การใช้ Active Directory Federation Services ทีละขั้นตอนส่วนที่ II

ในบล็อกที่แล้ว (การใช้ Active Directory Federation Services ทีละขั้นตอน) ฉันได้แสดงให้คุณเห็นวิธีการติดตั้งและกำหนดค่า Active Directory Federation Services (ADFS) ในเครือข่ายภายในของคุณและ DMZ ซึ่งสามารถจัดการคำขอการรับรองความถูกต้องของ Office 365 ได้ ในบล็อกนี้ ฉันจะแสดงวิธีกำหนดค่า Office 365 และวิธีทดสอบ

โดเมนแบบรวมศูนย์

ในโดเมนที่ได้รับการจัดการโดยทั่วไป บัญชีผู้ใช้และรหัสผ่านจะถูกซิงโครไนซ์กับ Azure Active Directory Office 365 ใช้ตัวควบคุมโดเมนใน Azure AD เพื่อตรวจสอบสิทธิ์ผู้ใช้และให้สิทธิ์การเข้าถึงทรัพยากรในระบบคลาวด์

ในโดเมนที่ติดต่อกับภายนอก ผู้ใช้เข้าถึง Office 365 แต่การเข้าถึงถูกปฏิเสธ และคำขอถูกเปลี่ยนเส้นทางไปยัง Azure Active Directory ที่นั่น โฮมเรียลม (โดเมนของผู้ใช้) ถูกค้นพบ และคำขอถูกเปลี่ยนเส้นทางไปยังเซิร์ฟเวอร์ ADFS ตามโฮมเรียลม หากบัญชีผู้ใช้ของฉันคือ j.wesselius@exchangelabs.nl ขอบเขตที่บ้านของฉันคือ exchangelabs.nl และคำขอถูกเปลี่ยนเส้นทางไปยังเซิร์ฟเวอร์รวมที่สร้างขึ้นก่อนหน้านี้ และที่ใช้ในการกำหนดค่าโดเมนใน Azure Active Directory

ฉันทำเซสชั่นเกี่ยวกับเรื่องนี้ที่ IT Dev Connections ในปี 2560 (ในซานฟรานซิสโก) ต่อไปนี้เป็นสไลด์ภาพเคลื่อนไหวหนึ่งสไลด์ที่สามารถดาวน์โหลดได้ซึ่งแสดงโฟลว์ระหว่างไคลเอนต์, Office 365, Azure AD และ ADFS และตัวควบคุมโดเมนในสถานที่ : :

เพื่อให้ทำงานได้ โดเมนใน Azure Active Directory จะต้องถูกแปลงเป็นโดเมนแบบรวมศูนย์ เพื่อให้ Azure AD รู้ว่าคำขอการรับรองความถูกต้องใดๆ จำเป็นต้องเปลี่ยนเส้นทางไปยังสภาพแวดล้อม ADFS ในสถานที่

เมื่อเพิ่มโดเมนลงใน Azure Active Directory โดเมนจะถูกสร้างขึ้นเป็นโดเมนที่ได้รับการจัดการโดยอัตโนมัติ ตามที่กล่าวไว้ก่อนหน้านี้ การรับรองความถูกต้องเกิดขึ้นกับตัวควบคุมโดเมนใน Azure AD คุณสามารถตรวจสอบโดเมนได้โดยใช้คำสั่ง Get-MsolDomain -DomainName exchangelabs.nl PowerShell ดังที่แสดงในภาพหน้าจอต่อไปนี้:

หากต้องการแปลงเป็นโดเมนแบบรวมศูนย์ ให้เริ่มคำสั่ง PowerShell (ที่มีสิทธิ์ยกระดับ) และป้อนคำสั่งต่อไปนี้:

[PS] C:\> เชื่อมต่อ-MsolService

[PS] C:\> ชุด-MsolADFSContext - คอมพิวเตอร์ ams-adfs01.labs.local

[PS] C:\> แปลง-MsolDomainToFederated -DomainName Exchangelabs.nl

หมายเหตุ ใช้ FQDN ของเซิร์ฟเวอร์ ADFS แรกภายในเครื่องด้วยคำสั่ง Set-MsolADFSContext ไม่ใช่ URL การรวม

