AD FS（联合身份验证）是一种身份访问解决方案，即使用户帐户和应用程序位于完全不同的网络或组织中，它也可以为客户端计算机（网络内部或外部）提供对受保护的面向Internet的应用程序或服务的无缝SSO访问（单点访问）。

1、AD FS概述

当应用程序或服务位于一个网络中，而用户帐户位于另一网络中，通常，用户尝试访问该应用程序或服务时，系统会提示用户输入辅助凭据。这些辅助凭据代表应用程序或服务所在的领域中用户的身份。托管应用程序或服务的Web服务器通常需要它们，以便它可以做出最适当的授权决策。

借助AD FS，组织可以通过提供信任关系（联合身份验证信任）来绕过对辅助凭据的请求，这些组织可以使用该信任关系来投影用户的数字身份和对可信合作伙伴的访问权限。在这种联合环境中，每个组织都继续管理自己的身份，但是每个组织也可以安全地投影并接受其他组织的身份。

联合身份验证是一个跨组织和平台边界实现标识、身份验证和授权的过程。

联合身份验证需要两个组织或实体之间的信任关系，并允许组织保留对资源访问和自己的用户和组帐户的控制权。当您希望跨该边界时（域服务作为组织边界），这是与 Active Directory 域服务相比一个不错的优势。它将包含您的组织的用户、计算机、组和其他对象。Active Directory 联合身份验证服务所允许的是一方面信任管理资源，一方面管理帐户。

2、AD FS的应用场景概述

AD FS可应用于何种场景？以应用对象来看，这会产生在企业之间、企业与员工之间、多个Web应用程序之间等等。因此会有如下的联合身份验证方案：

企业到企业的联合：

如果我要连接到某个合作伙伴组织并允许在我的应用程序中使用其帐户，或者在其应用程序中使用我的帐户。

企业到消费者或企业到员工的联合（Web 单一登录方案）：

使企业能够为业务合作伙伴或拥有独立域的其他业务部门提供单一登录。此服务允许拥有外围网络域的企业提供对内部用户帐户的身份验证。

例如，我在工作时可以轻松登录到内部网站。我已登录我的计算机；它使用的是已获得的身份验证凭据。我在一天结束后回家。我想访问这些相同的资源，可以实现这个想法吗？

它允许我通过外部路径登录到这些资源并使用联合身份验证服务将我的内部域帐户连接到此外部资源来实现这个想法，同时允许我使用相同的凭据。

跨多个Web 应用程序的组织内的联合：

如果出于某些原因，您的组织具有使用不同的、可能不同的身份验证存储或无法通过 Windows 本身自动授权用户的不同身份验证机制的 Web 应用程序，则您可以使用这个方案。对于这种情况，您还可以使用联合身份验证服务。

3、企业部署过程概述

在AD FS的企业部署中，我们通常是在已有AD域中进行部署。关于加域部分将不再赘述，直接阐述AD FS的部署过程。建议AD FS代理服务器不加入域环境并部署在DMZ区域。在部署过程中，强烈建议关注证书、域要求、权限等内容。

部署过程主要有以下步骤：

AD FS管理台界面如下图所示：

1、AD FS相关术语

账户伙伴组织

由联合身份验证服务中的声明提供方信任表示的联合身份验证伙伴组织。帐户伙伴组织包含将访问资源合作伙伴中基于Web的应用程序的用户。

账户联合服务器

账户伙伴组织中的联合服务器。账户联合服务器基于用户身份验证向用户颁发安全令牌。服务器对用户进行身份验证、从特性存储中提取相关属性和组成员身份信息、将此信息打包到声明中，并生成和签名安全令牌（包含声明）以返回给用户（可在以下两种情况下使用，自己的组织或将其发送给合作伙伴组织）。

AD FS 配置数据库

一个数据库，用于存储代表单个AD FS实例或联合身份验证服务的所有配置数据。此配置数据可以存储在SQL Server数据库中，也可以使用Windows Server 2016，Windows Server 2012和2012 R2以及Windows Server 2008和2008 R2附带的Windows内部数据库（WID）功能存储。

可以使用Fsconfig.exe命令行工具为SQL Server创建AD FS配置数据库，也可以使用AD FS联合身份验证服务器配置向导为Windows内部数据库创建AD FS配置数据库。