我真的需要在域控制器上使用ADFS3.0的Web应用程序代理的域\administrators帐户吗？

Question

我正在尝试将我的ADFS / WAP移动到云端，以便在经历了最近的一次失败之后提供更好的恢复能力。

为了节省VM成本，我只使用两个VM，ADFS安装在域控制器上，WAP安装在单独的机器上。似乎很多人建议在域控制器上运行ADFS。

不过，当需要配置Web应用程序代理时，我有点卡住了。它要求在ADFS server...in上有一个本地管理员帐户--在这种情况下，我必须将帐户添加到中，这是一个相当高风险的组。这并不符合在DC上运行ADFS的想法。

在启动WAP后安装配置时，我正在查看Federation页面，它在该页面中请求联邦服务名称，并在它下面提示输入ADFS服务器上的本地管理员帐户。当然，DC上没有本地管理员组，只有等效的域\ administrators组，它提供修改域本身的访问权限。

除了取消DC的ADFS角色之外，还有其他解决办法吗？一个更有限的账户？还是这一风险比乍看上去要低？

Answer 1

好的，我发现了这个：http://goodworkaround.com/node/53并仔细阅读，它说管理员凭据没有保存，而是只用于创建初始代理信任。我所能找到的微软文档并没有清楚地说明这一点，但我会相信它。

Answer 2

我为我们的ADFS服务使用了一个域管理帐户，即使它不在DC上。我可能误解了它，并认为它需要一个域管理员。我为它创建了一个专用帐户，ADFS服务器位于防火墙内，我们运行的WAP没有连接到DMZ中的域。对我们来说这是合理的安全措施。

如果你真的不想使用一个域名管理帐户，你将不得不取消它的DC。