Konfiguracja usługi ADFS dla Office 365: przewodnik krok po kroku
Office 365 to internetowy pakiet aplikacji biurowych klasy korporacyjnej, oferowany w ramach subskrypcji. Po opłaceniu planu subskrypcyjnego Office 365 jest od razu gotowy do użycia. Zawsze jednak można skonfigurować dodatkowe funkcje. Jedną z takich funkcji, która może okazać się przydatna dla firm korzystających z Microsoft Office 365 i usług Active Directory Domain Services, są usługi Active Directory Federation Services (ADFS) dla Office 365. ADFS oferuje korzyści w zakresie uwierzytelniania i bezpieczeństwa, takie jak logowanie jednokrotne (SSO).
Zwiększ poziom bezpieczeństwa, wykonując kopię zapasową danych w chmurze w usłudze Microsoft Office 365. Wypróbuj NAKIVO Backup & Replication. Jest to kompleksowe rozwiązanie zapewniające pełną ochronę infrastruktury wirtualnej, fizycznej, chmurowej i SaaS, pozwalające jednocześnie zaoszczędzić czas, wysiłek i pieniądze.
Do czego służy ADFS?
Active Directory Federation Services (ADFS) to rozwiązanie firmy Microsoft do uwierzytelniania internetowego oraz logowania jednokrotnego (SSO). Dzięki funkcji SSO użytkownicy mogą korzystać z jednego zestawu danych logowania (nazwy użytkownika i hasła) w celu uzyskania dostępu do kilku powiązanych, ale niezależnych aplikacji lub stron internetowych. ADFS umożliwia użytkownikom dostęp do aplikacji, które nie są zgodne ze standardowym uwierzytelnianiem Active Directory w systemie Windows. ADFS jest składnikiem systemu operacyjnego Windows Server, na przykład Windows Server 2016 udostępnia ADFS w wersji 4.0 (ADFS 2016 to to samo co ADFS 4.0). Użytkownicy mogą używać jednego zestawu danych uwierzytelniających, aby uzyskać dostęp do usług i aplikacji zintegrowanych z usługą Active Directory za pośrednictwem SSO, a także do natywnych usług systemu Windows. ADFS może służyć jako alternatywa dla tożsamości w chmurze i może pomóc w rozwiązywaniu problemów związanych z zarządzaniem hasłami. Po skonfigurowaniu ADFS dla Office 365 użytkownicy będą mogli korzystać z nazwy użytkownika i hasła domeny Windows, aby uzyskać dostęp do aplikacji Office 365.
Ponadto ADFS wykorzystuje model autoryzacji kontroli dostępu oparty na oświadczeniach w celu zabezpieczenia aplikacji przy użyciu tożsamości federacyjnej. Zarządzanie tożsamością federacyjną pozwala użytkownikom na korzystanie z tych samych danych identyfikacyjnych w celu uzyskania dostępu do wielu sieci/usług organizacji.
Jak działa ADFS z Office 365?
Najpierw użytkownik powinien przejść do adresu URL podanego przez ADFS.
Następnie użytkownik jest uwierzytelniany za pośrednictwem usługi Active Directory organizacji.
Po uwierzytelnieniu ADFS zapewnia użytkownikowi autoryzowany dostęp.
Przeglądarka internetowa użytkownika przekazuje oświadczenie do aplikacji docelowej, takiej jak Office 365, a ta aplikacja przyznaje lub odmawia dostępu.
ADFS z systemem Windows Server 2016 zapewnia również logowanie jednokrotne (SSO) z Azure MFA i umożliwia logowanie za pomocą Microsoft Passport.
Wymagania dotyczące konfiguracji ADFS w Office 365
Aby skonfigurować ADFS w Office 365, w środowisku muszą być dostępne następujące elementy:
- Kontroler domeny Active Directory (Windows Server 2016 lub nowszy)
- Serwery federacyjne Active Directory przyłączone do tej samej domeny
- DNS skonfigurowany do rozpoznawania nazw domen na adresy IP
- Konto usługi dla ADFS w domenie Active Directory
- Ważny certyfikat SSL
- Przeglądarka internetowa obsługująca certyfikaty SSL
- W przeglądarce internetowej włączono obsługę JavaScript i plików cookie
- Porty TCP 443 i 49443 dla połączeń przychodzących są włączone
Jak skonfigurować ADFS dla Office 365
Przyjrzyjmy się, jak skonfigurować usługę ADFS w systemie Windows Server 2016.
