Обеспечение устойчивости инфраструктуры управления удостоверениями и доступом
Идентификатор Microsoft Entra — это глобальная система управления облачными удостоверениями и доступом, которая предоставляет критически важные службы, такие как проверка подлинности и авторизация для ресурсов вашей организации. В этой статье приведены рекомендации по пониманию, размещению и устранению рисков нарушения проверки подлинности или авторизации для ресурсов, использующих идентификатор Microsoft Entra.
Набор документов предназначен для:
- архитекторов удостоверений;
- владельцев службы удостоверений;
- служб, обеспечивающих работу с удостоверениями.
См. также документацию для разработчиков приложений и систем Azure AD B2C.
Что такое устойчивость?
В контексте инфраструктуры удостоверений устойчивость — это возможность перебоев в службах, таких как проверка подлинности и авторизация, или сбой других компонентов, с минимальными или никакими последствиями для бизнеса, пользователей и операций. Влияние нарушения может быть серьезным и устойчивость требует тщательного планирования.
Зачем беспокоиться о перебоях в работе служб?
Каждое обращение к системе проверки подлинности может завершиться сбоем при отказе какого-либо компонента. При нарушении проверки подлинности из-за сбоев базового компонента пользователи не будут получать доступ к своим приложениям. Таким образом, уменьшение числа обращений для проверки подлинности и количества зависимостей в этих обращениях — важный фактор устойчивости. Разработчики приложений могут в определенной степени контролировать частоту запроса маркеров. Например, обратитесь к разработчикам, чтобы обеспечить использование управляемых удостоверений для ресурсов Azure для приложений, где это возможно.
В системе проверки подлинности на основе маркеров, такой как идентификатор Microsoft Entra, приложение пользователя (клиент) должно получить маркер безопасности из системы удостоверений, прежде чем он сможет получить доступ к приложению или другому ресурсу. Клиент может несколько раз использовать один и тот же маркер для доступа к приложению в течение периода действия этого маркера.
Когда срок действия маркера, представленного приложению, истекает, приложение отклоняет маркер, и клиент должен получить новый маркер из идентификатора Microsoft Entra. Получение нового маркера потенциально требует взаимодействия пользователя, например запросов учетных данных или соответствия другим требованиям системы проверки подлинности. Снижение частоты вызовов для проверки подлинности с помощью долгосрочных маркеров уменьшает число ненужных взаимодействий. При этом необходимо соотносить жизненный цикл маркера с риском из-за меньшего числа проверок на соответствие политике. Дополнительные сведения об управлении жизненным циклом маркеров см. в статье, посвященной оптимизации запросов повторной проверки подлинности.
Способы повышения устойчивости
На схеме ниже показаны шесть конкретных способов повышения устойчивости. Каждый метод подробно описан в статьях, связанных в следующих следующих шагах этой статьи.
Следующие шаги
Ресурсы по устойчивости для администраторов и архитекторов
- Обеспечение устойчивости путем управления учетными данными
- Повышение устойчивости с использованием состояний устройств
- Повышение устойчивости с использованием Непрерывной оценки доступа (CAE)
- Повышение устойчивости при проверке подлинности внешних пользователей
- Обеспечение устойчивости гибридной проверки подлинности
- Повышение устойчивости доступа к приложениям с помощью Application Proxy