Sistema de copia de seguridad de autenticación de Microsoft Entra ID

Las organizaciones de todo el mundo dependen de la alta disponibilidad de la autenticación de usuarios y servicios de Microsoft Entra que debe funcionar 24 horas al día, siete días a la semana. Prometemos una disponibilidad del nivel de servicio del 99,99 % para la autenticación, y buscamos continuamente mejorarla. Para ello es fundamental aumentar la resistencia de nuestro servicio de autenticación. Con el fin de mejorar aún más la resistencia durante las interrupciones, en 2021 implementamos un sistema de reserva.

El sistema de autenticación de reserva de Microsoft Entra se compone de varios servicios de reserva que funcionan conjuntamente para aumentar la resistencia de la autenticación si se produce una interrupción. Este sistema controla de forma transparente y automática las autenticaciones de aplicaciones y servicios compatibles si el servicio principal de Microsoft Entra no está disponible o está degradado. Agrega una capa adicional de resistencia sobre los varios niveles de redundancia existente. Esta resistencia se describe en la entrada de blog Mejora de la resistencia del servicio en Microsoft Entra ID con su servicio de autenticación de reserva. Este sistema sincroniza los metadatos de autenticación cuando el sistema está en buen estado y los usa para permitir que los usuarios sigan teniendo acceso a las aplicaciones durante las interrupciones del servicio principal sin dejar de aplicar controles de directiva.

Durante una interrupción del servicio principal, los usuarios pueden seguir trabajando con sus aplicaciones, siempre y cuando hayan accedido a ellas en los últimos tres días desde el mismo dispositivo y no existan directivas de bloqueo que reduzcan su acceso:

Además de las aplicaciones de Microsoft, se admite lo siguiente:

• Clientes de correo electrónico nativos en iOS y Android.
• Aplicaciones de software como servicio (SaaS) disponibles en la galería de aplicaciones, como ADP, Atlassian, AWS, GoToMeeting, Kronos, Marketo, SAP, Trello, Workday, etc.
• Aplicaciones de línea de negocio seleccionadas, en función de sus patrones de autenticación.

La autenticación de servicio a servicio que se basa en identidades administradas para recursos de Azure o que se basan en los servicios de Azure reciben una mayor resistencia del sistema de autenticación de copia de seguridad.

Microsoft amplía continuamente el número de escenarios admitidos.

¿Qué cargas de trabajo que no son de Microsoft se admiten?

El sistema de autenticación de reserva proporciona automáticamente resistencia incremental a decenas de miles de aplicaciones que no son compatibles con Microsoft en función de sus patrones de autenticación. Consulte el apéndice para obtener una lista de las aplicaciones que no son de Microsoft más comunes y su estado de cobertura. Para obtener una explicación detallada de qué patrones de autenticación se admiten, consulte el artículo Descripción de la compatibilidad con aplicaciones para el sistema de autenticación de reserva.

• Aplicaciones nativas que usan el protocolo Open Authorization (OAuth) 2.0 para acceder a aplicaciones de recursos, como el correo electrónico y los clientes de mensajería instantánea populares que no son de Microsoft, como: Apple Mail, Aqua Mail, Gmail, Samsung Email y Spark.
• Aplicaciones web de línea de negocio configuradas para autenticarse con OpenID Connect solamente con tokens de identificador.
• Aplicaciones web que se autentican con el protocolo de Lenguaje de Marcado para Confirmaciones de Seguridad (SAML), cuando se configuran para inicio de sesión único (SSO) iniciado por un proveedor de identidades como: ADP, Atlassian Cloud, AWS, GoToMeeting, Kronos, Marketo, Palo Alto Networks, SAP Cloud Identity Services, Trello, Workday y Zscaler.

Tipos de aplicaciones que no son de Microsoft y no están protegidas

Actualmente, no se admiten los siguientes patrones de autenticación:

• Aplicaciones web que se autentican mediante OpenID Connect y solicitan tokens de acceso
• Aplicaciones web que usan el protocolo SAML para la autenticación, cuando se configuran como SSO iniciado por proveedor de servicios

¿Qué hace que un usuario sea compatible con el sistema de autenticación de reserva?

Durante una interrupción, un usuario puede autenticarse mediante el sistema de autenticación de reserva si se cumplen las condiciones siguientes:

1. El usuario se autenticó correctamente con la misma aplicación y dispositivo en los últimos tres días.
2. No se requiere que el usuario se autentique de forma interactiva
3. El usuario accede a un recurso como miembro de su inquilino principal y no en un escenario B2B o B2C.
4. El usuario no está sujeto a directivas de acceso condicional que limiten el sistema de autenticación de reserva, como deshabilitar los valores predeterminados de resistencia.
5. El usuario no ha estado sujeto a un evento de revocación, como un cambio de credencial desde su última autenticación correcta.

¿Cómo afecta la autenticación interactiva y la actividad del usuario a la resistencia?

