Odolné prostředí pro koncové uživatele s využitím Azure AD B2C

Článek
07/03/2024

Prostředí registrace a přihlašování pro koncové uživatele se skládá z následujících prvků:

Rozhraní, se kterými uživatel komunikuje, například CSS, HTML a JavaScript
Toky uživatelů a vlastní zásady, které vytvoříte, například registrace, přihlášení a úpravy profilu
Zprostředkovatelé identity pro vaši aplikaci, jako je uživatelské jméno nebo heslo místního účtu, Microsoft Outlook, Facebook a Google

Tok uživatele a vlastní zásady

Azure AD B2C poskytuje integrované konfigurovatelné toky uživatelů, které vám pomůžou nastavit nejběžnější úlohy identit. Můžete také vytvořit vlastní zásady , které vám nabízejí maximální flexibilitu. K řešení složitých scénářů ale doporučujeme použít vlastní zásady.

Výběr toku uživatele nebo vlastních zásad

Zvolte předdefinované toky uživatelů, které splňují vaše obchodní požadavky. Integrované toky Od Microsoftu proto můžete minimalizovat testování pro ověřování funkčnosti, výkonu nebo škálování na úrovni zásad. Otestujte ale aplikace pro funkce, výkon a škálování.

Díky vlastním zásadám se zajistí testování na úrovni zásad pro funkční, výkon nebo škálování. Proveďte testování na úrovni aplikace.

Další informace najdete v porovnání toků uživatelů a vlastních zásad.

Volba více zprostředkovatele identity

Pokud používáte externí zprostředkovatele identity , jako je Facebook, vytvořte záložní plán, pokud externí zprostředkovatele identity není k dispozici.

Nastavení několika zprostředkovatele identity

V procesu registrace externího zprostředkovatele identity uveďte ověřenou deklaraci identity, například mobilní číslo uživatele nebo e-mailovou adresu. Potvrďte ověřené deklarace identity do základní instance adresáře Azure AD B2C. Pokud externí zprostředkovatele identity není k dispozici, vraťte se k ověřené deklaraci identity a vraťte se k telefonnímu číslu jako metodu ověřování. Další možností je odeslat uživateli jednorázové heslo (OTP) pro přihlášení.

Můžete vytvořit alternativní cesty ověřování:

Nakonfigurujte zásady registrace tak, aby povolovali registraci podle místního účtu a externích zprostředkovatele identity.
Nakonfigurujte zásadu profilu, která uživatelům umožní propojit druhou identitu se svým účtem po přihlášení.
Upozorněte a povolte uživatelům přepnutí na alternativní ZDP během výpadku.

Dostupnost vícefaktorového ověřování

Pokud pro vícefaktorové ověřování používáte telefonní službu, zvažte alternativního poskytovatele služeb. U místního poskytovatele telefonních služeb může docházet k přerušení služeb.

Výběr alternativního vícefaktorového ověřování

Služba Azure AD B2C má poskytovatele MFA založeného na telefonu, který poskytuje jednorázové hesla (OTPs). Jedná se o hlasový hovor a textovou zprávu pro uživatele předregistrovaná telefonní čísla.

S toky uživatelů existují dvě metody pro sestavení odolnosti:

Změna konfigurace toku uživatele: Během přerušení doručování jednorázového hesla založeného na telefonu změňte metodu doručování jednorázovým heslam na e-mail. Znovu nasaďte tok uživatele.
Změna aplikací: Pro úlohy identit, jako je registrace a přihlášení, definujte dvě sady toků uživatelů. Nakonfigurujte první sadu pro použití jednorázového hesla založeného na telefonu a druhou pro odeslání jednorázového hesla k e-mailu. Během přerušení doručování jednorázovým heslam založeným na telefonu přepněte z první sady toků uživatelů na druhý, aby se toky uživatelů nezměnily.

Pokud používáte vlastní zásady, existují čtyři metody pro sestavení odolnosti. Seznam je v pořadí složitosti. Znovu nasaďte aktualizované zásady.

Povolit výběr jednorázového hesla pro telefon nebo jednorázové heslo k e-mailu: Zpřístupní obě možnosti, aby uživatelé mohli sami vybrat. Nemění zásady ani aplikace.
Dynamické přepínání mezi jednorázovým heslam pro telefon a jednorázovým ověřováním e-mailu: Shromážděte informace o telefonu a e-mailu při registraci. Definujte vlastní zásady, které se mají podmíněně přepnout během přerušení telefonu na jednorázový přístup k e-mailu. Neměňte zásady ani aplikace.
Použití ověřovací aplikace: Aktualizujte vlastní zásady tak, aby používaly ověřovací aplikaci. Pokud je vícefaktorové ověřování telefonem nebo e-mailem jednorázové heslo, nasaďte znovu vlastní zásady a použijte ověřovací aplikaci.

Poznámka:

Uživatelé konfigurují integraci authenticatoru během registrace.
Bezpečnostní otázky: Pokud není k dispozici žádná z předchozích metod, použijte bezpečnostní otázky. Tyto otázky jsou určené pro uživatele během onboardingu nebo úprav profilu. Odpovědi se ukládají do samostatné databáze. Tato metoda nesplňuje požadavek vícefaktorového ověřování na něco, co máte, například telefon, ale je něco, co znáte.

Síť pro doručování obsahu

Sítě pro doručování obsahu (CDN) fungují lépe a jsou levnější než úložiště objektů blob pro ukládání vlastního uživatelského rozhraní toku uživatele. Obsah webové stránky pochází z geograficky distribuované sítě serverů s vysokou dostupností.

Pravidelně testujte dostupnost CDN a výkon distribuce obsahu prostřednictvím kompletního scénáře a zátěžového testování. V případě nárůstů kvůli povýšení nebo dovolené provozu revidují odhady zátěžového testování.

Sdílet prostřednictvím