ADFS

ADFS oder Active Directory Federation Services ist eine Microsoft-Lösung, die Active Directory (AD) ergänzt. Active Directory ist ein Verzeichnisdienst, der standardmäßig die Authentifizierung und Single Sign-On (SSO) für verbundene On-Premises-Systeme bereitstellt. Mit ADFS können Sie Active Directory auch zur Authentifizierung von Cloud-Anwendungen einschließlich Single Sign-On verwenden.

Was ist ADFS?

Active Directory ist ein Verzeichnisdienst, in dem Sie Benutzer, Gruppen, Geräte und Richtlinien verwalten. Mithilfe dieser Daten übernimmt die Plattform die Authentifizierung von Benutzern über Protokolle wie Kerberos oder NTLM. Dies erfolgt für On-Premises-Systeme innerhalb der eigenen Netzwerkdomäne. Darüber hinaus regelt sie den Zugriff beispielsweise auf Dateifreigaben und Drucker.

Die meisten Organisationen arbeiten heute jedoch hybrid. Sie nutzen neben On-Premises-Systemen auch Cloud-Anwendungen. In der Regel möchten sie die Benutzerauthentifizierung für diese Cloud-Anwendungen selbst einrichten und verwalten. Die jeweilige Cloud-Anwendung muss die Authentifizierung daher an ein System der Organisation delegieren. Dies wird als Föderation bezeichnet und erfordert eine sogenannte Vertrauensbeziehung zwischen der Cloud-Anwendung und der Authentifizierungsplattform der Organisation.

Darauf ist Active Directory standardmäßig nicht ausgelegt. Deshalb wurde ein separater Föderationsserver entwickelt: ADFS. Es handelt sich um eine On-Premises-Plattform, die Föderations- und SSO-Funktionen zusätzlich zu Active Directory bietet. ADFS SSO verwendet Daten aus Active Directory und führt damit die Authentifizierung anhand moderner Standards wie SAML (Security Assertion Markup Language) und OIDC (OpenID Connect) durch.

Wie funktioniert ADFS?

Anhand eines konkreten Beispiels zeigen wir, wie die ADFS-Authentifizierung funktioniert. Angenommen, Sie arbeiten in einem Unternehmen, das sowohl On-Premises- als auch Cloud-Anwendungen nutzt. Dann ist folgendes Szenario üblich:

• Zu Beginn des Arbeitstags starten Sie Ihren Computer und melden sich mit Ihren Active-Directory-Anmeldedaten an. In den meisten Fällen sind dies ein Benutzername und ein Passwort. Ihre Daten werden intern in den Systemen überprüft und Sie werden am Unternehmensnetzwerk angemeldet.

• Sie erhalten nun automatisch Zugriff auf interne Unternehmensanwendungen, für die Sie autorisiert sind. Die Anwendung IWA (Integrated Windows Authentication) prüft dafür automatisch Ihre Identität. Da Sie bereits bei Active Directory angemeldet sind, müssen Sie Ihre Daten nicht erneut eingeben.

• Wenn Sie sich bei einer Cloud-Anwendung wie Salesforce anmelden möchten, erkennt diese Anwendung, dass die Organisation ADFS verwendet. Ihre Zugriffsanfrage wird an den ADFS-Server weitergeleitet. Dieser erkennt über die zuvor genannte IWA-Anwendung, dass Sie bereits angemeldet sind. Eine erneute Anmeldung ist daher nicht erforderlich.

• ADFS sendet der Cloud-Anwendung daher ein Token mit den Identitätsdaten des Benutzers. Die Cloud-Anwendung validiert das Token und gewährt dem Benutzer anschließend automatisch Zugriff. Dank dieser ADFS-Authentifizierung profitiert der Benutzer von einem nahtlosen Single Sign-On.

Warum sollte Ihre Organisation ADFS verwenden?

Wenn Ihre Organisation sowohl On-Premises- als auch Cloud-Anwendungen nutzt, gibt es grundsätzlich zwei Methoden, um die Authentifizierung und das SSO beider Anwendungstypen zu harmonisieren:

• Wenn Sie die Authentifizierung vollständig On-Premises verwalten möchten, kombinieren Sie Active Directory und ADFS. Beide Systeme sind miteinander verbunden und befinden sich innerhalb Ihrer eigenen IT-Umgebung. Ihre lokalen Systeme melden sich über Active Directory an, während Sie für die Authentifizierung an Cloud-Systemen ADFS verwenden.

