ADFS2012R2 Setup

Name

Der ADFS-Service muss von den Clients später unter einem DNS-Namen per HTTPS angesprochen werden. Hier gibt es keine "Standards" auch wenn Microsoft gerne in Dokumentationen ein "sts.domain>" verwendet. Andere Firmen nehmen adfs.<domain> oder sts.federation.<domain> oder adfs-online.<domain>. Wenn Sie auf Office 365 verschiedene Domänen von Firmen ausprobieren, sehen Sie unterschiedlichste Namen. Denken Sie dabei aber an:

• Öffentlicher Name
  Bitte nutzen Sie einen Namen, der einen öffentlichen FQDN hat. nur so können Clients auch aus dem Internet ein ADFS-Ticket bei bedarf erhalten
• Zertifikat
  Der öffentliche Name ist auch erforderlich, wenn Sie ein Zertifikat einer öffentlichen PKI verwenden. Keine CA stellt ein Zertifikat auf einem "privaten Namen" aus
• Split-DNS
  Der Name des ADFS-Servers ist immer der gleiche, egal ob der Client intern oder extern steht. In der Regel bedeutet das den Einsatz von Split-DNS für ihre DNS-Zone oder PinpointDNS

Verfügbarkeit

Damit ein Zugriff auf Dienste einer mit ADFS gekoppelten Stelle möglich ist, muss ADFS funktionieren. Ohne Ticket gibt es keinen Zugriff und wenn der ADFS-Service nicht verfügbar ist, kann niemand sich mehr an den abhängigen Diensten anmelden. ADFS sollte also "hochverfügbar" sein. Das geht mit zwei oder mehr ADFS-Server in einer Farm sehr einfach. Die Clientzugriffe sollte natürlich mit einem LoadBalancer verteilt werden.

Plattform und Sizing

ADFSR2 ist eine Windows Rolle und dazu ist ein Windows Server erforderlich. Sie haben also die Wahl zwischen virtuellen und physikalischen Servern. Auch die Dimensionierung ist natürlich ein wichtige Thema, wobei hier relativiert werden muss. Ein Ticket gilt in der Regel 60 Minuten und eine Anmeldung kann mit 10kbyte auskommen. Selbst 1000 User, die jeden Tag sich im Mittel vielleicht 10mal anmelden, ergeben 10.000 HTTP-Requests mit 100 Megabyte Datenvolumen. Das sollte einen normalen ADFS-Server nicht wirklich belasten.

Standort

Der Server muss natürlich von allen Clients erreichbar sein und mit den Domain Controllern sprechen können. Dennoch ist es z.B.: möglich, den ADFS-Service zusammen mit der Domaincontroller-Funktion in einem anderen RZ oder in Azure zu betreiben. Das ist interessant, wen Firmen viele Cloud-Dienste nutzen und so unabhängiger von einem Ausfall der "On-Prem-Anbindung sein wollen.

Internet

Zuletzt stellt sich noch die Frage, wie der ADFS-Service aus dem Internet erreichbar gemacht wird, wenn Clients ohne VPN von Dort ein Ticket erhalten wollen. Microsoft empfiehlt hier die Rolle des ADFS Proxy. Es sind aber auch andere Reverse-Proxy-Server möglich, solange Sie einen Proxy-Via-Header addieren. Nur dann kann der ADFS-Server den externen Zugriff verhindern und die alternativen Authentifizierungsverfahren anbieten oder einen DoS-Schutz gegen Kennwortattacken aktivieren.

Betriebssystem bereitstellen

Für den ADFS-Server benötigen Sie Windows 2012R2 oder höher, welches Mitglied einer Domäne ist. Die späteren Benutzer zu Authentifizierung können auch in anderen Domänen oder sogar vertrauten Forests sein.

Dienstkonto

ADFS benötigt ein Dienstkonto, welches sie vorher manuell anlegen müssen, es sie denn Sie nutzen die Funktion der "verwalteten Dienstkonten". Bei einem manuellen Dienstkonto sollten Sie aktivieren, dass es nicht abläuft und nicht regelmäßig sein Kennwort ändern muss.

• Expand Minimize Group Managed Service Accounts Overview
  https://technet.microsoft.com/en-us/library/hh831782.aspx

Zertifikat

Die Verbindung mit den Clients wird per SSL abgesichert. Dazu benötigen alle ADFS-Server ein Zertifikat. Dieses muss vorher installiert worden sein. Die Installation und Konfiguration der ADFS-Rolle enthält keinen Assistenten zum Anfordern eines Zertifikats. Vergessen Sie nicht, die entsprechenden "Intermediate"-Zertifikate mit im richtigen Store abzulegen

Rolle addieren

Nachdem die Vorarbeiten erledigt sind können Sie die ADFS-Rolle über den Servermanager oder PowerShell einfach installieren.

