De juiste verificatiemethode kiezen voor uw hybride identiteitsoplossing van Microsoft Entra

Het kiezen van de juiste verificatiemethode is de eerste zorg voor organisaties die hun apps willen verplaatsen naar de cloud. Neem deze beslissing om de volgende redenen serieus:

1. Het is de eerste beslissing voor een organisatie die wil overstappen naar de cloud.

2. De verificatiemethode is een essentieel onderdeel van de aanwezigheid van een organisatie in de cloud. Het beheert de toegang tot alle cloudgegevens en -resources.

3. Het is de basis van alle andere geavanceerde functies voor beveiliging en gebruikerservaring in Microsoft Entra ID.

Identiteit is het nieuwe besturingsvlak van IT-beveiliging, dus verificatie is de toegangsbeveiliging van een organisatie voor de nieuwe cloudwereld. Organisaties hebben een identiteitsbeheervlak nodig dat hun beveiliging versterkt en hun cloud-apps beschermt tegen indringers.

Buiten bereik

Organisaties die geen bestaande on-premises map-footprint hebben, zijn niet de focus van dit artikel. Normaal gesproken maken deze bedrijven alleen identiteiten in de cloud, waarvoor geen hybride identiteitsoplossing nodig is. Cloudidentiteiten bestaan alleen in de cloud en zijn niet gekoppeld aan bijbehorende on-premises identiteiten.

Verificatiemethoden

Wanneer de hybride identiteitsoplossing van Microsoft Entra uw nieuwe besturingsvlak is, vormt verificatie de basis van cloudtoegang. Het kiezen van de juiste verificatiemethode is een cruciale eerste beslissing bij het instellen van een hybride identiteitsoplossing van Microsoft Entra. De verificatiemethode die u kiest, wordt geconfigureerd met behulp van Microsoft Entra Verbinding maken, waarmee ook gebruikers in de cloud worden ingericht.

Bij het kiezen van een verificatiemethode moet u rekening houden met de tijd, bestaande infrastructuur, complexiteit en kosten voor het implementeren van uw keuze. Deze factoren zijn voor elke organisatie verschillend en kunnen in de loop der tijd veranderen.

Microsoft Entra ID ondersteunt de volgende verificatiemethoden voor hybride identiteitsoplossingen.

Cloudverificatie

Wanneer u deze verificatiemethode kiest, verwerkt Microsoft Entra ID het aanmeldingsproces van gebruikers. In combinatie met eenmalige aanmelding (SSO) kunnen gebruikers zich aanmelden bij cloud-apps zonder hun referenties opnieuw in te voeren. Cloudverificatie laat u kiezen uit twee opties:

Wachtwoord-hashsynchronisatie van Microsoft Entra. De eenvoudigste manier om verificatie in te schakelen voor on-premises adreslijstobjecten in Microsoft Entra ID. Gebruikers kunnen dezelfde gebruikersnaam en hetzelfde wachtwoord gebruiken als on-premises zonder dat ze een andere infrastructuur hoeven te implementeren. Sommige premium-functies van Microsoft Entra ID, zoals Identity Protection en Microsoft Entra Domain Services, vereisen wachtwoord-hashsynchronisatie, ongeacht de verificatiemethode die u kiest.

PassThrough-verificatie van Microsoft Entra. Biedt een eenvoudige wachtwoordvalidatie voor Microsoft Entra-verificatieservices met behulp van een softwareagent die wordt uitgevoerd op een of meer on-premises servers. De servers valideren de gebruikers rechtstreeks met uw on-premises Active Directory, waardoor de wachtwoordvalidatie niet in de cloud plaatsvindt.

Bedrijven met een beveiligingsvereiste om onmiddellijk statussen, wachtwoordbeleidsregels en aanmeldingsuren van on-premises gebruikersaccounts af te dwingen, kunnen deze verificatiemethode gebruiken. Zie Gebruikersaanmelding met Pass Through-verificatie van Microsoft Entra voor meer informatie over het daadwerkelijke passthrough-verificatieproces.

Federatieve verificatie

Wanneer u deze verificatiemethode kiest, geeft Microsoft Entra ID het verificatieproces af aan een afzonderlijk vertrouwd verificatiesysteem, zoals on-premises Active Directory Federation Services (AD FS), om het wachtwoord van de gebruiker te valideren.

Het verificatiesysteem kan andere geavanceerde verificatievereisten bieden, bijvoorbeeld meervoudige verificatie van derden.

