Контрольный список. Настройка сервера федерации

Этот контрольный список включает задачи развертывания, необходимые для подготовки сервера под управлением Windows Server® 2012 для роли сервера федерации в службах федерации Active Directory (AD FS).

Note

Выполните задачи в этом контрольном списке по порядку. Когда ссылка переходит к процедуре, вернитесь к этому разделу после выполнения действий, описанных в этой процедуре, чтобы продолжить остальные задачи в этом контрольном списке.

Значок для контрольного списка настройки сервера федерации. Контрольный список: Настройка сервера федерации

Task Reference
Прежде чем приступить к развертыванию серверов федерации AD FS, ознакомьтесь с этим вопросом; 1.) преимущества и недостатки выбора внутренней базы данных Windows (WID) или SQL Server для хранения базы данных конфигурации AD FS 2.) Типы топологий развертывания AD FS и связанные с ними рекомендации по размещению сервера и макету сети. Значок для ссылки Определение топологии развертывания AD FS

Значок для ссылки Рекомендации по топологии развертывания AD FS
Ознакомьтесь с руководством по планированию емкости AD FS, чтобы определить правильное количество серверов федерации, которые следует использовать в рабочей среде. Значок для ссылки Планирование емкости сервера федерации
Просмотрите сведения в руководстве по проектированию AD FS о расположении серверов федерации в организации Значок для ссылки на размещение сервера федерации, который можно использовать в качестве ссылки при настройке сервера федерации. Планирование размещения сервера федерации

Значок ссылки Место размещения сервера федерации
Определите, что лучше подходит для вашего развертывания: автономный сервер федерации или ферма серверов федерации. Значок ссылки Когда нужно создать сервер федерации

Значок для ссылки Когда следует создавать ферму серверов федерации
Определите, будет ли этот новый федеративный сервер создан в организации-партнере по учетным записям или в организации-партнере по ресурсам. Значок для обзора роли сервера федерации в партнере учетной записи, который можно использовать как ссылку на настройку сервера федерации. Просмотр роли сервера федерации в партнере учетной записи

Значок проверки роли сервера федерации в ссылке Просмотрите роль сервера федерации в партнере ресурсов
Изучите информацию о том, как серверы федерации используют сертификаты связи служб и сертификаты подписывания токенов для безопасной аутентификации запросов клиентов и прокси серверов федерации. Осторожность: Хотя уже давно распространена практика использования сертификатов с неквалифицированными именами узлов, такими как https://myserver, эти сертификаты не имеют значения безопасности и могут позволить злоумышленнику олицетворить службу федерации AD FS корпоративным клиентам. Поэтому рекомендуется использовать полное доменное имя (FQDN), например, https://myserver.contoso.com, и использовать только SSL-сертификаты, выданные на полное доменное имя вашей службы федерации. Значок для ссылки Требования к сертификатам для серверов федерации
Просмотрите информацию о том, как обновить настройки системы доменных имен (DNS) корпоративной сети для обеспечения успешного разрешения имен на серверах федерации. Иконка для ссылки Требования к разрешению имен для серверов федерации
Добавьте компьютер, который станет сервером федерации, к домену в лесу партнера по учетным записям или лесу партнера по ресурсам, где он будет использоваться для проверки подлинности пользователей этого леса или доверяющих лесов. Заметка: Если вы хотите настроить сервер федерации в партнерской организации учетной записи, компьютер должен быть присоединен к любому домену в лесу, где сервер федерации будет использоваться для проверки подлинности пользователей из этого леса или из доверенных лесов. Значок для присоединения компьютера к домену, который можно использовать в справочных материалах по настройке сервера федерации. Присоединение компьютера к домену
Создайте запись ресурсов в DNS корпоративной сети, указывающую dns-имя узла сервера федерации на IP-адрес сервера федерации. Значок добавления записи ресурсов узла (A) в корпоративный DNS для ссылки сервера федерации, который можно использовать в ссылке на настройку сервера федерации. Добавление записи ресурсов узла (A) в корпоративный DNS-сервер федерации
(Необязательно) Если вы добавите сервер федерации в ферму серверов федерации, вам может потребоваться сначала экспортировать закрытый ключ существующего сертификата для подписи токенов (на первом сервере федерации в ферме), чтобы иметь готовый формат файла сертификата, когда другие серверы федерации должны импортировать тот же сертификат.

