System zapasowego uwierzytelniania Microsoft Entra ID

Organizacje na całym świecie zależą od wysokiej dostępności uwierzytelniania firmy Microsoft Entra dla użytkowników i usług 24 godziny dziennie, siedem dni w tygodniu. Obiecujemy dostępność poziomu usług na poziomie 99,99% na potrzeby uwierzytelniania i stale dążymy do jej poprawy, zwiększając odporność naszej usługi uwierzytelniania. Aby jeszcze bardziej zwiększyć odporność podczas przestojów, wdrożyliśmy system tworzenia kopii zapasowych w 2021 roku.

System uwierzytelniania kopii zapasowych Firmy Microsoft Entra składa się z wielu usług kopii zapasowych, które współpracują ze sobą w celu zwiększenia odporności uwierzytelniania w przypadku awarii. Ten system w sposób niewidoczny i automatycznie obsługuje uwierzytelnianie obsługiwanych aplikacji i usług, jeśli podstawowa usługa Microsoft Entra jest niedostępna lub obniżona. Dodaje dodatkową warstwę odporności ponad wieloma poziomami istniejącej nadmiarowości. Ta odporność została opisana w poście na blogu Zwiększanie odporności usługi w Microsoft Entra ID za pomocą jej usługi uwierzytelniania zapasowego. Ten system synchronizuje metadane uwierzytelniania, gdy system jest w dobrej kondycji i używa ich do umożliwienia użytkownikom dalszego uzyskiwania dostępu do aplikacji podczas przestojów usługi podstawowej, jednocześnie wymuszając mechanizmy kontroli zasad.

Podczas przestoju usługi podstawowej użytkownicy mogą kontynuować pracę z aplikacjami, o ile dostęp do nich uzyskali w ciągu ostatnich trzech dni z tego samego urządzenia i nie istnieją żadne zasady blokujące, które ograniczyłyby dostęp:

Oprócz aplikacji firmy Microsoft obsługujemy:

• Natywni klienci poczty e-mail w systemach iOS i Android.
• Aplikacje oprogramowania jako usługi (SaaS) dostępne w galerii aplikacji, takie jak ADP, Atlassian, AWS, GoToMeeting, Kronos, Marketo, SAP, Trello, Workday i inne.
• Wybrane aplikacje biznesowe oparte na ich wzorcach uwierzytelniania.

Uwierzytelnianie między usługami, które opiera się na tożsamościach zarządzanych dla zasobów platformy Azure lub są oparte na usługach platformy Azure, otrzymują zwiększoną odporność z systemu uwierzytelniania kopii zapasowych.

Firma Microsoft stale rozszerza liczbę obsługiwanych scenariuszy.

Które obciążenia innych niż Microsoft są obsługiwane?

System uwierzytelniania kopii zapasowych automatycznie zapewnia przyrostową odporność na dziesiątki tysięcy obsługiwanych aplikacji firm innych niż Microsoft na podstawie ich wzorców uwierzytelniania. Zobacz dodatek, aby zapoznać się z listą najpopularniejszych aplikacji innych niż Microsoft i ich stan pokrycia. Aby uzyskać szczegółowe wyjaśnienie, które wzorce uwierzytelniania są obsługiwane, zobacz artykuł Understanding Application Support for the backup authentication system (Opis obsługi aplikacji dla systemu uwierzytelniania kopii zapasowych).

• Aplikacje natywne korzystające z protokołu Open Authorization (OAuth) 2.0 w celu uzyskania dostępu do aplikacji zasobów, takich jak popularne klienci poczty e-mail i komunikatorów innych niż Microsoft, takie jak Apple Mail, Aqua Mail, Gmail, Samsung Email i Spark.
• Aplikacje internetowe dla biznesu skonfigurowane do uwierzytelniania za pomocą OpenID Connect z wykorzystaniem wyłącznie tokenów ID.
• Aplikacje internetowe, które uwierzytelniają się za pomocą protokołu SAML (Security Assertion Markup Language) i są skonfigurowane do logowania jednokrotnego inicjowanego przez dostawcę tożsamości (SSO), takie jak: ADP, Atlassian Cloud, AWS, GoToMeeting, Kronos, Marketo, Palo Alto Networks, SAP Cloud Identity Services, Trello, Workday i Zscaler.

