system uwierzytelniania kopii zapasowych Microsoft Entra ID

Organizacje na całym świecie zależą od wysokiej dostępności uwierzytelniania Microsoft Entra dla użytkowników i usług 24 godziny dziennie, siedem dni w tygodniu. Obiecujemy dostępność poziomu usług na poziomie 99,99% na potrzeby uwierzytelniania i stale dążymy do jej poprawy, zwiększając odporność naszej usługi uwierzytelniania. Aby jeszcze bardziej zwiększyć odporność podczas przestojów, wdrożyliśmy system tworzenia kopii zapasowych w 2021 roku.

System uwierzytelniania kopii zapasowych Microsoft Entra składa się z wielu usług kopii zapasowych, które współpracują ze sobą w celu zwiększenia odporności uwierzytelniania w przypadku awarii. Ten system w sposób niewidoczny i automatycznie obsługuje uwierzytelnianie obsługiwanych aplikacji i usług, jeśli podstawowa usługa Microsoft Entra jest niedostępna lub obniżona. Dodaje dodatkową warstwę odporności ponad wieloma poziomami istniejącej nadmiarowości. Ta odporność została opisana we wpisie w blogu Advancing service resilience in Microsoft Entra ID with its backup authentication service (Wzmacnianie odporności usługi w Microsoft Entra ID dzięki zapasowej usłudze uwierzytelniania). Ten system synchronizuje metadane uwierzytelniania, gdy system jest w dobrej kondycji i używa ich do umożliwienia użytkownikom dalszego uzyskiwania dostępu do aplikacji podczas przestojów usługi podstawowej, jednocześnie wymuszając mechanizmy kontroli zasad.

Podczas przestoju usługi podstawowej użytkownicy mogą kontynuować pracę z aplikacjami, o ile dostęp do nich uzyskali w ciągu ostatnich trzech dni z tego samego urządzenia i nie istnieją żadne zasady blokujące, które ograniczyłyby dostęp:

Oprócz aplikacji firmy Microsoft obsługujemy:

  • Natywni klienci poczty e-mail w systemach iOS i Android.
  • Aplikacje oprogramowania jako usługi (SaaS) dostępne w galerii aplikacji, takie jak ADP, Atlassian, AWS, GoToMeeting, Kronos, Marketo, SAP, Trello, Workday i inne.
  • Wybrane aplikacje biznesowe oparte na ich wzorcach uwierzytelniania.

Uwierzytelnianie między usługami, które opiera się na tożsamościach zarządzanych dla zasobów Azure lub na usługach Azure, otrzymuje zwiększoną odporność dzięki systemowi zapasowego uwierzytelniania.

Firma Microsoft stale rozszerza liczbę obsługiwanych scenariuszy.

Które obciążenia innych niż Microsoft są obsługiwane?

System uwierzytelniania kopii zapasowych automatycznie zapewnia przyrostową odporność na dziesiątki tysięcy obsługiwanych aplikacji firm innych niż Microsoft na podstawie ich wzorców uwierzytelniania. Zobacz dodatek, aby zapoznać się z listą najpopularniejszych aplikacji innych niż Microsoft i ich stan pokrycia. Aby uzyskać szczegółowe wyjaśnienie, które wzorce uwierzytelniania są obsługiwane, zobacz artykuł Understanding Application Support for the backup authentication system (Opis obsługi aplikacji dla systemu uwierzytelniania kopii zapasowych).

  • Aplikacje natywne korzystające z protokołu Open Authorization (OAuth) 2.0 w celu uzyskania dostępu do aplikacji zasobów, takich jak popularne klienci poczty e-mail i komunikatorów innych niż Microsoft, takie jak Apple Mail, Aqua Mail, Gmail, Samsung Email i Spark.
  • Aplikacje internetowe dla biznesu skonfigurowane do uwierzytelniania za pomocą OpenID Connect z wykorzystaniem wyłącznie tokenów ID.
  • Aplikacje internetowe, które uwierzytelniają się za pomocą protokołu SAML (Security Assertion Markup Language) i są skonfigurowane do logowania jednokrotnego inicjowanego przez dostawcę tożsamości (SSO), takie jak: ADP, Atlassian Cloud, AWS, GoToMeeting, Kronos, Marketo, Palo Alto Networks, SAP Cloud Identity Services, Trello, Workday i Zscaler.

