Встановлення ADFS (Active Directory Federation Services)
1. Підготовка до інсталяції ADFS
1.1 Створення шаблону сертифіката
ADFS вимагає довірених сертифікатів для забезпечення захищеного зв’язку. Ці сертифікати можна створити за допомогою внутрішнього центру сертифікації (CA). Виконайте наступні кроки для створення шаблону сертифіката:
Доступ до управління шаблонами сертифікатів
Відкрийте консоль Certification Authority.
Перейдіть до Certificate Templates → Клацніть правою кнопкою миші та виберіть Manage.
Дублювання існуючого шаблону
Знайдіть шаблон Web Server, клацніть правою кнопкою миші та виберіть Duplicate Template.
Зміна шаблону
Перейдіть на вкладку General:
У полі Template display name введіть назву, наприклад, "SSL Certificates".
Перейдіть на вкладку Security:
Виберіть Authenticated Users та відмітьте Enroll у колонці Allow. Натисніть OK.
Публікація нового шаблону
Закрийте консоль Certificate Templates.
У консолі Certification Authority клацніть правою кнопкою миші на Certificate Templates → New → Certificate Template to Issue.
Виберіть створений шаблон (наприклад, "SSL Certificates") і натисніть OK.
Тепер шаблон з’явиться у розділі Certificate Templates у консолі Certification Authority.
1.2 Генерація сертифіката для ADFS
Після створення шаблону сертифіката згенеруйте сертифікат для сервера ADFS:
Відкрийте MMC (Microsoft Management Console)
Натисніть Win + R, введіть
mmc.exeі натисніть Enter.Перейдіть до File → Add/Remove Snap-in… → Виберіть Certificates і натисніть Add.
Виберіть Computer account і натисніть Finish.
Запит нового сертифіката
Розгорніть Certificates (Local Computer) → Клацніть правою кнопкою миші на Personal → All Tasks → Request New Certificate.
Пройдіть майстер до моменту вибору шаблону.
Виберіть створений шаблон (наприклад, "SSL Certificates") і натисніть More information is required to enroll for this certificate.
Зазначення деталей сертифіката
У групі Subject name:
Встановіть Type як Common Name і введіть повне доменне ім'я (FQDN) вашого сервера ADFS (наприклад,
adfs.ad.contoso.com). Натисніть Add.
У групі Alternative name:
Встановіть Type як DNS і введіть FQDN ще раз (наприклад,
adfs.ad.contoso.com). Якщо сервер ADFS використовуватиме кілька імен, додайте їх усі.
Генерація сертифіката
Після заповнення всіх полів натисніть OK, а потім Enroll для генерації сертифіката.
Новий сертифікат з’явиться у розділі Certificates (Local Computer) → Personal.
1.3 Створення облікового запису служби для ADFS
Microsoft рекомендує використовувати Group Managed Service Account (gMSA) для запуску служби ADFS. Щоб створити обліковий запис, виконайте такі дії:
Підготовка служби розподілу ключів (KDS)
Виконайте наступну команду PowerShell на контролері домену:
Створення gMSA
Використовуйте наступний синтаксис для створення облікового запису:
Приклад:
2. Інсталяція ролі ADFS
2.1 Додавання ролі ADFS
Відкрийте Server Manager.
Натисніть Manage → Add Roles and Features.
Пройдіть майстер і виберіть Active Directory Federation Services на етапі вибору ролі.
2.2 Налаштування ADFS
Після завершення інсталяції відкрийте панель Server Manager.
Натисніть Configure the federation service on this server.
Виконайте кроки майстра налаштування ADFS:
Specify the Certificate: Виберіть SSL-сертифікат, створений раніше.
Federation Service Name: Це поле автоматично заповниться на основі сертифіката (наприклад,
adfs.contoso.com).Federation Service Display Name: Введіть назву вашої організації.
Specify the Service Account: Використовуйте раніше створений gMSA (наприклад, FSgMSA).
Залиште всі інші параметри за замовчуванням і завершіть налаштування.
Наступні кроки
Після налаштування ADFS інтегруйте його з Microsoft Exchange, налаштувавши аутентифікацію на основі заяв для OWA (Outlook Web App) і EAC (Exchange Admin Center).
Для отримання додаткової інформації зверніться до офіційної документації Microsoft щодо ADFS.
Last updated