Typy aplikacji innych niż Microsoft, które nie są chronione

Następujące wzorce uwierzytelniania nie są obecnie obsługiwane:

• Aplikacje internetowe, które uwierzytelniają się przy użyciu protokołu OpenID Connect i żądają tokenów dostępu
• Aplikacje internetowe korzystające z protokołu SAML do uwierzytelniania, skonfigurowane jako SSO inicjowane przez dostawcę usług (SP)

Co sprawia, że użytkownik może być obsługiwany przez system uwierzytelniania zapasowego?

Podczas awarii użytkownik może uwierzytelnić się przy użyciu systemu uwierzytelniania kopii zapasowych, jeśli spełnione są następujące warunki:

1. Użytkownik pomyślnie uwierzytelnił się przy użyciu tej samej aplikacji i urządzenia w ciągu ostatnich trzech dni.
2. Użytkownik nie jest wymagany do interaktywnego uwierzytelniania
3. Użytkownik uzyskuje dostęp do zasobu jako członka swojego macierzystego dzierżawcy, zamiast korzystać ze scenariusza B2B lub B2C.
4. Użytkownik nie podlega zasadom dostępu warunkowego, które ograniczają system uwierzytelniania kopii zapasowych, na przykład wyłączając domyślne ustawienia odporności.
5. Użytkownik nie podlega zdarzeniu odwołania, takim jak zmiana poświadczeń od czasu ostatniego pomyślnego uwierzytelnienia.

Jak interakcyjne uwierzytelnianie i aktywność użytkownika wpływają na odporność?

System uwierzytelniania kopii zapasowej opiera się na metadanych z wcześniejszego uwierzytelniania w celu ponownego uwierzytelnienia użytkownika podczas awarii. Użytkownik musi uwierzytelnić się w ciągu ostatnich trzech dni przy użyciu tej samej aplikacji na tym samym urządzeniu, aby usługa tworzenia kopii zapasowych mogła być skuteczna. Użytkownicy nieaktywni lub nie uwierzytelnieni w danej aplikacji nie mogą używać systemu uwierzytelniania kopii zapasowych dla tej aplikacji.

Jak zasady dostępu warunkowego wpływają na odporność?

Niektóre zasady nie mogą być oceniane w czasie rzeczywistym przez system uwierzytelniania kopii zapasowych i muszą polegać na wcześniejszych ocenach tych zasad. W warunkach awarii usługa domyślnie używa wcześniejszej oceny, aby zmaksymalizować odporność. Na przykład dostęp, który jest warunkowy dla użytkownika mającego określoną rolę (na przykład Administrator aplikacji) jest kontynuowany podczas przestoju w oparciu o rolę, jaką użytkownik miał podczas tego ostatniego uwierzytelniania. Jeśli wykorzystanie poprzedniej oceny wyłącznie podczas awarii musi być ograniczone, administratorzy dzierżawy mogą wybrać ścisłą ocenę wszystkich zasad dostępu warunkowego, nawet w warunkach awarii, wyłączając domyślne ustawienia zapewniające odporność. Ta decyzja powinna być podjęta z ostrożnością, ponieważ wyłączenie domyślnych ustawień odporności dla danej zasady uniemożliwia tym użytkownikom korzystanie z uwierzytelniania kopii zapasowych. Wartości domyślne odporności muszą zostać ponownie włączone, zanim wystąpi awaria systemu kopii zapasowych, aby zapewnić odporność.

Niektóre inne typy zasad nie obsługują korzystania z systemu uwierzytelniania kopii zapasowych. Użycie następujących zasad zmniejsza odporność:

• Używanie kontrolki częstotliwości logowania w ramach zasad dostępu warunkowego.
• Korzystanie z zasad metod uwierzytelniania.
• Korzystanie z klasycznych zasad dostępu warunkowego.

