Windows™ 여러 Active Directory 도메인에서 웹 클라이언트에 대한 싱글 사인온

Windows™ 관리자는 Active Directory 도메인 및 신뢰 스냅인 유틸리티를 사용하여 도메인 간에 포리스트 신뢰 관계를 설정해야 합니다. 외부 신뢰 관계는 Kerberos 인증을 지원하지 않기 때문에 사용할 수 없습니다. 신뢰 관계 설정에 대한 정보는 Microsoft™ 설명서를 참조하십시오.

상위 도메인은 하위 도메인을 암시적으로 신뢰하므로 두 도메인 간의 신뢰 구성이 필요하지 않습니다. 하위 도메인은 DNS 계층의 다른 도메인에서 한 레벨 아래의 도메인입니다. 예를 들어 sales.east.renovations.com은 east.renovations.com의 하위 도메인입니다.

지원되는 포리스트 신뢰 유형은 다음과 같습니다.

• 양방향 Windows™ 포리스트 신뢰. 예를 들어 포리스트 A와 B 사이에 양방향 신뢰가 있으면 포리스트 A와 B의 사용자는 두 포리스트의 서버에 액세스할 수 있습니다.
• 다른 포리스트를 위한 단방향 수신 신뢰. 예를 들어 포리스트 A가 포리스트 B에 대한 수신 신뢰를 가진 경우 포리스트 A 사용자는 포리스트 B 서버에 액세스할 수 있습니다. 마찬가지로 포리스트 B 사용자가 포리스트 A에 대한 수신 신뢰를 가지고 있지 않으면 포리스트 B 사용자는 포리스트 A에 액세스할 수 없습니다.
• 다른 포리스트를 위한 단방향 송신 신뢰. 예를 들어 포리스트 A가 포리스트 B에 대한 송신 신뢰를 가진 경우 포리스트 B 사용자는 포리스트 A 서버에 액세스할 수 있습니다. 마찬가지로 포리스트 B 사용자가 포리스트 A에 대한 송신 신뢰를 가지고 있지 않으면 포리스트 A 사용자는 포리스트 B에 액세스할 수 없습니다.
• 전이적 신뢰. 포리스트 A 사용자가 신뢰 때문에 포리스트 B 서버에 액세스할 수 있을 경우 포리스트 A와 B 간의 신뢰가 전이적 신뢰로 구성된 경우 포리스트 A의 하위 도메인에 있는 사용자도 포리스트 B 서버에 액세스할 수 있습니다.

Active Directory 도메인에 대해 신뢰 관계가 설정되었는지 여부를 확인하려면:

도메인 내/도메인 간의 서버 클록은 Kerberos(웹 클라이언트용 Windows™ 싱글 사인온을 위한 기본 보안 메커니즘)가 클록 스큐의 영향을 받으므로 최대한 가깝게 동기화를 유지해야 합니다. 가능하면 정확한 클록 스큐를 유지해야 합니다. 필요한 경우, Windows™ 관리자는 다음 단계를 수행하여 클록 스큐의 허용 오차를 높일 수 있습니다.

Windows™ 싱글 사인온이 사용자에 대해 수행되면, Domino® 서버에서 사용자에 대한 LTPA 토큰을 리턴합니다. Domino® 서버가 동일한 SSO 구성을 공유할지 여부를 고려하여 SSO 배치를 주의하여 계획해야 합니다.

예를 들어 도메인 "west.renovations.com"의 서버와 동일한 SSO 키를 공유하도록 도메인 "east.renovations.com"의 서버에 대한 SSO 구성을 설정한 경우, east 서버는 west 서버에서 작성한 LTPA 토큰을 승인할 수 있습니다. 이 경우 SSO 환경 설정 문서는 "renovations.com"과 같은 일반 DNS 도메인을 사용할 수 있습니다.

그러나 east와 west에 있는 서버가 동일한 SSO 키를 공유하지 않는 경우 "renovations.com"과 같은 일반 DNS 도메인을 사용한다면 SSO는 효율성이 떨어집니다. 대신, SSO 도메인을 작동할 Windows™ DNS 도메인에 맞게 조정해야 합니다.