Microsoft Entra ID 的備份驗證系統

世界各地的組織每周 7 天、每天 24 小時都依賴 Microsoft Entra 驗證對使用者和服務的高可用性。 我們承諾提供 99.99% 服務等級的可用性來進行驗證，並持續尋求透過增強驗證服務的復原能力來改善它。 為了進一步改善中斷期間的復原能力，我們在 2021 年實作了備份系統。

Microsoft Entra 備份驗證系統是由多個備份服務所組成，這些服務會一起運作，以在發生中斷時提高驗證復原能力。 如果主要的 Microsoft Entra 服務無法使用或已降級，此系統就會以透明方式自動處理對所支援應用程式和服務的驗證。 其會在現有備援的多個層級之上新增額外的復原層。 此復原能力的說明請見下列部落格文章：在 Microsoft Entra ID 中使用其備份驗證服務提高服務復原能力 (英文)。 當系統狀況良好時，此系統會同步驗證中繼資料，以便於主要服務故障期間讓使用者繼續存取應用程式，同時確保政策控制。

在主要服務中斷期間，使用者能夠繼續使用其應用程式，只要使用者已在過去三天內從相同裝置存取其應用程式，且不存在任何會限制其存取的封鎖原則：

除了 Microsoft 應用程式，我們還支援：

• iOS 和 Android 上的原生電子郵件用戶端。
• 應用程式資源庫中提供的軟體即服務 (SaaS) 應用程式，例如 ADP、Atlassian、AWS、GoToMeeting、Kronos、Marketo、SAP、Trello、Workday 等等。
• 根據其驗證模式挑選的企業業務應用程式。

服務對服務驗證，依賴 Azure 資源的受控識別，或建置在 Azure 服務上，從備份驗證系統接收增強的復原能力。

Microsoft 會持續擴充支援案例的數目。

支援哪些非 Microsoft 工作負載？

備份驗證系統會根據其驗證模式，自動為數萬個支援的非 Microsoft 應用程式提供累加的復原能力。 如需最常見的非 Microsoft 應用程式及其涵蓋範圍狀態清單，請參閱附錄。 如需支援哪些驗證模式的深入說明，請參閱了解備份驗證系統的應用程式支援一文。

• 使用 Open Authorization (OAuth) 2.0 通訊協定來存取資源應用程式的原生應用程式，例如，熱門的非 Microsoft 電子郵件和 IM 用戶端，例如：Apple Mail、Aqua Mail、Gmail、Samsung Email 和 Spark。
• 設定為僅使用識別碼權杖來向 OpenID Connect 進行驗證的企業營運 Web 應用程式。
• 在設定為由 IDP 起始的單一登入 (SSO) 時，使用安全性聲明標記語言 (SAML) 通訊協定進行驗證的 Web 應用程式，例如：ADP、Atlassian Cloud、AWS、GoToMeeting、Kronos、Marketo、Palo Alto Networks、SAP Cloud Identity Services、Trello、Workday 和 Zscaler。

未受保護的非 Microsoft 應用程式類型

目前不支援下列驗證模式：

• 使用 OpenID Connect 進行驗證並要求存取權杖的 Web 應用程式
• 設定為由 SP 起始的 SSO 時，Web 應用程式使用 SAML 通訊協定進行驗證。

什麼讓使用者能夠得到備份驗證系統的支援？

在中斷期間，如果符合下列條件，使用者就能使用備份驗證系統進行驗證：

1. 使用者已在過去三天內使用相同的應用程式和裝置成功進行驗證。
2. 使用者不需要以互動方式進行驗證
3. 使用者正以主租用戶的成員身分存取資源，而不是在練習 B2B 或 B2C 案例。
4. 使用者不會受限於限制備份驗證系統的條件式存取原則，例如停用復原預設值。
5. 使用者尚未遭遇撤銷事件，例如自上次成功驗證後的憑證更改。

