Sistema de autenticação de backup do Microsoft Entra ID

Organizações em todo o mundo dependem da alta disponibilidade da autenticação Microsoft Entra para usuários e serviços 24 horas por dia, sete dias por semana. Prometemos uma disponibilidade de nível de serviço de 99,99% para autenticação e procuramos continuamente melhorá-la, aumentando a resiliência do nosso serviço de autenticação. Para melhorar ainda mais a resiliência durante interrupções, implementamos um sistema de backup em 2021.

O sistema de autenticação de backup Microsoft Entra é composto por vários serviços de backup que trabalham juntos para aumentar a resiliência da autenticação em caso de interrupção. Este sistema processa de forma transparente e automática as autenticações de aplicações e serviços suportados se o serviço principal do Microsoft Entra não estiver disponível ou degradado. Ele adiciona uma camada extra de resiliência aos vários níveis de redundância existentes. Essa resiliência é descrita no post do blog Avanço da resiliência do serviço no Microsoft Entra ID com seu serviço de autenticação de backup. Esse sistema sincroniza metadados de autenticação quando o sistema está íntegro e usa isso para permitir que os usuários continuem a acessar aplicativos durante interrupções do serviço principal enquanto ainda aplicam controles de política.

Durante uma interrupção do serviço principal, os usuários podem continuar trabalhando com seus aplicativos, desde que os acessem nos últimos três dias a partir do mesmo dispositivo, e não existam políticas de bloqueio que limitem seu acesso:

Além dos aplicativos da Microsoft, suportamos:

• Clientes de email nativos em iOS e Android.
• Aplicativos de software como serviço (SaaS) disponíveis na galeria de aplicativos, como ADP, Atlassian, AWS, GoToMeeting, Kronos, Marketo, SAP, Trello, Workday e muito mais.
• Aplicativos de linha de negócios selecionados, com base em seus padrões de autenticação.

A autenticação de serviço a serviço que depende de identidades gerenciadas para recursos do Azure ou é criada em serviços do Azure recebe maior resiliência do sistema de autenticação de backup.

A Microsoft está continuamente a expandir o número de cenários suportados.

Quais cargas de trabalho não Microsoft são suportadas?

O sistema de autenticação de backup fornece automaticamente resiliência incremental a dezenas de milhares de aplicativos não Microsoft suportados com base em seus padrões de autenticação. Consulte o apêndice para obter uma lista dos aplicativos não Microsoft mais comuns e seu status de cobertura. Para obter uma explicação detalhada de quais padrões de autenticação são suportados, consulte o artigo Understanding Application Support for the backup authentication system article.

• Aplicativos nativos que usam o protocolo Open Authorization (OAuth) 2.0 para acessar aplicativos de recursos, como clientes populares de e-mail e mensagens instantâneas que não são da Microsoft, como: Apple Mail, Aqua Mail, Gmail, Samsung Email e Spark.
• Aplicações web de linha de negócio configuradas para autenticar com OpenID Connect usando apenas tokens de identificação (ID).
• Aplicativos Web autenticados com o protocolo SAML (Security Assertion Markup Language), quando configurados para logon único (SSO) iniciado pelo IDP, como: ADP, Atlassian Cloud, AWS, GoToMeeting, Kronos, Marketo, Palo Alto Networks, SAP Cloud Identity Services, Trello, Workday e Zscaler.

Tipos de aplicativos que não são da Microsoft que não estão protegidos

Os seguintes padrões de autenticação não são suportados no momento:

• Aplicativos Web que autenticam usando OpenID Connect e solicitam tokens de acesso
• Aplicativos Web que usam o protocolo SAML para autenticação, quando configurados como SSO iniciado por SP

O que torna um usuário suportado pelo sistema de autenticação de backup?

Durante uma interrupção, um usuário pode se autenticar usando o sistema de autenticação de backup se as seguintes condições forem atendidas:

1. O usuário se autenticou com êxito usando o mesmo aplicativo e dispositivo nos últimos três dias.
2. O usuário não precisa se autenticar interativamente
3. O utilizador está a aceder a um recurso como membro do seu tenant de origem, em vez de utilizar um cenário B2B ou B2C.
4. O utilizador não está sujeito a políticas de Acesso Condicional que limitam o sistema de autenticação de backup, como desativar padrões de resiliência.
5. O usuário não foi sujeito a um evento de revogação, como uma alteração de credencial desde sua última autenticação bem-sucedida.

Como a autenticação interativa e a atividade do usuário afetam a resiliência?

O sistema de autenticação de backup depende de metadados de uma autenticação anterior para autenticar novamente o usuário durante uma interrupção. Um usuário deve ter se autenticado nos últimos três dias usando o mesmo aplicativo no mesmo dispositivo para que o serviço de backup seja eficaz. Os usuários inativos ou não autenticados em um determinado aplicativo não podem usar o sistema de autenticação de backup para esse aplicativo.

