzitutto la ricerca degli account delle risorse corrispondenti all'attestazione basata su posta elettronica o su UPN specificata nel token in ingresso. Se vengono trovati, ADFS utilizza tali account. In caso contrario, se il token include un'attestazione basata su gruppo di cui è stato eseguito il mapping a un gruppo di risorse, viene utilizzato il gruppo di risorse.

  • Esistono account risorse per alcuni utenti (preferenza: gruppi in token) - Questa è l'impostazione predefinita. Specifica che ADFS può utilizzare la propria logica per determinare se per ogni token in ingresso è necessario eseguire il mapping a un gruppo di risorse oppure la ricerca di un account della risorsa. Quando questa opzione è selezionata, ADFS cerca innanzitutto nel token le attestazioni basate su gruppo in ingresso di cui è possibile eseguire il mapping a un gruppo di risorse. Se tali attestazioni vengono trovate, viene utilizzato il gruppo di risorse. In caso contrario, viene eseguita la ricerca di un account della risorsa da utilizzare.

  • Nessun account risorse esistente per questo partner account - Specifica che verranno utilizzati uno o più gruppi di risorse per tutti gli utenti nel partner account. Ogni token rilasciato da questo partner account dovrà pertanto contenere una o più attestazioni basate su gruppo di cui viene eseguito il mapping a uno o più gruppi di risorse nella foresta del partner risorse.

Ulteriori riferimenti

  • Informazioni sulle organizzazioni partner

  • Informazioni sulla terminologia utilizzata in ADFS


Partner account - Certificati di verifica

Aggiungi - Fare clic per aggiungere un certificato di verifica del partner account.

Nota

È necessario ricevere il certificato di verifica dal partner account.

Rimuovi - Fare clic per eliminare il certificato evidenziato dall'elenco dei certificati di verifica.

Nota

Non è possibile eliminare l'ultimo certificato in quanto deve essere presente almeno un certificato.

Visualizza - Fare clic per visualizzare una descrizione del certificato evidenziato nell'elenco dei certificati di verifica.

Impostazioni di revoca

Controlla certificato finale - Questa opzione consente di controllare se il certificato finale della catena di certificati è stato revocato. La selezione di questa opzione può migliorare le prestazioni, in quanto la verifica relativa allo stato di revoca viene eseguita solo per l'elenco di revoche di certificati (CRL) associato all'Autorità di certificazione (CA) che ha emesso il certificato finale, anziché per i CRL che occupano un livello superiore nella catena di certificati rispetto alla CA del certificato finale.

Attenzione

Selezionare questa opzione solo se si considera attendibile la CA che ha emesso il certificato finale.

Controlla certificato finale solo nella cache - Questa opzione consente di eseguire le stesse azioni dell'opzione Controlla certificato finale ma, anziché controllare lo stato di revoca dalla CA che ha emesso direttamente il certificato finale, la verifica delle revoche viene eseguita su un CRL importato nell'archivio locale del computer.

Nota

Se si seleziona questa opzione e il timestamp per l'elenco di revoche di certificati (CRL) nell'archivio locale del computer non è aggiornato, le comunicazioni ADFS avranno esito negativo.

Controlla intera catena di certificati - Questa opzione consente di controllare lo stato di revoca per ogni certificato presente nella catena, incluso il certificato radice. Sebbene la maggior parte delle verifiche delle revoche non preveda il controllo del certificato radice, questa opzione consente di eseguire un controllo per verificare che il certificato radice non sia stato revocato.

Controlla intera catena di certificati solo nella cache - Questa opzione consente di eseguire le stesse azioni dell'opzione Controlla intera catena di certificati ma, anziché controllare lo stato di revoca dalla CA che ha emesso direttamente il certificato radice, la verifica delle revoche viene eseguita su un CRL importato nell'archivio locale del computer.

Nota

Se si seleziona questa opzione e il timestamp per l'elenco di revoche di certificati (CRL) nell'archivio locale del computer non è aggiornato, le comunicazioni ADFS avranno esito negativo.

Controlla intera catena di certificati escludendo la radice - Questa opzione consente di controllare lo stato di revoca per ogni certificato presente nella catena, ad eccezione del certificato radice. È l'impostazione predefinita per la verifica delle revoche in ADFS.

Controlla intera catena di certificati escludendo la radice solo nella cache - Questa opzione consente di eseguire le stesse azioni dell'opzione Controlla intera catena di certificati escludendo la radice ma, anziché controllare lo stato di revoca dalla CA che ha emesso direttamente i certificati, la verifica delle revoche viene eseguita su un CRL importato nell'archivio locale del computer.

Nota

Se si seleziona questa opzione e il timestamp per l'elenco di revoche di certificati (CRL) nell'archivio locale del computer non è aggiornato, le comunicazioni ADFS avranno esito negativo.

Ulteriori riferimenti

  • Informazioni sulle organizzazioni partner

  • Informazioni sui certificati utilizzati da ADFS


Partner account - Trust Windows

Usa relazione di trust Windows - Specifica se il partner account può utilizzare o meno una relazione di trust Windows.

Deselezionare la casella di controllo se il partner account non ha una relazione di trust Windows con l'organizzazione.

Nota

Se si seleziona la casella di controllo, verrà abilitata la progettazione Web SSO federativo con trust tra foreste.

Tutti i domini e le foreste di Servizi di dominio di Active Directory - Specifica che gli utenti possono appartenere a qualsiasi dominio o foresta di Servizi di dominio Active Directory considerati trusted dal partner account.

Domini e foreste di Servizi di dominio Active Directory specificati - Specifica che si desidera scegliere i domini e le foreste di Servizi di dominio Active Directory consentiti tra quelli considerati trusted dal partner account.

Ulteriori riferimenti

  • Informazioni sulle organizzazioni partner


Active Directory - Generale

Abilita archivio account - Selezionare la casella di controllo per abilitare l'archivio account di Servizi di dominio Active Directory e deselezionarla per disabilitarlo.

Gli archivi account vengono utilizzati per consentire l'accesso di un utente con credenziali e per estrarre le relative attestazioni. È possibile configurare più archivi account per un unico servizio federativo.

Nome visualizzato - Fornisce uno spazio in cui digitare il nome descrittivo dell'archivio account di Servizi di dominio Active Directory.

Ulteriori riferimenti

  • Informazioni sugli archivi account


AD LDS - Generale

Abilita archivio account - Specifica se l'archivio account di Active Directory Lightweight Directory Services (AD LDS) è abilitato o disabilitato. Selezionare la casella di controllo per abilitare l'archivio account di AD LDS e deselezionarla per disabilitarlo.

Gli archivi account vengono utilizzati per consentire l'accesso di un utente con credenziali e per estrarre le relative attestazioni di sicurezza.

Nome visualizzato - Fornisce uno spazio in cui digitare il nome descrittivo dell'archivio account di AD LDS.

URI - Fornisce uno spazio in cui digitare l'URI (Uniform Resource Identifier) dell'archivio account di AD LDS. Un URI è una stringa compatta di caratteri utilizzata per identificare una risorsa astratta o fisica. Un URI è costituito da un nome di schema, seguito dai due punti e quindi da alcuni dati specifici dello schema. Gli URL come http, ldap, gopher e ftp e gli URN (Uniform Resource Name) come urn:fed:nomesocietà sono URI validi. È inoltre possibile utilizzare un formato di URI personalizzato, ad esempio fed://identity-sts.

Ulteriori riferimenti

  • Informazioni sugli archivi account


AD LDS - Impostazioni

Nome o indirizzo IP server - Fornisce uno spazio in cui digitare il nome o l'indirizzo IP del server Active Directory Lightweight Directory Services (AD LDS).

Numero porta - Fornisce uno spazio in cui digitare il numero della porta TCP/IP per il servizio dell'account. È inoltre possibile fare clic sulla freccia SU o GIÙ per selezionare una nuova impostazione. Il numero di porta predefinito è 389.

Nome distinto di base ricerca - Fornisce uno spazio in cui digitare il nome distinto di base per la ricerca. Se si specifica il nome distinto di base, le ricerche vengono eseguite nel sottoalbero specificato. In caso contrario, le ricerche vengono eseguite nell'intero albero della directory.

Timeout ricerca (in secondi) - Indica il tempo massimo di attesa da parte del servizio federativo per una risposta dal server AD LDS prima che si verifichi il timeout della connessione. Il valore predefinito per il timeout della ricerca è di cinque secondi.