Typy aplikacji innych niż Microsoft, które nie są chronione

Następujące wzorce uwierzytelniania nie są obecnie obsługiwane:

  • Aplikacje internetowe, które uwierzytelniają się przy użyciu protokołu OpenID Connect i żądają tokenów dostępu
  • Aplikacje internetowe korzystające z protokołu SAML do uwierzytelniania, skonfigurowane jako SSO inicjowane przez dostawcę usług (SP)

Co sprawia, że użytkownik może być obsługiwany przez system uwierzytelniania zapasowego?

Podczas awarii użytkownik może uwierzytelnić się przy użyciu systemu uwierzytelniania kopii zapasowych, jeśli spełnione są następujące warunki:

  1. Użytkownik pomyślnie uwierzytelnił się przy użyciu tej samej aplikacji i urządzenia w ciągu ostatnich trzech dni.
  2. Użytkownik nie jest wymagany do interaktywnego uwierzytelniania
  3. Użytkownik uzyskuje dostęp do zasobu jako członka swojego macierzystego dzierżawcy, zamiast korzystać ze scenariusza B2B lub B2C.
  4. Użytkownik nie podlega zasadom dostępu warunkowego, które ograniczają system uwierzytelniania kopii zapasowych, na przykład wyłączając domyślne ustawienia odporności.
  5. Użytkownik nie podlega zdarzeniu odwołania, takim jak zmiana poświadczeń od czasu ostatniego pomyślnego uwierzytelnienia.

Jak interakcyjne uwierzytelnianie i aktywność użytkownika wpływają na odporność?

System uwierzytelniania kopii zapasowej opiera się na metadanych z wcześniejszego uwierzytelniania w celu ponownego uwierzytelnienia użytkownika podczas awarii. Użytkownik musi uwierzytelnić się w ciągu ostatnich trzech dni przy użyciu tej samej aplikacji na tym samym urządzeniu, aby usługa tworzenia kopii zapasowych mogła być skuteczna. Użytkownicy nieaktywni lub nie uwierzytelnieni w danej aplikacji nie mogą używać systemu uwierzytelniania kopii zapasowych dla tej aplikacji.

Jak zasady dostępu warunkowego wpływają na odporność?

Niektóre zasady nie mogą być oceniane w czasie rzeczywistym przez system uwierzytelniania kopii zapasowych i muszą polegać na wcześniejszych ocenach tych zasad. W warunkach awarii usługa domyślnie używa wcześniejszej oceny, aby zmaksymalizować odporność. Na przykład dostęp, który jest warunkowy dla użytkownika mającego określoną rolę (na przykład Administrator aplikacji) jest kontynuowany podczas przestoju w oparciu o rolę, jaką użytkownik miał podczas tego ostatniego uwierzytelniania. Jeśli wykorzystanie poprzedniej oceny wyłącznie podczas awarii musi być ograniczone, administratorzy dzierżawy mogą wybrać ścisłą ocenę wszystkich zasad dostępu warunkowego, nawet w warunkach awarii, wyłączając domyślne ustawienia zapewniające odporność. Ta decyzja powinna być podjęta z ostrożnością, ponieważ wyłączenie domyślnych ustawień odporności dla danej zasady uniemożliwia tym użytkownikom korzystanie z uwierzytelniania kopii zapasowych. Wartości domyślne odporności muszą zostać ponownie włączone, zanim wystąpi awaria systemu kopii zapasowych, aby zapewnić odporność.

Niektóre inne typy zasad nie obsługują korzystania z systemu uwierzytelniania kopii zapasowych. Użycie następujących zasad zmniejsza odporność:

  • Używanie kontrolki częstotliwości logowania w ramach zasad dostępu warunkowego.
  • Korzystanie z zasad metod uwierzytelniania.
  • Korzystanie z klasycznych zasad dostępu warunkowego (przestarzałe — zasady klasyczne przestały działać po 10 lipca 2024 r.).

