On m'a dit que notre application PHP pourrait avoir besoin de prendre en charge l'authentification à l'aide de ADFS.
**
-
Pour une personne non-Microsoft, qu'est-ce que ADFS ?
-
En quoi diffère-t-il des choses comme LDAP ?
-
Comment cela fonctionne-t-il ? Quel type d'informations seraient incluses dans une requête typique à un serveur ADFS ? Est-ce conçu pour à la fois l'authentification et l'autorisation ?
-
Les serveurs ADFS sont-ils généralement accessibles depuis Internet (alors que les contrôleurs de domaine AD d'entreprise ne le seraient pas) ?
**
J'ai essayé de lire quelques documents Technet, mais c'est plein de jargon Microsoft qui n'est pas très utile.
Wikipedia est meilleur (voir ci-dessous), mais peut-être que certains membres de la communauté ServerFault pourraient combler certaines lacunes.
Active Directory Federation Services (ADFS) est un composant logiciel développé par Microsoft qui peut être installé sur les systèmes d'exploitation Windows Server pour offrir aux utilisateurs un accès à une seule connexion aux systèmes et aux applications situés au-delà des frontières organisationnelles. Il utilise un modèle d'autorisation de contrôle d'accès basé sur des revendications pour maintenir la sécurité des applications et mettre en œuvre l'identité fédérée.
L'authentification basée sur des revendications est le processus d'authentification d'un utilisateur en fonction d'un ensemble de revendications concernant son identité contenues dans un jeton de confiance.
Dans ADFS, la fédération d'identité est établie entre deux organisations en établissant une confiance entre deux royaumes de sécurité. Un serveur de fédération d'un côté (le côté Accounts) authentifie l'utilisateur par les moyens standards dans les Services de domaine Active Directory puis émet un jeton contenant une série de revendications sur l'utilisateur, y compris son identité. De l'autre côté, le côté Resources, un autre serveur de fédération valide le jeton et émet un autre jeton pour que les serveurs locaux acceptent l'identité revendiquée. Cela permet à un système de fournir un accès contrôlé à ses ressources ou services à un utilisateur appartenant à un autre royaume de sécurité sans exiger de l'utilisateur de s'authentifier directement au système et sans que les deux systèmes partagent une base de données d'identités d'utilisateurs ou de mots de passe.
En pratique, cette approche est généralement perçue par l'utilisateur comme suit :
- L'utilisateur se connecte à son PC local (comme il le ferait habituellement en commençant à travailler le matin)
- L'utilisateur doit obtenir des informations sur le site extranet d'une entreprise partenaire - par exemple pour obtenir des informations sur les tarifs ou les produits
- L'utilisateur se rend sur le site extranet de l'entreprise partenaire - par exemple : http://example.com
- Le site partenaire n'exige pas de mot de passe à saisir maintenant - au lieu de cela, les informations d'identification de l'utilisateur sont transmises au site extranet partenaire en utilisant AD FS
- L'utilisateur est maintenant connecté au site partenaire et peut interagir avec le site 'connecté'
_De https://en.wikipedia.org/wiki/Active_Directory_Federation_Services_
0 votes
J'ai trouvé ces articles et cette vidéo utile pour donner un aperçu.
0 votes
Reaces a fourni une excellente réponse. La seule information supplémentaire que j'ajouterais est qu'il pourrait être utile de comprendre le protocole WS-Federation et le Security Assertion Markup Language (SAML) qui sont les normes qu'ADFS implémente. Voici quelques vidéos que j'ai trouvées utiles pour comprendre ces concepts (assez complexes). Malheureusement, elles contiennent tellement de matériel que je ne peux pas les inclure ici.  Comprendre SAML et Single Sign-On 101 sur YouTube\ [. Cette vidéo incluse dans la série mentionnée dans les commentaires ici a été très utile pour moi. C'est là que toute nouvelle personne sans expérience avec ADFS devrait commencer, puis continuer avec le reste des vidéos de la série. J'espère que cela aidera. youtube.com/…
2 votes
Désolé les gens, un modérateur a supprimé ma réponse avec les vidéos utiles et en a fait un commentaire ci-dessus mais c'est maintenant cassé. Frustrant.