In de volgende sectie kunt u bepalen welke verificatiemethode geschikt is voor u met behulp van een beslissingsstructuur. Hiermee kunt u bepalen of u cloud- of federatieve verificatie implementeert voor uw hybride identiteitsoplossing van Microsoft Entra.

Beslissingsstructuur

Details van beslissingsvragen:

1. Microsoft Entra ID kan aanmelding voor gebruikers afhandelen zonder te vertrouwen op on-premises onderdelen om wachtwoorden te verifiëren.
2. Microsoft Entra ID kan gebruikersaanmelding afleveren bij een vertrouwde verificatieprovider, zoals AD FS van Microsoft.
3. Als u Active Directory-beveiligingsbeleid op gebruikersniveau wilt toepassen, zoals een verlopen account, uitgeschakeld account, verlopen wachtwoord, vergrendeld account en aanmeldingsuren voor elke gebruikersaanmelding, vereist Microsoft Entra-id enkele on-premises onderdelen.
4. Aanmeldingsfuncties worden niet systeemeigen ondersteund door Microsoft Entra ID:
   • Meld u aan met een verificatieoplossing van derden.
   • On-premises verificatieoplossing voor meerdere sites.
5. Microsoft Entra ID Protection vereist wachtwoord-hashsynchronisatie, ongeacht de aanmeldingsmethode die u kiest, om het rapport Gebruikers met gelekte referenties te verstrekken. Organisaties kunnen een failover uitvoeren naar Hash-synchronisatie van wachtwoord als hun primaire aanmeldingsmethode mislukt en deze is geconfigureerd vóór de foutgebeurtenis.

Gedetailleerde overwegingen

Cloudverificatie: hash-synchronisatie wachtwoordsynchronisatie

• Inspanning. Hash-synchronisatie wachtwoord vereist de minste inspanning met betrekking tot implementatie, onderhoud en infrastructuur. Dit niveau van inspanning is doorgaans van toepassing op organisaties die alleen hun gebruikers nodig hebben om zich aan te melden bij Microsoft 365-, SaaS-apps en andere op Microsoft Entra ID gebaseerde resources. Wanneer deze functie is ingeschakeld, maakt wachtwoord-hashsynchronisatie deel uit van het Microsoft Entra Verbinding maken Sync-proces en wordt elke twee minuten uitgevoerd.

• Gebruikerservaring. Als u de aanmeldingservaring van gebruikers wilt verbeteren, gebruikt u aan Microsoft Entra gekoppelde apparaten of hybride apparaten van Microsoft Entra. Als u uw Windows-apparaten niet kunt koppelen aan Microsoft Entra ID, raden we u aan naadloze eenmalige aanmelding te implementeren met wachtwoord-hashsynchronisatie. Naadloze eenmalige aanmelding elimineert onnodige prompts wanneer gebruikers zijn aangemeld.

• Geavanceerde scenario's. Als organisaties ervoor kiezen, is het mogelijk om inzichten uit identiteiten te gebruiken met Microsoft Entra ID Protection-rapporten met Microsoft Entra ID P2. Een voorbeeld hiervan is het rapport met gelekte aanmeldingsgegevens. Windows Hello voor Bedrijven heeft specifieke vereisten wanneer u hash-synchronisatie wachtwoord gebruikt. Microsoft Entra Domain Services vereist wachtwoord-hashsynchronisatie om gebruikers in te richten met hun bedrijfsreferenties in het beheerde domein.

  Organisaties die meervoudige verificatie met wachtwoord-hashsynchronisatie vereisen, moeten aangepaste besturingselementen voor Microsoft Entra-verificatie of aangepaste toegang gebruiken. Deze organisaties kunnen geen on-premises meervoudige verificatiemethoden of methoden van derden gebruiken die afhankelijk zijn van federatie.

• Bedrijfscontinuïteit. Het gebruik van hash-synchronisatie wachtwoord met cloudverificatie is maximaal beschikbaar als een cloudservice die wordt geschaald naar alle Microsoft-datacenters. Implementeer een tweede Microsoft Entra Verbinding maken-server in de faseringsmodus in een stand-byconfiguratie om ervoor te zorgen dat wachtwoord-hashsynchronisatie gedurende langere perioden niet uitvalt.

• Overwegingen. Op dit moment worden met hash-synchronisatie wachtwoord niet onmiddellijk wijzigingen in de statussen van on-premises accounts afgedwongen. In dit geval heeft een gebruiker toegang tot cloud-apps totdat de status van het gebruikersaccount wordt gesynchroniseerd met Microsoft Entra-id. Organisaties willen deze beperking mogelijk overwinnen door een nieuwe synchronisatiecyclus uit te voeren nadat beheerders bulksgewijs updates hebben uitgevoerd naar de statussen van on-premises gebruikersaccounts. Een voorbeeld is het uitschakelen van accounts.