Domain Controller. Przede wszystkim musisz dysponować kontrolerem domeny Active Directory (ADDC). Ponieważ niniejszy artykuł dotyczy konfiguracji usługi ADFS dla usługi Office 365, nie będziemy zagłębiać się w temat wdrażania kontrolera domeny. Zasady instalacji kontrolera domeny można znaleźć na stronie Kompletny przewodnik po klastrowaniu w środowisku VMware. W tym przykładzie mamy kontroler domeny z systemem Windows Server 2016, którego pełna nazwa to win2016dc@officedomain.net (nazwa hosta – win2016dc , nazwa domeny – officedomain.net ).
A domain user. Utwórz użytkownika z uprawnieniami do administracji w domenie dla ADFS. W tym przykładzie użytkownik adfssrv jest tworzony przed przystąpieniem do konfiguracji ADFS.
Dodawanie roli ADFS
Teraz musisz zainstalować rolę ADFS na komputerze z systemem Windows Server. W tym wpisie na blogu rola ta jest instalowana na kontrolerze domeny z systemem Windows Server 2016 przy użyciu graficznego interfejsu użytkownika (GUI), a przebieg procesu jest ilustrowany dużą liczbą zrzutów ekranu. Można jednak użyć PowerShell jako alternatywy, jeśli wolisz interfejs wiersza poleceń.
W Menedżerze serwera (oknie otwieranym domyślnie podczas uruchamiania systemu Windows Server 2016) kliknij Add roles and features. Otworzy się okno Kreatora dodawania ról i funkcji, w którym należy wykonać kilka kroków.
Before You Begin. Jest to krok wprowadzający, który można pominąć.
Installation Type. Wybierz Instalacja oparta na rolach lub funkcjach . Kliknij Next na każdym kroku kreatora, aby kontynuować.
Server Selection. Wybierz serwer z puli serwerów: WIN2016DC.officedomain.net (w naszym przypadku jest on wybrany domyślnie, ponieważ mamy tylko jeden serwer).
Server Roles. Zaznacz pole wyboru obok Usługi federacji Active Directory . 
Features. Zostaną wybrane funkcje potrzebne do zainstalowania usług federacji Active Directory, takie jak .NET Framework.
AD FS. Po przeczytaniu opisu usług federacji Active Directory wystarczy kliknąć Dalej na tym etapie.
Confirmation. W razie potrzeby można zaznaczyć pole wyboru, aby automatycznie uruchomić ponownie serwer docelowy, a następnie kliknąć Yes w celu potwierdzenia. Na koniec kliknij Install w celu skonfigurowania ADFS dla Office 365.
Results. Poczekaj, aż proces instalacji ADFS 2016 się zakończy.
Po zakończeniu instalacji ADFS serwer musi zostać ponownie uruchomiony.
Instalacja ADCS w celu utworzenia certyfikatu
Zanim będzie można kontynuować konfigurację ADFS dla Office 365, należy utworzyć certyfikat. W tym celu należy zainstalować usługi certyfikatów Active Directory. W Menedżerze serwera kliknij Add roles and features. Zgodnie z opisem w poprzedniej sekcji otworzy się Kreator dodawania ról i funkcji .
Installation Type. Wybierz Instalacja oparta na rolach lub funkcjach . Na każdym etapie kreatora klikaj Next , aby kontynuować (tak jak wcześniej podczas instalacji ADFS).
Server Selection. Wybierz serwer z puli serwerów: WIN2016DC.officedomain.net (zgodnie z opisem instalacji ADFS).
Server Roles. Zaznacz pole wyboru obok Usługi certyfikatów Active Directory . Powiązane role i funkcje, takie jak IIS (Internet Information Services), są wybierane automatycznie.