Экспорт закрытого ключа не требуется, если выданный сертификат проверки подлинности сервера можно повторно использовать на нескольких компьютерах (без необходимости экспорта) или при получении уникальных сертификатов проверки подлинности сервера для каждого сервера федерации в ферме. Заметка: Оснастка управления AD FS ссылается на сертификаты проверки подлинности сервера для серверов федерации в качестве сертификатов связи службы.

 Значок экспорта части закрытого ключа ссылки на сертификат проверки подлинности сервера, который можно использовать в ссылке для настройки сервера федерации. Экспорт части закрытого ключа сертификата проверки подлинности сервера
После получения сертификата проверки подлинности сервера (или закрытого ключа) из центра сертификации (ЦС) необходимо импортировать файл сертификата на веб-сайт по умолчанию для каждого сервера федерации. Заметка: Установка этого сертификата на веб-сайте по умолчанию является обязательным требованием, прежде чем использовать мастер настройки сервера федерации AD FS. Значок для ссылки Импорт сертификата проверки подлинности сервера на веб-сайт по умолчанию
(Необязательно) В качестве альтернативы получению сертификата проверки подлинности сервера из ЦС можно использовать службы IIS для создания примера сертификата для сервера федерации. Осторожность: Не рекомендуется развертывать сервер федерации в рабочей среде с помощью самозаверяющего сертификата проверки подлинности сервера. Иконка для IIS: Создайте ссылку на сертификат сервера Self-Signed, которую можно использовать для настройки сервера федерации. IIS: Создайте Сертификат Сервера Self-Signed и завершите процедуру Импорт Сертификата Аутентификации Сервера на Веб-сайт по Умолчанию
Если вы будете настраивать среду фермы серверов федерации в организации-партнёре по учётным записям, необходимо создать и настроить выделенную учётную запись службы в доменных службах Active Directory (AD DS), где будет размещена ферма, а также настроить каждый сервер федерации в этой ферме на использование этой учётной записи. Выполнив эту процедуру, клиенты корпоративной сети смогут проходить проверку подлинности на любом из серверов федерации в ферме с помощью встроенной проверки подлинности Windows. Значок для ссылки Ручная настройка учетной записи службы для фермы серверов федерации
Установите ролевую службу службы федерации на компьютере, который станет сервером федерации. Значок кнопки Установить службу роли сервиса федерации
Настройте программное обеспечение AD FS на компьютере для работы с ролью сервера федерации с помощью мастера настройки сервера федерации AD FS.

Следуйте этой процедуре, если вы хотите настроить автономный сервер федерации, создайте первый сервер федерации в новой ферме или присоедините компьютер к существующей ферме серверов федерации. Заметка: Для проектирования федеративного веб-Sign-On (единого входа) необходимо иметь по крайней мере один сервер федерации в партнерской организации учетной записи и по крайней мере один сервер федерации в партнерской организации ресурсов.

 Значок ссылки Создание сервера федерации Stand-Alone

Значок для ссылки Создание первого сервера федерации в ферме серверов федерации

Значок для добавления сервера федерации в ссылку Добавление сервера федерации в ферму серверов федерации
(Необязательно) Используйте оснастку управления AD FS, чтобы добавить и настроить сертификаты AD FS, необходимые для внедрения проекта. Дополнительные сведения о добавлении или изменении сертификатов с помощью оснастки см. в разделе "Требования к сертификатам для серверов федерации". Значок для использования в ссылке Добавить сертификат Token-Signing

Значок ссылки Добавление сертификата Token-Decrypting

Значок ссылки Настройка сертификата связи службы
Если это первый сервер федерации в вашей организации, настройте службу федерации таким образом, чтобы она соответствовала дизайну AD FS. Значок контрольного списка: настройка ссылки Контрольный список. Настройка организации партнера по учетной записи

Значок контрольного списка: настройка организации партнера по ресурсам, который можно использовать для настройки сервера федерации. Контрольный список: Настройка организации партнера по ресурсам
На клиентском компьютере убедитесь, что сервер федерации работает. Настройка федеративного сервера убедитесь, что сервер федерации работает
  • Last updated on