Volba správné metody ověřování pro řešení hybridní identity Microsoft Entra

Volba správné metody ověřování je prvním zájmem organizací, které chtějí přesunout své aplikace do cloudu. Neberte toto rozhodnutí mírně, z následujících důvodů:

1. Jedná se o první rozhodnutí organizace, která chce přejít do cloudu.

2. Metoda ověřování je důležitou součástí přítomnosti organizace v cloudu. Řídí přístup ke všem cloudovým datům a prostředkům.

3. Je základem všech ostatních pokročilých funkcí zabezpečení a uživatelského prostředí v Microsoft Entra ID.

Identita je nová řídicí rovina zabezpečení IT, takže ověřování je ochrana přístupu organizace k novému cloudovému světu. Organizace potřebují rovinu řízení identit, která posiluje zabezpečení a udržuje cloudové aplikace v bezpečí před útočníky.

Mimo rozsah

Organizace, které nemají stávající nároky na místní adresář, se nezaměřují na tento článek. Tyto firmy obvykle vytvářejí identity pouze v cloudu, což nevyžaduje řešení hybridní identity. Cloudové identity existují výhradně v cloudu a nejsou přidružené k odpovídajícím místním identitám.

Metody ověřování

Pokud je hybridním řešením identit Microsoft Entra vaše nová řídicí rovina, ověřování je základem cloudového přístupu. Volba správné metody ověřování je zásadním prvním rozhodnutím při nastavování řešení hybridní identity Microsoft Entra. Metoda ověřování, kterou zvolíte, se konfiguruje pomocí microsoft Entra Připojení, která také zřídí uživatele v cloudu.

Pokud chcete zvolit metodu ověřování, musíte zvážit čas, stávající infrastrukturu, složitost a náklady na implementaci vaší volby. Tyto faktory se u každé organizace liší a můžou se v průběhu času měnit.

Microsoft Entra ID podporuje následující metody ověřování pro hybridní řešení identit.

Cloudové ověřování

Když zvolíte tuto metodu ověřování, id Microsoft Entra zpracovává proces přihlašování uživatelů. V kombinaci s jednotným přihlašováním se uživatelé můžou přihlásit ke cloudovým aplikacím, aniž by museli znovu zadávat svoje přihlašovací údaje. S cloudovým ověřováním si můžete vybrat ze dvou možností:

Synchronizace hodnot hash hesel Microsoft Entra Nejjednodušší způsob, jak povolit ověřování pro místní objekty adresáře v MICROSOFT Entra ID. Uživatelé můžou používat stejné uživatelské jméno a heslo, které používají místně, aniž by museli nasazovat jinou infrastrukturu. Některé prémiové funkce Microsoft Entra ID, jako je Identity Protection a Microsoft Entra Domain Services, vyžadují synchronizaci hodnot hash hesel bez ohledu na to, kterou metodu ověřování zvolíte.

Předávací ověřování Microsoft Entra Poskytuje jednoduché ověřování hesla pro ověřovací služby Microsoft Entra pomocí softwarového agenta, který běží na jednom nebo více místních serverech. Servery ověřují uživatele přímo s vaším místní Active Directory, což zajišťuje, že ověření hesla neprobějde v cloudu.

Tuto metodu ověřování můžou používat společnosti s požadavkem na zabezpečení, aby okamžitě vynucovaly stavy místních uživatelských účtů, zásady hesel a přihlašovací hodiny. Další informace o skutečném předávacím procesu ověřování najdete v tématu Přihlášení uživatele pomocí předávacího ověřování Microsoft Entra.

Federované ověřování

Když zvolíte tuto metodu ověřování, Microsoft Entra ID předá proces ověřování do samostatného důvěryhodného ověřovacího systému, jako je místní Active Directory Federation Services (AD FS), aby ověřil heslo uživatele.

Ověřovací systém může poskytovat další pokročilé požadavky na ověřování, například vícefaktorové ověřování třetích stran.

Následující část vám pomůže určit, která metoda ověřování je pro vás nejvhodnější, pomocí rozhodovacího stromu. Pomůže vám určit, jestli nasadit cloudové nebo federované ověřování pro vaše řešení hybridní identity Microsoft Entra.