Attributo nome utente - Fornisce uno spazio per consentire l'accesso dell'utente all'archivio di AD LDS. I client accedono alla pagina Web di accesso client se si specifica un nome utente e una password. Active Directory Federation Services (AD FS) esegue un tentativo di ricerca e di binding dell'oggetto il cui valore dell'attributo username corrisponde al valore specificato dall'utente.

Abilita protocolli TLS/SSL - Specifica se i protocolli TLS (Transport Layer Security) e SSL (Secure Sockets Layer) sono abilitati o disabilitati. Selezionare la casella di controllo per abilitare questi protocolli e deselezionarla per disabilitarli.

Se i protocolli TLS/SSL sono abilitati per le proprietà dell'archivio account di AD LDS nei criteri di attendibilità, le credenziali utente sono protette.

Nota

È consigliabile proteggere il traffico tra il server AD LDS e il server federativo tramite TLS/SSL o in altro modo, ad esempio utilizzando IPSec (Internet Protocol Security).

Ulteriori riferimenti

  • Informazioni sugli archivi account


Agente basato su token Windows ADFS

Abilita agente Web ADFS - Specifica se l'agente Web ADFS (Active Directory Federation Services) per applicazioni basate su token Windows NT è abilitato. Selezionare la casella di controllo per abilitare l'agente Web ADFS e deselezionarla per disabilitarlo.

Percorso cookie - Fornisce uno spazio in cui digitare il percorso in cui è archiviato il cookie per risorse applicazioni basate su token Windows NT. Se questa informazione non viene specificata, nel campo verrà inserito per impostazione predefinita il percorso relativo al sito, ovvero “/”.

Nota

Se il percorso del cookie non è corretto, il browser potrebbe eseguire un ciclo di reindirizzamento infinito. Questa situazione può verificarsi sia per applicazioni basate su attestazioni che per applicazioni basate su token Windows NT.

Dominio cookie - Fornisce uno spazio in cui digitare il dominio di validità del cookie.

URL restituito - Fornisce uno spazio in cui digitare l'URL (Uniform Resource Locator) a cui deve essere indirizzato il client al termine dell'autenticazione. Si tratta in genere della stessa pagina che il client ha tentato di recuperare in origine. Tale URL deve inoltre corrispondere all'elemento Audience del token, che viene controllato dal servizio di Windows.

Ulteriori riferimenti

  • Informazioni sul servizio ruolo Agente Web ADFS

  • Aggiungere un'applicazione basata su token Windows NT

  • Informazioni sui tipi di applicazioni per la federazione ADFS


Applicazione - Avanzate

Durata token (minuti) - Fornisce uno spazio in cui digitare una nuova impostazione per la durata del token. È inoltre possibile fare clic sulla freccia SU o GIÙ per selezionare una nuova impostazione. Il servizio federativo crea token validi solo per un determinato periodo di tempo, che ne rappresenta la durata. Tale durata definisce il periodo di validità di un token di sicurezza a partire dalla creazione.

Ulteriori riferimenti

  • Informazioni sui tipi di applicazioni per la federazione ADFS


Applicazione - Metodi di autenticazione

Qualsiasi - Specifica se devono essere accettate tutte le forme di metodi di autenticazione disponibili per l'applicazione.

Autenticazione integrata di Windows - Specifica se deve essere accettata l'autenticazione integrata di Windows.

Autenticazione nome utente e password - Specifica se devono essere accettati nome utente e password ai fini dell'autenticazione.

Autenticazione client mediante certificato o TLS/SSL - Specifica se deve essere accettata l'autenticazione client SSL/TLS (Secure Sockets Layer/Transport Layer Security).

Ulteriori riferimenti

  • Informazioni sui tipi di applicazioni per la federazione ADFS


Applicazione - Generale

Abilitata - Specifica che l'applicazione è abilitata. Deselezionare la casella di controllo per disabilitare l'applicazione.

Nome visualizzato - Fornisce uno spazio in cui digitare il nome descrittivo dell'applicazione.

URL applicazione - Fornisce uno spazio in cui digitare l'URL (Uniform Resource Locator) dell'applicazione, che corrisponde in genere alla radice dell'albero del contenuto protetto da Active Directory Federation Services (ADFS). Il valore configurato deve corrispondere all'URL restituito, configurato nell'agente Web ADFS.

Infrastruttura a chiave pubblica (PKI) - Quando si seleziona questa opzione, il servizio federativo utilizza il proprio certificato per la firma di token al fine di proteggere i token di sicurezza relativi all'applicazione.

Account di servizio del dominio - Quando si seleziona questa opzione, il servizio federativo utilizza una richiesta Kerberos per proteggere i token di sicurezza relativi all'applicazione. Se si seleziona questa opzione, è necessario specificare un nome principale di servizio (SPN) per l'account di servizio di destinazione.

Per l'agente Web ADFS relativo alle applicazioni in grado di riconoscere attestazioni, è necessario registrare il nome principale di servizio per l'identità del pool di applicazioni dell'applicazione protetta, ad esempio www/sales.treyresearch.net.

Per l'agente Web ADFS relativo alle applicazioni basate su token Windows NT, è necessario registrare il nome principale di servizio per l'account di servizio del servizio Autenticazione agente Web ADFS (in genere corrispondente all'account computer, tranne nel caso di progettazioni di farm), ad esempio "host/sales".

Ulteriori riferimenti

  • Informazioni sui tipi di applicazioni per la federazione ADFS

  • Informazioni sul servizio ruolo Agente Web ADFS


Scegliere un certificato per la firma di token

I server federativi richiedono l'utilizzo di certificati per la firma di token al fine di impedire agli autori di attacchi di modificare o contraffare i token di sicurezza nel tentativo di ottenere l'accesso non autorizzato alle risorse federative. Ogni certificato per la firma di token contiene chiavi private di crittografia e chiavi pubbliche utilizzate per apporre la firma digitale (tramite la chiave privata) a un token di sicurezza. Successivamente, dopo che le chiavi sono state ricevute da un server federativo del partner, per mezzo della chiave pubblica viene convalidata l'autenticità del token di sicurezza crittografato.

Quando si distribuisce il primo server federativo in una nuova installazione di Active Directory Federation Services (ADFS), è necessario ottenere un certificato per la firma di token e installarlo nell'archivio certificati personali del computer locale in tale server federativo. È possibile ottenere un certificato per la firma di token richiedendone uno a un'autorità di certificazione dell'organizzazione (enterprise) o pubblica oppure creando un certificato autofirmato.

Ulteriori riferimenti

  • Informazioni sul servizio ruolo Servizio federativo

  • Informazioni sui certificati utilizzati da ADFS


Scegliere un certificato di autenticazione client

Ogni proxy server federativo utilizza un certificato di autenticazione client per eseguire l'autenticazione con il servizio federativo. È possibile utilizzare come certificato di autenticazione client del proxy server federativo qualsiasi certificato con utilizzo chiavi avanzato (EKU) per l'autenticazione client che sia concatenato a un'Autorità di certificazione (CA) radice attendibile nel server federativo. È inoltre necessario aggiungere in modo esplicito il certificato di autenticazione client ai criteri di attendibilità. La chiave privata associata al certificato di autenticazione client del proxy server federativo viene archiviata tuttavia solo nel proxy server federativo. È possibile installare un certificato di autenticazione client connettendosi a un'autorità di certificazione dell'organizzazione (enterprise) oppure creando un certificato autofirmato.

Importante

Non utilizzare un certificato emesso dall'autorità di certificazione dell'organizzazione (enterprise) per l'autenticazione client di un utente di Active Directory, specialmente se si tratta di un amministratore di dominio, in quanto la chiave privata viene archiviata nel proxy server federativo. L'archiviazione di una chiave privata nel proxy server federativo consente a un amministratore o all'autore di un tentativo di attacco riuscito di assumere l'identità rappresentata dal certificato.

Per informazioni generali sull'installazione dei certificati di autenticazione client quando si utilizza Servizi certificati Microsoft come autorità di certificazione dell'organizzazione (enterprise), vedere la pagina relativa all'invio di una richiesta avanzata di certificati tramite Web a una CA di Windows Server 2003 all'indirizzo http://go.microsoft.com/fwlink/?linkid=64020.

Ulteriori riferimenti

  • Informazioni sul servizio ruolo Proxy servizio federativo

  • Informazioni sui certificati utilizzati da ADFS


Scegliere un certificato per crittografia SSL

I server federativi e i proxy server federativi richiedono l'utilizzo di certificati di autenticazione server per motivi diversi.

Server federativi

I server federativi richiedono i certificati di autenticazione server per consentire ai client di stabilire l'identità del server, in quanto questo tipo di server presenta al client un certificato di autenticazione server che rivela la relativa origine. In questo modo, un client è in grado di verificare che i dati trasmessi possono essere utilizzati solo dall'organizzazione identificata tramite il certificato.

