...
De procedure voor het aansluiten als IDP bestaat uit de volgende onderdelen:
- Een Een AD FS 2.0-serversysteem inrichten, o.a. Windows Server 2008 configureren en AD FS 2.0 installeren.
- De AD FS 2.0-server configureren voor aansluiting als Identity Provider voor SURFconext
- Een AD FS 2.0 proxy inrichten
- Attributen vrijgeven aan SURFconext
...
Naast het inrichten van een AD FS 2.0-server is het noodzakelijk om 'voor' de AD FSserverFS-server, buiten het Windows-domein, een AD FS-proxy in te richten die het verkeer van buitenaf doorstuurt naar de AD FS-server. Dit houdt in dat er 2 verschillende Windows Server 2008 machines geconfigureerd worden in deze setup.
Dit heeft de volgende reden: de AD FS-server moet in het Windows-domein worden opgenomen en daarom liever niet direct bereikbaar zijn van buitenaf. Door een AD FSproxy in te richten en deze 'voor' de AD FS-server te plaatsen, buiten het Windowsdomein, is de AD FS-server minder kwetsbaar voor aanvallen van buitenaf.
Bijkomend voordeel is dat een proxy kan worden geconfigureerd om een loginpagina login-pagina met de look-and-feel van de instelling te tonen aan de gebruiker, in plaats van de standaard popup-prompt die de AD FS-server laat zien. Dit verbetert de herkenbaarheid van de login voor de eindgebruiker en biedt de mogelijkheid extra informatie aan de gebruiker te tonen. Daarnaast kan phishing beter worden voorkomen door het door het toepassen van een geldig SSL-servercertificaat.
...
- Windows Server 2008 installeren en configureren
- AD FS 2.0-software installeren
- De instellingen van de AD FS2.0-proxy 0proxy configureren
Windows Server 2008 installeren en configureren voor AD FS 2.0 Proxy
Om een AD FS 2.0-proxy te kunnen inrichten, moet u eerst Windows Server 2008 installeren en configureren:
- Installeer de juiste versie van het besturingssysteem op de server: Windows Server 2008 SP2 of Windows Server 2008 R2 (standaard of enterprise).
- Stel de tijd op de server correct in zorg dat deze wordt gesynchroniseerd met een time server.
- Zorg ervoor dat de server niet opgenomen is in het domein van de Active Directory waaruit de accounts voor de federatie komen.
- Installeer Internet Information Services (IIS) en zorg dat deze een geldig SSLservercertificaat SSL servercertificaat heeft. U kunt servercertificaten (onder meer) verkrijgen via de SURFcertificaten-dienst van SURFnet:http://www.surfnet.nl/nl/diensten/authenticatie/Pages/certificaten.aspx
AD FS 2.0 Proxy-software installeren
Zie 'AD FS 2.0-software installeren' voor het installeren van de AD FS 2.0-software, met dit verschil:
kies bij stap 3 voor 'Federation server proxy'.
AD FS 2.0 Proxy Configuratie
...