預先驗證、迂迴轉接 保護Web應用存取安全

▲圖3 設定憑證主體屬性。

這些欄位值就是用來驗證憑證所屬網址的正確性，因此必須正確輸入實際的連線位址（FQDN），以作為後續Web Application Proxy安全連線時的基本驗證機制，進而才能夠將預先驗證的帳號密碼資訊，安全地傳遞到內部網路中的Exchange Server網站虛擬目錄或是其他網站伺服器。至於其他如組織名稱、地區、部門等欄位資訊，可以選擇性地加入並設定。

接著，切換至〔一般〕活頁標籤來設定「易記名稱」與「描述」，這有助於當本機電腦憑證數量很多時能夠快速辨別憑證用途。然後，按下〔確定〕按鈕並完成註冊。成功完成Web伺服器憑證註冊後，將會跳出一個結果頁面，按一下〔完成〕按鈕即可。

回到「憑證」管理介面的「個人/憑證」節點頁面，如圖4所示便可以看到剛剛註冊的憑證項目，可連續點選來開啟憑證內容，然後檢視其中的主體名稱是否正確。

▲圖4 檢視憑證。

TOP 2：如何建立與安裝AD FS服務帳戶

開始講解之前，有兩點重要事項需要特別留意，第一是將此伺服器先行加入至Active Directory之中，第二是不可將它與後續的Web Application Proxy服務安裝在一起。

在正式安裝AD FS伺服器角色之前，必須先新增KDS（Key Distribution Service）根金鑰。如圖5所示，新增之前，先在Windows PowerShell視窗內下達「Get-kdsrootkey」命令確認目前是否已經有此金鑰，若確認沒有此金鑰，再下達「Add-KdsRootKey –EffectiveImmediately」命令新增即可。

▲圖5 檢視與新增KDS根金鑰。

成功新增KDS根金鑰後，緊接著下達「Test-kdsrootkey -keyid 」命令參數，測試一下所指定的GUID之KDS根金鑰是否可用，如果其值顯示為True，即表示正確無誤。最後，再下達一次「Get-kdsrootkey」命令，查看目前KDS根金鑰的完整資訊。

請注意，KDS根金鑰的建立，預設在建立後的十?小時才會生效。如果不想等這麼久，可改用「Add-KdsRootKey -EffectiveTime ((get-date).addhours(-10))」命令來建立此金鑰，即可馬上生效。

接著新增一個AD FS伺服器角色專屬的服務帳戶，以提供給後續AD FS服務運行時使用。先下達「Import-Module ActiveDirectory」命令完成ActiveDirectory相關模組的匯入。

然後，如圖6所示執行以下所示的命令參數範例：

▲圖6 新增AD服務帳戶。

此命令參數中所指定的ADFS完整網域名稱，以及所要使用的服務主要名稱（ServicePrincipalNames，SPN）皆必須修改成個人實際所使用的設定。

此命令執行後，如果出現了「機碼不存在」的錯誤訊息，就表示尚未建立KDS根金鑰或者該金鑰生效時間還沒到。

新增ADFS專屬的AD服務帳戶時若沒有出現錯誤，便可以開啟如圖7所示的「Active Directory使用者和電腦」介面，並展開至「Managed Service Accounts」節點下來查看所建立的服務帳戶是否有出現。

▲圖7 檢視受管理的AD服務帳戶。

成功建立AD FS的AD服務帳戶後，接著到AD FS的主機中開啟Windows PowerShell介面。先下達「Import-Module ActiveDirectory」命令來匯入ActiveDirectory管理模組，再執行「Install-ADServiceAccount -Identity "ADFSManaged"」命令參數，即可在本機上完成此服務帳戶的安裝設定。

若想檢查特定之服務主要名稱（SPN）的關鍵字，則如圖8所示鍵入「setspn -Q "關鍵字"」。如果要顯示目前所有已建立的SPN清單，則下達「setspn -l」。

如果需要臨時新增SPN，則執行如「setspn -s " HTTP/adfs.lab01.com"」的命令。萬一需要重置整個SPN設定回系統預設值，則只要下達「setspn -r servername」即可。

▲圖8 查詢SPN。