Rozhodovací strom

Podrobnosti o rozhodovacích otázkách:

1. Id Microsoft Entra může zpracovávat přihlašování pro uživatele, aniž by se museli spoléhat na místní komponenty k ověření hesel.
2. Id Microsoft Entra může předat přihlášení uživatele důvěryhodnému poskytovateli ověřování, jako je služba AD FS společnosti Microsoft.
3. Pokud potřebujete použít zásady zabezpečení služby Active Directory na úrovni uživatele, jako je vypršení platnosti účtu, zakázaný účet, vypršení platnosti hesla, uzamčený účet a doba přihlášení jednotlivých uživatelů, vyžaduje Microsoft Entra ID některé místní komponenty.
4. Přihlašovací funkce, které microsoft Entra ID nativně nepodporuje:
   • Přihlášení pomocí řešení ověřování třetích stran
   • Místní řešení ověřování s více lokalitami
5. Microsoft Entra ID Protection vyžaduje synchronizaci hodnot hash hesel bez ohledu na to, jakou metodu přihlášení zvolíte, aby uživatelé měli sestavu o nevracených přihlašovacích údajích . Organizace můžou převzít služby při selhání synchronizaci hodnot hash hesel, pokud primární metoda přihlášení selže a byla nakonfigurovaná před událostí selhání.

Podrobné informace

Cloudové ověřování: Synchronizace hodnot hash hesel

• Úsilí. Synchronizace hodnot hash hesel vyžaduje nejmenší úsilí týkající se nasazení, údržby a infrastruktury. Tato úroveň úsilí se obvykle vztahuje na organizace, které potřebují, aby se uživatelé přihlásili jenom k Microsoftu 365, aplikacím SaaS a dalším prostředkům založeným na ID Microsoft Entra. Při zapnutí je synchronizace hodnot hash hesel součástí procesu Microsoft Entra Připojení Sync a spouští se každých dvě minuty.

• Uživatelské prostředí. Pokud chcete zlepšit možnosti přihlašování uživatelů, použijte zařízení připojená k Microsoftu Entra nebo hybridní zařízení připojená k Microsoftu Entra. Pokud nemůžete připojit zařízení s Windows k Microsoft Entra ID, doporučujeme nasadit bezproblémové jednotné přihlašování se synchronizací hodnot hash hesel. Bezproblémové jednotné přihlašování eliminuje nepotřebné výzvy při přihlášení uživatelů.

• Pokročilé scénáře. Pokud se organizace rozhodnou, je možné použít přehledy z identit pomocí sestav Microsoft Entra ID Protection s Microsoft Entra ID P2. Příkladem je sestava nevracených přihlašovacích údajů. Windows Hello pro firmy má specifické požadavky při použití synchronizace hodnot hash hesel. Služba Microsoft Entra Domain Services vyžaduje synchronizaci hodnot hash hesel, aby uživatelé zřídili firemní přihlašovací údaje ve spravované doméně.

  Organizace, které vyžadují vícefaktorové ověřování pomocí synchronizace hodnot hash hesel, musí používat vícefaktorové ověřování Microsoft Entra nebo vlastní ovládací prvky podmíněného přístupu. Tyto organizace nemůžou používat vícefaktorové metody ověřování třetích stran ani místní ověřování, které spoléhají na federaci.

• Provozní kontinuita Použití synchronizace hodnot hash hesel s cloudovým ověřováním je vysoce dostupné jako cloudová služba, která se škáluje na všechna datová centra Microsoftu. Pokud se chcete ujistit, že synchronizace hodnot hash hesel po delší dobu nefunguje, nasaďte druhý server Microsoft Entra Připojení v pracovním režimu v pohotovostní konfiguraci.

• Důležité informace. V současné době synchronizace hodnot hash hesel okamžitě nevynucuje změny v místních stavech účtů. V této situaci má uživatel přístup ke cloudovým aplikacím, dokud se stav uživatelského účtu nesynchronuje s ID Microsoft Entra. Organizace můžou toto omezení překonat spuštěním nového synchronizačního cyklu, jakmile správci hromadně aktualizují stavy místních uživatelských účtů. Příkladem je zakázání účtů.

