如果你是个IT而且最近又接手了公司的office365部署上线的任务，那么你一定会对ADFS配置的复杂性又爱又恨，我们知道ad一般是指微软的活动目录(Active Directory)，那么ADFS又是什么呢？
Active Directory联合身份验证服务(ADFS，Active Directory Federation Services)是由微软自Windows Server 2003 R2起，在各个Server版本操作系统中提供的一个软件组件，现在常用的是集成在Windows Server 2016 R2的ADFS 4.0。ADFS 使用基于Claims的访问控制验证模型来实现联合认证。它提供 Web 单一登录技术，这样只要在会话的有效期内，就可对一次性的对用户所访问的多个Web应用程序进行验证。
我们可以将AD FS 理解为组织域内与公网之外用户桥梁。我们编写的应用程序作为Internet服务在公网部署，当程序需要对域内的用户进行验证时，就可以委托 ADFS 服务器进行验证。 ADFS 服务提供了一个 ADFS 联合服务器代理，这类似于一个只提供了登录界面的应用程序，我们将相关域用户的验证过程委托给该程序进行处理，该程序将提示用户输入验证凭据(这可以是在浏览器中弹出登录提示框或跳转到一个登录页面的形式)，随后其将所获取的凭据传递给ADFS联合身份验证服务。 AD S 作为AD的一部分有权限(其拥有AD域管理员的权限)使用ADDS的标准方式认证一个域内的用户，如果认证成功，ADFS 将会依据应用程序预先设定的信息需求，以Claims的形式将安全令牌信息返还给我们的应用程序。如前所述，ADFS 联合服务代理是运行用户通过Internet进行 AD FS 的客户端身份验证凭据采集的接口，它会将获取到的凭据传递给联合身份验证服务器进行验证处理。
联合身份验证(Federated Identity)是一种用户身份的验证方式，这种验证方式通过把用户身份的验证过程与被该用户访问的服务提供商(SP，Service Provider，如我们自己的站点)进行逻辑分离，在保证用户身份信息被隔离在用户所属系统的内部的同时，为受信任的服务提供商提供所需要的用户信息。当服务提供商需要对用户的身份进行验证时，会将相关的验证过程转交给身份验证提供方(IdP，Identity Provider，如AvePoint域的 AD FS 验证服务)，当用户经由身份验证提供方成功登录后，身份验证提供方会将用户的身份验证凭据和用户相关的信息返还给服务提供商，从而实现服务提供商对于用户身份的验证，以及对于用户信息获取。常见的联合身份验证的实现有SAML、OAuth、OpenID等方式，本文主要介绍的是基于Claims和SAML 2.0的 AD FS 联合身份验证。在基于Claims的联合身份验证的过程中，当身份验证提供方完成对于用户身份的验证，返还用户的相关信息时，其数据信息实体被称之为令牌(Token)，其中的相关信息字段被称为声明(Claims)。
活动目录联合身份验证的主要优势是：
(1)互联网现有的服务提供商不计其数，如果用户需要在每个服务提供商处都申请账户，那对于用户自身来讲无疑是一个巨大的负担，用户可能有几十个需要维护的身份验证信息，为了访问不同的服务提供商，用户就必须记住每一个ID和对应口令。如果用户在不同的服务提供商处使用相同的身份验证信息，那么一旦有一个站点发生安全信息的泄露，则可能直接导致用户在所有服务提供商处的信息收到严重威胁；
(2)如果用户以企业员工的身份访问服务提供商，则会涉及到诸如批量用户导入、身份授权、删除授权及用户信息等问题。例如，当一个属于组织O的用户A以组织员工身份在服务提供商S处注册了一个账户后，该员工A离开了之前的组织O，这时，这个用户A就不应该继续在服务S处代表该组织O。此时需要在服务提供商S处将该用户的访问权限清除，而这一操作本应由组织O来完成，对于未使用联合身份验证的系统来说，这是很难实现的；
(3)可以实现单点登录(SSO)。
身份验证是安全工作的第一步，根基不牢固，安全的大厦势必不稳，验证，授权，审计这安全三连不容忽视，请联系蓝盟IT外包获取身份验证解决方案。
文/上海蓝盟