Proxy server federativi

I proxy server federativi richiedono i certificati di autenticazione server per proteggere il traffico del server Web nelle comunicazioni con i client Web. Questo tipo di proxy server è esposto in genere a computer su Internet non inclusi nell'infrastruttura a chiave pubblica (PKI) dell'organizzazione. Se possibile, è pertanto consigliabile utilizzare un certificato di autenticazione server emesso da un'Autorità di certificazione pubblica (di terze parti), ad esempio Verisign.

Ulteriori riferimenti

  • Informazioni sul servizio ruolo Servizio federativo

  • Informazioni sul servizio ruolo Proxy servizio federativo

  • Informazioni sui certificati utilizzati da ADFS


Estrazione attestazione - Generale

Abilitata - Specifica se l'attestazione d'identità è abilitata. Selezionare la casella di controllo per abilitare l'attestazione d'identità e deselezionarla per disabilitare tale attestazione.

Attributo LDAP - Fornisce uno spazio in cui digitare il nome del valore LDAP (Lightweight Directory Access Protocol) con cui è possibile popolare l'attestazione d'identità per gli utenti.

LDAP è un protocollo standard di rete aperto progettato per consentire l'accesso alle directory distribuite. LDAP offre un meccanismo per l'esecuzione di query e la modifica delle informazioni che risiedono in un albero di informazioni della directory.

Ulteriori riferimenti

  • Informazioni sulle attestazioni


Filtro attestazione basata su nome comune - Generale

Abilitata - Specifica se l'attestazione basata su nome comune è abilitata. Selezionare la casella di controllo per abilitare l'attestazione basata su nome comune e deselezionarla per disabilitare tale attestazione.

Nome attestazione - Nome descrittivo dell'attestazione.

Tipo attestazione - Un nome comune è una stringa arbitraria utilizzata per personalizzare un'attestazione. Un token di sicurezza può contenere un'unica attestazione basata su nome comune. È importante notare che non esistono meccanismi in grado di garantire l'univocità dell'attestazione basata su nome comune né un partner specifico con l'autorità necessaria per imporre un determinato nome comune. È pertanto necessario prestare attenzione quando si utilizza questo tipo di attestazione nelle decisioni relative alle autorizzazioni.

Tra i tipi di attestazione d'identità sono inclusi Posta elettronica, UPN (nome dell'entità utente) e Nome comune. Se in un token sono presenti più tipi di attestazione d'identità, tali attestazioni vengono popolate nell'ordine seguente:

  1. UPN

  2. Posta elettronica

  3. Nome comune

Limita controllo - Specifica se, al momento della creazione o del mapping dell'attestazione, il relativo valore viene controllato o condiviso.

Ulteriori riferimenti

  • Informazioni sulle attestazioni


Creare una nuova attestazione di organizzazione

Nome attestazione - Fornisce uno spazio in cui digitare il nome della nuova attestazione di organizzazione.

Utilizzare il campo Nome attestazione per comunicare eventuali informazioni di autorizzazione non incluse in uno degli altri tipi di attestazione. È necessario specificare un insieme fisso di sottotipi personalizzati. È ad esempio possibile estendere Nome attestazione specificando dettagli come il nome, il cognome e il numero del dipendente. Ogni sottotipo personalizzato rappresenta un'unità amministrativa separata per il popolamento e il mapping di attestazioni. Il valore dell'attestazione corrispondente a un sottotipo personalizzato specifico è costituito da una stringa arbitraria esposta all'applicazione finale.

Limita il controllo su questa attestazione - Specifica se, al momento della creazione o del mapping dell'attestazione, il relativo valore viene controllato o condiviso. Il controllo indica il nome dell'attestazione, ma il valore corrispondente viene omesso. Un esempio di attestazione limitata è rappresentato dal numero di previdenza sociale.

Attestazione basata su gruppo - Selezionare questa opzione se si desidera che l'attestazione di organizzazione corrisponda a un tipo di attestazione basata su gruppo.

Attestazione personalizzata - Selezionare questa opzione se si desidera che l'attestazione di organizzazione corrisponda a un tipo di attestazione personalizzata.

Ulteriori riferimenti

  • Informazioni sulle attestazioni


Attestazione personalizzata - Generale

Nome attestazione - Fornisce uno spazio in cui digitare il nome dell'attestazione personalizzata.

Utilizzare il campo Nome attestazione per comunicare eventuali informazioni di autorizzazione non incluse in uno degli altri tipi di attestazione. È necessario specificare un insieme fisso di sottotipi personalizzati. È ad esempio possibile estendere il campo Nome attestazione specificando dettagli quali il numero, il nome e il cognome del dipendente. Ogni sottotipo personalizzato rappresenta un'unità amministrativa separata per il popolamento e il mapping di attestazioni. Il valore dell'attestazione corrispondente a un sottotipo personalizzato specifico è costituito da una stringa arbitraria esposta all'applicazione finale.

Limita il controllo su questa attestazione - Specifica se, al momento della creazione o del mapping dell'attestazione, è necessario controllare o condividere il relativo nome. Il controllo indica il nome dell'attestazione, ma il valore corrispondente viene omesso.

Ulteriori riferimenti

  • Informazioni sulle attestazioni


Filtro attestazione personalizzata - Generale

Abilitata - Specifica se l'attestazione personalizzata è abilitata. Selezionare la casella di controllo per abilitare l'attestazione personalizzata e deselezionarla per disabilitare tale attestazione.

Nome attestazione - Nome descrittivo dell'attestazione.

Tipo attestazione - Visualizza il nome del tipo di attestazione di organizzazione.

Limita controllo - Specifica se, al momento della creazione o del mapping dell'attestazione, il relativo valore viene controllato o condiviso.

Ulteriori riferimenti

  • Informazioni sulle attestazioni


Distribuire ADFS

Per informazioni su come pianificare, progettare e distribuire Active Directory Federation Services (ADFS) in Windows Server 2008, vedere la Guida di ADFS all'indirizzo http://go.microsoft.com/fwlink/?LinkId=91898 e la Guida alla distribuzione di ADFS all'indirizzo http://go.microsoft.com/fwlink/?LinkId=91899.


Filtro attestazione basata su posta elettronica - Generale

Abilitata - Specifica se l'attestazione basata su posta elettronica è abilitata. Selezionare la casella di controllo per abilitare l'attestazione basata su posta elettronica e deselezionarla per disabilitare tale attestazione.

Nome attestazione - Nome descrittivo dell'attestazione.

Tipo attestazione: Posta elettronica, Nome entità utente (UPN) e Nome comune vengono definiti tipi di attestazione d'identità. Se in un token sono presenti più tipi di attestazione, le attestazioni d'identità vengono popolate nell'ordine seguente:

  1. UPN

  2. Posta elettronica

  3. Nome comune

Limita controllo - Specifica se, al momento della creazione o del mapping dell'attestazione, il relativo valore viene controllato o condiviso.

Ulteriori riferimenti

  • Informazioni sulle attestazioni


Valutare ADFS

Per informazioni sull'installazione e sulla valutazione di Active Directory Federation Services (ADFS) tramite un ambiente di lavoro di prova, vedere l'argomento relativo ad ADFS nella Guida dettagliata a Windows Server 2008 R2 (http://go.microsoft.com/fwlink/?LinkId=133009).


Servizio federativo - Avanzate

Abilita accesso anonimo ai nomi delle attestazioni di organizzazione basate su gruppo in questo servizio federativo - Selezionare questa casella di controllo per attivare ulteriori funzionalità correlate all'autorizzazione del ruolo di gruppo nelle applicazioni in grado di riconoscere attestazioni.

Ulteriori riferimenti

  • Informazioni sul servizio ruolo Servizio federativo

  • Informazioni sulle attestazioni


Servizio federativo - Generale

File dei criteri di attendibilità - Fornisce uno spazio in cui digitare o selezionare il percorso del file dei criteri di attendibilità per il servizio federativo.

Visualizza - Fare clic per visualizzare informazioni relative al certificato per la firma di token utilizzato con il servizio federativo.

Seleziona - Fare clic per selezionare il certificato per la firma di token che si desidera utilizzare con il servizio federativo.

Ulteriori riferimenti

  • Informazioni sul servizio ruolo Servizio federativo


Servizio federativo - Risoluzione dei problemi

Errore - Specifica se gli eventi relativi a problemi significativi devono essere memorizzati nel registro di debug. Se si esegue il comando dbmon, l'output del registro di debug verrà restituito al prompt dei comandi.

