Teil 2 Online–Externer Zugriff über ADFS und WAP

Installation der Active Directory Federation Services (AD FS)

Die Active Directory Federation Services (AD FS) werden unter Windows Server als Serverrolle installiert. In diesem Beispiel erfolgt die Einrichtung unter Windows Server 2016 bzw. Windows Server 2019.

Öffnen Sie zunächst den Server-Manager, klicken Sie auf Verwalten und wählen Sie anschließend Rollen und Features hinzufügen.

Belassen Sie bei den Seiten Vorbereitung, Installationstyp und Zielserver auswählen die Standardeinstellungen und klicken Sie jeweils auf Weiter.

Wählen Sie anschließend bei den Serverrollen Active Directory-Verbunddienste (AD FS) aus.

Die Seiten Features auswählen sowie Active Directory-Verbunddienste können Sie ebenfalls mit den Standardeinstellungen übernehmen.

Aktivieren Sie auf der Seite Bestätigung die Option Zielserver bei Bedarf automatisch neu starten und starten Sie die Installation mit einem Klick auf Installieren.

Nach erfolgreicher Installation erscheint im Server-Manager eine Benachrichtigung, dass der AD FS-Dienst nun konfiguriert werden kann.

Bevor die eigentliche Konfiguration beginnt, sollte jedoch zunächst das erforderliche SSL-Zertifikat bereitgestellt werden.

SSL-Zertifikat bereitstellen

Für den Betrieb von AD FS wird ein gültiges SSL-Zertifikat benötigt. In diesem Beispiel wird das Zertifikat über eine unternehmenseigene Active Directory-Zertifizierungsstelle (AD CS) bereitgestellt.

Root-Zertifikat exportieren

1. Öffnen Sie die Konsole Zertifizierungsstelle.
2. Klicken Sie mit der rechten Maustaste auf den Namen Ihrer Zertifizierungsstelle.
3. Wählen Sie Eigenschaften.
4. Markieren Sie das Zertifikat Ihrer Root-CA.
5. Klicken Sie auf Zertifikat anzeigen.
6. Wechseln Sie zur Registerkarte Details.
7. Klicken Sie auf In Datei kopieren….
8. Exportieren Sie das Zertifikat im Format .p7b.
9. Speichern Sie die Datei beispielsweise auf dem Desktop.

Root-Zertifikat per Gruppenrichtlinie verteilen

Damit alle Domänencomputer der Zertifizierungsstelle vertrauen, sollte das Root-Zertifikat per Gruppenrichtlinie verteilt werden.

1. Öffnen Sie die Gruppenrichtlinienverwaltung (GPMC).
2. Bearbeiten Sie die gewünschte Gruppenrichtlinie.
3. Navigieren Sie zu:

Computerkonfiguration
 └─ Windows-Einstellungen
     └─ Sicherheitseinstellungen
         └─ Richtlinien für öffentliche Schlüssel
             └─ Vertrauenswürdige Stammzertifizierungsstellen

4. Klicken Sie mit der rechten Maustaste in den rechten Bereich und wählen Sie Importieren.
5. Wählen Sie das zuvor exportierte Root-Zertifikat aus.
6. Schließen Sie den Import-Assistenten ab.

Nach erfolgreichem Import wird das Root-Zertifikat in der Gruppenrichtlinie angezeigt und bei der nächsten Gruppenrichtlinienaktualisierung automatisch auf die Domänencomputer verteilt.