Windows & Server

Active Directory Federation Services (AD FS)

Allgemeine Infos

Active Directory Federation Services (AD FS) ist eine Rolle von Windows Server, die Identitäten aus dem lokalen Active Directory über Organisationsgrenzen hinweg nutzbar macht. AD FS stellt Token für webbasierte Anwendungen aus und ermöglicht Single Sign-On für interne Apps, SaaS-Dienste und Partnerzugriffe. Unterstützt werden SAML 2.0, WS-Federation sowie OAuth 2.0 und OpenID Connect.

Lange war AD FS der Standardweg, Microsoft 365 per Verbundauthentifizierung an das lokale AD anzubinden. Heute empfiehlt Microsoft auf Microsoft Learn ausdrücklich, statt eines Upgrades auf die neueste AD-FS-Version zu Microsoft Entra ID zu migrieren. Für die Anmeldung stehen dort Kennwort-Hash-Synchronisierung (PHS) oder Passthrough-Authentifizierung (PTA) zur Verfügung, Anwendungen werden direkt in Entra ID als Unternehmensanwendungen angebunden.

AD FS ist weiterhin in Windows Server 2016 bis 2025 enthalten und unterstützt, ein Abkündigungsdatum hat Microsoft nicht genannt. Die Windows Internal Database, die AD FS standardmäßig nutzt, ist allerdings abgekündigt. AD-FS-Server sind ein beliebtes Angriffsziel, weil der Diebstahl des Tokensignaturzertifikats gefälschte Anmeldungen ermöglicht (Golden SAML).

Funktionsweise & Details

Eine typische AD-FS-Farm besteht aus diesen Komponenten:

  1. Die AD-FS-Server bilden eine Farm, deren Konfiguration in der Windows Internal Database oder in SQL Server liegt.
  2. Web Application Proxy (WAP) in der DMZ veröffentlicht die AD-FS-Endpunkte ins Internet, ohne die Farm direkt zu exponieren.
  3. Für jede Anwendung gibt es eine Vertrauensstellung der vertrauenden Seite (Relying Party Trust) mit Anspruchsregeln, die festlegen, welche AD-Attribute ins Token gelangen.
  4. Der Benutzer meldet sich an AD FS an (Kerberos intern, Formular oder Zertifikat extern), AD FS signiert ein Token mit dem Tokensignaturzertifikat.
  5. Die Anwendung prüft die Signatur und gewährt Zugriff.

Für die Migration stellt Microsoft u. a. einen Bericht zur Anwendungsaktivität, ein Migration Readiness Script und einen Leitfaden zur Außerbetriebnahme bereit.

Vorteile & Nutzen

  • Single Sign-On für interne und externe Webanwendungen mit dem vorhandenen AD-Konto.
  • Volle Kontrolle über die Authentifizierung im eigenen Rechenzentrum, etwa wenn Kennwort-Hashes nicht in die Cloud dürfen.
  • Flexible Anspruchsregeln für Anwendungen mit speziellen Attributanforderungen.
  • Unterstützt ältere Protokolle wie WS-Federation, die manche Bestandsanwendungen noch benötigen.

Praxisbeispiel

Ein Zulieferer mit 500 Mitarbeitenden nutzte AD FS für Microsoft 365 und zwölf SaaS-Anwendungen. Nach einem Ausfall der AD-FS-Farm konnte sich niemand mehr an Microsoft 365 anmelden. Die IT stellt per Staged Rollout auf Kennwort-Hash-Synchronisierung um, migriert die SaaS-Apps mithilfe des Aktivitätsberichts nach Entra ID und baut AD FS samt WAP anschließend ab. Ergebnis: weniger Server in der DMZ, MFA und Conditional Access direkt in Entra ID und keine Abhängigkeit mehr von der lokalen Farm.

Worauf sollte man achten?

  • Prüfe vor jedem AD-FS-Upgrade, ob eine Migration zu Microsoft Entra ID möglich ist, wie Microsoft es empfiehlt.
  • Behandle AD-FS-Server als Tier-0-Systeme und schütze das Tokensignaturzertifikat, weil sein Diebstahl gefälschte Anmeldungen erlaubt.
  • Veröffentliche AD FS nur über Web Application Proxy und aktiviere Extranet Smart Lockout.
  • Nutze den Bericht zur Anwendungsaktivität, um vor der Migration alle angebundenen Anwendungen zu erfassen.
  • Plane die Umstellung von Microsoft 365 per Staged Rollout, damit Du gruppenweise testen und zurückrollen kannst.

Lizenz & Verfügbarkeit

Rolle in Windows Server Standard und Datacenter (2016 bis 2025) ohne Zusatzlizenz; Benutzer benötigen die üblichen Windows Server CALs bzw. für externe Benutzer einen External Connector. Die Zielplattform Microsoft Entra ID bietet SSO für Unternehmensanwendungen bereits in Entra ID Free, Conditional Access erfordert Entra ID P1. Stand: Oktober 2026.

Fazit

AD FS funktioniert weiter, ist aber ein Auslaufmodell mit hohem Schutzbedarf. Plane die Migration der Authentifizierung und der Anwendungen zu Microsoft Entra ID.

Weiterführende Links

Verwandte Artikel