Features. Na tym etapie . Należy wybrać funkcje .NET Framework (są one domyślnie zaznaczone jako funkcje powiązane).
AD CS. Na tym etapie nie ma nic do konfiguracji. Możesz przeczytać opis Usług certyfikatów Active Directory i kontynuować.
Role Services. Zaznacz pola wyboru obok usług Certificate Authority i Certification Authority Web Enrollment .
Confirmation. Sprawdź konfigurację, zaznacz pole wyboru, aby w razie potrzeby automatycznie uruchomić serwer docelowy ponownie, a następnie kliknij Install , aby rozpocząć proces instalacji.
Konfiguracja ADCS
Teraz należy przeprowadzić konfigurację usług certyfikatów Active Directory po wdrażaniu, zanim będzie można kontynuować konfigurację ADFS dla Office 365. W Menedżerze serwera kliknij żółty trójkąt obok ikony flagi. W menu, które się otworzy, kliknij Configure Active Directory Certificates na tym komputerze.
Credentials. Podaj dane uwierzytelniające, aby skonfigurować usługi ról. W naszym przypadku OFFICEDOMAINAdministrator to konto używane do instalacji wybranych usług ról. Kliknij Next na każdym etapie kreatora, aby kontynuować.
Role Services. Aby wybrać Certification Authority oraz Certification Authority Web Enrollment , zaznacz odpowiednie pola wyboru.
Setup Type. Wybierz Enterprise CA , ponieważ w tym przypadku używane są usługi domenowe Active Directory.
CA Type. Określ typ urzędu certyfikacji. Wybierz Root CA będący pierwszym w hierarchii infrastruktury klucza publicznego (PKI).
Private Key. Aby określić typ klucza prywatnego, wybierz Create a new private key.
Cryptography. Określ opcje kryptograficzne dla urzędu certyfikacji. W tym przykładzie RSA#Microsoft Software Key Storage Provider jest wybrany z długością klucza 2048 . SHA256 jest wybrany jako algorytm skrótu.
CA Name. Określ nazwę urzędu certyfikacji. W tym przykładzie wykorzystano następujące parametry.
Nazwa wspólna dla tego urzędu certyfikacji: officedomain-WIN2016DC-CA
Sufiks nazwy wyróżniającej: DC=officedomain,DC=net
Podgląd nazwy wyróżniającej: CN=officedomain-WIN2016DC-CA,DC=officedomain,DC=net
Validity Period. Określ okres ważności certyfikatu wygenerowanego dla tego urzędu certyfikacji (CA), na przykład 5 lat.
Certificate Database. Określ lokalizacje baz danych. Możesz zachować wartości domyślne.
Lokalizacja bazy danych certyfikatów: C:Windowssystem32CertLog
Lokalizacja dziennika bazy danych certyfikatów: C:Windowssystem32CertLog
Confirmation. Sprawdź konfigurację usług certyfikatów Active Directory i jeśli wszystko jest w porządku, kliknij Configure.
Jeśli pojawi się komunikat Configuration succeeded , oznacza to, że wszystko jest w porządku i można zamknąć okno.
Edytowanie szablonu certyfikatu
Aby edytować szablon certyfikatu, otwórz okno konfiguracji urzędu certyfikacji, naciskając Win+R i uruchamiając certsrv.msc
W otwartym oknie urzędu certyfikacji kliknij prawym przyciskiem myszy Certificate Templates i w menu kontekstowym kliknij Manage.
W otwartej konsoli szablonów certyfikatów kliknij prawym przyciskiem myszy Web Server i w menu kontekstowym wybierz Duplicate Template.
Otworzy się okno Właściwości nowego szablonu . W zakładce General wprowadź nazwę wyświetlaną szablonu oraz nazwę szablonu. Konfigurujemy ADFS dla Office 365, stąd nazwa szablonu to Office365ADFS w tym przykładzie. Można również ustawić okres ważności certyfikatu.
W zakładce Security wybierz Authenticated users i w uprawnieniach dla uwierzytelnionych użytkowników zaznacz pole wyboru Allow Enroll (patrz zrzut ekranu poniżej).