Postup nasazení najdete v implementaci synchronizace hodnot hash hesel.

Cloudové ověřování: Předávací ověřování

• Úsilí. Pro předávací ověřování potřebujete jeden nebo více (doporučujeme tři) odlehčené agenty nainstalované na existujících serverech. Tito agenti musí mít přístup ke službě místní Active Directory Domain Services, včetně místních řadičů domény AD. Potřebují odchozí přístup k internetu a přístup k řadičům domény. Z tohoto důvodu není podporováno nasazení agentů v hraniční síti.

  Předávací ověřování vyžaduje nekontrénovaný síťový přístup k řadičům domény. Veškerý síťový provoz je šifrovaný a omezený na požadavky na ověřování. Další informace o tomto procesu najdete v podrobných informacích o zabezpečení předávacího ověřování.

• Uživatelské prostředí. Pokud chcete zlepšit možnosti přihlašování uživatelů, použijte zařízení připojená k Microsoftu Entra nebo hybridní zařízení připojená k Microsoftu Entra. Pokud nemůžete připojit zařízení s Windows k Microsoft Entra ID, doporučujeme nasadit bezproblémové jednotné přihlašování se synchronizací hodnot hash hesel. Bezproblémové jednotné přihlašování eliminuje nepotřebné výzvy při přihlášení uživatelů.

• Pokročilé scénáře. Předávací ověřování vynucuje zásady místního účtu v době přihlášení. Přístup se například odepře, když je stav účtu místního uživatele zakázaný, uzamčený nebo jeho heslo vyprší nebo pokus o přihlášení spadá mimo dobu, kdy se uživatel může přihlásit.

  Organizace, které vyžadují vícefaktorové ověřování s předávacím ověřováním, musí používat vícefaktorové ověřování Microsoft Entra nebo vlastní ovládací prvky podmíněného přístupu. Tyto organizace nemůžou používat metodu vícefaktorového ověřování třetí strany nebo místního vícefaktorového ověřování, která závisí na federaci. Pokročilé funkce vyžadují, aby se synchronizace hodnot hash hesel nasadila bez ohledu na to, jestli zvolíte předávací ověřování. Příkladem je zpráva o úniku přihlašovacích údajů služby Identity Protection.

• Provozní kontinuita Doporučujeme nasadit dva další předávací agenty. Tyto doplňky jsou kromě prvního agenta na serveru Microsoft Entra Připojení. Toto další nasazení zajišťuje vysokou dostupnost žádostí o ověření. Když máte nasazené tři agenty, může jeden agent stále selhat, když je kvůli údržbě vypnutý jiný agent.

  Kromě předávacího ověřování je další výhodou nasazení synchronizace hodnot hash hesel. Funguje jako metoda ověřování zálohování, pokud už primární metoda ověřování není k dispozici.

• Důležité informace. Synchronizaci hodnot hash hesel můžete použít jako metodu ověřování zálohování pro předávací ověřování, když agenti nemůžou ověřit přihlašovací údaje uživatele kvůli významnému místnímu selhání. K převzetí služeb při selhání synchronizace hodnot hash hesel nedojde automaticky a k ručnímu přepnutí metody přihlašování musíte použít Microsoft Entra Připojení.

  Další důležité informace o předávacím ověřování, včetně podpory alternativních ID, najdete v nejčastějších dotazech.

Postup nasazení najdete v implementaci předávacího ověřování .

Federované ověřování

• Úsilí. Federovaný ověřovací systém spoléhá na externí důvěryhodný systém k ověřování uživatelů. Některé společnosti chtějí znovu použít své stávající investice do federovaného systému s využitím svého řešení hybridní identity Microsoft Entra. Údržba a správa federovaného systému spadá mimo kontrolu nad ID Microsoft Entra. Je na organizaci pomocí federovaného systému, aby se zajistilo bezpečné nasazení a zvládnutí zatížení ověřování.