Como as políticas de Acesso Condicional afetam a resiliência?

Certas políticas não podem ser avaliadas em tempo real pelo sistema de autenticação de backup e devem depender de avaliações prévias dessas políticas. Em condições de interrupção, o serviço usa uma avaliação prévia por padrão para maximizar a resiliência. Por exemplo, o acesso condicionado a um usuário ter uma função específica (como Administrador de Aplicativo) continua durante uma interrupção com base na função que o usuário tinha durante a autenticação mais recente. Se o uso exclusivo da avaliação anterior em caso de interrupção precisar ser restringido, os administradores de locatários podem optar por uma avaliação rigorosa de todas as políticas de Acesso Condicional, mesmo em condições de interrupção, desativando os padrões de resiliência. Essa decisão deve ser tomada com cuidado, pois desabilitar os padrões de resiliência para uma determinada política impede que esses usuários usem a autenticação de backup. As configurações de resiliência devem ser reativadas antes que ocorra uma interrupção para que o sistema de backup possa funcionar corretamente.

Alguns outros tipos de políticas não suportam o uso do sistema de autenticação de backup. A utilização das seguintes políticas reduz a resiliência:

• Utilização do controlo de frequência de inícios de sessão como parte de uma política de Acesso Condicional.
• Uso da política de métodos de autenticação.
• Utilização de políticas clássicas de Acesso Condicional.

Avaliação de políticas de Acesso Condicional apenas em modo de relatório

Se uma solicitação for processada pelo sistema de autenticação de backup, as políticas de Acesso Condicional em modo apenas relatório aparecerão na guia Acesso Condicional em Entra IDMonitorização & Saúde Registos de entrada para esse evento de entrada, em vez de na guia Apenas relatório. Observe que, mesmo nesta visualização, as políticas configuradas no modo apenas relatório jamais são aplicadas. Para ver se os tokens foram emitidos por meio do sistema de autenticação de backup em seu locatário, você pode usar os logs de entrada. Em Entra ID>Monitoring & health>Sign-in Logs, adicione o filtro Token issuer type == Microsoft Entra Backup Auth para exibir os logs processados pelo sistema de autenticação de backup.

Revogação de certificados e o sistema de autenticação de backup

Para melhorar sua postura de resiliência, o sistema de autenticação de backup não pode executar novas verificações de revogação. Em vez disso, ele depende do estado da verificação da lista de revogação de certificados (CRL) executada quando o último backup da sessão foi feito. Se você precisar revogar antes que esse backup expire, deverá revogar explicitamente a sessão em vez de aguardar a CRL.

Resiliência da identidade de trabalho no sistema de autenticação secundária

Além da autenticação do usuário, o sistema de autenticação de backup fornece resiliência para identidades geridas e outras infraestruturas importantes do Azure, oferecendo um serviço de autenticação isolado regionalmente que é colocado em camadas redundantes com o serviço de autenticação principal. Esse sistema permite que a autenticação de infraestrutura em uma região do Azure seja resiliente a problemas que possam ocorrer em outra região ou no serviço Microsoft Entra maior. Este sistema complementa a arquitetura entre regiões do Azure. Criar seus próprios aplicativos usando MI e seguindo as práticas recomendadas do Azure para resiliência e disponibilidade garante que seus aplicativos sejam altamente resilientes. Além do MI, este sistema de backup regionalmente resiliente protege a infraestrutura e os principais serviços do Azure que mantêm a nuvem funcional.

Resumo do suporte à autenticação de infraestrutura

• Os seus serviços construídos na Infraestrutura do Azure usando identidades geridas são protegidos pelo sistema de autenticação de backup.
• Os serviços do Azure que se autenticam uns com os outros são protegidos pelo sistema de autenticação de backup.
• Seus serviços criados dentro ou fora do Azure quando as identidades são registradas como Entidades de Serviço e não "identidades gerenciadas" não são protegidas pelo sistema de autenticação de backup.

Ambientes de nuvem que suportam o sistema de autenticação de backup

O sistema de autenticação de backup é suportado em todos os ambientes de nuvem, exceto o Microsoft Azure operado pela 21Vianet. Os tipos de identidades suportados variam de acordo com a nuvem e têm pontos de extremidade de autenticação separados, conforme descrito na tabela a seguir.

Anexo

Aplicativos cliente não nativos da Microsoft populares e aplicativos de galeria de aplicativos

Recursos do Azure e seu status

Próximos passos

• Requisitos de aplicativo para o sistema de autenticação de backup
• Introdução ao sistema de autenticação de backup
• Padrões de resiliência para acesso condicional
• Relatório de desempenho do contrato de nível de serviço (SLA) do Microsoft Entra