ما هو ADFS وكيف يعمل؟ #

خدمات Active Directory Federation Services ، أو المعروفة باسم ADFS ، هي حل من Microsoft لتوفير تسجيل دخول موحد ومصادقة عبر الويب للأنظمة والتطبيقات بين المؤسسات ذات المجالات الفريدة أو المتعددة.

يستخدم ADFS نموذج ترخيص التحكم في الوصول القائم على المطالبات من أجل ضمان أمان مستوى التطبيق وهوية الاتحاد، والتي يتم تنفيذها بين مؤسستين من خلال إنشاء ثقة بين منطقتين أو نطاقات أمان.

يتطلب الأمر خادمين للاتحاد، أحدهما لحساب المستخدمين والتحقق من هويتهم (باستخدام خدمات مجال Active Directory بشكل أساسي) لتحديد هويتهم، والآخر لتفويض الموارد والتحقق من وصول المستخدمين . يتيح هذا التصميم للمستخدم المنتمي إلى نطاق أمان أو مجال آخر التحكم في وصوله مباشرةً دون مشاركة قواعد البيانات أو كلمات المرور بينهما.

تم تصميم ADFS للتواصل عبر HTTPS من أجل التحقق من صحة المستخدم باستخدام اسم مستخدم وكلمة مرور محددين، فإذا كان هذا صحيحًا، تقوم الخدمة بإرجاع رمز مميز فريد يمكن استخدامه بواسطة تطبيقات الجهات الخارجية.

عندما يحاول مستخدم معين الوصول إلى تطبيق في موقع واحد، فإنه يعيد توجيه طلب تسجيل الدخول من المستخدم إلى وكيل ADFS للموقع الرئيسي في شكل اسم مستخدم وكلمة مرور ثم يقوم بإرجاع الرمز المميز الذي سيستخدمه التطبيق للتحكم يصل المستخدم.

مشكلة تلك البيئة هي نقطة الفشل الوحيدة ونقص قابلية التوسع بمجرد نمو المنظمة.

بيئة ADFS قابلة للتطوير #

من أجل توفير مستوى عالٍ من التوفر وموازنة التحميل والاسترداد التلقائي بعد الكوارث لخدمات ADFS، فإننا نقترح بيئة كما هو موضح أدناه.

يقوم هذا الأسلوب بتنفيذ موازنة التحميل والتوفر العالي للخدمات داخل الموقع، ولكن يمكن إنشاؤه كبنية بين المواقع والتي توفر أيضًا التعافي التلقائي من الكوارث لخدمات ADFS ذات الموقع الجغرافي.

تكوين موازنة تحميل ADFS #

إنشاء خدمة افتراضية بسيطة لموازنة الأحمال باستخدام LSLB | L4xNAT farm سيسمح بموازنة أحمال طلبات HTTPS كاتصالات TCP خام.

في علامة التبويب "الخدمات" ، حدد خوارزمية الموزع المختارة وقم بتكوين وكلاء ADFS في قسم الخلفيات.

وأخيرًا، قم بتكوين فحوصات السلامة المتقدمة لـ ADFSv2:

./check_http --sni -H fs.mydomain.com -IHOST -u /adfs/ls/idpinitiatedsignon.aspx -e 200 -S -s html 

بالنسبة لـ ADFSv3:

./check_http --sni -H fs.mydomain.com -IHOST -u /adfs/ls/idpinitiatedsignon.htm -e 200 -S -s html 

ملاحظة: في أوامر التحقق من السلامة، قم بتغيير مجال ADFS الخاص بك.

ADFS متوفر بدرجة عالية من التوفر والتكوين التلقائي للتعافي من الكوارث #

As RELIANOID يقوم حل التجميع بتكرار جميع الاتصالات والجلسات في الوقت الفعلي، وبناء مجموعة يمكن للعملاء التبديل بشفافية من عقدة إلى أخرى دون انقطاع. توفر خدمة المجموعة توفرًا عاليًا في طبقة تسليم التطبيق، ولكنها أيضًا توفر إمكانات التعافي التلقائي من الكوارث التي يمكن تهيئتها بسهولة من خلال القسم النظام | تَجَمَّع.

ADFS تعزيز الأمن #

RELIANOID يضيف نظام منع وكشف التطفل طبقة أمان إضافية إلى خدمات ADFS، حتى نتمكن من ضمان موثوقية طلبات الاتصال الواردة من مواقعنا.

بالإضافة إلى ذلك، سيكون SSLoffload لـ ADFS متاحًا قريبًا حتى يمكن توفير طبقة الأمان الكاملة من خلاله RELIANOID عن طريق تحميل شهادة SSL في ملف إل إس إل بي | HTTP مزرعة مع مستمع HTTPS.