• Uživatelské prostředí. Uživatelské prostředí federovaného ověřování závisí na implementaci funkcí, topologie a konfigurace federační farmy. Některé organizace potřebují tuto flexibilitu pro přizpůsobení a konfiguraci přístupu k federační farmě tak, aby vyhovovaly požadavkům na zabezpečení. Je například možné nakonfigurovat interně připojené uživatele a zařízení pro automatické přihlášení uživatelů bez výzvy k zadání přihlašovacích údajů. Tato konfigurace funguje, protože se už přihlásili ke svým zařízením. V případě potřeby některé pokročilé funkce zabezpečení ztěžují proces přihlašování uživatelů.

• Pokročilé scénáře. Řešení federovaného ověřování se vyžaduje v případě, že zákazníci mají požadavek na ověření, který Microsoft Entra ID nativně nepodporuje. Podívejte se na podrobné informace, které vám pomůžou zvolit správnou možnost přihlášení. Vezměte v úvahu následující běžné požadavky:

  • Poskytovatelé vícefaktorového ověřování třetích stran, kteří vyžadují zprostředkovatele federované identity.
  • Ověřování pomocí řešení ověřování třetích stran Podívejte se na seznam kompatibility federace Microsoft Entra.
  • Přihlaste se, který vyžaduje sAMAccountName, například DOMAIN\username, místo hlavního názvu uživatele (UPN), například user@domain.com.

• Provozní kontinuita Federované systémy obvykle vyžadují pole serverů s vyrovnáváním zatížení, označované jako farma. Tato farma je nakonfigurovaná v interní síti a topologii hraniční sítě, aby byla zajištěna vysoká dostupnost požadavků na ověřování.

  Nasaďte synchronizaci hodnot hash hesel společně s federovaným ověřováním jako metodu ověřování zálohování, pokud už primární metoda ověřování není k dispozici. Příkladem je, že místní servery nejsou k dispozici. Některé velké podnikové organizace vyžadují řešení federace, které podporuje více bodů příchozího přenosu dat internetu nakonfigurovaných s geografickým DNS pro požadavky na ověřování s nízkou latencí.

• Důležité informace. Federované systémy obvykle vyžadují větší investici do místní infrastruktury. Většina organizací zvolí tuto možnost, pokud už mají místní investici do federace. A pokud jde o silný obchodní požadavek na použití zprostředkovatele s jednou identitou. Federace je složitější pro provoz a řešení potíží v porovnání s cloudovými řešeními ověřování.

Pro nesměrovatelnou doménu, kterou nelze ověřit v ID Microsoft Entra, potřebujete další konfiguraci pro implementaci přihlášení ID uživatele. Tento požadavek se označuje jako podpora alternativních přihlašovacích ID. Informace o omezeních a požadavcích najdete v tématu Konfigurace alternativního přihlašovacího ID . Pokud se rozhodnete použít poskytovatele vícefaktorového ověřování třetí strany s federací, ujistěte se, že poskytovatel podporuje WS-Trust, aby zařízení mohla připojit Microsoft Entra ID.

Postup nasazení najdete v tématu Nasazení federačních serverů .

Diagramy architektury

Následující diagramy popisují komponenty architektury vysoké úrovně vyžadované pro každou metodu ověřování, kterou můžete použít se svým hybridním řešením identit Microsoft Entra. Poskytují přehled, který vám pomůže porovnat rozdíly mezi řešeními.

• Jednoduchost řešení synchronizace hodnot hash hesel:

  

• Požadavky agenta předávacího ověřování s využitím dvou agentů pro redundanci:

  

• Komponenty vyžadované pro federaci v hraniční a interní síti vaší organizace:

  

Porovnání metod

Doporučení

Váš systém identit zajišťuje přístup uživatelů k aplikacím, které migrujete a zpřístupníte v cloudu. Použijte nebo povolte synchronizaci hodnot hash hesel s jakoukoli metodou ověřování, kterou zvolíte, z následujících důvodů:

1. Vysoká dostupnost a zotavení po havárii. Předávací ověřování a federace se spoléhají na místní infrastrukturu. Pro předávací ověřování zahrnují místní nároky na hardware serveru a sítě, které vyžadují agenti předávacího ověřování. U federace je místní nároky ještě větší. Vyžaduje servery ve vaší hraniční síti k žádostem o ověření proxy serveru a interním federačním serverům.

