Sicherheitsmodell für Windows Server AppFabric
Sie müssen Ihre von Windows Server AppFabric verwalteten .NET Framework-Anwendungen schützen, indem Sie den Benutzern den Zugriff nur auf Dienste und Daten gewähren, für die sie autorisiert sind. Hierzu müssen Sie die Benutzer identifizieren, müssen prüfen, ob ihre Identitätsangaben zutreffen, und ermitteln, ob sie über die Berechtigung zur Anzeige der angeforderten Informationen oder zur Durchführung der angeforderten Aufgabe verfügen. Der Nachrichtenaustausch zwischen Client und Server muss über einen sicheren Kanal erfolgen, um eine private Informationsübertragung zu gewährleisten. Die Microsoft-Technologien zur Unterstützung von AppFabric stellen integrierte Dienste bereit, mit denen Unternehmen in die Lage versetzt werden, auf sichere Weise die Verbindung zu Ihren Anwendungen herzustellen und diese zu nutzen. Hiermit erübrigt es sich für AppFabric-Administratoren, mehrere Sätze mit Benutzerdatenbanken zu pflegen, und sämtliche Dienste für Hunderte von Intranetservern können auf einfache Weise mithilfe eines einzigen Tools mit grafischer Benutzeroberfläche verwaltet werden. Dank der Integration der Microsoft-Sicherheitstechnologien und -Produkte zur Unterstützung von AppFabric sind Sie in der Lage, den Benutzern den Zugriff auf alle Ressourcen zu gewähren, die für die Ausführung ihrer Anwendungen erforderlich sind.
Schlüsselkomponenten der AppFabric-Sicherheit
Das primäre Ziel des AppFabric-Sicherheitsmodells besteht darin, einen einfachen und dennoch effektiven Mechanismus für einen Großteil der AppFabric-Benutzer bereitzustellen. Dank der Integration in vorhandene Windows-, .NET Framework-, IIS- und SQL Server-Sicherheitsmodelle können die Benutzer die vorhandenen Kenntnisse und Fähigkeiten im Sicherheitsbereich bei der Verwendung des AppFabric-Sicherheitsmodells umfassend nutzen. Die Windows-, .NET Framework-, IIS- und SQL Server-Sicherheitskonzepte werden insbesondere verwendet, um unterschiedliche Sicherheitsstufen für die vom AppFabric-Sicherheitsmodell verwalteten WCF- und WF-Anwendungen durchzusetzen. Da das bewährte integrierte Microsoft-Sicherheitskonzept von AppFabric nur geringfügig erweitert wird, finden Administratoren, die mit den Microsoft-Sicherheitskonzepten vertraut sind, auch problemlos den Einstieg in dieses Sicherheitsmodell. Hieraus ergeben sich für AppFabric-Kunden langfristig geringere Gesamtbetriebskosten. Wenn Sie mit diesen Produkten und Technologien bereits vertraut sind, können Sie einfach für die Sicherheit Ihrer Anwendung sorgen, indem Sie die Richtlinien im Abschnitt Sicherheit und Schutz befolgen.
AppFabric nutzt die vorhandenen Sicherheitskonzepte wie folgt:
Windows-Sicherheit. AppFabric nutzt Windows-Gruppen und Dateisystemsicherheit. Die bewährte Sicherheitsarchitektur von Windows wird konsistent für alle Komponenten einer Anwendung genutzt, wobei für den gesteuerten Zugriff auf AppFabric-Ressourcen eine Authentifizierung gefordert wird. Weitere Informationen finden Sie unter Windows-Sicherheit.