Teraz w oknie Urzędu Certyfikacji (certsrv) kliknij Action > New > Certificate Template to Issue.
W oknie Enable Certificate Templates wybierz szablon utworzony wcześniej ( Office365ADFS w tym przypadku) i kliknij OK.
Teraz szablon Office365ADFS jest wyświetlany na liście szablonów w katalogu Szablony certyfikatów w liście Urząd certyfikacji .
Tworzenie nowego certyfikatu
Przejdź do Start > Run i otwórz Menedżera certyfikatów za pomocą polecenia:
certlm
W oknie certlm , które się otworzy, przejdź do Personal > Certificates, a następnie kliknij prawym przyciskiem myszy w puste miejsce w prawej części okna. W menu kontekstowym wybierz All Tasks > Request New Certificate.
Before You begin. W tym kroku nie ma nic do konfiguracji. Kliknij Next , aby kontynuować.
Select Certificate Enrollment Policy. W tym kroku można użyć ustawień domyślnych.
Request Certificates. Wybierz szablon certyfikatu Office365ADFS , zaznaczając pole wyboru, kliknij Details , aby rozwinąć ustawienia, a następnie kliknij Properties.
Otworzy się okno Właściwości certyfikatu. Na karcie Subject znajdź sekcję Subject name i z menu rozwijanego wybierz Common name jako typ. Wprowadź wartość, która jest w pełni kwalifikowaną nazwą domeny (FQDN) serwera Windows Server, na którym zainstalowano ADFS, na przykład: win2016dc.officedomain.net (patrz zrzut ekranu po lewej stronie).
Podobnie w sekcji Alternative name dodaj trzy wartości. Typ: DNS.
win2016dc.officedomain.net
enterpriseregistration.officedomain.net
certauth.officedomain.net
Uwaga Certyfikat musi obsługiwać uwierzytelnianie serwera EKU i umożliwiać eksport klucza prywatnego. Wszystkie serwery w farmie muszą korzystać z jednego certyfikatu. Po skonfigurowaniu pierwszego serwera ADFS w farmie certyfikat należy wyeksportować na inny serwer. Nie można używać różnych certyfikatów o różnych odciskach palca.
Do utworzenia certyfikatu niestandardowego można użyć szablonu certyfikatu dla serwera WWW lub innego certyfikatu. Głównym warunkiem jest poprawny EKU. Kolejną ważną kwestią jest użycie poprawnych wartości dla nazwy podmiotu i alternatywnej nazwy podmiotu.
enterpriseregistration.[domain-name] służy do umożliwienia klientom rejestracji za pośrednictwem Workplace Join i zapewnia mechanizmy do wdrożenia Condition Access dla aplikacji internetowych, których uwierzytelnianie jest skonfigurowane za pośrednictwem ADFS. Konfiguracja ADFS w Office 365 może również wykorzystywać tę zasadę.
certauth.[domain-name] umożliwia uwierzytelnianie za pomocą kart inteligentnych, w tym wirtualnych kart inteligentnych.
W zakładce Private Key zaznacz pole wyboru Make private key exportable .
Kliknij OK , aby zapisać ustawienia.
Zdefiniowano wszystkie informacje wymagane do zarejestrowania certyfikatu. Kliknij Enroll , aby kontynuować.
Jeśli status wynosi Succeeded w kroku Wyniki instalacji certyfikatu kreatora, kliknij Finish , aby zamknąć okno.
Eksportowanie certyfikatu do konfiguracji ADFS w Office 365
Należy wyeksportować certyfikat do pliku, który będzie można wykorzystać na bieżącym serwerze oraz na innych serwerach z systemem Windows w farmie ADFS.
Uruchom certlm jeśli jeszcze tego nie zrobiłeś.
Przejdź do Personal > Certificates, wybierz swój certyfikat. W naszym przykładzie wybranym certyfikatem jest officedomain-WIN2016DC-CA . Kliknij prawym przyciskiem myszy certyfikat i w menu kontekstowym wybierz opcję „ All Tasks > Export”.
Otworzy się Kreator eksportu certyfikatu.