• Alternativ nutzen Sie neben dem lokalen Active Directory auch Entra ID, früher Azure AD, den cloudbasierten Identity Provider von Microsoft. Active Directory übernimmt die Authentifizierung von Benutzern an Systemen innerhalb des eigenen Netzwerks, während die Authentifizierung an Cloud-Anwendungen über Entra ID erfolgt. Dafür werden die Authentifizierungsdaten zwischen Active Directory und Entra ID synchronisiert.

Welche Vorteile bietet ADFS?

Viele Organisationen entscheiden sich heute für die Kombination aus Active Directory und Entra ID. Dennoch bietet der traditionellere Ansatz mit einer ADFS-Anbindung ebenfalls Vorteile. Besonders wenn Organisationen noch viele On-Premises-Systeme betreiben und die IT-Verwaltung vollständig selbst übernehmen, wird dieser Ansatz manchmal bevorzugt. Insbesondere wenn Raum für individuelle Anpassungen erforderlich ist, entscheiden sich Organisationen mitunter für ADFS. Auch die Informationssicherheit kann eine Rolle spielen. Bei der Zusammenarbeit von Active Directory und Entra ID müssen die Anmeldedaten synchronisiert werden, und beispielsweise Passwort-Hashes werden in der Cloud gespeichert.

Welche Nachteile bietet ADFS?

ADFS hat jedoch auch Nachteile. ADFS ist eine On-Premises-Lösung, die mehr Komplexität, Kosten und Verwaltungsaufwand verursacht. Sie müssen selbst für Server, Zertifikate, Load Balancer und Ihr Update-Management sorgen. Zudem sind Sie weniger flexibel, da Sie neue Innovationen wie die passwortlose Anmeldung selbst implementieren müssen. Sie können nicht einfach von Entwicklungen wie bei Entra ID profitieren. Auch die Verfügbarkeit kann ein Problem darstellen. Bei einer ADFS-Störung können sich Benutzer nicht bei ihren Cloud-Anwendungen anmelden. Aufgrund dieser Nachteile entscheiden sich Organisationen zunehmend für eine Hybridlösung mit Active Directory und Entra ID.

ADFS und HelloID

Wann kommt eine IAM-Lösung wie HelloID mit ADFS in Berührung? Grundsätzlich kann dies in zwei Szenarien erfolgen:

HelloID Access Management

Das HelloID Access Management-Modul bietet einen eigenen integrierten Identity Provider und kann auch mit Verzeichnisdiensten und Identity Providern von Drittanbietern verbunden werden. Dazu gehören beispielsweise Active Directory, Entra ID, ADFS, Google Workspace oder Salesforce. In hybriden IT-Umgebungen mit mehreren Anwendungen und Datenfreigaben nutzt eine Organisation schnell mehrere Identity Provider. HelloID kann dann die Zusammenarbeit zwischen diesen Plattformen optimieren. Dies wird in diesem Blog näher erläutert.

Insbesondere in hybriden Microsoft-Umgebungen benötigen Sie neben Active Directory für lokale Systeme beispielsweise eine föderierte Anbindung an Cloud-Anwendungen. ADFS bietet eine solche Ergänzung, ist jedoch, wie erläutert, eine komplexe und mittlerweile veraltete Lösung. Entra ID ist eine naheliegende Alternative, insbesondere wenn Microsoft 365 und andere Microsoft-Cloud-Anwendungen eingesetzt werden. Nutzt eine Organisation hingegen andere Cloud-Anwendungen, die nicht von Microsoft stammen, ist HelloID häufig eine hervorragende Alternative zu ADFS.

HelloID Provisioning, Service Automation und Governance

Gleichzeitig regeln viele Organisationen dieses Access Management, also alles rund um Authentifizierung, Föderation, SSO und MFA, eigenständig außerhalb der IAM-Umgebung. Dabei setzen sie häufig weitgehend auf Microsoft-Systeme und nutzen abhängig von den jeweiligen Rahmenbedingungen und Anforderungen Active Directory, Entra ID und manchmal noch ADFS.

Eine IAM-Umgebung wie HelloID verwenden sie dann in der Regel für das übergreifende Provisioning und die Verwaltung aller erforderlichen Konten und Berechtigungen. Die Microsoft-Systeme sind dabei die Zielsysteme, in denen HelloID Konten und weitere Einstellungen erstellt und verwaltet. HelloID verfügt über zahlreiche Standard-Connectoren zu Zielsystemen und bietet auch für Active Directory und Entra ID einen solchen Standard-Connector, der einfach konfiguriert werden kann. So können Sie unabhängig vom konkreten Föderationsmechanismus, über AD-Entra ID oder mit AD-ADFS, das Provisioning und die weitere Verwaltung Ihrer digitalen Identitäten mit HelloID einfach automatisieren.