ซึ่งจะเชื่อมต่อโครงสร้างพื้นฐานภายในองค์กรที่มีอยู่กับ Azure AD และแปลงโดเมนเป็นโดเมนแบบรวมศูนย์ ตอนนี้ เมื่อตรวจสอบโดเมนใน Azure AD โดยใช้คำสั่งเดียวกับเมื่อก่อน คุณจะเห็นว่าตอนนี้เป็นโดเมนแบบรวมศูนย์:

ใน ADFS Management Console คุณจะได้ Relying Party Trust (RPT) ใหม่เพื่อใช้กับ Office 365:

หากต้องการดูรายละเอียดเพิ่มเติมใน Azure AD เกี่ยวกับการตั้งค่าสหพันธรัฐ คุณสามารถใช้คำสั่ง Get-MsolDomainFederationSettings ซึ่งแสดงข้อมูลเพิ่มเติม:

ที่มองเห็นได้ชัดเจนคือ Logon, Issuer และ LogOffUri ซึ่งชี้ไปที่การใช้งาน ADFS ในองค์กรของเรา ข้อมูลเพิ่มเติมสามารถเรียกค้นได้โดยใช้คำสั่ง Get-MsolFederationProperty ดังที่แสดงในภาพหน้าจอต่อไปนี้:

หากต้องการทดสอบการกำหนดค่าใหม่ ให้ไปที่ Microsoft Online Portal และเข้าสู่ระบบโดยใช้บัญชีที่มีโดเมนที่เราเพิ่งกำหนดค่า เช่น j.wesselius@exchangelabs.nl:

เมื่อเลือกบัญชีนี้ Azure AD จะกำหนดขอบเขตของบ้าน (exchangelabs.nl) และเปลี่ยนเส้นทางไปยัง URL ภายในองค์กรตามที่พบในการตั้งค่าการรวมศูนย์ใน Azure AD คุณจะเห็นสิ่งนี้เกิดขึ้นได้ทันทีในเบราว์เซอร์ของคุณ:

และไม่กี่วินาทีต่อมา เราก็ถูกเปลี่ยนเส้นทางไปยังสภาพแวดล้อม ADFS ภายในองค์กรของเรา:

ที่มองเห็นได้ชัดเจนคือ ชื่อที่แสดงของ Federation Service ซึ่งได้รับการกำหนดค่าด้วยเซิร์ฟเวอร์ ADFS ตัวแรกในบล็อกโพสต์ก่อนหน้า

ป้อนรหัสผ่านของคุณ และน่าแปลกใจที่ MFA ยังคงใช้งานได้เช่นกัน (ซึ่งเป็นเรื่องที่น่าประหลาดใจสำหรับฉัน ?):

การทดสอบที่น่าสนใจอีกอย่างหนึ่งคือการใช้ Remote Connectivity Analzyer ( (https://aka.ms/exrca) ซึ่งมีการทดสอบ Single Sign-On ไปที่ Remote Connectivity Analyzer คลิกแท็บ Office 365 และเลือก Office 365 Single Sign- ปุ่มตัวเลือกการทดสอบ

กรอกชื่อผู้ใช้และรหัสผ่าน ทำการทดสอบรหัสยืนยันและรอผล คุณจะเห็นสิ่งที่คล้ายกับภาพหน้าจอต่อไปนี้:

การพยายามเข้าสู่ระบบสำเร็จ แต่ที่น่าสนใจกว่านั้นคือคุณสามารถขยายขั้นตอนการทดสอบทั้งหมดเพื่อดูว่าเกิดอะไรขึ้นภายใต้ประทุน และพยายามทำความเข้าใจว่า ADFS ทำงานอย่างไร

สรุป

ในสองบล็อกโพสต์ก่อนหน้านี้ ฉันได้สาธิตวิธีการติดตั้งและกำหนดค่า ADFS ในโครงสร้างพื้นฐานภายในองค์กรของคุณ ฉันติดตั้งเซิร์ฟเวอร์ ADFS เพียงเซิร์ฟเวอร์เดียวและพร็อกซี WAP หนึ่งตัว ซึ่งอยู่ห่างไกลจากสภาพแวดล้อมที่พร้อมใช้งานสูง ทำไมมีสูง? หากไม่มีเซิร์ฟเวอร์ ADFS คุณจะไม่สามารถเข้าสู่ระบบบริการ Office 365 ใดๆ ได้อีกต่อไป ดังนั้น โครงสร้างพื้นฐานที่พร้อมใช้งานสูงจึงเป็นข้อกำหนดสำหรับการใช้งาน ADFS ใดๆ