Farmeinstellung

Zuerst bietet ihnen der Assistent aus, eine neue Farm einzurichten oder einen weiteren Server in eine bestehende Farm zu installieren. Der erste Server startet eine neue Farm

Domain Admin Credentials

Das Setup legt einige Einträge im Forest ab, z.B. damit die Anmeldung per Kerberos funktioniert. Dazu müssen Sie im Setup einmal die Anmeldedaten eines Domänen Administrator eingeben. Diese werden nur für die Einrichtung genutzt.

SSL Zertifikat auswählen

Nun sollten Sie das vorab installierte SSL-Zertifikat auswählen können und den Farmnamen als auch den Display Name auf der ADFS-Webseite

Service Account auswählen

Erst dann können Sie das Dienstkonto angeben, welches sie im Vorfeld angelegt haben oder die "Managed Service Accounts" nutzen.

SQL Backend auswählen

ADFS muss einige Einstellungen speichern, die von allen Servern in der Farm repliziert werden. Heute ist das in vielen Programmen einfach SQL. Die ADFS-Rolle kann die "Windows Internal Database", eine spezielle SQL-Datenbank für Betriebssystemdienste nutzen. Sehr große Umgebungen können die Daten aber auch in einen anderen SQL-Server auslagern.

Konfiguration ausführen

Mit dem Startknopf beginnt der Assistent die gemachten Angaben umzusetzen.

Anpassen der Anmeldegrafik, Links und Farben

Wenn Anwender auf die "Formularseite" von ADFS kommen, dann zeigt Windows hier erst einmal das StandardLayout, welches sehr schnell über PowerShell angepasst werden kann.

Set-AdfsGlobalWebContent `
   -CompanyName "MSXFAQ"
Set-AdfsGlobalWebContent `
   -HelpDeskLink https://adfs.msxfaq.de/help/ `
   -HelpDeskLinkText "Hilfe"
Set-AdfsGlobalWebContent `
   -HomeLink https://adfs.msxfaq.de/home/ `
   -HomeLinkText "Startseite" 

Die Online-Anleitung von Microsoft beschreibt sehr gut die weiteren Optionen: 

• Customizing the AD FS Sign-in Pages
  https://technet.microsoft.com/en-us/library/dn280950.aspx
• AD FS User sign-in customization
  https://docs.microsoft.com/en-us/windows-server/identity/ad-fs/operations/ad-fs-User-sign-in-customization 

Extranet Lockout Schutz

Set-AdfsProperties `
   -ExtranetLockoutThreshold 2 `
   -ExtranetObservationWindow 00:01:00 `
   -EnableExtranetLockout $true

Wenn der ADFS-Proxy den Header "x-ms-proxy" addiert, dann kann der ADFS-Server erkennen, dass der Zugriff von außen kommt.

• ADFS 2012R2: Extranetlockout
• Enabling ADFS 2012 R2 Extranet Lockout Protection
  https://blogs.technet.microsoft.com/rmilne/2014/05/05/enabling-adfs-2012-r2-extranet-lockout-protection/

Kerberos

Sie haben bei der Installation ein "Dienstkonto angegeben, mit dem die ADFS-Services arbeiten. Das ist wichtig zu wissen, wenn Sie statt NTLM z.B. "Kerberos" nutzen wollen. Dazu müssen Sie dann einfach den SPN des ADFS-Servers auf dieses Benutzerkonto addieren.

WIA Anmeldung (Windows Integrated Authentication)

Der ADFS-Service wertet den "UserAgent" aus, um die entsprechende Authentifizierung anzubieten. Die "Windows integrierte Anmeldung", d.h. NTLM oder Kerberos bekommen nur "kompatible" Clients. Auf der Liste fehlen per Default aber z.B. Chrome, Firefox und Safari(MAC). Diese Browser können aber auch Kerberos, wenn Sie entsprechend konfiguriert wurden (Siehe ). Damit Sie aber auch von ADFS zur Anmeldung per "Windows Integrated Authentication" aufgefordert werden, müssen Sie dies in ADFS auch einrichten:

Set-ADFSProperties `
    -WIASupportedUserAgents @("MSAuthHost/1.0/In-Domain", "MSIE 6.0", "MSIE 7.0", "MSIE 8.0", "MSIE 9.0", "MSIE 10.0", "Trident/7. 

• ADFS Auth

WSAuth von extern

Aus Sicherheitsgründen sollte man NTLM von extern abschalten.

Set-AdfsEndpoint -TargetAddressPath /adfs/services/trust/2005/windowstransport -Proxy $false
Set-AdfsEndpoint -TargetAddressPath /adfs/services/trust/13/windowstransport -Proxy $false

Weitere Anpassungen

Wenn Sie weitere Einstellungen vornehmen, sollten Sie diese dokumentieren.