Welcome to the Certificate Export Wizard. Jest to pierwszy krok kreatora służący jako wprowadzenie. Nie ma tu nic do konfigurowania, więc możesz kliknąć „ Next ”, aby kontynuować.
Export Private Key. Wybierz opcję „ Yes, export the private key”.
Export File Format. Wybierz format pliku „ Personal Information Exchange – PKCS #12 (.PFX)”. Następnie zaznacz następujące pola wyboru:
- Włącz wszystkie certyfikaty w ścieżce certyfikacji, jeśli to możliwe
- Eksportuj wszystkie właściwości rozszerzone
- Włącz prywatność certyfikatu
Security. Zaznacz pole wyboru Password , wprowadź hasło i potwierdź je.
File to Export. Kliknij Browse i wybierz miejsce docelowe oraz nazwę pliku dla eksportowanego certyfikatu. W tym przykładzie nazwa pliku do eksportu to C:tempOffice365adfs.pfx
Completing the Certificate Export Wizard. Teraz wszystko jest gotowe do eksportu. Kliknij Finish , aby wyeksportować certyfikat. Eksport zakończył się powodzeniem. Kliknij OK , aby zamknąć okno.
Konfigurowanie ADFS dla Office 365
Po zainstalowaniu roli ADFS oraz utworzeniu/wyeksportowaniu certyfikatu można wznowić konfigurację ADFS dla Office 365.
Otwórz Menedżera serwera i kliknij ikonę flagi z żółtym trójkątem. W menu, które się otworzy, kliknij Configure the federation service on this server , aby przeprowadzić konfigurację po wdrażaniu.
Otworzy się Kreator konfiguracji usług federacyjnych Active Directory.
Welcome. W pierwszym kroku kreatora wybierz opcję: Utwórz pierwszy serwer federacyjny w farmie serwerów federacyjnych . Kliknij Next , aby kontynuować.
Connect to AD DS. Wybierz konto z uprawnieniami administratora domeny AD ( OFFICEDOMAINAdministrator w tym przypadku). Możesz kliknąć przycisk Change i wybrać innego użytkownika.
Specify Service Properties. Certyfikat SSL: win2016dc.officedomain.net (wybierz certyfikat utworzony wcześniej z menu rozwijanego. Alternatywnie kliknij przycisk Import i wybierz eksportowany plik certyfikatu).
Nazwa usługi federacyjnej: certauth.officedomain.net
Wyświetlana nazwa usługi federacyjnej: adfs.officedomain.net (ta nazwa będzie wyświetlana użytkownikom podczas logowania).
Specify Service Account. Określ konto użytkownika lub grupę w domenie. W naszym przykładzie wybrano drugą opcję: Use an existing domain user account or group. Kliknij Select , aby wybrać konto z uprawnieniami do administracji (specjalne konto adfssrv zostało utworzone na początku tego przewodnika).
Specify Database. Na tym etapie należy wskazać bazę danych, w której będą przechowywane dane konfiguracyjne usługi Active Directory Federation Service. W przypadku małych organizacji i środowisk ADFS można skorzystać z wewnętrznej bazy danych systemu Windows. W przypadku dużych wdrażania ADFS zaleca się użycie bazy danych MS SQL Server. W tym przykładzie wybieramy pierwszą opcję:
Utwórz bazę danych na tym serwerze przy użyciu wewnętrznej bazy danych systemu Windows .
Review Options. Sprawdź dostępne opcje. Możesz kliknąć View script i zapisać skrypt konfiguracyjny. Może to być przydatne, jeśli chcesz przeprowadzić wdrażanie wielu serwerów Active Directory Federation Server.
Prerequisite Checks. System sprawdza parametry konfiguracyjne. Jeśli wszystko jest w porządku, pojawi się komunikat: Wszystkie testy warunków wstępnych zakończyły się powodzeniem. Kliknij Configure , aby rozpocząć instalację. Poczekaj, aż konfiguracja Office 365 ADFS zostanie zakończona.
Results. W przypadku pomyślnej instalacji pojawi się komunikat: Ten serwer został pomyślnie skonfigurowany . Możesz zamknąć kreatora.