Ocena zasad dostępu warunkowego tylko do raportu

Jeśli żądanie jest przetwarzane przez system uwierzytelniania kopii zapasowej, zasady dostępu warunkowego w trybie tylko do raportu będą wyświetlane na karcie Dostęp warunkowy w Entra ID>Monitorowanie i kondycja>Dzienniki logowania dla tego zdarzenia logowania, a nie na karcie Raportowanie. Należy pamiętać, że nawet w tym widoku zasady skonfigurowane w trybie tylko do raportu nigdy nie są wymuszane. Aby sprawdzić, czy tokeny zostały wystawione za pośrednictwem systemu zapasowego uwierzytelniania w dzierżawcy, możesz użyć logów logowania. W Entra ID>Monitorowanie i stan zdrowia>Logi logowania, dodaj filtr Token issuer type == Microsoft Entra Backup Auth, aby wyświetlić dzienniki przetworzone przez zapasowy system uwierzytelniania.

Odwoływanie certyfikatów i system uwierzytelniania kopii zapasowych

Aby zwiększyć poziom odporności, zapasowy system uwierzytelniania nie ma możliwości przeprowadzenia świeżych sprawdzeń unieważnienia. Zamiast tego opiera się na stanie sprawdzenia listy odwołania certyfikatów (CRL), które zostało wykonane podczas ostatniego tworzenia kopii zapasowej sesji. Jeśli musisz odwołać sesję przed wygaśnięciem tej kopii zapasowej, należy wyraźnie odwołać sesję zamiast czekać na CRL.

Odporność tożsamości zadania roboczego w systemie uwierzytelniania zapasowego

Oprócz uwierzytelniania użytkowników, system uwierzytelniania kopii zapasowych zapewnia odporność dla tożsamości zarządzanych oraz innej infrastruktury kluczowej Azure, oferując regionalnie izolowaną usługę uwierzytelniania, złożoną nadmiarowo z podstawową usługą uwierzytelniania. Dzięki temu systemowi uwierzytelnianie infrastruktury w regionie Azure może być odporne na problemy, które mogą wystąpić w innym regionie lub w ramach większej usługi Microsoft Entra. Ten system uzupełnia architekturę między regionami Azure. Budowanie własnych aplikacji z użyciem Sztucznej Inteligencji i zgodnie z najlepszymi praktykami Azure dotyczącymi odporności i dostępności zapewnia wysoką odporność aplikacji. Oprócz MI, ten regionalnie odporny system kopii zapasowych chroni kluczową infrastrukturę i usługi Azure, które utrzymują funkcjonalność chmury.

Podsumowanie obsługi uwierzytelniania infrastruktury

  • Usługi wbudowane w infrastrukturę Azure korzystającą z tożsamości zarządzanych są chronione przez system uwierzytelniania kopii zapasowych.
  • Usługi Azure uwierzytelniające się wzajemnie są chronione przez system zapasowego uwierzytelniania.
  • Usługi oparte na platformie Azure lub poza nią, gdy tożsamości są zarejestrowane jako zasady usługi, a nie jako "tożsamości zarządzane," nie są chronione przez system uwierzytelniania zapasowego.

Środowiska w chmurze, które obsługują system uwierzytelniania kopii zapasowych

System uwierzytelniania kopii zapasowych jest obsługiwany we wszystkich środowiskach chmury z wyjątkiem Microsoft Azure obsługiwanych przez firmę 21Vianet. Typy tożsamości obsługiwanych różnią się w zależności od chmury i mają oddzielne punkty końcowe uwierzytelniania, zgodnie z opisem w poniższej tabeli.

