Tìm kiếm trang web

Triển khai từng bước Dịch vụ Liên kết Active Directory phần II

Trong blog trước (Từng bước triển khai Dịch vụ Liên kết Active Directory) tôi đã hướng dẫn bạn cách cài đặt và định cấu hình Dịch vụ Liên kết Active Directory (ADFS) trong mạng nội bộ và DMZ của bạn, có khả năng xử lý yêu cầu xác thực Office 365. Trong blog này, tôi sẽ chỉ cho bạn cách định cấu hình Office 365 và cách kiểm tra nó.

Tên miền liên kết

Trong miền được quản lý thông thường, tài khoản người dùng và mật khẩu băm được đồng bộ hóa với Azure Active Directory. Office 365 sử dụng Bộ điều khiển miền trong Azure AD để xác thực người dùng và cấp cho họ quyền truy cập vào tài nguyên trên đám mây.

Trong miền liên kết, người dùng truy cập Office 365 nhưng quyền truy cập bị từ chối và yêu cầu được chuyển hướng đến Azure Active Directory. Ở đó, vùng chủ (miền của người dùng) được phát hiện và yêu cầu được chuyển hướng đến máy chủ ADFS dựa trên vùng chủ. Nếu tài khoản người dùng của tôi là j.wesselius@exchangelabs.nl thì khu vực nhà của tôi là Exchangelabs.nl và yêu cầu được chuyển hướng đến máy chủ liên kết đã được tạo trước đó và được dùng để đặt cấu hình miền trong Azure Active Directory.

Tôi đã thực hiện một phiên về vấn đề này tại IT Dev Connections vào năm 2017 (ở San Francisco), sau đây là một trang trình bày hoạt hình có thể tải xuống để hiển thị quy trình giữa máy khách, Office 365, Azure AD và ADFS và Bộ điều khiển miền tại chỗ :

Để tính năng này hoạt động, miền trong Azure Active Directory cần được chuyển đổi thành miền liên kết để Azure AD biết mọi yêu cầu xác thực cần được chuyển hướng đến môi trường ADFS tại chỗ.

Khi thêm miền vào Azure Active Directory, miền đó sẽ tự động được tạo dưới dạng miền được quản lý. Như đã nói trước đó, quá trình xác thực diễn ra dựa trên Bộ điều khiển miền trong Azure AD. Bạn có thể kiểm tra miền bằng lệnh Get-MsolDomain -DomainName Exchangelabs.nl PowerShell như trong ảnh chụp màn hình sau:

Để chuyển đổi miền này thành miền liên kết, hãy khởi động lệnh PowerShell (với các đặc quyền nâng cao) và nhập các lệnh sau:

[PS] C:\> Connect-MsolService

[PS] C:\> Set-MsolADFSContext -Máy tính ams-adfs01.labs.local

[PS] C:\> Convert-MsolDomainToFederated -DomainName Exchangelabs.nl

Lưu ý. Sử dụng FQDN của máy chủ ADFS đầu tiên cục bộ với lệnh Set-MsolADFSContext, không phải URL liên kết

Điều này sẽ kết nối cơ sở hạ tầng tại chỗ hiện có với Azure AD và chuyển đổi miền thành miền liên kết. Bây giờ, khi kiểm tra miền trong Azure AD bằng lệnh tương tự như trước đây, bạn sẽ thấy miền này là miền được liên kết:

Trong Bảng điều khiển quản lý ADFS, bạn sẽ có một Trusting Party Trust (RPT) mới để sử dụng với Office 365:

Để tìm hiểu thêm chi tiết về cài đặt liên kết trong Azure AD, bạn có thể sử dụng lệnh Get-MsolDomainFederationSettings để hiển thị thêm thông tin:

Hiển thị rõ ràng là Đăng nhập, Nhà phát hành và LogOffUri, chỉ ra việc triển khai ADFS tại chỗ của chúng tôi. Bạn thậm chí có thể truy xuất nhiều thông tin hơn bằng cách sử dụng lệnh Get-MsolFederationProperty như trong ảnh chụp màn hình sau:

Để kiểm tra cấu hình mới, hãy điều hướng đến Cổng thông tin trực tuyến của Microsoft và đăng nhập bằng tài khoản có miền mà chúng tôi vừa định cấu hình, tức là j.wesselius@exchangelabs.nl:

Khi chọn tài khoản này, Azure AD sẽ xác định vùng chính (exchangelabs.nl) và chuyển hướng đến URL tại chỗ như được tìm thấy trong cài đặt liên kết trong Azure AD. Bạn sẽ thấy điều này xảy ra nhanh chóng trong trình duyệt của mình:

Và vài giây sau, chúng tôi được chuyển hướng đến môi trường ADFS tại chỗ của mình:

Hiển thị rõ ràng là Tên hiển thị Dịch vụ Liên kết đã được định cấu hình với máy chủ ADFS đầu tiên trong bài đăng blog trước đó.