Raadpleeg hash-synchronisatie wachtwoord implementeren voor implementatiestappen.

Cloudverificatie: passthrough-verificatie

• Inspanning. Voor passthrough-verificatie hebt u een of meer (we raden aan drie) lichtgewicht agents nodig die zijn geïnstalleerd op bestaande servers. Deze agents moeten toegang hebben tot uw on-premises Active Directory Domain Services, inclusief uw on-premises AD-domeincontrollers. Ze hebben uitgaande toegang tot internet en toegang tot uw domeincontrollers nodig. Daarom wordt het niet ondersteund om de agents in een perimeternetwerk te implementeren.

  Passthrough-verificatie vereist onbeperkte netwerktoegang tot domeincontrollers. Al het netwerkverkeer wordt versleuteld en beperkt tot verificatieaanvragen. Zie de uitgebreide informatie beveiliging over passthrough-verificatie voor meer informatie over dit proces.

• Gebruikerservaring. Als u de aanmeldingservaring van gebruikers wilt verbeteren, gebruikt u aan Microsoft Entra gekoppelde apparaten of hybride apparaten van Microsoft Entra. Als u uw Windows-apparaten niet kunt koppelen aan Microsoft Entra ID, raden we u aan naadloze eenmalige aanmelding te implementeren met wachtwoord-hashsynchronisatie. Naadloze eenmalige aanmelding elimineert onnodige prompts wanneer gebruikers zijn aangemeld.

• Geavanceerde scenario's. Passthrough-verificatie dwingt het beleid voor on-premises accounts af op het moment van aanmelden. De toegang wordt bijvoorbeeld geweigerd wanneer de accountstatus van een on-premises gebruiker is uitgeschakeld, vergrendeld of het wachtwoord verloopt of de aanmeldingspoging buiten de uren valt wanneer de gebruiker zich mag aanmelden.

  Organisaties die meervoudige verificatie met passthrough-verificatie vereisen, moeten aangepaste besturingselementen voor Microsoft Entra-verificatie of aangepaste toegang gebruiken. Deze organisaties kunnen geen on-premises meervoudige verificatiemethode of methode van derden gebruiken die afhankelijk is van federatie. Voor geavanceerde functies is vereist dat hash-synchronisatie wachtwoord wordt geïmplementeerd, ongeacht of u passthrough-verificatie kiest. Een voorbeeld hiervan is het rapport met gelekte aanmeldingsgegevens van Identity Protection.

• Bedrijfscontinuïteit. U wordt aangeraden twee extra passthrough-verificatieagents te implementeren. Deze extra's zijn naast de eerste agent op de Microsoft Entra Verbinding maken-server. Deze andere implementatie zorgt voor hoge beschikbaarheid van verificatieaanvragen. Wanneer u drie agents hebt geïmplementeerd, kan één agent nog steeds mislukken wanneer een andere agent niet beschikbaar is voor onderhoud.

  Er is nog een voordeel bij het implementeren van hash-synchronisatie wachtwoord, naast passthrough-verificatie. Het fungeert als een back-upverificatiemethode wanneer de primaire verificatiemethode niet meer beschikbaar is.

• Overwegingen. U kunt hash-synchronisatie van wachtwoord gebruiken als back-upverificatiemethode voor passthrough-verificatie wanneer de agents de aanmeldingsgegevens van een gebruiker niet kunnen valideren vanwege een aanzienlijke on-premises fout. Failover naar wachtwoord-hashsynchronisatie vindt niet automatisch plaats en u moet Microsoft Entra Verbinding maken gebruiken om de aanmeldingsmethode handmatig over te schakelen.

  Zie de veelgestelde vragen voor andere overwegingen over passthrough-verificatie, waaronder ondersteuning voor alternatieve id's.

Raadpleeg passthrough-verificatie implementeren voor implementatiestappen.

Federatieve verificatie

• Inspanning. Een federatief verificatiesysteem is afhankelijk van een extern vertrouwd systeem om gebruikers te verifiëren. Sommige bedrijven willen hun bestaande federatieve systeeminvesteringen opnieuw gebruiken met hun hybride identiteitsoplossing van Microsoft Entra. Het onderhoud en beheer van het federatieve systeem valt buiten de controle van Microsoft Entra-id. Het is aan de organisatie om er met behulp van het federatieve systeem voor te zorgen dat het veilig wordt geïmplementeerd en de verificatiebelasting kan verwerken.