środowisko Azure środowiska Microsoft 365 Tożsamości chronione punkt końcowy uwierzytelniania Microsoft Entra
Azure komercyjne Rozwiązania komercyjne i rządowe M365 Użytkownicy i tożsamości zarządzane https://login.microsoftonline.com
Azure Government M365 GCC High i DoD Użytkownicy i tożsamości zarządzane https://login.microsoftonline.us
Azure Government Secret M365 Tajny Rządowy Użytkownicy i tożsamości zarządzane Niedostępny
Azure Government Top Secret M365 Government Ściśle Tajne Użytkownicy i tożsamości zarządzane Niedostępny
Azure obsługiwane przez firmę 21Vianet Niedostępny Tożsamości zarządzane https://login.partner.microsoftonline.cn

Dodatek

Nazwa aplikacji Zabezpieczone Dlaczego nie jest chroniona?
ABBYY FlexiCapture 12 Nie. Inicjowane przez dostawcę usług SAML
Adobe Experience Manager Nie. Inicjowane przez dostawcę usług SAML
Adobe Identity Management (OIDC) Nie. OIDC z tokenem dostępu
ADP Tak Zabezpieczone
Apple Business Menedżer Nie. Inicjowane przez dostawcę usług SAML
Konta internetowe firmy Apple Tak Zabezpieczone
Apple School Manager (Menadżer Szkolny Apple) Nie. OIDC z tokenem dostępu
Aqua Mail Tak Zabezpieczone
Atlassian Cloud Tak* Zabezpieczone
Blackboard Learn (platforma edukacyjna) Nie. Inicjowane przez dostawcę usług SAML
Pudełko Nie. Inicjowane przez dostawcę usług SAML
Brightspace by Desire2Learn Nie. Inicjowane przez dostawcę usług SAML
Kanwa Nie. Inicjowane przez dostawcę usług SAML
Ceridian Dayforce HCM Nie. Inicjowane przez dostawcę usług SAML
Cisco AnyConnect Nie. Inicjowane przez dostawcę usług SAML
Cisco Webex Nie. Inicjowane przez dostawcę usług SAML
Łącznik SAML firmy Citrix ADC dla usługi Azure AD Nie. Inicjowane przez dostawcę usług SAML
Sprytny Nie. Inicjowane przez dostawcę usług SAML
Mapowanie dysku chmurowego Tak Zabezpieczone
Jednokrotne logowanie Cornerstone Nie. Inicjowane przez dostawcę usług SAML
Docusign Nie. Inicjowane przez dostawcę usług SAML
Druva Nie. Inicjowane przez dostawcę usług SAML
Integracja F5 BIG-IP APM z Azure AD Nie. Inicjowane przez dostawcę usług SAML
FortiGate SSL VPN Nie. Inicjowane przez dostawcę usług SAML
Freshworks Nie. Inicjowane przez dostawcę usług SAML
Gmail Tak Zabezpieczone
Google Cloud / G Suite Connector firmy Microsoft Nie. Inicjowane przez dostawcę usług SAML
HubSpot Sales Nie. Inicjowane przez dostawcę usług SAML
Kronos Tak* Zabezpieczone
Aplikacja Madrasati Nie. Inicjowane przez dostawcę usług SAML
OpenAthens Nie. Inicjowane przez dostawcę usług SAML
Oracle Fusion ERP Nie. Inicjowane przez dostawcę usług SAML
Palo Alto Networks — GlobalProtect Nie. Inicjowane przez dostawcę usług SAML
Polycom — Skype dla firm certyfikowany telefon Tak Zabezpieczone
Salesforce Nie. Inicjowane przez dostawcę usług SAML
Wiadomość e-mail firmy Samsung Tak Zabezpieczone
SAP Cloud Platform Identity Authentication Nie. Inicjowane przez dostawcę usług SAML
SAP Concur Tak* Inicjowane przez dostawcę usług SAML
SAP Concur Podróże i Wydatki Tak* Zabezpieczone
SAP Fiori Nie. Inicjowane przez dostawcę usług SAML
SAP NetWeaver Nie. Inicjowane przez dostawcę usług SAML
SAP SuccessFactors Nie. Inicjowane przez dostawcę usług SAML
Usługi Teraz Nie. Inicjowane przez dostawcę usług SAML
Slack Nie. Inicjowane przez dostawcę usług SAML
Smartsheet Nie. Inicjowane przez dostawcę usług SAML
Iskra Tak Zabezpieczone
UKG Pro Tak* Zabezpieczone
VMware Boxer Tak Zabezpieczone
walkMe Nie. Inicjowane przez dostawcę usług SAML
Workday Nie. Inicjowane przez dostawcę usług SAML
Powiększ Nie. Inicjowane przez dostawcę usług SAML
Zscaler Tak* Zabezpieczone
Zscaler Private Access (ZPA) Nie. Inicjowane przez dostawcę usług SAML
Zscaler ZSCloud Nie. Inicjowane przez dostawcę usług SAML