.NET Framework-Sicherheit. AppFabric nutzt die Windows Communication Foundation-Sicherheit für die Dienste WCF und WF. WCF ist eine auf SOAP-Nachrichten basierende Plattform für verteilte Programmierung, und das Sichern von Nachrichten zwischen Clients und Diensten ist für den Schutz von Daten grundlegend. WCF stellt eine vielseitige und interoperable Plattform für den Austausch sicherer Nachrichten, basierend auf der vorhandenen Sicherheitsinfrastruktur und den erkannten Sicherheitsstandards für SOAP-Nachrichten, zur Verfügung. WCF verwendet Konzepte, die Ihnen bereits bekannt sind, wenn Sie sichere, mit vorhandenen Technologien, wie etwa HTTPS, integrierte Windows-Sicherheit oder Benutzernamen und Kennwörtern für die Authentifizierung von Benutzern verteilte Anwendungen erstellt haben. Weitere Informationen finden Sie unter IIS- und .NET Framework-Sicherheit.
IIS-Sicherheit. AppFabric nutzt eine Teilmenge der IIS-Sicherheitsfeatures, da die Dienste in Windows-Prozessaktivierungsdienst (WAS) gehostet werden und die Verwaltungstools in IIS-Manager angezeigt werden. IIS ist eng in das Windows-Betriebssystem integriert, um das größtmögliche Sicherheitsniveau für Anwendungen und Daten bereitzustellen. IIS integriert sich in das Sicherheitsmodell und die Betriebssystemdienste von Windows NT, wie etwa das Dateisystem und Verzeichnis. AppFabric nutzt das Konzept der Anwendungspoolidentität, wenn AppFabric-Workflowdienste zur Laufzeit auf die Persistenzdatenbank zugreifen müssen. ISS verwendet die gleichen Windows NT Server-ACLs (Access Control Lists, Zugriffssteuerungslisten) wie alle anderen Windows-Dienste. Da ISS auch die Windows NT Server-Benutzerdatenbank verwendet, müssen AppFabric-Administratoren nicht auf jedem Webserver separate Benutzerkonten erstellen, und Intranetbenutzer müssen sich nur einmal im Netzwerk anmelden. Weitere Informationen finden Sie unter IIS- und .NET Framework-Sicherheit.
SQL Server-Sicherheit. AppFabric erstellt SQL Server-Datenbankrollen zur Steuerung des Zugriffs auf seine Persistenz- und Überwachungsdatenbanken. AppFabric verwendet die integrierte Windows-Authentifizierung für den Zugriff auf seine SQL Server-Datenbanken. Die integrierte Sicherheit verwendet die aktuelle Windows-Identität, die für den aufrufenden Thread eingerichtet wurde, für den Zugriff auf die SQL Server-Datenbanken. Anschließend können Sie die Windows-Identität den SQL Server-Datenbanken und -Berechtigungen von AppFabric zuordnen. Weitere Informationen finden Sie unter SQL Server-Sicherheit.
Konzeptionelle AppFabric-Sicherheitsrollen
Zum Verständnis des AppFabric-Sicherheitsmodells ist es hilfreich, die Attribute der drei AppFabric-Sicherheitsrollen zu verstehen. Diese Rollen sind rein konzeptionell, und Sie finden an keiner Stelle im Sicherheitsmodell Entitäten mit diesen Namen. Die konzeptionellen Rollen manifestieren sich jedoch in entsprechend zugeordneten physischen Windows-Sicherheitsgruppen und SQL Server-Datenbankrollen. In Ihrer Sicherheitslösung weisen Sie diesen Rollen wie folgt Benutzer und Berechtigungen zu:
Anwendungsserverbeobachter. Mit dieser Administratorrolle erhalten Sie einen vollständigen Einblick in Anwendungspersistenz- und -überwachungsdaten. Anwendungsserverbeobachter können:
Anwendungen und Dienste aufzählen
Die Anwendungs- und Dienstkonfiguration anzeigen
Überwachungsdaten anzeigen
Persistente Instanzen überprüfen
Anwendungsserveradministratoren. Mit dieser Administratorrolle erhalten Sie Vollzugriff auf die Anwendungskonfiguration, -überwachung und -persistenz. Anwendungsserveradministratoren können zusätzlich zu den folgenden Aufgaben alle Aufgaben ausführen, die auch die Gruppe Anwendungsserverbeobachter ausführen kann:
Persistente Instanzen anhalten, fortsetzen, beenden, abbrechen und löschen
Ereignisquellen und Ereignisauflistungen erstellen und entfernen
Überwachungsdaten anzeigen, bereinigen und archivieren
Anwendungsserverbenutzer. Diese Laufzeitrolle wird von IIS zur Laufzeit verwendet, um die Identitäten aller Anwendungspools, die als Anwendungshosts dienen, zuzuordnen. Hiermit erhalten die in den Anwendungen enthaltenen Dienste gemeinsamen Zugriff auf Persistenzdatenbanken und Systemdienste.
