アクティブ ディレクトリ フェデレーション サービス

Active Directory Federation Services (ADFS) は、Microsoftが開発したソフトウェアコンポーネントで、 Windows Serverオペレーティング システム上で実行して、組織の境界を越えて配置されているシステムやアプリケーションへのシングル サインオンアクセスをユーザーに提供できます。ADFS は、クレーム ベースのアクセス制御承認モデルを使用して、アプリケーションのセキュリティを維持し、フェデレーション IDを実装します。^{[1]クレーム ベース認証では、信頼されたトークンに含まれるユーザーの}IDに関するクレーム セットに基づいてユーザーを認証します。このようなトークンは、他の手段でユーザーを認証でき、クレーム ベース認証を実行するエンティティによって信頼されているエンティティによって発行および署名されることがよくあります。^[2]これはActive Directory Servicesの一部です。Microsoft は、ほとんどの場合、ADFS の代わりにEntra IDとAzure AD Connect を使用することを推奨しています。 ^[3]

ADFS では、 2 つのセキュリティ領域間の信頼を確立することで、2 つの組織間でID フェデレーション^{[4]が確立されます。一方 (アカウント側) のフェデレーション サーバーは、} Active Directoryドメイン サービスの標準手段を使用してユーザーを認証し、ユーザーに関する一連のクレーム (ID を含む) を含むトークンを発行します。もう一方のリソース側では、別のフェデレーション サーバーがトークンを検証し、ローカル サーバーが要求された ID を受け入れるための別のトークンを発行します。これにより、システムは、別のセキュリティ領域に属するユーザーに、そのリソースまたはサービスへの制御されたアクセスを提供できます。ユーザーがシステムに直接認証する必要はなく、2 つのシステムでユーザー ID またはパスワードのデータベースを共有する必要もありません。^{[引用が必要]}

実際には、ユーザーは通常このアプローチを次のように認識します。

1. ユーザーは、ローカル PC にログインします (通常は朝仕事を始めるときと同じように)。
2. ユーザーは、価格や製品の詳細などを取得するために、パートナー企業のエクストラネット Web サイトから情報を取得する必要があります。
3. ユーザーは、パートナー企業のエクストラネット サイト (例: http://example.com) に移動します。
4. パートナーの Web サイトでは、パスワードを入力する必要がなくなり、代わりに、ユーザー資格情報 (安全なアサーション内) が ADFS を使用してパートナーのエクストラネット サイトに渡されるようになりました。
5. これで、ユーザーはパートナーの Web サイトにログインし、ログインしているかのように Web サイトを操作できるようになります。

ADFSはActive Directory Domain Servicesと統合し、これをIDプロバイダーとして使用します。ADFSは、フェデレーションパートナーとして他のWS-*およびSAML 2.0準拠のフェデレーションサービスと対話できます。^[5]

• ADFS 1.0 - Windows Server 2003 R2 (追加ダウンロード)
• ADFS 1.1 - Windows Server 2008 および Windows Server 2008 R2
• ADFS 2.0 - Windows Server 2008 および Windows Server 2008 R2 (Microsoft.com からダウンロード)
• ADFS 2.1 - Windows Server 2012
• ADFS 3.0 - Windows Server 2012 R2 ^[6]
• Windows Server 2016 ADFS - Windows Server 2016 ^[7]
• Windows Server 2019 ADFS - Windows Server 2019 ^[7]

• ADFS 2.0 コンテンツ マップ
• ADFS TechNet ライブラリ
• ADFS MSDN ライブラリ
• Server 2016 の ADFS の新機能