   Pokud se chcete vyhnout kritickým bodům selhání, nasaďte redundantní servery. Požadavky na ověřování se pak budou vždy obsluhovat, pokud některá komponenta selže. Předávací ověřování i federace také spoléhají na řadiče domény, které reagují na žádosti o ověření, což může také selhat. Mnohé z těchto komponent potřebují údržbu, aby zůstaly v pořádku. Výpadky jsou pravděpodobnější, když se údržba neplánuje a implementuje správně.

2. Místní výpadek přežití. Důsledky výpadku místního prostředí způsobeného kybernetickým útokem nebo katastrofou můžou být podstatné– od poškození pověsti značky až po zneškodněnou organizaci, která se nemůže s útokem vypořádat. V poslední době byla řada organizací obětí malwarových útoků, včetně cíleného ransomwaru, což způsobilo, že jejich místní servery se zhoršovaly. Když Microsoft pomáhá zákazníkům řešit tyto druhy útoků, uvidí dvě kategorie organizací:

   • Organizace, které dříve také zapnuly synchronizaci hodnot hash hesel nad federovaným nebo předávacím ověřováním, změnily primární metodu ověřování tak, aby pak používaly synchronizaci hodnot hash hesel. Byli zpátky online během několika hodin. Pomocí přístupu k e-mailu přes Microsoft 365 pracovali na řešení problémů a přístupu k dalším cloudovým úlohám.

   • Organizace, které dříve nepovolily synchronizaci hodnot hash hesel, musely kvůli řešení problémů použít nedůvěryhodné e-mailové systémy externích příjemců. V těchto případech jim trvalo několik týdnů obnovení místní infrastruktury identit, než se uživatelé mohli znovu přihlásit ke cloudovým aplikacím.

3. Ochrana identit. Jedním z nejlepších způsobů ochrany uživatelů v cloudu je Microsoft Entra ID Protection s Microsoft Entra ID P2. Microsoft průběžně prohledává internet a hledá seznamy uživatelů a hesel, které bad actors prodávají a zpřístupní na tmavém webu. Microsoft Entra ID může tyto informace použít k ověření, jestli dojde k ohrožení uživatelských jmen a hesel ve vaší organizaci. Proto je důležité povolit synchronizaci hodnot hash hesel bez ohledu na to, jakou metodu ověřování používáte, ať už jde o federované nebo předávací ověřování. Uniklé přihlašovací údaje se zobrazují jako sestava. Tyto informace slouží k blokování nebo vynucení, aby uživatelé při pokusu o přihlášení pomocí nevracených hesel změnili svá hesla.

Závěr

Tento článek popisuje různé možnosti ověřování, které můžou organizace nakonfigurovat a nasadit, aby podporovaly přístup ke cloudovým aplikacím. Aby organizace splňovaly různé obchodní, bezpečnostní a technické požadavky, můžou si vybrat mezi synchronizací hodnot hash hesel, předávacím ověřováním a federací.

Zvažte každou metodu ověřování. Řeší úsilí o nasazení řešení a zkušenosti uživatele s procesem přihlašování vaše obchodní požadavky? Vyhodnoťte, jestli vaše organizace potřebuje pokročilé scénáře a funkce provozní kontinuity jednotlivých metod ověřování. Nakonec vyhodnoťte aspekty každé metody ověřování. Brání vám některá z nich v implementaci vaší volby?

Další kroky

V dnešním světě jsou hrozby přítomné 24 hodin denně a pocházejí z celého světa. Implementujte správnou metodu ověřování a zmírníte rizika zabezpečení a ochráníte své identity.

Začněte s ID Microsoft Entra a nasaďte správné řešení ověřování pro vaši organizaci.

Pokud uvažujete o migraci z federovaného na cloudové ověřování, přečtěte si další informace o změně metody přihlašování. Pokud chcete pomoct s plánováním a implementací migrace, použijte tyto plány nasazení projektu nebo zvažte použití nové funkce fázovaného uvedení k migraci federovaných uživatelů na používání cloudového ověřování ve fázovaném přístupu.