Alles, was Sie als AppFabric-Benutzer wissen müssen, ist, dass dies die drei konzeptionellen AppFabric-Rollen sind, die Sie beim Entwurf Ihrer Sicherheitslösung verwenden. Sie weisen wie in dieser Dokumentation beschrieben die geeigneten Benutzer und Berechtigungen den entsprechenden Windows NT-Gruppen und -Konten, IIS-Anwendungspools und SQL Server-Anmeldungen und -Datenbankrollen zu. Weitere Informationen und wichtige Sicherheitsrichtlinien zur Nutzung von AppFabric-Rollen, zu den diesen Rollen zugeordneten Sicherheitsberechtigungen und zum Zuweisen dieser Rollen und Berechtigungen zu Windows-Sicherheitsgruppen und SQL Server-Datenbankrollen finden unter Windows-Sicherheit, IIS- und .NET Framework-Sicherheit und SQL Server-Sicherheit.
Gültigkeitsbereich der AppFabric-Sicherheit
AppFabric verwendet Windows-Sicherheitskonten und SQL Server-Anmeldungen und -Datenbankrollen, um die Zugriffsmöglichkeiten eines Benutzers oder einer Anwendung auf Systemressourcen wie Persistenzdatenbanken, Zeitgeber, Überwachungsdaten und Konfigurationsdateien festzulegen. Der Zugriff auf diese Ressourcen findet sowohl auf Anwendungs- als auch auf Verwaltungsebenen statt; hierbei handelt es sich um die zwei Bereiche des logischen Gültigkeitsbereichs, die zum AppFabric-Sicherheitsmodell in Beziehung stehen. Der Gültigkeitsbereich „Anwendungen“ umfasst den Prozess des Ausführens von AppFabric-Diensten, die als IIS-Anwendungen gehostet werden. Der Gültigkeitsbereich „Verwaltung“ bezieht sich auf die Verwaltung von AppFabric aus dem Blickwinkel des Administrators. Für ein besseres Verständnis der drei AppFabric-Sicherheitsrollen wollen wir deren Verwendung im Kontext der Gültigkeitsbereiche „Anwendung“ und „Verwaltung“ untersuchen.
Gültigkeitsbereich „Anwendung“
Der Gültigkeitsbereich „Anwendung“ definiert die eigentliche Ausführung von .NET Framework-Diensten, die in AppFabric konfiguriert und im WAS-Prozessraum unter IIS ausgeführt werden. Hierbei geht es nicht um Administration oder Tools; diese fallen in den Gültigkeitsbereich „Verwaltung“. Die Konzepte des Gültigkeitsbereichs „Anwendung“ beziehen sich auf die konzeptionelle AppFabric-Sicherheitsrolle Anwendungsserverbenutzer. Diese Rolle ist der Windows-Gruppe IIS_IUSRS zugeordnet, einer Windows-Sicherheitsgruppe, die für das IIS-Dienstkonto verwendet wird. Weitere Informationen finden Sie unter Windows-Sicherheit, IIS- und .NET Framework-Sicherheit und SQL Server-Sicherheit.
