Présentation
Les Services de Fédération Active Directory (AD FS) permettent aux utilisateurs d’un annuaire Active Directory de bénéficier de services d’authentification unique (SSO) et d’une identité fédérée pour des applications externes grâce à un échange de revendications (claims).
L’authentification fondée sur les revendications permet à un utilisateur d’obtenir un jeton sécurisé auprès de son serveur d’identité. Le jeton peut ensuite être présenté à un partenaire de confiance, afin d’ouvrir une session applicative.
Vous trouverez également la présentation et les bénéfices du service ADFS directement sur ce lien : https://technet.microsoft.com/fr-fr/library/cc755226.aspx
Prérequis
ADFS 3.0 est la version des services de fédération disponible sur le système d’exploitation Microsoft Windows Server 2012 R2.
Cette version améliore les fonctions proposées par ADFS 2.0, et offre notamment les avantages suivants :
Support de protocoles de fédérations étendus (SAML, WS-Trust, Oauth, etc.)
- Nouvelles commandes PowerShell pour la gestion et l’exploitation de ADFS
- Support de l’authentification Multi Facteurs
- Support des périphériques mobiles grâce au Workplace Join
- Introduction du Web Application Proxy (WAP) permettant la publication simple d’application, ainsi que l’authentification intégrée ADFS aux applications publiées.
- Intégration d’ADFS 3.0 en tant que rôle
Prérequis Matériels
Le déploiement des services de fédération Active Directory (AD FS) version 3.0 nécessite un ensemble de serveurs. L'utilisation de VMs est totalement supportée.
- Quad-core, 2 GHz
- 4 GB of RAM
- 100 GB of Disk Space
Prérequis Logiciels
AD FS 3.0 nécessite Microsoft Windows Server 2012 R2 pour les serveurs de fédération et les serveurs proxy.
Tous les contrôleurs de domaine de l’organisation doivent exécuter Microsoft Windows Server 2008 ou supérieur. Le niveau fonctionnel des domaines concernés doit être 2003 ou supérieur. Les autres prérequis logiciels seront déployés lors de l’installation du rôle AD FS.
AD FS supporte les comptes de services classiques, ainsi que les «group managed service account ». Le compte de service utilisé doit être trusté dans chaque domaine concerné. Les MSA (Managed service account) sont disponibles dans une infrastructure exécutant au moins un contrôleur de domaine Windows Server 2012.
Le serveur ADFS doit être joint au domaine.
Certificats
Un certificat SSL sera utilisé lors des communications entre les serveurs AD FS, les clients et les serveurs proxy.
Ce certificat sera déployé sur chaque serveur de fédération appartenant à la ferme.
Les utilisateurs doivent faire confiance à ce certificat. Il doit émaner d’une autorité publique de certification, ou de la PKI interne de l’organisation cible.
Ce certificat doit répondre aux critères suivants :
- Le SN et le SAN de ce certificat doivent faire référence à votre service de fédération. Par exemple : adfs.consulting.com
- Le SAN doit de plus posséder la valeur enterpriseregistration suivie du suffixe UPN de l’organisation cible. Par exemple : adfs.main.consulting.com
- Ce certificat peut être de type « wildcard ». Par exemple : *.main.consulting.com
Un certificat x.509 sera utilisé par les serveurs de fédération pour signer les jetons délivrés aux utilisateurs. AD FS peut automatiquement générer ce certificat. Ce certificat peut émaner d’une autorité de certification de confiance.
Applicatifs
Les protocoles suivants pourront être utilisés par les applications désirant s’interfacer avec les services de fédération.
- WS-Federation
- WS-Trust
- SAML 2.0 utilisant IDPLite, SPLite ou eGov1.5.
- OAuth 2.0
Installation
Installation du rôle ADFS Server sur srv-adfs1
Lancez l’assistant d’ajout de rôles et de fonctionnalités, Sélectionnez Active Directory Federation Services
Installez
...
Nous allons maintenant lancer le wizard de configuration du service ADFS
Dans notre cas, il s'agit du premier serveur ADFS, si toutefois vous souhaitez installer plusieurs serveurs, il faudra cochez la deuxième case afin de rajouter l'installation en cours sur une ferme existante
Entrez un compte possédant les privilèges Administrateur du Domaine (Nécessaire pour l’inscription du SPN des services de Fédération)
Sélectionnez le certificat que présentera les services de fédération lors de la connexion par le protocole https. Entrer le nom du service de fédération à créer
L’assistant crée un enregistrement SPN de type HOST, qui peut également être créé manuellement avec la commande suivante :
setspn -s HOST/adfs.main.consulting.com main\svc_adfs
Petite parenthèse pendant mon wizard le temps de créer un certificat émanant de ma PKI interne (AD CS)..
Un fois mon certificat SSL disponible, on reprend sur le wizard... Il faut maintenant définir le compte de service
Vous avez deux possibilités d'un point de vue stockage de données, soit vous utilisez WIDS (Windows Internal Database - pratique pour des tests), soit vous avez créé une instance SQL dédiée (ce que je préconise ++ pour de la production)
Next...
Configure
Installation en cours...
Installation terminée
Pour finir, il faut configurer la partie DNS afin de pouvoir accéder au service de fédération
Test de l'authentification SSO par le biais de ADFS :
https://adfs.main.consulting.com/adfs/ls/idpinitiatedsignon - https://<nom_du_service_adfs>/adfs/ls/idpinitiatedsignon
A ce stade là, votre service ADFS est fonctionnel.
Bonne installation =)
Next step : installer le proxy ADFS : http://www.it-channels.com/microsoft/ad-fs/192-installer-le-proxy-adfs-3-0
Joris