Nhập mật khẩu của bạn và thật ngạc nhiên, MFA vẫn hoạt động tốt (đó là một bất ngờ thú vị đối với tôi ?):

Một thử nghiệm thú vị khác là sử dụng Trình phân tích kết nối từ xa ( (https://aka.ms/exrca) có thử nghiệm Đăng nhập một lần. Điều hướng đến Trình phân tích kết nối từ xa, nhấp vào tab Office 365 và chọn Đăng nhập một lần Office 365- Đang kiểm tra nút radio.

Nhập tên người dùng và mật khẩu, thực hiện kiểm tra mã xác minh và chờ kết quả. Bạn sẽ thấy một cái gì đó tương tự như ảnh chụp màn hình sau:

Nỗ lực đăng nhập đã thành công nhưng thú vị hơn là bạn có thể mở rộng tất cả các bước kiểm tra để xem những gì đang diễn ra bên dưới và cố gắng hiểu cách thức hoạt động của ADFS.

Bản tóm tắt

Trong hai bài đăng blog trước, tôi đã trình bày cách cài đặt và đặt cấu hình ADFS trong cơ sở hạ tầng tại chỗ của bạn. Tôi chỉ cài đặt một máy chủ ADFS và một proxy WAP, cách xa môi trường khả dụng cao. Tại sao có sẵn cao? Nếu không có máy chủ ADFS, bạn sẽ không thể đăng nhập vào bất kỳ dịch vụ Office 365 nào nữa, do đó, cơ sở hạ tầng sẵn sàng cao là yêu cầu bắt buộc đối với bất kỳ hoạt động triển khai ADFS nào.

Tuy nhiên, khách hàng đang chuyển sang đám mây để ngừng hoạt động các giải pháp tại chỗ của họ và với ADFS, chúng tôi đang xây dựng một giải pháp tại chỗ để xác thực các giải pháp đám mây. Nhưng vì lý do tuân thủ, có thể cần phải xác thực với các bộ điều khiển miền cục bộ (chẳng hạn như không có mật khẩu trên đám mây). Mặt khác, bạn cũng có thể sử dụng Xác thực chuyển tiếp (PTA, xem bài đăng trên blog của tôi Xác thực chuyển tiếp Azure AD Connect) cho việc này. PTA chưa cung cấp nhiều khả năng như ADFS nhưng nó đang được cải thiện.

ADFS có phải là bằng chứng trong tương lai không? Một số người cho rằng không phải vậy, nhưng miễn là tôi tìm thấy các bài viết như Có gì mới trong Dịch vụ liên kết Active Directory dành cho Windows Server 2019 trên trang web của Microsoft thì tôi không thấy có quá nhiều vấn đề với điều đó.

Thêm thông tin

  • Bản đồ nội dung ADFS (Wiki) - https://social.technet.microsoft.com/wiki/contents/articles/2735.ad-fs-content-map.aspx#Office_365
  • Triển khai Kế hoạch thiết kế AD FS của bạn - https://docs.microsoft.com/en-us/windows-server/identity/ad-fs/deployment/implementing-your-ad-fs-design-plan
  • Hướng dẫn triển khai AD FS 2016 - https://docs.microsoft.com/en-us/windows-server/identity/ad-fs/deployment/ad-fs-deployment-guide
  • Hướng dẫn triển khai Windows Server 2012 R2 AD FS - https://docs.microsoft.com/en-us/windows-server/identity/ad-fs/deployment/windows-server-2012-r2-ad-fs-deployment-guide
  • Bảo mật tài nguyên đám mây bằng Xác thực đa yếu tố Azure và AD FS - https://docs.microsoft.com/en-us/Azure/active-directory/authentication/howto-mfa-adfs
  • Khi nào nên sử dụng Quy tắc yêu cầu ủy quyền - https://docs.microsoft.com/en-us/windows-server/identity/ad-fs/technology-reference/when-to-use-an-authorization-claim-rule
  • Đăng nhập OWA và ECP bằng AD FS thông qua WAP - https://vandijk.cloud/owa-and-ecp-login-with-ad-fs-through-the-wap/
  • Tùy chỉnh đăng nhập người dùng AD FS - https://docs.microsoft.com/nl-nl/windows-server/identity/ad-fs/Operations/ad-fs-user-sign-in-customization
  • Tùy chỉnh nâng cao ADFS cho việc sử dụng đám mây (Phần 2/4) - https://blogs.technet.microsoft.com/pauljones/2015/05/26/advanced-customization-of-adfs-for-cloud-usage-part- 2 trên 4/
  • Tùy chỉnh nâng cao ADFS cho việc sử dụng đám mây (Phần 3/4) - https://blogs.technet.microsoft.com/pauljones/2015/05/26/advanced-customization-of-adfs-for-cloud-usage-part- 3 trên 4/
  • Tùy chỉnh nâng cao ADFS cho việc sử dụng đám mây (Phần 4/4) - https://blogs.technet.microsoft.com/pauljones/2015/05/26/advanced-customization-of-adfs-for-cloud-usage-part- 4 trên 4/

Bài viết liên quan