მთავარი დასკვნა
შეაფასეთ, სჭირდება თუ არა თითო აპლიკაციას კვლავ AD FS. შენარჩუნებისას ინფრასტრუქტურა დაიცავით; მიგრაციისთვის აპლიკაციები აღრიცხეთ, გამოსცადეთ და უკან დაბრუნების ნაბიჯები მოამზადეთ.
რას აკეთებს AD FS
Active Directory Federation Services (AD FS) Microsoft-ის ფედერირებული ავთენტიფიკაციის სერვისია. იგი ორგანიზაციის Active Directory Domain Services კატალოგსა და ცალკე აპლიკაციას ან პარტნიორს შორის ნდობას ადგენს. მომხმარებელი ორგანიზაციის ვინაობის პროვაიდერთან ავთენტიფიცირდება, აპლიკაცია კი წვდომის გადაწყვეტილებისთვის ტოკენს იღებს, თითო აპლიკაციისთვის ცალკე პაროლის თავიდან აცილებით. ამით ადგილობრივი სისტემები, პარტნიორის პორტალები და თავსებადი ღრუბლოვანი აპლიკაციები ერთ შესვლის მოდელს შეიძლება დაუკავშირდეს.
ატრიბუტების მტკიცებებისა და ტოკენის ნაკადი
AD FS ტოკენს გასცემს, აპლიკაცია კი ავტორიზაციის საკუთარ გადაწყვეტილებას იღებს. მომხმარებლის პაროლი მიმნდობ მხარეს არ ეგზავნება.
აპლიკაცია შესვლას მიმართავს
მიმნდობი მხარის აპლიკაცია მომხმარებლის შესვლის მოთხოვნას AD FS‑ზე მიმართავს.
ატრიბუტების მტკიცებების პროვაიდერი ავთენტიფიცირებს
გამართული ატრიბუტების მტკიცებების პროვაიდერი მომხმარებელს ავთენტიფიცირებს და მტკიცებებს აწვდის; ნაგულისხმევი AD DS პროვაიდერი დომენის ანგარიშის ატრიბუტებსა და ავთენტიფიკაციის შედეგებს იღებს.
მტკიცებების წესები თანმიმდევრობით სრულდება
მიღება-გარდაქმნის წესები მტკიცებებს იღებს; გაცემის ავტორიზაციის წესები ადგენს ამ მიმნდობი მხარისთვის ტოკენის გაცემის ნებადართულობას; გაცემის გარდაქმნის წესები გამავალ მტკიცებებს აყალიბებს. AD FS ტოკენს ხელს აწერს.
აპლიკაცია ტოკენსა და წვდომას ამოწმებს
მიმნდობი მხარე სანდო გასაღებით ხელმოწერას, გამცემს, აუდიტორიასა და ვადას ამოწმებს, შემდეგ საკუთარი ავტორიზაციის პოლიტიკას აღასრულებს.
მტკიცებები, სერტიფიკატები და აპლიკაციის კონფიგურაცია
მტკიცებების წესებს აპლიკაციისთვის მომხმარებლის სახელის, ჯგუფის ან სხვა დამტკიცებული ატრიბუტების მიწოდება შეუძლია. მხოლოდ გადაწყვეტილებისთვის საჭირო ატრიბუტები გაათავისუფლეთ, წესის ცვლილებები განიხილეთ და მტკიცებების სახელები და ფორმატები აპლიკაციის მოლოდინებთან გამოსცადეთ. ტოკენის ხელმოწერის სერტიფიკატი გამავალ ტოკენს აწერს ხელს; ტოკენის გაშიფვრის სერტიფიკატი შემომავალ დაშიფრულ ტოკენს გაშიფრავს. აკონტროლეთ ვადა და განახლება და შეცვლა შესაბამის ფედერაციის პარტნიორებთან შეათანხმეთ. TLS/სერვისული კომუნიკაციის სერტიფიკატები ცალკე მართეთ. SAML, WS-Federation და OpenID Connect მხარდაჭერა AD FS ვერსიასა და აპლიკაციის ინტეგრაციაზეა დამოკიდებული.
როდის შეინარჩუნოთ AD FS ან განიხილოთ სხვა ვარიანტი
AD FS შეიძლება ჯერ კიდევ საჭირო იყოს ადგილობრივი ვინაობის კონტროლის, ძველი აპლიკაციის ან კონკრეტული ფედერაციის მოთხოვნისთვის. მაშინ ორგანიზაცია სერვერებს, პროქსის შრეს, მაღალ ხელმისაწვდომობას, სერტიფიკატებს, ქსელურ საზღვრებსა და განახლებებს მართავს. Microsoft Entra ID‑ის მსგავსი ღრუბლოვანი ვინაობის სერვისი ზოგ ფედერაციის სცენარში სერვერულ სამუშაოს ამცირებს, მაგრამ აპლიკაციის თავსებადობა, ჰიბრიდული დამოკიდებულებები, კავშირი, ლიცენზირება და აღდგენა მაინც განსახილველია. AD FS‑ის მიგრაცია თუ შენარჩუნება თითო აპლიკაციისა და რისკისთვის გადაწყვიტეთ.
დაგეგმეთ უსაფრთხო მიგრაცია
Microsoft-ის აპლიკაციის მიგრაციის მითითებებით აღრიცხეთ AD FS მიმნდობი მხარეები, ბოლო შესვლები, პროტოკოლები, მტკიცებები, უზრუნველყოფა და ბიზნესმფლობელები. აპლიკაციები თავსებადობითა და გავლენით დააჯგუფეთ და თითოეული სატესტო ორგანიზაციულ გარემოში გამართეთ. შეამოწმეთ შესვლა და გამოსვლა, MFA/Conditional Access, მომხმარებლის უზრუნველყოფა, სერტიფიკატები, მობილური და დისტანციური წვდომა და სერვისული ნაკადები. საწყისი კონფიგურაცია აღრიცხეთ, მომხმარებლებთან პილოტი ჩაატარეთ, საკითხებს მფლობელები დაუნიშნეთ და საწარმოო გარემოზე მხოლოდ გამოცდილი უკან დაბრუნების გზის მომზადების შემდეგ გადადით.