Uwaga

* Aplikacje skonfigurowane do uwierzytelniania przy użyciu protokołu SAML są chronione podczas korzystania z uwierzytelniania inicjowanego przez dostawcę tożsamości. Konfiguracje protokołu SAML inicjowane przez dostawcę usług (SP) nie są obsługiwane

Azure zasoby i ich status

zasób nazwa zasobu Azure Stan
Microsoft.ApiManagement Usługa API Management w regionach Azure Government i Chinach Zabezpieczone
microsoft.app App Service Zabezpieczone
Microsoft.AppConfiguration Azure App Configuration Zabezpieczone
Microsoft.AppPlatform Azure App Service Zabezpieczone
Microsoft.Authorization Microsoft Entra ID Zabezpieczone
Microsoft.Automation Usługa Automatyzacji Zabezpieczone
Microsoft.AVX Rozwiązanie Azure VMware Zabezpieczone
Microsoft.Batch Azure Batch Zabezpieczone
Microsoft.Cache Azure Cache for Redis Zabezpieczone
Microsoft.Cdn Azure Content Delivery Network Brak ochrony
Microsoft.Chaos Azure Inżynieria chaosu Zabezpieczone
Microsoft.CognitiveServices API i kontenery usług Azure AI Zabezpieczone
Microsoft.Komunikacja Azure Communication Services Brak ochrony
Microsoft.Compute Azure Virtual Machines Zabezpieczone
Microsoft.ContainerInstance Azure Container Instances Zabezpieczone
Microsoft.ContainerRegistry (Rejestr Kontenerów Microsoft) Azure Container Registry Zabezpieczone
Microsoft.ContainerService Azure Kubernetes Service (przestarzałe) Zabezpieczone
Microsoft.Dashboard (Pulpit nawigacyjny) pulpity nawigacyjne Azure Zabezpieczone
Microsoft.DatabaseWatcher Azure SQL Database automatyczne dostrajanie Zabezpieczone
Microsoft.DataBox Azure Data Box Zabezpieczone
Microsoft.Databricks Azure Databricks Brak ochrony
Microsoft.DataCollaboration (współpraca w danych) Azure Data Share Zabezpieczone
Microsoft.Datadog Datadog Zabezpieczone
Microsoft.DataFactory Azure Data Factory Zabezpieczone
Microsoft.DataLakeStore Azure Data Lake Storage Gen1 i Gen2 Brak ochrony
Microsoft.DataProtection API ochrony danych Microsoft Defender for Cloud Apps Zabezpieczone
Microsoft.DBforMySQL Azure Database for MySQL Zabezpieczone
Microsoft.DBforPostgreSQL Azure Database for PostgreSQL Zabezpieczone
Microsoft.DelegatedNetwork Usługa delegowanego zarządzania siecią Zabezpieczone
Microsoft.DevCenter Sklep Microsoft Store dla firm i Instytucji edukacyjnych Zabezpieczone
Microsoft.Devices Azure IoT Hub i IoT Central Brak ochrony
Microsoft.DeviceUpdate Windows 10 IoT Core Services aktualizacja urządzenia Zabezpieczone
Microsoft.DevTestLab Azure DevTest Labs Zabezpieczone
Microsoft.DigitalTwins Azure Digital Twins Zabezpieczone
Microsoft.DocumentDB Azure Cosmos DB Zabezpieczone
Microsoft.EventGrid Azure Event Grid Zabezpieczone
Microsoft.EventHub Azure Event Hubs Zabezpieczone
Microsoft.HealthBot Bot Usług Zdrowotnych Zabezpieczone
Microsoft.HealthcareApis Interfejs API FHIR dla Azure API for FHIR i rozwiązań Microsoft Cloud for Healthcare Zabezpieczone
Microsoft.HybridContainerService platforma Kubernetes z obsługą Azure Arc Zabezpieczone