แต่ลูกค้ากำลังเปลี่ยนไปใช้ระบบคลาวด์เพื่อเลิกใช้งานโซลูชันภายในองค์กร และด้วย ADFS เรากำลังสร้างโซลูชันภายในองค์กรสำหรับการรับรองความถูกต้องของโซลูชันระบบคลาวด์ แต่ด้วยเหตุผลด้านการปฏิบัติตามข้อกำหนด อาจจำเป็นต้องตรวจสอบสิทธิ์กับตัวควบคุมโดเมนในเครื่อง (เช่น ไม่มีรหัสผ่านในระบบคลาวด์) ในทางกลับกัน คุณสามารถใช้ Pass Through Authentication (PTA โปรดดูบล็อกโพสต์ของฉัน Azure AD Connect Pass-through Authentication) สำหรับสิ่งนี้เช่นกัน PTA ยังไม่มีความเป็นไปได้มากเท่ากับ ADFS แต่กำลังปรับปรุงอยู่

ADFS เป็นข้อพิสูจน์ในอนาคตหรือไม่? บางคนบอกว่าไม่ใช่ แต่ตราบใดที่ฉันพบบทความอย่างเช่น มีอะไรใหม่ใน Active Directory Federation Services สำหรับ Windows Server 2019 บนเว็บไซต์ Microsoft ฉันก็ไม่เห็นปัญหามากมายนัก

ข้อมูลมากกว่านี้

• แผนผังเนื้อหา ADFS (Wiki) - https://social.technet.microsoft.com/wiki/contents/articles/2735.ad-fs-content-map.aspx#Office_365
• การใช้แผนการออกแบบ AD FS ของคุณ - https://docs.microsoft.com/en-us/windows-server/identity/ad-fs/deployment/implementing-your-ad-fs-design-plan
• คู่มือการปรับใช้ AD FS 2016 - https://docs.microsoft.com/en-us/windows-server/identity/ad-fs/deployment/ad-fs-deployment-guide
• คู่มือการปรับใช้ Windows Server 2012 R2 AD FS - https://docs.microsoft.com/en-us/windows-server/identity/ad-fs/deployment/windows-server-2012-r2-ad-fs-deployment-guide
• การรักษาความปลอดภัยทรัพยากรระบบคลาวด์ด้วย Azure Multi-Factor Authentication และ AD FS - https://docs.microsoft.com/en-us/Azure/active-directory/authentication/howto-mfa-adfs
• เมื่อใดจึงควรใช้กฎการเรียกร้องสิทธิ์ - https://docs.microsoft.com/en-us/windows-server/identity/ad-fs/technical-reference/when-to-use-an-authorization-claim-rule
• เข้าสู่ระบบ OWA และ ECP ด้วย AD FS ผ่าน WAP - https://vandijk.cloud/owa-and-ecp-login-with-ad-fs-through-the-wap/
• การปรับแต่งการลงชื่อเข้าใช้ของผู้ใช้ AD FS - https://docs.microsoft.com/nl-nl/windows-server/identity/ad-fs/operations/ad-fs-user-sign-in-customization
• การปรับแต่งขั้นสูงของ ADFS สำหรับการใช้งานระบบคลาวด์ (ตอนที่ 2 จาก 4) - https://blogs.technet.microsoft.com/pauljones/2015/05/26/advanced-customization-of-adfs-for-cloud-usage-part- 2 จาก 4/
• การปรับแต่งขั้นสูงของ ADFS สำหรับการใช้งานระบบคลาวด์ (ตอนที่ 3 จาก 4) - https://blogs.technet.microsoft.com/pauljones/2015/05/26/advanced-customization-of-adfs-for-cloud-usage-part- 3-จาก-4/
• การปรับแต่งขั้นสูงของ ADFS สำหรับการใช้งานระบบคลาวด์ (ตอนที่ 4 จาก 4) - https://blogs.technet.microsoft.com/pauljones/2015/05/26/advanced-customization-of-adfs-for-cloud-usage-part- 4-จาก-4/