Jede Anwendung wird innerhalb eines Anwendungspools ausgeführt. Bei diesem Pool kann es sich um den standardmäßigen Anwendungspool handeln, oder Sie können einen eigenen Anwendungspool erstellen und konfigurieren. (Die Erstellung und Konfiguration eines Anwendungspools ist eine administrative Funktion, die im folgenden Abschnitt „Gültigkeitsbereich ‚Verwaltung‘“ näher erörtert wird.) Sie verwenden einen Anwendungspool, um Anwendungen und Dienste im gleichen Arbeitsprozessraum zu gruppieren, um so Konfigurationseinstellungen und andere Betriebssystementitäten gemeinsam nutzen zu können. Da jeder Arbeitsprozess als separate Instanz der ausführbaren Arbeitsprozessdatei, W3WP.EXE, ausgeführt wird, wird der Arbeitsprozess, der einen Anwendungspool bedient, von dem Arbeitsprozess getrennt, der einen anderen Anwendungspool bedient. Dies ermöglicht die Anwendungsisolierung, wenn Sie eine Anwendung in einem eigenen Anwendungspool hosten. Mit der Anwendungsisolierung wird sichergestellt, dass der Ausfall einer Webanwendung keine Auswirkungen auf Anwendungen hat, die in anderen Anwendungspools ausgeführt werden.
Ein weiterer Vorteil der Anwendungsisolierung ist die angepasste Sicherheitsisolierung. Damit wird sichergestellt, dass der konfigurierte Sicherheitsprinzipal des Arbeitsprozesses, der als Host für den Anwendungspool dient (der den AppFabric-.NET Framework-Dienst enthält), beim Zugriff auf Downstreamressourcen wie SQL Server verwendet wird. Die standardmäßige Anwendungspoolidentität ist das Konto Network_Service. Sie können eine eigene Windows-Kontoidentität zuweisen, wenn Ihr Anwendungspool in IIS konfiguriert wird. Zur Laufzeit leitet WAS alle aus der Anwendungspool-Warteschlange eingehenden Meldungen an den geeigneten W3WP.EXE-Arbeitsprozess weiter, indem die in der IIS-Metabasis angegebenen Webanwendungsbindungen verwendet werden. Auf diese Weise ermöglicht AppFabric die Aktivierung unter Verwendung von Nicht-HTTP-Protokollen für WCF-Endpunkte und -Dienste. IIS übernimmt dynamisch alle Windows-Konten seiner Anwendungspools und fügt diese der lokalen Windows-Sicherheitsgruppe BUILTIN\IIS_IUSRS hinzu. Dies bedeutet, dass IIS die Identität Ihres Anwendungspools automatisch der Windows-Gruppe IIS_IUsers hinzufügt, wenn Sie einen eigenen Anwendungspool für Ihre Anwendung erstellen.
Die Verwendung mehrerer Anwendungspools mit unterschiedlichen Sicherheitsidentitäten ermöglicht die Anwendungsisolierung im Hinblick auf den Zugriff auf die AppFabric-Persistenz- und -Überwachungsdatenbanken zur Laufzeit. Standardmäßig werden diese Datenbanken vollständig für alle authentifizierten AppFabric-Identitäten freigegeben, die von den gehosteten Anwendungspools verwendet werden. Wenn Sie mithilfe von Isolierung eine höhere Sicherheitsstufe erzielen möchten, können Sie bestimmten Identitäten, die von bestimmten IIS-Anwendungspools verwendet werden, die Berechtigungen für bestimmte Datenbankressourcen noch detaillierter zuweisen. Sie können die Sicherheit zur Laufzeit auch steuern, indem Sie eigene Datenbanken für bestimmte Anwendungen erstellen und sicherstellen, dass die Verbindung zu diesen benutzerdefinierten Datenbanken für die angegebenen Identitäten hergestellt werden. Auf Einzelanwendungsbasis können Sie eine Anwendung auch von der Überwachungsdatenbank isolieren und nur den Zugriff auf die Persistenzdatenbank gestatten.
Der Gültigkeitsbereich „Anwendung“ bezieht sich auch auf Systemdienste, die von AppFabric installiert und verwendet werden:
Ereignisauflistungsdienst. Listet von AppFabric und gehosteten Anwendungen ausgegebene Ereignisse auf.
Workflowverwaltungsdienst. Verarbeitet Workflowsteuerungsbefehle, aktiviert Workflowinstanzen mit ablaufenden Zeitgebern und startet verworfene Workflowdienste erneut.