Avviso - Specifica se gli eventi non necessariamente significativi ma in grado di causare problemi futuri devono essere memorizzati nel registro di debug.

Informazioni - Specifica se gli eventi informativi quali reindirizzamenti con URL (Uniform Resource Locator) di protocollo, convalide di token o mapping di attestazioni devono essere memorizzati nel registro di debug.

Dettagliato - Specifica se le informazioni dettagliate sugli eventi quali richieste di accesso, risposte, contenuto dei token, chiamate di metodi Web e informazioni relative agli ID di sicurezza (SID) devono essere memorizzate nel registro di debug.

Controllo riuscito - Specifica se viene registrato un controllo di sicurezza per ogni autenticazione utente o modifica dei criteri di attendibilità con esito positivo effettuata nel servizio federativo. Tutti i record relativi a operazioni riuscite vengono memorizzati nel file di registro di debug identificato nel campo Directory file di registro.

Controllo non riuscito - Specifica se viene registrato un controllo di sicurezza per ogni tentativo non riuscito di modifica dei criteri di attendibilità per il servizio federativo. Tutti i record dei controlli non riusciti vengono memorizzati nel file di registro di debug identificato nel campo Directory file di registro.

Voci registro eventi - Specifica se tutti gli eventi di Active Directory Federation Services (ADFS) devono essere memorizzati nel registro di debug.

Cookie - Specifica se i cookie devono essere memorizzati nel registro di debug.

Directory file di registro - Fornisce uno spazio in cui digitare o selezionare il percorso del file di registro utilizzato per visualizzare tutte le informazioni generate in seguito alle selezioni effettuate nella pagina.

Nota

Se si sceglie una directory diversa da quella predefinita, è necessario assegnare le autorizzazioni Lettura, Scrittura, Creazione file e Visualizzazione contenuto cartella all'identità del pool di applicazioni ADFSAppPool definita in Gestione Internet Information Services (IIS) tramite il servizio di rete predefinito in modo che il server federativo o il proxy server federativo disponga delle autorizzazioni necessarie per scrivere i file di registro.

Ulteriori riferimenti

  • Informazioni sul servizio ruolo Proxy servizio federativo

  • Informazioni sul servizio ruolo Servizio federativo

  • Risolvere i problemi relativi ad ADFS


Servizio federativo - Pagine Web

Pagina di accesso client - Fornisce uno spazio in cui digitare il nome del file con estensione aspx relativo alla pagina Web di accesso client. Nella pagina di accesso client predefinita, ovvero Clientlogon.aspx, vengono raccolte le credenziali relative al nome utente e alla password. È tuttavia possibile personalizzare tale pagina.

Pagina di individuazione del partner account - Fornisce uno spazio in cui digitare il nome del file con estensione aspx relativo alla pagina Web di individuazione del partner account. La pagina di individuazione del partner account del client interagisce con un client per determinarne l'appartenenza al partner account e può essere necessaria nelle progettazioni federative in cui il servizio federativo e il proxy servizio federativo sono abilitati come proxy servizio federativo della risorsa. La pagina di individuazione del partner account del client predefinita, ovvero Discoverclientrealm.aspx, è disponibile nel proxy servizio federativo e può essere personalizzata o modificata per conferirle un aspetto più intuitivo per gli utenti.

Pagina di chiusura sessione client - Fornisce uno spazio in cui digitare il nome del file con estensione aspx relativo alla pagina Web di chiusura sessione client. Nella pagina Web di chiusura sessione client è inoltre disponibile un'interfaccia utente quando vengono eliminati gli stati di autenticazione esterna o locale. Nella pagina Web predefinita vengono utilizzati iframe per consentire ai partner risorse di eliminare lo stato dei relativi servizi. I clienti possono pertanto personalizzare pagina in base allo stile desiderato. La pagina Web di chiusura sessione client predefinita è Signout.aspx. Tale pagina consente di eliminare dai server i cookie di sessione memorizzati nella cache del client per le disconnessioni singole.

Ulteriori riferimenti

  • Informazioni sul servizio ruolo Servizio federativo


Proxy servizio federativo - Generale

URL servizio federativo - Fornisce uno spazio in cui digitare l'URL (Uniform Resource Locator) del Servizio federativo.

Visualizza - Fare clic per visualizzare un elenco dei certificati già configurati. Per l'autenticazione client TLS/SSL (Transport Layer Security/Secure Sockets Layer) è consigliabile utilizzare il certificato locale.

Seleziona - Fare clic per selezionare il certificato da un elenco dei certificati di Proxy servizio federativo.

Ulteriori riferimenti

  • Informazioni sul servizio ruolo Proxy servizio federativo

  • Informazioni sul servizio ruolo Servizio federativo


Proxy servizio federativo - Pagine Web

Pagina di accesso client - Fornisce uno spazio in cui digitare il nome del file con estensione aspx relativo alla pagina Web di accesso client. Nella pagina di accesso client predefinita, ovvero Clientlogon.aspx, vengono raccolte le credenziali relative al nome utente e alla password. È tuttavia possibile personalizzare tale pagina.

Pagina di individuazione del partner account - Fornisce uno spazio in cui digitare il nome del file con estensione aspx relativo alla pagina Web di individuazione del partner account. Questa pagina interagisce con i client per determinare l'area di autenticazione principale del client e può essere necessaria per le progettazioni federative in cui è abilitato il Proxy servizio federativo.

Pagina di chiusura sessione client - Fornisce uno spazio in cui digitare il nome del file con estensione aspx relativo alla pagina Web di individuazione dell'appartenenza al partner account del client. Nella pagina di chiusura sessione client predefinita vengono utilizzati iframe per le aree di autenticazione esterne. Nella pagina Web di chiusura sessione client è inoltre disponibile un'interfaccia utente quando vengono eliminati gli stati di autenticazione esterna o locale. I clienti possono pertanto modificare la pagina personalizzandola in base allo stile desiderato. La pagina Web di chiusura sessione client predefinita è Signout.aspx. Tale pagina consente di eliminare dai server i cookie memorizzati nella cache del client.

Ulteriori riferimenti

  • Informazioni sul servizio ruolo Proxy servizio federativo

  • Informazioni sul servizio ruolo Servizio federativo


URL dei Servizi federativi

URL servizio federativo - Fornisce uno spazio in cui digitare l'URL (Uniform Resource Locator) del servizio federativo. Tale URL viene utilizzato da tutti i siti Web e le applicazioni Web presenti sul computer che utilizzano Active Directory Federation Services (ADFS). L'URL del servizio federativo è necessario per consentire l'esecuzione di query relative alle informazioni sui trust. Per gestire le impostazioni e modificare l'URL del servizio federativo, è possibile utilizzare lo snap-in Gestione IIS.

Ulteriori riferimenti

  • Informazioni sul servizio ruolo Servizio federativo


Attestazione basata su gruppo - Generale

Nome attestazione - Fornisce uno spazio in cui digitare il nome dell'attestazione di organizzazione basata su gruppo.

Utilizzare il campo Nome attestazione per comunicare eventuali informazioni di autorizzazione non incluse in uno degli altri tipi di attestazione. È necessario specificare un insieme fisso di sottotipi personalizzati. È ad esempio possibile estendere il campo Nome attestazione specificando dettagli quali il numero, il nome e il cognome del dipendente. Ogni sottotipo personalizzato rappresenta un'unità amministrativa separata per il popolamento e il mapping di attestazioni. Il valore dell'attestazione corrispondente a un sottotipo personalizzato specifico è costituito da una stringa arbitraria esposta all'applicazione finale.

Limita il controllo su questa attestazione - Specifica se, al momento della creazione o del mapping dell'attestazione, è necessario controllare o condividere il relativo nome. Il controllo indica il nome dell'attestazione, ma il valore corrispondente viene omesso.

Ulteriori riferimenti

  • Informazioni sulle attestazioni


Attestazione basata su gruppo - Gruppo di risorse

Esegui mapping a questo gruppo di risorse - Specifica che l'attestazione basata su gruppo verrà mappata al gruppo di Servizi di dominio Active Directory specificato nella casella Gruppo.

Gruppo - Fornisce uno spazio in cui digitare o individuare, mediante il pulsante …, il gruppo di Servizi di dominio Active Directory a cui verrà eseguito il mapping dell'attestazione basata su gruppo.

Ulteriori riferimenti

  • Informazioni sulle attestazioni

  • Partner account - Account risorse


Filtro attestazione basata su gruppo - Generale

Abilitata - Specifica se l'attestazione basata su gruppo è abilitata. Selezionare la casella di controllo per abilitare l'attestazione basata su gruppo e deselezionarla per disabilitare tale attestazione.

