Autentikasi Windows - Delegasi Kerberos yang Dibatasi dengan Microsoft Entra ID

Berdasarkan Nama principal layanan, Kerberos Constrained Delegation (KCD) menyediakan delegasi terbatas antar sumber daya. Ini mengharuskan administrator domain untuk membuat delegasi dan terbatas pada satu domain. Anda dapat menggunakan KCD berbasis sumber daya untuk menyediakan autentikasi Kerberos untuk aplikasi web yang memiliki pengguna di beberapa domain dalam hutan Active Directory.

Proxy aplikasi Microsoft Entra dapat menyediakan Single Sign-On (SSO) dan akses remote ke aplikasi yang berbasis KCD, yang memerlukan tiket Kerberos untuk akses dan Delegasi Terbatas Kerberos (KCD).

Untuk mengaktifkan SSO ke aplikasi KCD lokal Anda yang menggunakan autentikasi Windows terintegrasi (IWA), berikan izin konektor jaringan privat untuk meniru pengguna di Direktori Aktif. Konektor jaringan privat menggunakan izin ini untuk mengirim dan menerima token atas nama pengguna.

Kapan menggunakan KCD

Gunakan KCD ketika ada kebutuhan untuk menyediakan akses jarak jauh, melindungi dengan pra-autentikasi, dan menyediakan SSO ke aplikasi IWA lokal.

Komponen sistem

• Pengguna: Mengakses aplikasi warisan yang dilayani Oleh Proksi Aplikasi.
• Penjelajah web: Komponen yang berinteraksi dengan pengguna untuk mengakses URL eksternal aplikasi.
• ID Microsoft Entra: Mengautentikasi pengguna.
• Layanan Proksi Aplikasi: Bertindak sebagai proksi terbalik untuk mengirim permintaan dari pengguna ke aplikasi lokal. Ini berada di MICROSOFT Entra ID. Proksi Aplikasi dapat memberlakukan kebijakan Akses Kondisional.
• Konektor jaringan privat: Diinstal pada server lokal Windows untuk menyediakan konektivitas ke aplikasi. Mengembalikan respons ke Microsoft Entra ID. Melakukan negosiasi KCD dengan Active Directory, meniru pengguna untuk mendapatkan token Kerberos ke aplikasi.
• Direktori Aktif: Mengirim token Kerberos untuk aplikasi ke konektor jaringan privat.
• Aplikasi warisan: Aplikasi yang menerima permintaan pengguna dari Proksi Aplikasi. Aplikasi lama mengembalikan respons ke konektor jaringan privat.

Menerapkan autentikasi Windows (KCD) dengan ID Microsoft Entra

Jelajahi sumber daya berikut untuk mempelajari selengkapnya tentang menerapkan autentikasi Windows (KCD) dengan ID Microsoft Entra.

• Tanda tangan masuk tunggal (SSO) berbasis Kerberos di Microsoft Entra ID dengan Proksi Aplikasi menjelaskan prasyarat dan langkah-langkah konfigurasi.
• Tutorial - Menambahkan aplikasi lokal - Proksi Aplikasi di MICROSOFT Entra ID membantu Anda menyiapkan lingkungan untuk digunakan dengan Proksi Aplikasi.

Langkah selanjutnya

• Gambaran umum protokol autentikasi dan sinkronisasi Microsoft Entra menjelaskan integrasi dengan protokol autentikasi dan sinkronisasi. Integrasi autentikasi memungkinkan Anda menggunakan ID Microsoft Entra dan fitur keamanan dan manajemennya dengan sedikit atau tanpa perubahan pada aplikasi Anda yang menggunakan metode autentikasi warisan. Integrasi sinkronisasi memungkinkan Anda menyinkronkan data pengguna dan grup ke ID Microsoft Entra lalu menggunakan kemampuan manajemen Microsoft Entra. Beberapa pola sinkronisasi memungkinkan provisi otomatis.
• Memahami single sign-on dengan aplikasi di lokasi menggunakan Proksi Aplikasi menjelaskan bagaimana SSO memungkinkan pengguna Anda mengakses aplikasi tanpa perlu mengautentikasi beberapa kali. SSO terjadi di cloud terhadap Microsoft Entra ID dan memungkinkan layanan atau Konektor untuk bertindak sebagai pengguna untuk menyelesaikan proses autentikasi aplikasi.
• Pengenalan tunggal Security Assertion Markup Language (SAML) untuk aplikasi di lokasi dengan Microsoft Entra Application Proxy menjelaskan bagaimana Anda dapat menyediakan akses jarak jauh ke aplikasi di lokasi yang diamankan dengan autentikasi SAML melalui Application Proxy.