El sistema de autenticación de reserva se basa en los metadatos de una autenticación anterior para volver a autenticar al usuario durante una interrupción. Un usuario debe haber autenticado en los últimos tres días con la misma aplicación en el mismo dispositivo para que el servicio de copia de seguridad sea efectivo. Los usuarios inactivos o que no se han autenticado en una aplicación determinada no pueden usar el sistema de autenticación de reserva para esa aplicación.

¿Cómo afectan las directivas de acceso condicional a la resistencia?

El sistema de autenticación de reserva no puede evaluar determinadas directivas en tiempo real y debe basarse en evaluaciones anteriores de estas directivas. En condiciones de interrupción, el servicio usa una evaluación previa de forma predeterminada para maximizar la resistencia. Por ejemplo, un acceso condicionado a que un usuario tenga un rol determinado (como administrador de aplicaciones) continúa durante una interrupción en función del rol que tuviera el usuario durante esa autenticación más reciente. Si es necesario restringir el uso de solo interrupción de una evaluación anterior, los administradores de inquilinos pueden elegir una evaluación estricta de todas las directivas de acceso condicional, incluso en condiciones de interrupción, deshabilitando los valores predeterminados de resistencia. Esta decisión debe tenerse en cuenta porque deshabilitar los valores predeterminados de resistencia de una directiva determinada deshabilita el uso de la autenticación de reserva. Los valores predeterminados de resistencia deben volver a habilitarse antes de que se produzca una interrupción para que el sistema de reserva proporcione resistencia.

Hay otros tipos de directivas que no admiten el uso del sistema de autenticación de reserva. El uso de las siguientes directivas reduce la resistencia:

• Uso del control de frecuencia de inicio de sesión como parte de una directiva de acceso condicional.
• Uso de la directiva de métodos de autenticación.
• Uso de una directiva de acceso condicional clásica.

Evaluación de directivas de acceso condicional solo para informes

Si el sistema de autenticación de copia de seguridad procesa una solicitud, las directivas de acceso condicional de solo informe aparecerán en la pestaña Acceso condicional de Entra ID>Supervisión y salud>Registros de inicio de sesión para ese evento de inicio de sesión, en lugar de en la pestaña Solo informes. Tenga en cuenta que, incluso en esta vista, las directivas configuradas en modo de solo informe nunca se aplican. Para ver si los tokens se emitieron a través del sistema de autenticación de respaldo dentro de tu inquilino, puedes usar los registros de inicio de sesión. En Entra ID>Supervisión y salud>Registros de inicio de sesión, agregue el filtro Token issuer type == Microsoft Entra Backup Auth para mostrar los registros procesados por el sistema de autenticación de copia de seguridad.

Revocación de certificados y el sistema de autenticación de copia de seguridad

Para mejorar su posición de resistencia, el sistema de autenticación de copia de seguridad no puede realizar comprobaciones de revocación nuevas. En su lugar, se basa en el estado de la comprobación de la lista de revocación de certificados (CRL) que se realiza cuando se realizó la última copia de seguridad de la sesión. Si necesita revocar antes de que expire esta copia de seguridad, debe revocar explícitamente la sesión en lugar de esperar a la CRL.

Resistencia de la identidad de carga de trabajo en el sistema de autenticación de reserva

Además de la autenticación de usuario, el sistema de autenticación de reserva proporciona resistencia para identidades administradas y otra infraestructura de Azure clave al ofrecer un servicio de autenticación aislado regionalmente que se superpone con redundancia con el servicio de autenticación principal. Este sistema permite que la autenticación de infraestructura dentro de una región de Azure sea resistente a los problemas que puedan producirse en otra región o dentro del servicio de Microsoft Entra más grande. Este sistema complementa la arquitectura entre regiones de Azure. Compilar sus propias aplicaciones mediante MI y seguir los procedimientos recomendados de Azure para lograr resistencia y disponibilidad garantiza que las aplicaciones sean altamente resistentes. Además de MI, este sistema de reserva resistente regionalmente protege la infraestructura y los servicios clave de Azure que mantienen la nube funcional.

Resumen de la compatibilidad con la autenticación de infraestructura

• Los servicios integrados en la infraestructura de Azure mediante identidades administradas están protegidos por el sistema de autenticación de reserva.
• Los servicios de Azure que se autentican entre sí están protegidos por el sistema de autenticación de reserva.
• Los servicios creados en Azure (o a partir de Azure) cuando las identidades se registran como entidades de servicio y no como "identidades administradas" no están protegidos por el sistema de autenticación de reserva.

Entornos en la nube que admiten el sistema de autenticación de reserva

El sistema de autenticación de copia de seguridad es compatible con todos los entornos de nube excepto Microsoft Azure operado por 21Vianet. Los tipos de identidades admitidos varían según la nube y tienen puntos de conexión de autenticación independientes, como se describe en la tabla siguiente.

Apéndice

Aplicaciones cliente nativas populares que no son de Microsoft y aplicaciones de galería de aplicaciones

Recursos de Azure y su estado

Pasos siguientes

• Requisitos de la aplicación para el sistema de autenticación de reserva
• Introducción al sistema de autenticación de reserva
• Valores predeterminados de resistencia para el acceso condicional
• informes de rendimiento del Acuerdo de Nivel de Servicio (SLA) de Microsoft Entra