Nome attestazione - Visualizza il nome dell'attestazione basata su gruppo.

Tipo attestazione - Visualizza il nome del tipo di attestazione di organizzazione.

Limite controllo - Specifica se, al momento della creazione o del mapping dell'attestazione, il relativo valore viene controllato o condiviso.

Ulteriori riferimenti

  • Informazioni sulle attestazioni


Mapping attestazione basata su nome comune in ingresso - Generale

Abilitata - Specifica se l'attestazione basata su nome comune in ingresso è abilitata. Selezionare la casella di controllo per abilitare l'attestazione basata su nome comune e deselezionarla per disabilitare tale attestazione.

Ulteriori riferimenti

  • Informazioni sulle attestazioni


Mapping attestazione personalizzata in ingresso - Generale

Nome attestazione personalizzata in ingresso - Fornisce uno spazio in cui digitare il nome descrittivo dell'attestazione personalizzata in ingresso.

Attestazione di organizzazione personalizzata - Elenca le attestazioni personalizzate disponibili.

Ulteriori riferimenti

  • Informazioni sulle attestazioni


Mapping attestazione basata su posta elettronica in ingresso - Generale

Abilitata - Specifica se l'attestazione basata su posta elettronica in ingresso è abilitata. Selezionare la casella di controllo per abilitare l'attestazione basata su posta elettronica in ingresso e deselezionarla per disabilitare tale attestazione.

Il tipo di attestazione basata su posta elettronica indica i nomi di posta elettronica conformi alla RFC (Request for Comments) 2822 nel formato utente@dominio. Solo un'attestazione può essere di tipo Posta elettronica. Se è necessario comunicare più valori di posta elettronica, solo un'attestazione può essere di tale tipo. È tuttavia possibile configurare valori di posta elettronica aggiuntivi come tipi di attestazione personalizzata.

Accetta tutti i suffissi di dominio - Specifica che per il mapping all'attestazione basata su posta elettronica vengono accettati tutti i domini.

Accetta alcuni suffissi di dominio - Specifica che per il mapping all'attestazione basata su posta elettronica vengono accettati alcuni domini. Per aggiungere altri domini all'elenco, digitare i suffissi di dominio appropriati.

Ulteriori riferimenti

  • Informazioni sulle attestazioni


Mapping attestazione basata su gruppo in ingresso - Generale

Nome attestazione basata su gruppo in ingresso - Fornisce uno spazio in cui digitare il nome descrittivo dell'attestazione basata su gruppo in ingresso.

Attestazione di organizzazione basata su gruppo - Elenca le attestazioni di organizzazione basate su gruppo disponibili.

Ulteriori riferimenti

  • Informazioni sulle attestazioni


Mapping attestazione basata su UPN in ingresso - Generale

Abilitato - Specifica se il partner account offre nomi dell'entità utente (UPN) in ingresso. Selezionare la casella di controllo se il partner account offre UPN e deselezionarla in caso contrario.

Accetta tutti i suffissi di dominio - Specifica che per il mapping all'attestazione basata su UPN vengono accettati tutti i suffissi di dominio.

Rifiuta tutti i suffissi di dominio - Specifica che per il mapping all'attestazione basata su UPN vengono rifiutati tutti i suffissi di dominio.

Accetta alcuni suffissi di dominio - Specifica che per il mapping all'attestazione basata su UPN vengono accettati alcuni domini. Per aggiungere altri domini all'elenco, digitare i suffissi di dominio appropriati.

Ulteriori riferimenti

  • Informazioni sulle attestazioni


Mapping attestazione basata su UPN in ingresso - Gruppi

Dal gruppo in ingresso - Fornisce uno spazio in cui digitare il nome di un gruppo in ingresso di cui eseguire il mapping a un valore UPN (nome dell'entità utente) singolo.

A UPN utente - Fornisce uno spazio in cui digitare il nome di un valore UPN singolo.

Pulsante ... - Fare clic per cercare un nuovo gruppo di cui eseguire il mapping a un UPN.

Aggiungi - Fare clic per aggiungere un nuovo gruppo di cui eseguire il mapping a un UPN.

Sposta su - Fare clic per modificare l'ordine di un mapping da gruppo a UPN. Selezionare il mapping da gruppo a UPN per evidenziarlo e quindi fare clic su Sposta su o Sposta giù.

Sposta giù - Fare clic per modificare l'ordine di un mapping da gruppo a UPN. Selezionare il mapping da gruppo a UPN per evidenziarlo e quindi fare clic su Sposta su o Sposta giù.

Rimuovi - Fare clic per eliminare un mapping da gruppo a UPN.

Ulteriori riferimenti

  • Informazioni sulle attestazioni


Organizzazione

Il nodo Organizzazione nell'albero della console dello snap-in Active Directory Federation Services offre un'interfaccia utente che è possibile utilizzare per configurare le impostazioni dei criteri di attendibilità nel servizio federativo per cui l'organizzazione dispone di controllo amministrativo.

Per ulteriori informazioni dettagliate su ognuna delle cartelle del nodo Organizzazione, vedere gli argomenti seguenti:

  • Informazioni sulle attestazioni

  • Informazioni sugli archivi account

  • Informazioni sui tipi di applicazioni per la federazione ADFS


Mapping attestazione basata su nome comune in uscita - Generale

Abilitata - Specifica se l'attestazione basata su nome comune in uscita è abilitata. Selezionare la casella di controllo per abilitare l'attestazione e deselezionarla per disabilitare l'attestazione.

Ulteriori riferimenti

  • Informazioni sulle attestazioni


Mapping attestazione personalizzata in uscita - Generale

Attestazioni di organizzazione personalizzate - Elenca le attestazioni personalizzate disponibili.

Nome attestazione personalizzata in uscita - Fornisce uno spazio in cui digitare il nome descrittivo dell'attestazione personalizzata in uscita.

Ulteriori riferimenti

  • Informazioni sulle attestazioni


Mapping attestazione basata su posta elettronica in uscita - Generale

Abilitata - Specifica se l'attestazione basata su posta elettronica in uscita è abilitata. Selezionare la casella di controllo per abilitare l'attestazione e deselezionarla per disabilitare l'attestazione.

Invia tutti i suffissi di dominio - Specifica che tutti i suffissi di dominio degli indirizzi di posta elettronica verranno passati senza alcun modifica.

Sostituisci tutti i suffissi di dominio con - Specifica che tutti i suffissi di dominio degli indirizzi di posta elettronica verranno sostituiti e fornisce uno spazio in cui digitare il suffisso di dominio sostitutivo.

Ulteriori riferimenti

  • Informazioni sulle attestazioni


Mapping attestazione basata su gruppo in uscita - Generale

Attestazioni di organizzazione basate su gruppo - Elenca le attestazioni di organizzazione basate su gruppo disponibili.

Nome attestazione basata su gruppo in uscita - Fornisce uno spazio in cui digitare il nome descrittivo dell'attestazione basata su gruppo in uscita.

Ulteriori riferimenti

  • Informazioni sulle attestazioni


Mapping attestazione basata su UPN in uscita - Generale

Abilitata - Specifica se l'attestazione basata sul nome dell'entità utente (UPN) in uscita è abilitata. Selezionare la casella di controllo per abilitare l'attestazione e deselezionarla per disabilitare l'attestazione.

Invia tutti i suffissi di dominio - Specifica che verranno passati tutti i suffissi di dominio.

Sostituisci tutti i suffissi di dominio con - Specifica che verranno sostituiti tutti i suffissi di dominio e fornisce uno spazio in cui digitare il suffisso di dominio sostitutivo.

Ulteriori riferimenti

  • Informazioni sulle attestazioni


Accesso degli utenti alle applicazioni federate tramite configurazione del servizio federativo

Se l'obiettivo della distribuzione di un amministratore del partner account è consentire l'accesso federativo dei dipendenti nella rete aziendale:

  • I dipendenti connessi a una foresta di Servizi di dominio Active Directory nella rete aziendale possono utilizzare Single Sign-On (SSO) per accedere a più applicazioni, protette da Active Directory Federation Services (ADFS), che si trovano in un'altra organizzazione.

    Si supponga ad esempio che la A. Datum Corporation desideri consentire l'accesso federativo dei dipendenti che utilizzano la rete aziendale alle applicazioni ospitate in Trey Research.

  • I dipendenti connessi a una foresta di Servizi di dominio Active Directory nella rete aziendale possono utilizzare SSO per accedere a più applicazioni, protette da ADFS, nella rete perimetrale della propria organizzazione.