Beide Dienste werden unter dem Konto NTAuthority\LocalService ausgeführt. Das Konto LocalService verfügt über die Berechtigung zum Ausgeben von Nachverfolgungsereignissen sowie zum Ändern von persistenten Instanzen (beenden, anhalten und fortsetzen).
Mehr Sicherheitssteuerelemente sorgen normalerweise für eine geringere Leistung. Die Anwendungsisolierung erweitert zwar die Sicherheitsfunktionen, sorgt aufgrund des Vorhandenseins von mehreren Prozessen aber auch für eine höhere Auslastung von Arbeitsspeicher- und Prozessressourcen. Für einen sparsameren Umgang mit Ressourcen können Sie Anwendungen ggf. unter Verwendung des .NET Framework-appDomain-Modells anstelle von separaten Prozessen isolieren. Zwei oder mehr Anwendungen können mit demselben Prozess in unterschiedlichen appDomains sicher koexistieren und respektieren den von der jeweils anderen Anwendung verwendeten virtuellen Arbeitsspeicher und die Datenwerte.
Gültigkeitsbereich „Verwaltung“
Der Gültigkeitsbereich „Verwaltung“ definiert die Administration und die Tools in Verbindung mit der administrativen Verwaltung von Anwendungen. Hierbei geht es nicht um die eigentliche Ausführung von .NET Framework-Diensten, die in AppFabric konfiguriert wurden; dies fällt in den Gültigkeitsbereich „Anwendung“. Die Konzepte des Gültigkeitsbereichs „Verwaltung“ beziehen sich auf die konzeptionellen AppFabric-Sicherheitsrollen Anwendungsserveradministrator und Anwendungsserverbeobachter.
Der Gültigkeitsbereich „Verwaltung“ bezieht sich auf die Verwaltung von AppFabric und der Unterstützungstechnologien aus dem Blickwinkel der Administration und der Systemdienste. Sie können Verwaltungsvorgänge ausführen, bevor eine Anwendung ausgeführt wird, also beispielsweise eine .NET Framework-Anwendung in AppFabric bereitstellen und konfigurieren. Sie können Verwaltungsvorgänge auch während der Ausführung durchführen, wenn ein Workflowstatus persistent wurde und der nächste Schritt über die AppFabric-Benutzeroberfläche erfolgen muss. So muss ein angehaltener Workflow möglicherweise fortgesetzt werden. Die Sicherheitsberechtigung für die Verwaltung der Konfiguration und die Ausführung von .NET Framework-Diensten, die in AppFabric konfiguriert wurden, basiert auf der Mitgliedschaft in bestimmten Windows-Sicherheitsgruppen. Der Gültigkeitsbereich „Verwaltung“ bezieht sich auch auf Ereignisauflistungsdienst und Workflowverwaltungsdienst, in diesem Fall jedoch aus dem Blickwinkel der Verwaltung und Steuerung und nicht aus dem Blickwinkel der Anwendung.
Die konzeptionellen Sicherheitsrollen Anwendungsserveradministrator und Anwendungsserverbeobachter sind den lokalen Windows NT-Sicherheitsgruppen AS_Administratoren und AS_Beobachter zugeordnet. Die Gruppe AS_Administratoren enthält die Dienst-ID (Service ID, SID) von Workflowverwaltungsdienst und Ereignisauflistungsdienst. Nachdem die Dienste beim Dienststeuerungs-Manager registriert wurden, bleiben deren SIDs konstant. Dies bedeutet, dass Ereignisauflistungsdienst und Workflowverwaltungsdienst Mitglieder von AS_Administratoren sind, ungeachtet der Identität, unter der sie ausgeführt werden. Bei dieser Identität handelt es sich in der Regel um NTAuthority\LocalService. Auf diese Weise wird mit der Verwendung der SIDs anstelle der Dienstidentitäten sichergestellt, dass kein anderer Prozess oder Dienst, der unter der Identität NTAuthority\LocalService ausgeführt wird, Mitglied von AS_Administratoren sein kann. Weitere Informationen zu den konzeptionellen AppFabric-Sicherheitsrollen und ihrer Verwendung finden Sie unter Windows-Sicherheit, IIS- und .NET Framework-Sicherheit und SQL Server-Sicherheit.
