Cos'è ADFS e come funziona? #

Active Directory Federation Services , o comunemente noto come ADFS , è una soluzione di Microsoft che fornisce Single Sign-On e autenticazione basata sul Web per sistemi e applicazioni tra organizzazioni con domini unici o multipli.

ADFS utilizza il modello di autorizzazione del controllo di accesso basato sulle attestazioni per garantire la sicurezza a livello di applicazione e l'identità di federazione, implementata tra due organizzazioni stabilendo un trust tra due zone di sicurezza o ambiti.

Sono necessari due server di federazione: uno per la contabilizzazione e l'autenticazione degli utenti (principalmente tramite Active Directory Domain Services) per identificarli e un altro per l'autorizzazione delle risorse e la convalida dell'accesso degli utenti . Questa architettura consente a un utente appartenente a un ambito di sicurezza o a un realm diverso di controllare direttamente il proprio accesso senza condividere database o password.

ADFS è progettato per comunicare su HTTPS al fine di convalidare l'utente con un determinato nome utente e password, quindi, se questo è valido, il servizio restituisce un token univoco che può essere utilizzato da applicazioni di terze parti.

Quando un determinato utente tenta di accedere a un'applicazione in un sito, reindirizza la petizione di accesso dall'utente al proxy ADFS del sito principale in una forma di nome utente e password e quindi restituisce un token che verrà utilizzato dall'applicazione per controllare l'utente accede.

Il problema di quell'ambiente è l'unico punto di errore e la mancanza di scalabilità una volta che l'organizzazione cresce.

Ambiente scalabile ADFS #

Al fine di fornire alta disponibilità, bilanciamento del carico e ripristino di emergenza automatico dei servizi ADFS, stiamo proponendo un ambiente come mostrato di seguito.

Questo approccio sta implementando il bilanciamento del carico e l'alta disponibilità per i servizi in-site, ma può essere costruito come un'architettura tra siti che fornisce anche il disaster recovery automatico per i servizi ADFS geo-localizzati.

Configurazione del bilanciamento del carico di ADFS #

La creazione di un semplice servizio virtuale di bilanciamento del carico con LSLB | L4xNAT farm consentirà di bilanciare il carico delle richieste HTTPS come connessioni TCP raw.

Nella scheda Servizi , selezionare l'algoritmo di dispatching scelto e configurare i proxy ADFS nella sezione backend.

Infine, configura i controlli di integrità avanzati per ADFSv2:

./check_http --sni -H fs.miodominio.com -IHOST -u /adfs/ls/idpinitiatedsignon.aspx -e 200 -S -s html 

per ADFSv3:

./check_http --sni -H fs.miodominio.com -IHOST -u /adfs/ls/idpinitiatedsignon.htm -e 200 -S -s html 

Nota: nei comandi di salute, modificare il dominio ADFS.

ADFS in alta disponibilità e configurazione di disaster recovery automatizzata #

As RELIANOID La soluzione di clustering replica tutte le connessioni e le sessioni in tempo reale, costruendo un cluster in cui i client possono passare in modo trasparente da un nodo all'altro senza interruzioni. Il servizio cluster fornisce elevata disponibilità a livello di distribuzione dell'applicazione ma anche funzionalità di ripristino di emergenza automatico che possono essere configurate facilmente tramite la sezione Sistema | Grappolo.

Sicurezza avanzata di ADFS #

RELIANOID Il sistema di prevenzione e rilevamento delle intrusioni aggiunge un ulteriore livello di sicurezza ai servizi ADFS, in modo da poter garantire che le richieste di connessione dai nostri siti siano attendibili.

Inoltre, SSLoffload per ADFS sarà presto disponibile in modo da poter fornire il livello di sicurezza completo RELIANOID caricando il certificato SSL in a LSLB | HTTP farm con listener HTTPS.