    La A. Datum Corporation potrebbe ad esempio consentire l'accesso federativo dei dipendenti che utilizzano la rete aziendale alle applicazioni ospitate nella propria rete perimetrale.

  • È possibile popolare i token ADFS dei dipendenti con le informazioni contenute nell'archivio account di Servizi di dominio Active Directory.

Al fine di configurare questo ambiente vengono eseguite attività amministrative per l'installazione di un server federativo e per la configurazione del servizio federativo nell'organizzazione partner account. Nella tabella seguente sono disponibili i collegamenti agli elenchi di controllo a cui è necessario attenersi per installare il primo server federativo nell'organizzazione, configurare il servizio federativo e stabilire una relazione di trust federativa con un partner risorse.

Preparare e configurare un server federativo per la federazione

 | Passaggio | Riferimento
Casella di controllo | Configurare il server federativo per l'utilizzo di DNS (Domain Name System), installare e configurare i certificati e verificare che il server sia operativo. | Elenco di controllo: installare un server federativo
Casella di controllo | Configurare la relazione di trust federativa con un'organizzazione partner risorse. | Elenco di controllo: configurare l'organizzazione partner account


Accesso degli utenti federati alle applicazioni Web dell'organizzazione tramite configurazione del servizio federativo

Se l'obiettivo della distribuzione di un amministratore del partner risorse è consentire l'accesso federativo a un'applicazione che risiede nell'organizzazione dell'amministratore (organizzazione partner risorse), gli utenti federati che si trovano sia in tale organizzazione che in quelle in cui è stata configurata una relazione di trust federativa con l'organizzazione partner risorse potranno accedere all'applicazione protetta da Active Directory Federation Services (ADFS) e ospitata dall'organizzazione partner risorse.

Al fine di configurare questo ambiente vengono eseguite attività amministrative per l'installazione di un server federativo e per la configurazione del servizio federativo nell'organizzazione partner risorse. Nella tabella seguente sono disponibili i collegamenti agli elenchi di controllo a cui è necessario attenersi per installare il primo server federativo nell'organizzazione, configurare il servizio federativo e stabilire una relazione di trust federativa con un partner account.

Preparare e configurare un server federativo per la federazione

 | Passaggio | Riferimento
Casella di controllo | Configurare il server federativo per l'utilizzo del DNS, installare e configurare i certificati e quindi verificare che il server sia operativo. | Elenco di controllo: installare un server federativo
Casella di controllo | Configurare la relazione di trust federativa con un'organizzazione partner account. | Elenco di controllo: configurare l'organizzazione partner risorse


Accesso SSO degli utenti alle applicazioni Web tramite configurazione del servizio federativo

Se l'obiettivo della distribuzione è consentire l'accesso Single Sign-On (SSO) degli account cliente alle applicazioni ospitate protette da Active Directory Federation Services (ADFS):

  • I clienti connessi all'archivio account di Active Directory Lightweight Directory Services (AD LDS), che è ospitato nella rete perimetrale, possono accedere a più applicazioni protette da ADFS, anch'esse ospitate nella rete perimetrale, eseguendo l'accesso una sola volta da computer client che si trovano su Internet.

    In altre parole, se si ospitano account cliente per consentire l'accesso alle applicazioni nella rete perimetrale, i clienti ospitati in un archivio account possono accedere a una o più applicazioni nella rete perimetrale eseguendo l'accesso al servizio federativo una sola volta.

  • È possibile popolare i token ADFS dei clienti con le informazioni contenute nell'archivio account di AD LDS.

Per configurare questo ambiente, è necessario eseguire attività amministrative per l'installazione di un server federativo, configurare il servizio federativo e installare un server Web abilitato per ADFS. Nella tabella seguente sono disponibili i collegamenti agli elenchi di controllo a cui è necessario attenersi per installare il primo server federativo nell'organizzazione, configurare il servizio federativo e configurare un server Web abilitato per ADFS in modo da consentire l'accesso SSO.

Preparare e configurare un server federativo e un server Web abilitato per ADFS in modo da consentire l'accesso SSO

Passaggio Riferimento
Casella di controllo

Leggere le informazioni relative a tutti i server e i requisiti necessari per l'implementazione di un ambiente Web SSO nell'organizzazione.

Elenco di controllo: implementare una progettazione Web SSO

Casella di controllo

Configurare il server federativo per l'utilizzo del DNS (Domain Name System), installare e configurare i certificati e quindi verificare che il server sia operativo.

Elenco di controllo: installare un server federativo

Casella di controllo

Configurare il server Web abilitato per ADFS affinché utilizzi il DNS, installare i certificati e l'agente Web ADFS appropriato e quindi verificare che il server sia operativo.

Dopo aver completato le attività descritte nell'elenco di controllo, è possibile configurare il server Web abilitato per ADFS in modo da ospitare applicazioni in grado di riconoscere attestazioni o applicazioni basate su token Windows NT.

Elenco di controllo: installare un server Web abilitato per ADFS

Casella di controllo

In base alle proprie esigenze organizzative, installare un'applicazione in grado di riconoscere attestazioni nel server Web abilitato per ADFS e verificarne il funzionamento.

Elenco di controllo: installare un'applicazione in grado di riconoscere attestazioni

Casella di controllo

In base alle proprie esigenze organizzative, installare un'applicazione basata su token Windows NT nel server Web abilitato per ADFS e verificarne il funzionamento.

Elenco di controllo: installare un'applicazione basata su token Windows NT


Accesso degli utenti federati alle applicazioni Web tramite configurazione di un server Web abilitato per ADFS

Se l'obiettivo della distribuzione di un amministratore del partner risorse è consentire l'accesso federativo a un'applicazione che risiede nell'organizzazione dell'amministratore (organizzazione partner risorse), gli utenti federati che si trovano sia in tale organizzazione che in quelle in cui è stata configurata una relazione di trust federativa con l'organizzazione partner risorse potranno accedere all'applicazione protetta da Active Directory Federation Services (ADFS) e ospitata da un server Web abilitato per ADFS nell'organizzazione partner risorse.

Nella tabella seguente sono disponibili i collegamenti agli elenchi di controllo a cui è necessario attenersi al fine di preparare e configurare un server Web abilitato per ADFS relativo alla federazione.

Preparare e configurare un server Web abilitato per ADFS relativo alla federazione

Passaggio Riferimento
Casella di controllo

Configurare il server Web abilitato per ADFS affinché utilizzi DNS (Domain Name System), installare i certificati e l'agente Web ADFS appropriato e quindi verificare che il server sia operativo.

Dopo aver completato le attività descritte nell'elenco di controllo, è possibile configurare il server Web abilitato per ADFS in modo da ospitare applicazioni in grado di riconoscere attestazioni o applicazioni basate su token Windows NT nell'organizzazione partner risorse.

Elenco di controllo: installare un server Web abilitato per ADFS

Casella di controllo

In base alle proprie esigenze organizzative, installare un'applicazione in grado di riconoscere attestazioni nel server Web abilitato per ADFS e verificarne il funzionamento.

Elenco di controllo: installare un'applicazione in grado di riconoscere attestazioni

Casella di controllo

In base alle proprie esigenze organizzative, installare un'applicazione basata su token Windows NT nel server Web abilitato per ADFS e verificarne il funzionamento.

Elenco di controllo: installare un'applicazione basata su token Windows NT


Partner risorse - Avanzate

Durata token (minuti) - Fornisce uno spazio in cui digitare una nuova impostazione per la durata del token SAML (Security Assertion Markup Language). È inoltre possibile fare clic sulla freccia SU o GIÙ per selezionare una nuova impostazione. Il servizio federativo crea token SAML validi solo per un determinato periodo di tempo, che ne rappresenta la durata. Tale durata definisce il periodo di validità di un token di sicurezza a partire dalla creazione.

Ulteriori riferimenti

  • Informazioni sulle organizzazioni partner


Partner risorse - Generale

Abilita partner - Selezionare questa casella di controllo per abilitare il partner risorse e deselezionarla per disabilitarlo. Un partner risorse utilizza i token di sicurezza generati dal partner account per prendere decisioni relative alle autorizzazioni.

Nome visualizzato - Fornisce uno spazio in cui digitare il nome descrittivo del partner risorse.

URI servizio federativo - Fornisce uno spazio in cui digitare l'URI (Uniform Resource Identifier) del partner risorse, ad esempio urn:federation:treyresearch. Un URI è una stringa compatta di caratteri che identifica una risorsa astratta o fisica.

