Windows Server

Active Directory Federation Services (AD FS) w Windows Server: Jednolity dostęp do aplikacji w chmurze

Redakcja 2 grudnia 2025

Spis treści

Active Directory Federation Services (AD FS) w Windows Server: Jednolity dostęp do aplikacji w chmurze

🎯 Cel artykułu

Celem tego szczegółowego przewodnika jest przedstawienie Active Directory Federation Services (AD FS) jako kluczowego narzędzia do wdrażania bezpiecznego i jednolitego uwierzytelniania w środowiskach hybrydowych i chmurowych. Omówimy architekturę, integrację z aplikacjami webowymi, standardy SSO (SAML, OAuth, OIDC), zabezpieczenia, monitoring i najlepsze praktyki produkcyjne.

🧭 Wprowadzenie do AD FS – co to jest i po co go stosować?

AD FS to usługa federacyjna Microsoft działająca na Windows Server, umożliwiająca:

Single Sign-On (SSO) do różnych aplikacji (on-prem, SaaS, chmura)
Uwierzytelnianie użytkowników bez podawania hasła wielokrotnie
Integrację z usługami Azure AD, Office 365, Salesforce, Workday
Centralne zarządzanie tożsamościami i dostępem

🏗️ Architektura i role serwerów AD FS

[Client] → [Web Aplikacja / SaaS] → [AD FS Proxy (WAP)] → [AD FS Serwer] → [AD DS]

Kluczowe role:

AD FS Server – wydaje tokeny, obsługuje żądania SAML/OIDC
Web Application Proxy (WAP) – publikacja AD FS do Internetu, dwukierunkowa
AD DS – repozytorium tożsamości

Dla bezpieczeństwa stosuj osobne serwery i warstwę proxy w DMZ.

Active Directory Federation Services (AD FS) w Windows Server: Jednolity dostęp do aplikacji w chmurze

🔄 Protokóły obsługiwane przez AD FS

SAML 2.0 – standardowy dla aplikacji enterprise
WS-Federation / WS-Trust – starsze aplikacje Microsoft
OAuth 2.0 + OpenID Connect – nowoczesne aplikacje mobilne/webowe
Integracja z algorytmami kryptograficznymi (RSA, SHA-256)

Czytaj Małe okno wiersza poleceń – jak zwiększyć okno i rozmiar czcionki?

🌍 Scenariusze użycia: aplikacje chmurowe i lokalne

SSO do Office 365, Azure Portal, SharePoint Online
Dostęp do lokalnych portali/epicach ASP.NET
Federacja z zewnętrznymi partnerami (B2B Dostęp)
Autoryzacja API mikroserwisów (rozszerzona o OAuth/OIDC)

⚙️ Konfiguracja AD FS krok po kroku

Zainstaluj rolę AD FS na Windows Server (2016+):

Install-WindowsFeature ADFS-Federation -IncludeManagementTools

Skonfiguruj farmę AD FS:

Wybierz certyfikat SSL (EFS lub zewnętrzny)
Utwórz trust z nazwą hosta (np. sts.domain.local)

Zainstaluj Web Application Proxy na serwerze w DMZ:

Install-WindowsFeature Web-Application-Proxy –IncludeManagementTools
Install-WebApplicationProxy –FederationServiceName "sts.domain.local" –CertificateThumbprint "THUMB123"

Dodaj relyng party trust dla aplikacji
- Określ URL AssertionConsumerService
- Skonfiguruj claim rules (Role, UPN, email)
Testuj uwierzytelnianie poprzez odświeżenie przeglądarki.

🔐 Federacja tożsamości: trusty i zasady dostępu

Trust Relationships:

Claims Provider Trust (z AD DS lub IdP innego)
Relying Party Trust (do aplikacji chmurowych)

Claims Rules przykładowe:

UPN → NameID
AD Group → Claim grupowa do aplikacji
Issue Transform → wartości JWT

🛡️ Zabezpieczenia i hardening AD FS

Wymuś TLS 1.2/1.3 tylko i wyłącz starsze protokoły
Ogranicz dostęp do serwerów AD FS i DNS przez firewall
Włącz Extended Protection for Authentication
Ogranicz proces uwierzytelniania (Account Lockout, Smart Card)
Używaj certyfikatów o długości 2048+ bitów

🏢 Wysoka dostępność i skalowalność

Wysoka dostępność: co najmniej 2 serwery AD FS + 2 WAP
Skonfiguruj Load Balancer (Azure LB, NLB lub sprzętowy)
Rozwiązania geograficzne: DNS failover, Anycast
Synchronizacja stosu certyfikatów i konfiguracji przez PowerShell

📈 Monitoring, logi i auditing

Monitoruj wykresy wydajności (CPU, RAM, latency)
Włącz zbieranie Event Logs:
- Operational i Admin logs w AD FS
- Analiza WS-Fed Request i Errors
Integracja z SIEM (Microsoft Sentinel, Splunk)
Audyt federacji, trustów, zmian konfiguracji

🏆 Najlepsze praktyki produkcyjne

✔️ Używaj dedykowanych certyfikatów SSL z Trusted Root CA
✔️ Publikuj tylko przez WAP → zabezpieczenie DMZ
✔️ Używaj najlepszych polityk UAG / Conditional Access/ MFA
✔️ Regularnie testuj odzyskiwanie farmy i failover
✔️ Dokumentuj każdy trust i regułę claimów
✔️ Automatyzuj wdrażanie (AD FS farmy, WAP, trusty) PowerShellem

Czytaj Programowanie aplikacji desktopowych w języku Java lub C# – Kompleksowy przewodnik

🧾 Podsumowanie i rekomendowana roadmapa

AD FS to potężna platforma umożliwiająca bezpieczny, jednokrotny dostęp do aplikacji w modelach hybrydowych i chmurowych. Poprzez integrację z Azure AD i SSO możesz: