Decommission ADFS Server

Andres Bohren

Hallo zusammen,

Es wird Zeit meinen ADFS Server zurückzubauen.

Den Server hatte ich damals für meinen M365 Tenant aufgebaut. Habe aber schon letzten Sommer die Federated Domain in eine Managed Domain umgewandelt und den ADFS Server so logisch aus dem Authentication Flow in M365 entfernt https://blog.icewolf.ch/archive/2020/08/28/m365-convert-federated-domain-to-managed-domain.aspx

Bevor man den ADFS Server deinstalliert, sollte man noch prüfen ob noch andere Services den ADFS Service verwenden.

In der ADFS MMC auf Relying Party Trusts gehen und die Einträge prüfen. Sind dort noch weitere Einträge vorhanden, lohnt es sich, das ganze genauer zu analysieren.

Bevor ich den Service herunterfahre lasse ich mir die ADFS Settings anzeigen

Get-AdfsProperties

Zur Sicherheit prüfe ich nochmals die M365 Einstellungen. Sind aber alles Managed Domains.

Connect-AzureAD
Get-AzureADDomain

Der ADFS Service besteht ja eigentlich aus zwei Komponenten. Dem "Active Directory Federation Service" und der "Windows Internal Database".

Der ADFS Service läuft mit einem Managed Account

Get-ADServiceAccount -Filter "*"

Die findet man auch in der OU "Managed Service Accounts"

Nun kann also der ADFS Service und die Windows Internal Database deinstalliert werden

Remove-WindowsFeature ADFS-Federation,Windows-Internal-Database

Nach dem Neustart prüfe ich das Verzeichnis der Windows Internal Database. Die ADFS Datenbank Files sind noch vorhanden.

Mit folgendem Befehl werden diese ebenfalls gelöscht

Remove-Item C:\Windows\WID\data\adfs*

Nun kann der Managed Service Account ebenfalls entfernt werden

Remove-ADServiceAccount -Identity svcadfs

Nun müssen noch die internen und externen DNS Einträge gelöscht werden.

 

Um den Server komplett herunterzufahren und zu entfernen müssen möglicherweise noch folgende Bereiche berücksichtigt werden:

  • Zertifikate löschen und zurückziehen
  • Firewall Rules
  • Reverse Proxy
  • Monitoring
  • Backup
Grüsse
Andres Bohren