AD FS は、シングル サインオン (SSO) 機能を提供するための認証 Cookie を作成します。この Cookie をクライアント コンピュータに格納する必要があるため、クライアント ブラウザは Cookie を受け入れるように構成されていなければなりません。認証 Cookie は常に、当該の送信元サーバー用に記述された Secure HTTP (HTTPS) セッション Cookie です。クライアント ブラウザがこの Cookie を受け入れるよう構成されていないと、AD FS は正常に機能しません。

認証 Cookie は署名されますが、暗号化はされません。このことは、AD FS で TLS/SSL の使用が必須である理由の 1 つです。

AD FS が機能するには、クライアントとドメイン コントローラ間、および、フェデレーション サービス、フェデレーション サービス プロキシ (使用する場合)、AD FS Web エージェントの各コンポーネントをホストするコンピュータ間が、TCP/IP ネットワークで接続されている必要があります。

AD FS の運用に欠かせない、Active Directory ドメイン サービス (AD DS) と並ぶ最も重要なネットワーク サービスがドメイン ネーム システム (DNS) です。DNS を展開すると、ユーザーは、わかりやすく覚えやすいコンピュータ名を使用して、IP ネットワーク上にあるコンピュータやその他のリソースに接続できます。

Windows NT 4.0 ベースのネットワークにおける名前解決は Windows インターネット ネーム サービス (WINS) NetBIOS 名を使用して行われていましたが、Windows Server 2008 では、それに代わって DNS を名前解決に使用します。WINS を必要とするアプリケーションでは引き続き WINS を使用できますが、AD DS および AD FS には、DNS 名前解決の使用が必須です。

AD FS をサポートするための DNS 構成方法は、次に示す条件に応じて異なります。

• 組織に DNS インフラストラクチャが既に存在するかどうか。ほとんどの場合、社内ネットワークの Web ブラウザ クライアントがインターネットにアクセスできるよう、DNS はあらかじめネットワーク上に構成されています。インターネット アクセスおよび名前解決が AD FS の要件であるため、AD FS の展開にあたってはこのインフラストラクチャの存在が前提となります。
  
  
• 社内ネットワークにフェデレーション サーバーを追加する予定があるかどうか。社内ネットワーク上のユーザーを認証するために、社内ネットワーク フォレストの内部 DNS サーバーは、フェデレーション サービスを実行している内部サーバーの CNAME を返すように構成する必要があります。詳細については、「フェデレーション サーバーの名前解決の要件」を参照してください。
  
  
• 境界ネットワークにフェデレーション サーバー プロキシを追加する予定があるかどうか。アカウント パートナー組織の社内ネットワークにあるユーザー アカウントを認証する必要がある場合、自社ネットワーク フォレストの内部 DNSサーバーは、内部フェデレーション サーバー プロキシの CNAME を返すように構成する必要があります。フェデレーション サーバー プロキシの追加に対応するよう DNS を構成する方法については、「フェデレーション サーバー プロキシの名前解決の要件」を参照してください。
  
  名前解決については、AD FS が有効な Web サーバーのための要件も存在します。詳細については、「AD FS が有効な Web サーバーの名前解決の要件」を参照してください。
  
  
• テスト ラボ環境用に DNS をセットアップするかどうか。権限のあるルート DNS サーバーが 1 つもないテスト ラボ環境で AD FS を使用する場合は、名前のクエリが複数フォレスト間で適切に転送されるように DNS フォワーダをセットアップする必要が生じる可能性があります。AD FS テスト ラボ環境のセットアップ方法に関する一般的な情報については、「ステップ バイ ステップ ガイド - Windows Server 2008 の AD FS」(http://go.microsoft.com/fwlink/?LinkId=85685) を参照してください。
  
  

AD FS が適切に機能するには、AD LDS アカウント ストアをホストするコンピュータが、Windows 2000 Server Service Pack 4 (SP4) (重要な更新プログラム適用済み)、Windows Server 2003 Service Pack 1 (SP1)、Windows Server 2003 R2、または Windows Server 2008 のいずれかで動作している必要があります。

AD FS が適切に機能するには、アカウント パートナー組織またはリソース パートナー組織のドメイン コントローラが、Windows 2000 Server SP4 (重要な更新プログラム適用済み)、Windows Server 2003 SP1、Windows Server 2003 R2、または Windows Server 2008 のいずれかで動作している必要があります。

重要
AD FS にはインターネット インフォメーション サービス (IIS) のインストールが必要となるため、セキュリティ上の理由から、運用環境のドメイン コントローラ上には、AD FS の役割サービスをいっさいインストールしないことをお勧めします。

スキーマ要件

機能レベル要件

Windows NT トークン ベースのアプリケーションに関する要件

AD FS では、自身が認証に使用する資格情報の種類 (パスワード、SSL クライアント認証、または Windows 統合認証) を強制的に指定することはできますが、スマート カードを使用する認証の強制は直接的に行いません。したがって、スマート カードの暗証番号 (PIN) 資格情報を取得するためのクライアント側ユーザー インターフェイス (UI) も AD FS では提供しません。これは、Windows ベースのクライアントが、フェデレーション サーバーや AD FS で保護された Web サーバーに対してユーザー資格情報の詳細を提供することを意図的に避けるようになっているためです。

スマート カード認証では、Kerberos プロトコルを使用してアカウント フェデレーション サーバーへの認証を行います。AD FS の機能を拡張して新しい認証方式を追加することはできません。スマート カード上の証明書は、クライアント コンピュータ上で信頼されたルートにチェーンできるものでなくてもかまいません。スマート カード ベースの証明書を AD FS で使用するには、次の条件を満たす必要があります。

• 使用するスマート カードのリーダーおよび暗号化サ－ビス プロバイダ (CSP) が、当該ブラウザのコンピュータ上で機能すること。
  
  
• スマート カードの証明書が、アカウント フェデレーション サーバー上およびアカウント フェデレーション サーバー プロキシ上で信頼されたルートに、チェーンできるものであること。
  
  
• 証明書が、次のいずれかの方法で AD DS のユーザー アカウントにマッピングされていること。
  
  
  • 証明書のサブジェクト名が、AD DS にあるユーザー アカウントのライトウェイト ディレクトリ アクセス プロトコル (LDAP) 識別名に対応している。
    
    
  • 証明書のサブジェクト別名拡張に、AD DS にあるユーザー アカウントのユーザー プリンシパル名 (UPN) が含まれていること。