• Gebruikerservaring. De gebruikerservaring van federatieve verificatie is afhankelijk van de implementatie van de functies, topologie en configuratie van de federatiefarm. Sommige organisaties hebben deze flexibiliteit nodig om de toegang tot de federatiefarm aan te passen en te configureren aan de hand van hun beveiligingsvereisten. Het is bijvoorbeeld mogelijk om intern verbonden gebruikers en apparaten te configureren om gebruikers automatisch aan te melden, zonder hen om aanmeldingsgegevens te vragen. Deze configuratie werkt omdat ze al zijn aangemeld bij hun apparaten. Indien nodig maken sommige geavanceerde beveiligingsfuncties het aanmeldingsproces van gebruikers moeilijker.

• Geavanceerde scenario's. Een federatieve verificatieoplossing is vereist wanneer klanten een verificatievereiste hebben die microsoft Entra-id geen systeemeigen ondersteuning biedt. Zie gedetailleerde informatie om u te helpen bij het kiezen van de juiste aanmeldingsoptie. Houd rekening met de volgende algemene vereisten:

  • Externe multifactor-providers waarvoor een federatieve id-provider is vereist.
  • Verificatie met behulp van verificatieoplossingen van derden. Zie de compatibiliteitslijst met Microsoft Entra-federaties.
  • Aanmelden waarvoor een sAMAccountName is vereist, bijvoorbeeld DOMAIN\username, in plaats van een User Principal Name (UPN), bijvoorbeeld user@domain.com.

• Bedrijfscontinuïteit. Federatieve systemen vereisen doorgaans een matrix met taakverdeling van servers, ook wel een farm genoemd. Deze farm is geconfigureerd in een interne netwerk- en perimeternetwerktopologie om hoge beschikbaarheid voor verificatieaanvragen te garanderen.

  Implementeer hash-synchronisatie wachtwoord samen met federatieve verificatie als back-upverificatiemethode wanneer de primaire verificatiemethode niet meer beschikbaar is. Een voorbeeld is wanneer de on-premises servers niet beschikbaar zijn. Voor sommige grote organisaties is een federatieoplossing vereist voor de ondersteuning van meerdere internetinkomstpunten die zijn geconfigureerd met geo-DNS voor verificatieaanvragen met lage latentie.

• Overwegingen. Federatieve systemen vereisen doorgaans een aanzienlijke investering in de on-premises infrastructuur. De meeste organisaties kiezen deze optie als ze al een on-premises federatie-investering hebben. En als het een sterke bedrijfsvereiste is om een provider met één identiteit te gebruiken. Federatie is complexer om mee te werken en problemen voor op te lossen in vergelijking met cloudverificatieoplossingen.

Voor een niet-routable domein dat niet kan worden geverifieerd in Microsoft Entra ID, hebt u extra configuratie nodig om aanmelding van gebruikers-id's te implementeren. Deze vereiste staat bekend als ondersteuning voor alternatieve aanmeldings-id's. Zie Alternatieve aanmeldings-id configureren voor beperkingen en vereisten. Als u ervoor kiest om een meervoudige verificatieprovider van derden met federatie te gebruiken, moet u ervoor zorgen dat de provider WS-Trust ondersteunt om apparaten toe te staan lid te worden van Microsoft Entra ID.

Raadpleeg Federatieservers implementeren voor implementatiestappen.

Architectuurdiagrammen

In de volgende diagrammen worden de architectuuronderdelen op hoog niveau beschreven die vereist zijn voor elke verificatiemethode die u kunt gebruiken met uw hybride identiteitsoplossing van Microsoft Entra. Ze bieden een overzicht om u te helpen de verschillen tussen de oplossingen te vergelijken.

• Eenvoud van een oplossing voor hash-synchronisatie wachtwoord:

  

• Agentvereisten voor passthrough-verificatie met behulp van twee agents voor redundantie:

  

• Onderdelen die vereist zijn voor federatie in uw perimeter en intern netwerk van uw organisatie:

  

Methoden vergelijken

Aanbevelingen

Uw identiteitssysteem zorgt ervoor dat uw gebruikers toegang hebben tot apps die u migreert en beschikbaar maakt in de cloud. Gebruik of schakel wachtwoord-hashsynchronisatie in met de verificatiemethode die u kiest, om de volgende redenen:

1. Hoge beschikbaarheid en herstel na noodgevallen. Passthrough-verificatie en federatie zijn afhankelijk van de on-premises infrastructuur. Voor passthrough-verificatie omvat de on-premises footprint de serverhardware en het netwerk dat de passthrough-verificatieagents vereisen. Voor federatie is de on-premises footprint nog groter. Hiervoor zijn servers in uw perimeternetwerk vereist voor proxyverificatieaanvragen en de interne federatieservers.