Ocena zasad dostępu warunkowego tylko do raportu

Jeśli żądanie jest przetwarzane przez system uwierzytelniania kopii zapasowej, zasady dostępu warunkowego w trybie tylko do raportu będą wyświetlane na karcie Dostęp warunkowy w Entra ID>Monitorowanie i kondycja>Dzienniki logowania dla tego zdarzenia logowania, a nie na karcie Raportowanie. Należy pamiętać, że nawet w tym widoku zasady skonfigurowane w trybie tylko do raportu nigdy nie są wymuszane. Aby sprawdzić, czy tokeny zostały wystawione za pośrednictwem systemu zapasowego uwierzytelniania w dzierżawcy, możesz użyć logów logowania. W Entra ID>Monitorowanie i stan zdrowia>Dzienniki logowania dodaj filtr Token issuer type == Microsoft Entra Backup Auth, aby wyświetlić dzienniki przetwarzane przez system uwierzytelniania zapasowego.

Odwoływanie certyfikatów i system uwierzytelniania kopii zapasowych

Aby zwiększyć poziom odporności, zapasowy system uwierzytelniania nie ma możliwości przeprowadzenia świeżych sprawdzeń unieważnienia. Zamiast tego opiera się na stanie sprawdzenia listy odwołania certyfikatów (CRL), które zostało wykonane podczas ostatniego tworzenia kopii zapasowej sesji. Jeśli musisz odwołać sesję przed wygaśnięciem tej kopii zapasowej, należy wyraźnie odwołać sesję zamiast czekać na CRL.

Odporność tożsamości zadania roboczego w systemie uwierzytelniania zapasowego

Oprócz uwierzytelniania użytkowników system uwierzytelniania kopii zapasowych zapewnia odporność na tożsamości zarządzane i inną kluczową infrastrukturę platformy Azure, oferując regionalnie izolowaną usługę uwierzytelniania, która jest nadmiarowo warstwowa z podstawową usługą uwierzytelniania. Dzięki temu systemowi uwierzytelnianie infrastruktury w regionie świadczenia usługi Azure może być odporne na problemy, które mogą wystąpić w innym regionie lub w ramach większej usługi Microsoft Entra. Ten system uzupełnia architekturę między regionami platformy Azure. Tworzenie własnych aplikacji przy użyciu uczenia maszynowego i przestrzeganie najlepszych praktyk platformy Azure w zakresie odporności i dostępności zapewnia wysoką odporność twoich aplikacji. Oprócz Managed Instance (MI), ten system kopii zapasowych odporny regionalnie chroni kluczową infrastrukturę i usługi platformy Azure, które zapewniają funkcjonalność chmury.

Podsumowanie obsługi uwierzytelniania infrastruktury

• Usługi wbudowane w infrastrukturę platformy Azure korzystającą z tożsamości zarządzanych są chronione przez system uwierzytelniania kopii zapasowych.
• Usługi platformy Azure uwierzytelniające się ze sobą są chronione przez system uwierzytelniania kopii zapasowych.
• Usługi utworzone na platformie Azure lub poza nimi, gdy tożsamości są zarejestrowane jako jednostki usługi, a nie "tożsamości zarządzane" nie są chronione przez system uwierzytelniania kopii zapasowych.

Środowiska w chmurze, które obsługują system uwierzytelniania kopii zapasowych

System uwierzytelniania kopii zapasowych jest obsługiwany we wszystkich środowiskach chmury z wyjątkiem platformy Microsoft Azure obsługiwanej przez firmę 21Vianet. Typy tożsamości obsługiwanych różnią się w zależności od chmury i mają oddzielne punkty końcowe uwierzytelniania, zgodnie z opisem w poniższej tabeli.

Dodatek

Popularne aplikacje klienckie i aplikacje z galerii aplikacji spoza firmy Microsoft

Zasoby platformy Azure i ich stan

Następne kroki

• Wymagania aplikacji dotyczące systemu uwierzytelniania kopii zapasowych
• Wprowadzenie do systemu uwierzytelniania kopii zapasowych
• Domyślne ustawienia niezawodności dla dostępu warunkowego
• Raport wydajności umowy SLA firmy Microsoft