URL endpoint servizio federativo - Fornisce uno spazio in cui digitare l'URL (Uniform Resource Locator) endpoint del servizio federativo a cui le applicazioni e le organizzazioni partner invieranno richieste e risposte, ad esempio http://sales.treyresearch.net/adfs/ls/.

Usa relazione di trust Windows per questo partner - Specifica se il partner risorse e il servizio federativo sono separati o meno da un firewall e se sono necessari o meno gli ID di sicurezza (SID) Windows.

Deselezionare la casella di controllo se il partner risorse non richiede SID Windows nativi o dispone di una connessione di rete non filtrata. È disponibile una connessione di rete non filtrata se dispositivi quali i firewall non filtrano il traffico di rete tra l'organizzazione e il partner risorse.

Selezionare la casella di controllo se il partner risorse richiede SID Windows nativi o dispone di una connessione di rete filtrata. È disponibile una connessione di rete filtrata se dispositivi quali i firewall filtrano il traffico di rete tra l'organizzazione e il partner risorse.

Consenti privacy avanzata identità - Specifica se la privacy relativa all'identità è consentita o meno. Selezionare questa casella di controllo per consentire l'individuazione della parte dell'attestazione d'identità relativa all'utente inviata da Active Directory Federation Services (ADFS) nei token di sicurezza.

Ulteriori riferimenti

  • Informazioni sulle organizzazioni partner

  • Informazioni sul servizio ruolo Servizio federativo


Specificare il server federativo

I servizi ruolo Agente basato su token Windows e Proxy servizio federativo richiedono entrambi un URL (Uniform Resource Locator) che specifica la posizione di un server federativo valido, necessaria per instradare correttamente dal servizio ruolo al server federativo le credenziali e i token da elaborare.

Ulteriori riferimenti

  • Informazioni sul servizio ruolo Servizio federativo

  • Informazioni sul servizio ruolo Proxy servizio federativo

  • Informazioni sul servizio ruolo Agente Web ADFS


Selezionare un criterio di attendibilità

Il file dei criteri di attendibilità di Active Directory Federation Services (ADFS) definisce l'insieme di parametri necessari a un servizio federativo per identificare partner, certificati, archivi account, attestazioni e le varie proprietà di queste entità associate al Servizio federativo.

Per creare una server farm federativa, è necessario creare due o più server federativi nella stessa rete, configurare ognuno di essi per l'utilizzo dello stesso file dei criteri di attendibilità e aggiungere la chiave pubblica dei certificati per la firma di token di ogni server (certificati di verifica) ai criteri di attendibilità.

Nota

Per gli scenari di farm, è importante che il file dei criteri di attendibilità venga condiviso su un computer che non partecipa anche come server federativo a tale farm. Il Bilanciamento carico di rete (NLB) Microsoft non consente ai computer che partecipano a una farm di comunicare l'uno con l'altro.

Dopo aver inserito il file trustpolicy.xml in una cartella condivisa, tale condivisione verrà protetta con le autorizzazioni appropriate. Affinché ogni nuovo server federativo condivida correttamente un file dei criteri di attendibilità, è pertanto necessario concedere autorizzazioni di accesso in sola lettura a ognuno degli account computer in ogni server federativo della farm. L'amministratore del servizio federativo sarà in grado di modificare il file dei criteri di attendibilità anche se gli account computer dispongono di autorizzazioni di sola lettura.

Ulteriori riferimenti

  • Informazioni sul servizio ruolo Servizio federativo

  • Criteri di attendibilità


Criteri di attendibilità

Nel nodo Criteri di attendibilità dello snap-in Active Directory Federation Services sono rappresentate le informazioni di configurazione dei criteri di attendibilità archiviate nel file dei criteri di attendibilità, che è un file in formato XML creato durante l'installazione del primo server federativo nella server farm federativa. Il percorso del file dei criteri di attendibilità è configurato nel file Web.config locale. Se possibile, archiviare il file dei criteri di attendibilità in una condivisione di rete in modo che possano accedervi tutti i computer della server farm federativa.

Nota

Per modificare le informazioni di configurazione dei criteri di attendibilità, è consigliabile utilizzare il nodo Criteri di attendibilità. Non è possibile modificare manualmente le informazioni di configurazione dei criteri di attendibilità contenute nel file.

Ulteriori riferimenti

  • Informazioni sul servizio ruolo Servizio federativo

  • Selezionare un criterio di attendibilità


Criteri di attendibilità - Avanzate

Durata token (minuti) - Fornisce uno spazio in cui digitare una nuova impostazione per la durata del token SAML (Security Assertion Markup Language). Si tratta della durata di un token di accesso rapido, noto anche come cookie. È inoltre possibile fare clic sulla freccia SU o GIÙ per selezionare una nuova impostazione. Il servizio federativo crea token SAML validi solo per un determinato periodo di tempo. La durata del token SAML definisce il periodo di validità di un token di sicurezza a partire dalla creazione. Il valore minimo per questo campo è 1 minuto. Il valore predefinito è 600 minuti.

Periodo di aggiornamento criteri di attendibilità (minuti) - Fornisce uno spazio in cui digitare una nuova impostazione per il periodo di aggiornamento dei criteri di attendibilità. È inoltre possibile fare clic sulla freccia SU o GIÙ per selezionare una nuova impostazione. Il periodo di aggiornamento dei criteri di attendibilità definisce la frequenza con cui il servizio federativo controlla se tali criteri sono stati modificati e, nel caso di un nuovo criterio di attendibilità, lo carica. Il valore minimo per questo campo è 5 minuti. Il valore predefinito è 60 minuti.

Periodo di aggiornamento cache trust domini Windows (minuti) - Fornisce uno spazio in cui digitare una nuova impostazione per il periodo di aggiornamento della cache dei trust di domini Windows. È inoltre possibile fare clic sulla freccia SU o GIÙ per selezionare una nuova impostazione. Il periodo di aggiornamento della cache filtro degli ID di sicurezza (SID) definisce la frequenza con cui il servizio federativo aggiorna le informazioni sui trust Windows. Il valore predefinito è 60 minuti.

Ulteriori riferimenti

  • Criteri di attendibilità

  • Informazioni sul servizio ruolo Servizio federativo


Criteri di attendibilità - Nome visualizzato

Nome visualizzato per questo criterio di attendibilità - Fornisce uno spazio in cui digitare il nome descrittivo archiviato nel file dei criteri di attendibilità.

Ulteriori nomi visualizzati - Fornisce uno spazio in cui aggiungere o rimuovere ulteriori nomi visualizzati che verranno associati al criterio di attendibilità.

Aggiungi - Fare clic per aggiungere il valore digitato in Ulteriori nomi visualizzati all'elenco dei nomi visualizzati che verranno associati al criterio di attendibilità. Tali nomi verranno utilizzati per funzioni come l'individuazione del partner account.

Rimuovi - Fare clic per rimuovere il nome visualizzato evidenziato nell'elenco.

Ulteriori riferimenti

  • Criteri di attendibilità

  • Informazioni sul servizio ruolo Servizio federativo


Criteri di attendibilità - Registro eventi

Errore - Specifica se gli eventi generati da problemi significativi devono essere memorizzati nel registro eventi.

Avviso - Specifica se gli eventi non necessariamente significativi ma in grado di causare problemi futuri devono essere memorizzati nel registro eventi.

Informazioni - Specifica se gli eventi informativi generati, ad esempio reindirizzamenti con URL (Uniform Resource Locator) di protocollo, convalide di token o mapping di attestazioni, devono essere registrati.

Controllo operazioni riuscite - Specifica se verrà registrato un controllo di sicurezza per ogni autenticazione utente o modifica dei criteri di attendibilità con esito positivo effettuata nel servizio federativo. Tutti i record relativi a operazioni riuscite verranno memorizzati nel registro eventi. Oltre a questa impostazione, è necessario configurare il criterio di controllo del sistema in modo appropriato affinché accetti i controlli nel Registro sicurezza.

Controllo operazioni non riuscite - Specifica se verrà registrato un controllo di sicurezza per ogni tentativo non riuscito di modifica dei criteri di attendibilità per il servizio federativo. Tutti i record relativi a operazioni non riuscite verranno memorizzati nel Registro sicurezza.

Op. riuscite: dettaglio - Specifica se verrà registrato un controllo di sicurezza dettagliato per le autenticazioni riuscite.

Op. non riuscite: dettaglio - Specifica se verrà registrato un controllo di sicurezza dettagliato per le autenticazioni non riuscite.

Ulteriori riferimenti

  • Criteri di attendibilità

  • Informazioni sul servizio ruolo Servizio federativo


Criteri di attendibilità - Certificati proxy servizio federativo

Aggiungi - Fare clic per aggiungere un file del certificato all'elenco dei certificati di Proxy servizio federativo. Il servizio federativo utilizza i certificati tramite questi criteri di attendibilità per l'autenticazione dei proxy server federativi.