AppFabric sichert den Gültigkeitsbereich „Verwaltung“ zum Zeitpunkt der Installation. Wenn die Windows PowerShell-Cmdlets zum Einrichtungszeitpunkt die Überwachungs- und Persistenzdatenbanken erstellen, werden die geeigneten SQL Server-Datenbankrollen basierend auf den entsprechenden konzeptionellen AppFabric-Sicherheitsrollen erstellt. So sind beispielsweise alle in SQL Server für AS_Beobachter erstellte Rollen Leserrollen (Rolle MonitoringDbReader für die Überwachung und System.Activities.DurableInstancing.InstanceStoreObservers für die Persistenz). Die für das Anmeldekonto AS_Administratoren definierten SQL Server-Datenbankrollen enthalten alle Datenbankrollen, die mit dem Anmeldekonto AS_Beobachter verknüpft sind, sowie weitere Rollen zum Erstellen und Ändern von Datenbankentitäten vom administrativen Standpunkt aus.
Standardmäßig werden beim AppFabric-Setup einige der AppFabric-Cmdlets ausgeführt. AppFabric erstellt alle notwendigen lokalen Windows-Sicherheitsgruppen und -Konten für eine Einzelserverinstallation von AppFabric. Wenn Sie AppFabric auf mehr als einem Server verwenden, müssen Sie die Windows-Domänengruppen manuell erstellen und den geeigneten Windows-Sicherheitsgruppen für diesen Server zuweisen, um die AppFabric-Installation remote verwalten zu können. Als Administrator sollten Sie Domänengruppen als physische Manifestationen der konzeptionellen Sicherheitsrollen Anwendungsserveradministrator und Anwendungsserverbeobachter (d. h. DOMÄNE\MeineAppFabricAdmins und DOMÄNE\MeineAppFabricBeobachter) erstellen. Sie können diese Domänenkonten auf allen AppFabric-Computern in der Domäne den Gruppen LOCAL\AS_Administratoren und LOCAL\AS_Beobachter zuweisen.
Sicherheitsmodell für benutzerdefinierte Windows PowerShell-Skripts und AppFabric-Cmdlets
AppFabric stellt für benutzerdefinierte Windows PowerShell-Skripts oder für die vielen Windows PowerShell-Cmdlets, die in AppFabric enthalten sind, kein neues Sicherheitsmodell bereit. Wie bei anderen Aspekten seines Sicherheitsmodells nutzt AppFabric die vorhandenen Sicherheitsmodelle seiner Unterstützungstechnologie. In diesem Fall verwendet AppFabric das Windows PowerShell-Sicherheitsmodell, um die Sicherheit von benutzerdefinierten Skripts und vorgefertigten AppFabric-Cmdlets durchzusetzen.
Wenn unter AppFabric ein Windows PowerShell-Skript ausgeführt wird, wird die Identität von dessen Hostprozess verwendet. Dies bedeutet, dass der Sicherheitsprinzipal des Benutzers, der das Cmdlet ausführt, in Form der Prozess-ID übergeben wird. Es besteht keine Möglichkeit, Identitätswechsel zum Ausführen des Cmdlets unter einem anderen Sicherheitskontext als dem des Benutzers, der den Hostingprozess ausführt, zu verwenden.
Sie können Windows PowerShell-Befehle zwar standardmäßig interaktiv ausführen, die Ausführung von Windows PowerShell-Skripts ist jedoch anfangs aus Sicherheitsgründen deaktiviert. Sie müssen diese Option über die Windows PowerShell-Gruppenrichtlinie für die Skriptausführung aktivieren, damit Ihre Skripts ausgeführt werden können.
