ADFS es un componente de Microsoft® Windows Server™ 2003 R2 que proporciona tecnologías de inicio de sesión único (SSO) Web para autenticar un usuario en varias aplicaciones Web durante una única sesión en línea. ADFS cumple este objetivo mediante el uso compartido seguro de identidades digitales y derechos de uso, o "Notificaciones", a través de límites de seguridad y empresariales.
ADFS no es:
-
.NET Passport.
-
Una base de datos o repositorio para datos de identidad de empleados o clientes.
-
Una extensión del esquema del servicio de directorio Active Directory™.
-
Un tipo de dominio o confianza de bosque de Windows.
ADFS en Windows Server 2003 R2 admite el protocolo WS-F PRP (WS-Federation Passive Requestor Profile).
Características fundamentales de ADFS
Las siguientes son algunas de las características fundamentales de ADFS en Windows Server 2003 R2:
-
Federación y SSO Web
Cuando una organización utiliza el servicio de directorio Active Directory™, actualmente disfruta de la ventaja de la funcionalidad SSO mediante la autenticación integrada en Windows dentro de los límites de empresa o de seguridad de la organización. ADFS amplía esta funcionalidad a las aplicaciones para Internet, lo que permite a los clientes, asociados y proveedores tener una experiencia de usuario SSO Web similar y más eficaz cuando tienen acceso a las aplicaciones basadas en Web de la organización. Además, los servidores de federación se pueden implementar en varias organizaciones para facilitar transacciones federadas business-to-business (B2B) entre organizaciones asociadas. Para obtener más información acerca de la federación de ADFS, vea Escenarios de federación.
-
Interoperabilidad de Servicios Web (WS)-*
ADFS proporciona una solución de administración de identidades federadas que interopera con otros productos de seguridad que admiten la arquitectura de servicios Web WS-*. ADFS lo hace empleando la especificación de federación de WS-*, denominada WS-Federation. La especificación Federación WS lo hace posible para entornos que no utilizan el modelo de identidad de Windows para federar con entornos de Windows. Para obtener información acerca de las especificaciones de WS-*, vea Recursos de ADFS.
-
Arquitectura extensible
ADFS proporciona una arquitectura extensible que admite el tipo de token del lenguaje de marcado de aserción de seguridad (SAML) y la autenticación Kerberos (en el escenario SSO Web federado con confianza de bosque). ADFS también puede realizar la asignación de notificaciones, por ejemplo, modificando notificaciones utilizando lógica empresarial personalizada como variable en una solicitud de acceso. Las organizaciones pueden utilizar esta extensibilidad para modificar ADFS para que coexista con su infraestructura de seguridad y directivas de negocio actuales. Para obtener más información acerca de la modificación de notificaciones, vea Asignación de notificaciones.
Ampliación de Active Directory a Internet
Active Directory sirve como servicio de autenticación e identidad primario en muchas organizaciones. Con Active Directory de Windows Server 2003, se pueden crear confianzas de bosque entre dos o más bosques de Windows Server 2003 para proporcionar acceso a recursos ubicados en diferentes organizaciones o unidades de negocio. Para obtener más información acerca de las confianzas de bosque, vea la página sobre el funcionamiento de las confianzas de bosque y dominio en el sitio Web de Microsoft (http://go.microsoft.com/fwlink/?LinkId=35356).
Sin embargo, hay escenarios en los que las confianzas de bosque no son una opción viable. Por ejemplo, el acceso entre organizaciones puede que tenga que estar limitado sólo a un subconjunto pequeño de individuos, no a todos los miembros de un bosque.
Si utilizan ADFS, las organizaciones pueden ampliar sus infraestructuras de Active Directory existentes para proporcionar acceso a recursos ofrecidos por asociados de confianza a través de Internet. Estos asociados de confianza pueden incluir otras partes externas u otros departamentos o subsidiarias de la misma organización.
ADFS está muy integrado con Active Directory. ADFS recupera atributos de usuario de Active Directory y autentica los usuarios en Active Directory. ADFS también utiliza Autenticación integrada en Windows.
ADFS funciona con Active Directory y Active Directory Application Mode (ADAM). En concreto, ADFS funciona con implementaciones de toda la empresa de Active Directory o instancias de ADAM. Cuando funciona con Active Directory, ADFS puede beneficiarse de las tecnologías de autenticación sólida en Active Directory, lo que incluye Kerberos, certificados digitales X.509 y tarjetas inteligentes. Cuando funciona con ADAM, ADFS utiliza el enlace Protocolo ligero de acceso a directorios (LDAP) como medio para autenticar usuarios. Para obtener información acerca de cómo ADFS funciona con Active Directory y ADAM, vea Almacenes de cuentas.
ADFS admite la autorización y la autenticación distribuida por Internet. ADFS se puede integrar en la solución de administración de acceso existente de una organización o departamento para traducir las condiciones que se utilizan en la organización a notificaciones acordadas como parte de una federación. ADFS puede crear, proteger y comprobar las notificaciones que se mueven entre organizaciones. También puede auditar y controlar la actividad entre organizaciones y departamentos para ayudar a proteger transacciones seguras.