互動式驗證和使用者活動會對復原能力產生何種影響？

備份驗證系統依賴先前驗證的中繼資料，以便在中斷期間重新驗證使用者。 在過去三天內，用戶必須使用相同裝置上的相同應用程式進行驗證，備份服務才能生效。 非使用中或尚未對指定應用程式進行驗證的使用者，無法針對該應用程式使用備份驗證系統。

條件式存取原則會對復原能力產生何種影響？

備份驗證系統無法即時評估特定原則，而且必須依賴這些原則進行先前的評估。 在中斷狀況下，服務預設會使用先前的評估，將復原能力提高至最大限度。 例如，使用者擁有特定角色（例如應用程式系統管理員）作為存取權條件的情況下，在系統中斷期間，將根據使用者在最近一次驗證中擁有的角色繼續存取權。 如果需要限制僅在中斷時使用先前的評估，租用戶系統管理員就能透過停用復原預設值，來選擇對所有條件式存取原則進行嚴格評估，即使在中斷狀況下也一樣。 您應該謹慎進行此決策，因為針對指定的原則停用復原預設值會使那些使用者無法使用備份驗證。 在發生中斷之前，必須重新啟用備援系統的復原預設值，才能確保其具備復原能力。

某些其他類型的原則不支援使用備份驗證系統。 使用下列原則會降低復原能力：

• 使用登入頻率控制作為條件式存取原則的一部分。
• 使用驗證方法原則。
• 使用傳統的條件式存取原則。

評估僅限報表的條件式存取原則

如果備份驗證系統處理要求，則僅限報告的條件式存取原則會出現在該登入事件的 Entra ID>>的 [條件式存取] 索引標籤下，而不是 [僅限報告] 索引標籤中。請注意，即使在此檢視中，也永遠不會強制執行以僅限報告模式設定的原則。 若要查看代幣是否透過租用戶內的備援驗證系統發行，您可以使用登入記錄。 在 Entra ID>監控和健康情況>登入記錄中，新增篩選條件 Token issuer type == Microsoft Entra Backup Auth 以顯示備份驗證系統所處理的記錄。

憑證撤銷和備份驗證系統

為了增強其復原狀態，備份驗證系統無法執行新的撤銷檢查。 相反地，該系統依賴於上次備份會話時執行的憑證撤銷清單（CRL）檢查結果。 如果您需要在此備份到期之前撤銷，您應該明確撤銷工作階段，而不是等待 CRL。

備份驗證系統中的工作負載身分識別復原能力

除了使用者驗證，備份驗證系統還會透過提供與主要驗證服務重複分層的區域隔離驗證服務，來提供受控識別和其他主要 Azure 基礎結構的復原能力。 此系統能使 Azure 區域內的基礎結構驗證具備抵禦能力，從而免受其他區域或較大型 Microsoft Entra 服務中可能出現的問題的影響。 此系統可補充 Azure 的跨區域架構。 使用 MI 建置您自己的應用程式，並遵循 Azure 的復原能力和可用性的最佳做法，可確保您的應用程式具有高度復原性。 除了 MI，此區域復原備份系統也會保護重要的 Azure 基礎結構和服務，讓雲端能夠正常運作。

基礎結構驗證支援的摘要

• 使用受控識別建置於 Azure 基礎結構之上的服務會受到備份驗證系統所保護。
• 相互驗證的 Azure 服務會受到備份驗證系統所保護。
• 當身分識別註冊為服務主體而非「受控識別」時，備份驗證系統不會保護在 Azure 之上或之外建置的服務。

支援備份驗證系統的雲端環境

除了由世紀互聯提供的 Microsoft Azure 以外，所有雲端環境中都支援備份驗證系統。 支援的身分識別類型會因雲端而異，而且有不同的驗證端點，如下表所述。

附錄

熱門的非 Microsoft 原生用戶端應用程式和應用程式資源庫應用程式

Azure 資源及其狀態

下一步

• 備份驗證系統的應用程式需求
• 備份驗證系統的簡介 (英文)
• 條件式存取的復原預設值
• Microsoft Entra 服務等級協定 (SLA) 效能報告