微软官方教材-Active Directory Federation Services 部署循序渐进指南

Active Directory Federation Services 部署循序渐进指南

Microsoft Corporation
发布日期：2005 年 5 月 20 日
作者：Nick Pierson、Jack Couch
编辑：Jim Becker
版本：Beta 2
摘要
本指南提供了在运行 Microsoft® Windows Server™ 2003 R2 操作系统的服务器上部署 Active Directory Federation Services (ADFS) 的循序渐进操作说明。此版本的文档适用于 Windows Server 2003 R2 Beta 2，提供了在 Federated Web 单一登录 (SSO) 方案中部署 ADFS 的说明。该文档的未来版本将提供在其他方案中部署 ADFS 的说明。

本文档支持所述软件产品的预备版本。在最终商用版本发布之前，可能会有重大改动。本文档属于 Microsoft Corporation 私有的机密信息。若要公开文档，需依据文档接收人和 Microsoft 之间签订的保密协议。本文档仅供参考，Microsoft 对本文档中的信息不提供任何明示或暗示的保证。本文档中的信息（包括 URL 以及其它 Internet 网站的参考信息）可能随时更改，恕不另行通知。使用本文档的全部风险以及因此造成的全部后果将由用户承担。除非另外注明，否则此处作为例子提到的公司、组织、产品、域名、电子邮件地址、徽标、人员、地点和事件纯属虚构，不得与任何真实的公司、组织、产品、域名、电子邮件地址、徽标、人员、地点和事件相联系或随意推测。用户有责任遵守所有适用的版权法。在版权法所赋予权利的前提下，未经 Microsoft Corporation 明确的书面许可，任何人不得将本文复制、存储或引入可检索系统，或是以任何形式或通过任何方式（电子、机械、影印、录制或其他方式）传播本文的任何部分。
本文主题可能涉及 Microsoft 的专利、专利申请、商标、版权或其它知识产权。除非获得 Microsoft Corporation 明确的书面许可，否则提供本文档并不代表许可您使用这些专利、商标、版权或其它知识产权。
© 2005 Microsoft Corporation。保留所有权利。
Active Directory、Microsoft、MS-DOS、SharePoint、Windows、Windows NT 和 Windows Server 是 Microsoft Corporation 在美国和或其他国家（地区）的注册商标或商标。
本文中提及的实际公司和产品的名称可能是其各自所有者的商标。

目录

Active Directory Federation Services 部署循序渐进指南............................... 7
部署 ADFS 概述............................................................ 7
帐户和资源合作伙伴.......................................................... 8
帐户合作伙伴............................................................... 8
资源合作伙伴............................................................... 8
联合信任.................................................................. 9
服务器角色................................................................ 10
ADFS 方案................................................................ 12
Federated Web SSO........................................................ 12
具有林信任的 Federated Web SSO............................................. 13
Web SSO................................................................. 14
在 Federated Web SSO 方案中部署 ADFS....................................... 15
步骤1：为支持 ADFS 联合进行网络准备....................................... 16
Active Directory 或 ADAM..................................................... 16
Active Directory............................................................. 16
ADAM.................................................................... 19
DNS..................................................................... 20
配置 DNS 转发器.......................................................... 20
证书服务................................................................. 21
步骤2：安装用于联合服务器角色的计算机....................................... 22
安装必备的应用程序......................................................... 22
安装 ASP.NET 和 IIS 应用程序................................................ 23
安装 Microsoft .Net Framework 2.0 Beta 2 应用程序................................ 23
申请、下载和安装证书....................................................... 24
申请和安装 SSL 证书....................................................... 24
申请和安装令牌签名证书..................................................... 27
安装 CRL................................................................ 28
安装 ADFS 的 Federation Service 组件......................................... 29
配置信任策略.............................................................. 31
配置 Windows 安全日志，支持 ADFS 事件审核................................... 32
步骤3：配置资源合作伙伴组织中的 Federation Service............................ 32
在 Federation Service 中添加 Web 应用程序..................................... 33
在 Federation Service 中添加支持声明的应用程序.................................. 33
在 Federation Service 中添加传统 Windows 应用程序.............................. 34
在 Federation Service 中添加帐户合作伙伴....................................... 35
获得帐户合作伙伴的令牌签名证书............................................... 35
在 Federation Service 中添加帐户合作伙伴....................................... 36
添加其他帐户合作伙伴签名证书................................................ 37
创建和配置声明和传入声明转换................................................ 38
创建组声明................................................................ 38
创建自定义声明............................................................ 39
创建一个传入的组声明转换.................................................... 39
创建一个传入的自定义声明转换................................................ 40
步骤4：配置帐户合作伙伴组织中的 Federation Service............................ 41
在 Federation Service 中添加帐户存储.......................................... 41
添加 Active Directory 帐户存储................................................. 42
添加 ADAM 帐户存储........................................................ 42
将 Active Directory 安全组映射到组声明.......................................... 43
在 Federation Service 中添加资源合作伙伴....................................... 44
创建和配置声明和传出声明转换................................................ 45
创建组声明................................................................ 46
创建自定义声明............................................................ 46
创建一个传出的组声明转换.................................................... 47
创建一个传出的自定义声明转换................................................ 47
步骤5：为跨联合使用基于 Web 的应用程序配置 Web 服务器....................... 48
安装必备的应用程序......................................................... 49
安装 Microsoft .Net Framework 2.0 Beta 2........................................ 49
安装 IIS.................................................................. 50
申请和安装 SSL 证书....................................................... 50
创建 SSL 证书申请......................................................... 50
将 SSL 证书申请提交给 CA.................................................. 51
下载 SSL 证书............................................................ 52
安装 SSL 证书............................................................ 52
配置 Windows 安全日志，支持 ADFS 事件审核................................... 53
为支持声明的应用程序配置 Web 服务器......................................... 53
安装 ADFS Web Service Agent................................................. 54
配置 IIS.................................................................. 55
修改支持声明的应用程序的 Web.config 文件以支持 ADFS........................... 55
为传统 Windows 应用程序配置 Web 服务器..................................... 57
安装 ADFS Web Service Agent................................................. 58
配置 IIS 和 ADFS Web Service Agent........................................... 59
安装和配置 Windows SharePoint Services....................................... 60
步骤6：配置客户端计算机跨联合访问 Web 应用程序.............................. 62
在客户端计算机上安装 SSL 证书............................................... 63
配置客户端计算机的 Internet Explorer 设置....................................... 63
检验帐户合作伙伴或资源合作伙伴 Federation Service 是否工作正常.................... 63
ADFS 资源................................................................ 64
ADFS 资源................................................................ 64
白皮书................................................................... 64
网站..................................................................... 65