   Implementeer redundante servers om single points of failure te voorkomen. Vervolgens worden verificatieaanvragen altijd verwerkt als een onderdeel mislukt. Zowel passthrough-verificatie als federatie zijn ook afhankelijk van domeincontrollers om te reageren op verificatieaanvragen, die ook kunnen mislukken. Veel van deze onderdelen hebben onderhoud nodig om gezond te blijven. Storingen zijn waarschijnlijker wanneer onderhoud niet is gepland en correct wordt geïmplementeerd.

2. On-premises storingen overleven. De gevolgen van een on-premises storing als gevolg van een cyberaanval of noodgeval kunnen aanzienlijk zijn, variërend van reputatieschade tot een verlamde organisatie die niet kan omgaan met de aanval. Onlangs waren veel organisaties het slachtoffer van malware-aanvallen, waaronder gerichte ransomware, waardoor hun on-premises servers uitvielen. Wanneer Microsoft klanten helpt bij het omgaan met dit soort aanvallen, zijn twee categorieën organisaties zichtbaar:

   • Organisaties die eerder ook hash-synchronisatie wachtwoord hebben ingeschakeld naast federatieve of passthrough-verificatie, hebben hun primaire verificatiemethode gewijzigd om vervolgens hash-synchronisatie wachtwoord te gebruiken. Ze waren binnen een paar uur weer online. Door toegang tot e-mail via Microsoft 365 te gebruiken, hebben ze zich gericht op probleemoplossing en toegang tot andere cloudworkloads.

   • Organisaties die wachtwoord-hashsynchronisatie niet eerder hebben ingeschakeld, moesten gebruikmaken van niet-vertrouwde externe e-mailsystemen voor consumenten om problemen op te lossen. In die gevallen duurde het weken om hun on-premises identiteitsinfrastructuur te herstellen voordat gebruikers zich opnieuw konden aanmelden bij cloud-apps.

3. Identiteitsbeveiliging. Een van de beste manieren om gebruikers in de cloud te beveiligen, is Microsoft Entra ID Protection met Microsoft Entra ID P2. Microsoft scant het internet voortdurend op lijsten met gebruikers en wachtwoorden die slechte actoren verkopen en beschikbaar maken op het darkweb. Microsoft Entra-id kan deze informatie gebruiken om te controleren of een van de gebruikersnamen en wachtwoorden in uw organisatie is aangetast. Daarom is het essentieel om hash-synchronisatie wachtwoord in te schakelen, ongeacht welke verificatiemethode u gebruikt, of dat nu federatieve of passthrough-verificatie is. Gelekte aanmeldingsgegevens worden weergegeven als een rapport. Gebruik deze informatie om gebruikers te blokkeren of te dwingen hun wachtwoorden te wijzigen wanneer ze zich proberen aan te melden met gelekte wachtwoorden.

Conclusie

In dit artikel worden verschillende verificatieopties beschreven die organisaties kunnen configureren en implementeren ter ondersteuning van toegang tot cloud-apps. Organisaties kunnen kiezen tussen hash-synchronisatie wachtwoord, passthrough-verificatie en federatie om te voldoen aan verschillende zakelijke, beveiligings- en technische vereisten.

Overweeg elke verificatiemethode. Voldoet de inspanning om de oplossing te implementeren en voldoet de gebruikerservaring van het aanmeldingsproces aan uw bedrijfsvereisten? Evalueer of uw organisatie de geavanceerde scenario's en functies voor bedrijfscontinuïteit van elke verificatiemethode nodig heeft. Evalueer ten slotte de overwegingen van elke verificatiemethode. Voorkomen ze dat u uw keuze implementeert?

Volgende stappen

In de huidige wereld zijn bedreigingen 24 uur per dag aanwezig en komen overal vandaan. Als u de juiste verificatiemethode implementeert, worden uw beveiligingsrisico's verminderd en uw identiteiten beschermd.

Ga aan de slag met Microsoft Entra ID en implementeer de juiste verificatieoplossing voor uw organisatie.

Als u nadenkt over migratie van federatieve naar cloudverificatie, vindt u meer informatie over het wijzigen van de aanmeldingsmethode. Als u de migratie wilt plannen en implementeren, gebruikt u deze projectimplementatieplannen of kunt u overwegen de nieuwe functie Gefaseerde implementatie te gebruiken om federatieve gebruikers te migreren naar het gebruik van cloudverificatie in een gefaseerde benadering.