Uruchom PowerShell jako administrator i wykonaj polecenie:
Set-AdfsProperties -EnableIdpInitiatedSignonPage $true
Można sprawdzić parametr EnableIdpInitiatedSignonPage za pomocą polecenia Get-AdfsProperties .
Możesz przetestować stronę logowania ADFS w przeglądarce internetowej, korzystając z jednego z linków:
https://win2016dc.officedomain.net/adfs/ls/IdpInitiatedSignon.aspx
https://win2016dc.officedomain.net/adfs/ls/idpinitiatedsignon.htm
Zmień nazwę domeny ( win2016dc.officedomain.net ) w tych linkach zgodnie ze swoją konfiguracją. Później możesz dostosować tę stronę internetową, na przykład wdrażając styl swojej firmy.
Dodaj swoją witrynę (powyższe linki) do Zaufanych witryn w Zasadach grupy, aby użytkownicy domeny nie musieli ręcznie wprowadzać haseł.
Korzystanie z Azure AD Connect
Azure AD Connect to narzędzie firmy Microsoft, które pozwala połączyć lokalną infrastrukturę Active Directory z usługą Azure Active Directory w chmurze. Uwierzytelnianie i autoryzacja w środowiskach mieszanych nazywane są również tożsamością hybrydową. Podczas instalacji Azure AD Connect instalowane są komponenty umożliwiające połączenie z SSO i synchronizacją AD.
Pobierz Azure AD Connect, korzystając z poniższego linku:
https://www.microsoft.com/en-us/download/details.aspx?id=47594
Możesz pobrać narzędzia, które pozwalają połączyć się z Azure Active Tenant za pomocą PowerShell.
Asystent logowania do usług online Microsoft dla specjalistów IT RTW:
https://www.microsoft.com/en-us/download/details.aspx?id=41950
Moduł Windows Azure Active Directory dla Windows PowerShell:
https://www.powershellgallery.com/packages/MSOnline/1.1.166.0
Zainstaluj Azure AD Connect i uruchom kreatora Azure AD Connect. Skonfiguruj następujące opcje:
Connect to Azure AD. Wprowadź swoje dane logowania do usługi Azure AD.
Connect to AD DS. Wprowadź dane logowania administratora Enterprise usługi Active Directory Domain Services. (na przykład: officedomain.netadministrator )
Configure. Możesz zaznaczyć pole wyboru: Rozpocznij proces synchronizacji po zakończeniu konfiguracji .
Kliknij Install.
Po zakończeniu konfiguracji kliknij Exit. Teraz możesz sprawdzić szczegóły użytkowników lokalnie działającej usługi Active Directory pod adresem Azure Portal > Azure Active Directory.
Następnie możesz zainstalować pakiet Office 365 ProPlus na innych komputerach w domenie. Proces instalacji został szczegółowo opisany w Jak zainstalować pakiet Office 365 ProPlus na serwerze usługi pulpitu zdalnego. W konfiguracji XML należy użyć folderu współdzielonego, do którego mają dostęp użytkownicy domeny. Po zainstalowaniu Office 365 i zakończeniu konfiguracji Office 365 ADFS można logować się na konta Office 365 przy użyciu hasła pojedynczego logowania, korzystając z poświadczeń domeny Windows (za pośrednictwem serwera ADFS).
Wnioski
Ten wpis na blogu dotyczy konfiguracji usługi ADFS w Microsoft Office 365, która umożliwia użytkownikom organizacji korzystanie z logowania jednokrotnego (SSO) do uwierzytelniania za pomocą federacyjnego zarządzania tożsamością. Chodzi o to, aby utworzyć użytkownika raz w domenie Active Directory organizacji i zsynchronizować chmurę Azure z lokalną usługą Active Directory w celu zapewnienia logowania jednokrotnego dla aplikacji Office 365. Jednym z najważniejszych etapów konfiguracji jest wygenerowanie certyfikatu do konfiguracji usług Active Directory Federation Services. Po skonfigurowaniu ADFS dla Office 365 należy zainstalować Azure AD Connect, aby zsynchronizować środowiska lokalne i w chmurze oraz zapewnić tożsamość hybrydową.