Rimuovi - Fare clic per eliminare il certificato evidenziato dall'elenco dei certificati di Proxy servizio federativo.

Visualizza - Fare clic per visualizzare i dettagli del certificato evidenziato nell'elenco dei certificati di Proxy servizio federativo.

Ulteriori riferimenti

  • Criteri di attendibilità

  • Informazioni sul servizio ruolo Proxy servizio federativo


Criteri di attendibilità - Generale

URI servizio federativo - Fornisce uno spazio in cui digitare l'URI (Uniform Resource Identifier) del servizio federativo. Un URI è una stringa compatta di caratteri utilizzata per identificare una risorsa astratta o fisica. È possibile digitare qualsiasi URI, inclusi gli URL HTTP (Hypertext Transfer Protocol). In particolare, l'URI configurato in questo campo corrisponde al nome univoco o alla posizione dell'area di autenticazione ospitata nel servizio federativo (farm). Un URI è costituito da un nome di schema, seguito dai due punti e quindi da alcuni dati specifici dello schema. Gli URN (Uniform Resource Name), come il nome indicato nell'esempio in questa pagina delle proprietà, sono URI validi. Anche tutti gli URL (Uniform Resource Locator), ad esempio http, ldap, gopher e ftp, sono URI validi. È inoltre possibile utilizzare un formato di URI personalizzato, ad esempio fed://identity-sts.

URL endpoint servizio federativo - Fornisce uno spazio in cui digitare l'URL endpoint del servizio federativo a cui le applicazioni e le organizzazioni partner invieranno richieste e risposte.

Versione criterio di attendibilità - Visualizza il numero di versione del criterio di attendibilità che identifica in modo univoco tale criterio. Quando viene ricevuta una notifica di modifica al file dei criteri di attendibilità, la presenza di un nuovo numero di versione indica agli altri server della server farm federativa che è necessario caricare una nuova versione del criterio di attendibilità. Il numero di versione del criterio di attendibilità viene incrementato ogni volta che viene aggiornato tale criterio.

Ulteriori riferimenti

  • Criteri di attendibilità

  • Informazioni sul servizio ruolo Servizio federativo


Criteri di attendibilità - Modulo di trasformazione

File DLL - Fornisce uno spazio in cui digitare il nome della DLL (libreria di collegamento dinamico) che implementa il modulo di trasformazione attestazione. Deve essere un assembly di codice gestito.

Sfoglia - Fare clic per trovare il percorso della DLL del modulo di trasformazione attestazione.

Nome classe - Fornisce uno spazio in cui digitare il nome della classe qualificato dallo spazio dei nomi che implementa l'interfaccia di trasformazione dell'attestazione.

Ulteriori riferimenti

  • Criteri di attendibilità

  • Informazioni sul servizio ruolo Servizio federativo


Criteri di attendibilità - Certificati di verifica

Aggiungi - Fare clic per aggiungere un file di certificato all'elenco dei certificati utilizzati per verificare i token di sicurezza rilasciati dal partner account. Selezionare un file di certificato binario codificato DER X.509 con estensione cer, un file di certificato PKCS #7 con estensione p7b o un file di archivio certificati con estensione sst il cui contenuto corrisponde a uno dei tipi seguenti:

  • Un certificato autofirmato, ovvero un certificato dell'autorità di certificazione (CA) radice

  • Tutti i certificati nel percorso di certificazione fino alla radice (in questo caso, il certificato finale viene rilevato automaticamente)

Rimuovi - Fare clic per eliminare il certificato evidenziato dall'elenco dei certificati di verifica.

Nota

Non è possibile eliminare l'ultimo certificato in quanto deve essere presente almeno un certificato per il servizio federativo ai fini della convalida dei token rilasciati dal servizio federativo stesso.

Visualizza - Fare clic per visualizzare i dettagli del certificato evidenziato nell'elenco dei certificati di verifica.

Impostazioni di revoca

Controlla certificato finale - Questa opzione consente di controllare se il certificato finale della catena di certificati è stato revocato. La selezione di questa opzione può migliorare le prestazioni, in quanto la verifica relativa allo stato di revoca viene eseguita solo per l'elenco di revoche di certificati (CRL) associato alla CA che ha emesso il certificato finale, e non per i CRL che occupano un livello superiore nella catena di certificati rispetto alla CA del certificato finale.

Attenzione

Selezionare questa opzione solo se si considera attendibile la CA che ha emesso il certificato finale.

Controlla certificato finale solo nella cache - Questa opzione consente di eseguire le stesse azioni dell'opzione Controlla certificato finale ma, anziché controllare lo stato di revoca dalla CA che ha emesso direttamente il certificato finale, la verifica delle revoche viene eseguita su un CRL importato nell'archivio locale del computer.

Nota

Se si seleziona questa opzione e il timestamp per l'elenco di revoche di certificati (CRL) nell'archivio locale del computer non è aggiornato, le comunicazioni ADFS avranno esito negativo.

Controlla intera catena di certificati - Questa opzione consente di controllare lo stato di revoca per ogni certificato presente nella catena, incluso il certificato radice. Sebbene la maggior parte delle verifiche delle revoche non preveda il controllo del certificato radice, questa opzione consentirà di eseguire un controllo per verificare che il certificato radice non sia stato revocato.

Controlla intera catena di certificati solo nella cache - Questa opzione consente di eseguire le stesse azioni dell'opzione Controlla intera catena di certificati ma, anziché controllare lo stato di revoca dalla CA che ha emesso direttamente il certificato radice, la verifica delle revoche viene eseguita su un CRL importato nell'archivio locale del computer.

Nota

Se si seleziona questa opzione e il timestamp per l'elenco di revoche di certificati (CRL) nell'archivio locale del computer non è aggiornato, le comunicazioni ADFS avranno esito negativo.

Controlla intera catena di certificati escludendo la radice - Questa opzione consente di controllare lo stato di revoca per ogni certificato presente nella catena, ad eccezione del certificato radice. È l'impostazione predefinita per la verifica delle revoche in ADFS.

Controlla intera catena di certificati escludendo la radice solo nella cache - Questa opzione consente di eseguire le stesse azioni dell'opzione Controlla intera catena di certificati escludendo la radice ma, anziché controllare lo stato di revoca dalla CA che ha emesso direttamente i certificati, la verifica delle revoche viene eseguita su un CRL importato nell'archivio locale del computer.

Nota

Se si seleziona questa opzione e il timestamp per l'elenco di revoche di certificati (CRL) nell'archivio locale del computer non è aggiornato, le comunicazioni ADFS avranno esito negativo.

Ulteriori riferimenti

  • Criteri di attendibilità

  • Informazioni sul servizio ruolo Servizio federativo

  • Informazioni sui certificati utilizzati da ADFS


Filtro attestazione basata su UPN - Generale

Abilitata - Specifica se l'attestazione basata sul nome dell'entità utente (UPN) è abilitata. Selezionare la casella di controllo per abilitare l'attestazione basata sul nome UPN e deselezionarla per disabilitare l'attestazione basata sul nome UPN.

Nome attestazione - Nome descrittivo dell'attestazione.

Tipo attestazione - Posta elettronica, UPN e Nome comune vengono definiti tipi di attestazione d'identità. Se in un token sono presenti più tipi di attestazione, le attestazioni d'identità vengono popolate nell'ordine seguente:

  1. UPN

  2. Posta elettronica

  3. Nome comune

Limita controllo - Specifica se, al momento della creazione o del mapping dell'attestazione, il relativo valore viene controllato o condiviso.

Ulteriori riferimenti

  • Informazioni sulle attestazioni


Convalidare il server federativo

Se si fa clic sul pulsante Convalida, verrà inviata una richiesta HTTP GET all'URL (Uniform Resource Locator) specificato nella casella Server federativo. Si supponga che nella casella sia stato immesso il nome di un computer, ad esempio FS1 o FS1.adatum.com). Il processo di convalida creerà un URL basato su tale nome, ad esempio https://FS1.adatum.com/adfs/fs/federationserverservice.asmx, e verificherà la presenza di eventuali caratteri non validi prima di inviare l'URL al server federativo. Se la richiesta HTTP GET restituisce un errore, la convalida avrà esito negativo. In tal caso sarà possibile procedere con l'installazione di questo servizio ruolo e quindi correggere il valore in un secondo momento.

Ulteriori riferimenti

  • Informazioni sul servizio ruolo Servizio federativo