È una cattiva pratica mettere gli utenti esterni in Active Directory?

Question

Abbiamo un'applicazione Web esistente e vogliamo migrare da una soluzione di autenticazione personalizzata a Active Federation Federation in modo che le nostre organizzazioni partner possano gestire l'autorizzazione dei loro utenti dalla loro parte.

In questo momento il sito utilizza tabelle di database personalizzate per gestire utenti e logica personalizzata per gestire l'autenticazione e l'autorizzazione.

Oltre alle organizzazioni partner che autenticano i loro utenti e ottengono l'accesso tramite ADFS, abbiamo utenti interni che si trovano nel nostro dominio di Active Directory. Questi utenti possono anche essere autenticati tramite ADFS.

La nostra domanda ruota intorno ai nostri utenti esterni. Questo sito consente anche alle persone di registrarsi. Queste persone non hanno alcuna organizzazione per la quale lavorano, quindi non possiamo usare ADFS per gestire la loro autenticazione.

Dal momento che dobbiamo supportare queste persone, dobbiamo gestire i loro account utente.

ADFS può connettersi solo agli archivi degli account della modalità di applicazione di Active Directory o Active Directory.

Poiché ADFS supporta solo questi negozi di account, sembra che la soluzione logica sia creare account per utenti esterni nel nostro dominio di Active Directory.

Ciò significherebbe che aggiorneremmo le nostre pagine di registrazione per creare nuovi account utente in Active Directory attiva piuttosto che creare nuovi record nel nostro database personalizzato.

Quindi, questa è una cattiva pratica? Deve essere usato per utenti esterni alla propria organizzazione? Come gli altri gestiscono questo tipo di situazione quando usano ADFS?

Answer 1

Creare una nuova foresta AD per gli utenti esterni, potrebbe essere necessario impostare una protezione migliore, ma i due possono essere congeniati per l'autenticazione senza interruzioni.

È necessario dire loro di utilizzare un dominio diverso durante l'accesso (ad esempio, i normali utenti utilizzano "mycorp", gli esterni utilizzano "externalcorp"), ma in caso contrario è totalmente trasparente.

Answer 2

Sì, è una cattiva pratica mettere gli utenti esterni nello stesso annuncio degli utenti interni. Tenere separati gli account esterni e controllare ADAM per l'autenticazione dell'utente esterno.

Answer 3

Penso che la domanda che devi porre non è se l'archiviazione di account esterni nella directory attiva è negativa, ma se l'archiviazione di account nella stessa foresta dei tuoi account interni è negativa. Può essere fatto, ma tenderei ad essere d'accordo con Fallen che non metterei i conti esterni nella stessa foresta con quelli interni.

In passato, quando abbiamo utilizzato un negozio di annunci per posizionare un account esterno, abbiamo creato una nuova foresta e inserito gli utenti esterni, quindi ci siamo fidati dei due domini. Secondo me questa è l'opzione migliore perché gli utenti con accesso più elevato alla rete interna sono limitati dal trust e non dall'account di un utente. Se il dominio è compreso puoi sempre spegnerlo e saprai che nulla con external può accedere alle reti interne. Ciò consente anche di avere diverse politiche di sicurezza tra utenti esterni e interni.