Microsoft.HybridNetwork Azure Virtual WAN Zabezpieczone
Microsoft.Insights Application Insights i Log Analytics Brak ochrony
Microsoft.IoTCentral IoT Central Zabezpieczone
Microsoft.Kubernetes Azure Kubernetes Service (AKS) Zabezpieczone
Microsoft.Kusto Azure Data Explorer (Kusto) Zabezpieczone
Microsoft.LoadTestService usługa testowania obciążenia Visual Studio Zabezpieczone
Microsoft.Logic Aplikacje logiki Azure Zabezpieczone
Usługi uczenia maszynowego Microsoft Usługi Machine Learning Services na platformie Azure Zabezpieczone
Tożsamość zarządzana Microsoft Tożsamości zarządzane dla zasobów Microsoft Zabezpieczone
Microsoft.Maps Azure Maps Zabezpieczone
Microsoft.Media Azure Media Services Zabezpieczone
Microsoft.Migrate Azure Migrate Zabezpieczone
Microsoft.MixedReality Usługi Mixed Reality, zawiera Remote Rendering, Spatial Anchors i Object Anchors Brak ochrony
Microsoft.NetApp Azure NetApp Files Zabezpieczone
Microsoft.Network Azure Virtual Network Zabezpieczone
Microsoft.OpenEnergyPlatform (Platforma Microsoftu) Open Energy Platform (OEP) na platformie Azure Zabezpieczone
Microsoft.OperationalInsights dzienniki Azure Monitor Zabezpieczone
Microsoft.PowerPlatform Microsoft Power Platform Zabezpieczone
Microsoft.Purview Microsoft Purview (dawniej Azure Data Catalog) Zabezpieczone
Microsoft.Quantum Microsoft Quantum Development Kit Zabezpieczone
Microsoft.RecommendationsService (usługa rekomendacji) API rekomendacji Azure AI Services Zabezpieczone
Microsoft.RecoveryServices (Usługi odzyskiwania Microsoft) Azure Site Recovery Zabezpieczone
Microsoft.ResourceConnector łącznik zasobów Azure Zabezpieczone
Microsoft.Scom System Center Operations Manager Zabezpieczone
Microsoft.Search Azure Cognitive Search Brak ochrony
Microsoft.Security Microsoft Defender dla Chmury Brak ochrony
Microsoft.SecurityDetonation usługa detonacji Ochrona punktu końcowego w usłudze Microsoft Defender Zabezpieczone
Microsoft.ServiceBus Service Bus – usługa obsługi komunikatów oraz tematy domeny usługi Event Grid. Zabezpieczone
Microsoft.ServiceFabric Azure Service Fabric Zabezpieczone
Microsoft.SignalRService Azure SignalR Service Zabezpieczone
Microsoft.Solutions rozwiązania Azure Zabezpieczone
Microsoft.Sql SQL Server na maszynach wirtualnych i Zarządzana Instancja SQL na platformie Azure Zabezpieczone
Microsoft.Storage Azure Storage Zabezpieczone
Microsoft.StorageCache usługa pamięci podręcznej Azure Storage Zabezpieczone
Microsoft.StorageSync Azure File Sync Zabezpieczone
Microsoft.StreamAnalytics Azure Stream Analytics Brak ochrony
Microsoft.Synapse Synapse Analytics (dawniej SQL DW) i Synapse Studio (dawniej SQL DW Studio) Zabezpieczone
Microsoft.RozliczanieZużycia Portal Użycia i Rozliczeń Azure Brak ochrony
Microsoft.VideoIndexer Video Indexer Zabezpieczone
Microsoft.VoiceServices Azure Communication Services — interfejsy API dla komunikacji głosowej Brak ochrony
microsoft.web Aplikacje sieci Web Zabezpieczone

Następne kroki

  • Last updated on