Die Windows PowerShell-Skripts im Lieferumfang von AppFabric sind digital mit einem Zertifikat signiert, das von einer Zertifizierungsstelle (Certification Authority, CA) erworben wurde. Das Signieren einer Entität mit einem digitalen Zertifikat von einer CA schützt die Integrität des Pakets. Über die Verwendung von Algorithmen für unidirektionales Hashing und Verschlüsselung mit öffentlichem Schlüssel stellt das Signaturverfahren sicher, dass alle Änderungen, die nach der Signierung durch den Autor an einem Paket vorgenommen wurden, erkannt werden und die Ausführung des Skripts anschließend verhindert wird. Sie können auch digitale Signaturen verwenden, um zu prüfen, ob die signierte Entität tatsächlich von der Partei erstellt wurde, die dies für sich in Anspruch nimmt. Eine einfache und kostengünstigere Alternative zur Verwendung einer CA ist die Verwendung einer lokalen CA und von Microsoft Certificate Server zum Generieren eines selbst signierten Zertifikats. Dieses Zertifikat können Sie mit der Verschlüsselung mit einem privaten Schlüssel noch besser schützen.
.gif "security") Sicherheit Hinweis |
|---|
| Die Verwendung einer lokalen CA zum Signieren eines Windows PowerShell-Skriptpakets ist im Hinblick auf die Vertrauensrichtlinie minimal. Lokal signierte Pakete werden zwar auf dem lokalen System als vertrauenswürdig erachtet, dies gilt aber nicht, wenn sie auf externen Systemen ausgeführt werden. |
Verbundidentitätsverwaltung und Einmaliges Anmelden (Single Sign-On, SSO)
Verbundsysteme für die Authentifizierung werden auch als Systeme mit einmaliger Webanmeldung bezeichnet. Verbundsysteme arbeiten über organisatorische Grenzen hinweg und verbinden Prozesse, bei denen unterschiedliche Technologien, Identitätsspeicher, Sicherheitsmethoden und Programmiermodelle verwendet werden. Mit ADFS (Active Directory Federation Services, Active Directory-Verbunddienste) können die Mitarbeiter des einen Unternehmens die vorhandenen Active Directory-Konten für die Zugriff auf Server verwenden, die von einem anderen Unternehmen gehostet werden. Mit ADFS wird zudem eine Vertrauensstellung zwischen den beiden Unternehmen hergestellt und das nahtlose Einmalige Anmelden für die Endbenutzer ermöglicht. Hiermit sind Organisationen in der Lage, die Identitätsinformationen eines Benutzers auf sichere Weise gemeinsam zu nutzen.
Eine von AppFabric verwaltete, auf HTTP basierende Anwendung ist in vieler Hinsicht einfach eine IIS-Anwendung. Wenn Sie Verbundidentitätsverwaltung und Web-SSO-Authentifizierung in Ihre Anwendung integrieren müssen, können Sie ADFS ebenso verwenden, wie Sie den Dienst für eine IIS-Anwendung verwenden würden. ADFS weist das Anmeldekonto, mit dem auf die Anwendung zugegriffen wird, einem Domänenkonto zu und führt dann die Authentifizierung unter Verwendung dieses Domänenkontos in IIS durch.
Da .NET Framework 4 WCF und das zugehörige Sicherheitsmodell für die Kommunikation zwischen den verwalteten Diensten und deren Clients verwendet, wird das traditionelle IIS-Model, das nur HTTP-basierte Anwendungen unterstützt, über HTTP hinaus erweitert. Wenn Sie HTTP ohne Transportauthentifizierung oder in Verbindung mit einer nicht HTTP-basierten Anwendung einsetzen, verwenden Sie die programmgesteuerte Schnittstelle Ihres Diensts zum Implementieren der Identitätsanspruchsverarbeitung. Eine Ansprüche unterstützende Anwendung verwendet Ansprüche, die sich in einem ADFS-Sicherheitstoken befinden, um Autorisierungsentscheidungen zu treffen und eine zusätzliche Anwendungspersonalisierung bereitzustellen. Wie bei ADFS sollten Sie wissen, wie die Identitätsanspruchsverarbeitung in Verbindung mit einer IIS-Anwendung funktioniert, um die Anspruchsverarbeitung ordnungsgemäß in Ihre Anwendung integrieren zu können.
Inhalt dieses Abschnitts
Siehe auch
Weitere Ressourcen
2011-12-05