Основы Microsoft Entra

Статья
10/24/2023

Идентификатор Microsoft Entra предоставляет границу удостоверения и доступа для ресурсов Azure и доверия приложений. Большинство требований к разделению среды можно выполнить с делегированным администрированием в одном клиенте Microsoft Entra. Эта конфигурация снижает затраты на управление системами. Однако для некоторых конкретных случаев, например полной изоляции ресурсов и удостоверений, требуется несколько арендаторов.

Необходимо определить архитектуру разделения среды в соответствии с вашими потребностями. К таким областям относятся:

Разделение ресурсов. Если ресурс может изменить объекты каталога, такие как пользовательские объекты, и это изменение помешает другим ресурсам, ресурс может потребоваться изолировать в архитектуре с несколькими арендаторами.
Разделение конфигураций. Конфигурации на уровне арендатора влияют на все ресурсы. Эффект некоторых конфигураций на уровне клиента можно ограничить с помощью политик условного доступа и других методов. Если у вас есть необходимость в различных конфигурациях клиента, которые не могут быть ограничены политиками условного доступа, может потребоваться мультитенантная архитектура.
Административное разделение. Вы можете делегировать администрирование групп управления, подписок, групп ресурсов, ресурсов и некоторых политик в одном арендаторе. Глобальный администратор всегда имеет доступ ко всему арендатору. Если вам нужно убедиться, что среда не совместно использует администраторов с другой средой, вам нужна многотенантная архитектура.

Чтобы обеспечить безопасность, необходимо соблюдать рекомендации по подготовке удостоверений, управлению аутентификацией, управлению удостоверениями, управлению жизненным циклом и операциями во всех арендаторах.

Терминология

Этот список терминов обычно связан с идентификатором Microsoft Entra и относится к этому содержимому:

Клиент Microsoft Entra. Выделенный и доверенный экземпляр идентификатора Microsoft Entra, который автоматически создается при регистрации вашей организации для подписки на облачную службу Майкрософт. К таким подпискам относятся Microsoft Azure, Microsoft Intune или Microsoft 365. Клиент Microsoft Entra обычно представляет одну организацию или границу безопасности. Клиент Microsoft Entra включает пользователей, группы, устройства и приложения, используемые для управления удостоверениями и доступом (IAM) для ресурсов клиента.

Среда. В контексте этого содержимого среда — это коллекция подписок Azure, ресурсов Azure и приложений, связанных с одним или несколькими элементами управления Microsoft Entra. Клиент Microsoft Entra предоставляет плоскость управления удостоверениями для управления доступом к этим ресурсам.

Рабочая среда. В контексте этого содержимого рабочая среда — это динамическая среда с инфраструктурой и службами, с которыми конечные пользователи взаимодействуют напрямую. Например, корпоративная или клиентская среда.

Нерабочая среда. В контексте этого содержимого непроизводственная среда ссылается на среду, используемую для:

Разработка
Тестирование
Цели задания

Нерабочие среды обычно называются изолированными средами.

Удостоверение. Удостоверение — это объект каталога, который может быть аутентифицирован и авторизован для доступа к ресурсу. Объекты удостоверений существуют для удостоверений человека и удостоверений, не относящихся к человеку. К объектам, не относящимся к человеку, относятся:

Объекты приложения
Удостоверения рабочей нагрузки (ранее описанные как принципы обслуживания)
Управляемые удостоверения
.

Удостоверения человека — это объекты пользователей, которые обычно представляют людей в организации. Эти удостоверения создаются и управляются непосредственно в идентификаторе Microsoft Entra или синхронизируются из локальная служба Active Directory с идентификатором Microsoft Entra для данной организации. Эти типы удостоверений называются локальными удостоверениями. Также могут быть объекты пользователей, приглашенные из партнерской организации или поставщика удостоверений социальных удостоверений с помощью совместной работы Microsoft Entra B2B. В этом содержимом мы называем эти типы удостоверений внешними удостоверениями.

Удостоверения, не относящиеся к человеку, включают в себя какие-либо удостоверения, не связанные с человеком. Данный тип удостоверения — это объект, например приложение, которому требуется удостоверение для запуска. В этом содержимом мы ссылаемся на данный тип удостоверения как удостоверение рабочей нагрузки. Для описания этого типа удостоверения используются различные термины, включая объекты приложения и субъекты-службы.

Объект приложения. Приложение Microsoft Entra определяется его объектом приложения. Объект находится в клиенте Microsoft Entra, где зарегистрировано приложение. Арендатор называется "домашним" арендатором приложения.
- Приложения для одного арендатора создаются только для авторизации удостоверений, поступающих из "домашнего" арендатора.
- Мультитенантные приложения позволяют удостоверениям любого клиента Microsoft Entra проходить проверку подлинности.
Объект субъекта-службы. Хотя существуют исключения, объекты приложения можно рассматривать как определение приложения. Объекты субъектов-служб можно считать экземпляром приложения. Субъекты-службы обычно ссылаются на объект приложения, а один объект приложения ссылается на несколько субъектов-служб в разных каталогах.

Объекты субъекта-службы также являются удостоверениями каталогов, которые могут выполнять задачи независимо от вмешательства человека. Субъект-служба определяет политику доступа и разрешения для пользователя или приложения в клиенте Microsoft Entra. Этот механизм обеспечивает базовые возможности, включая аутентификацию пользователя или приложения во время входа, а также авторизацию во время получения доступа к ресурсам.

Идентификатор Microsoft Entra позволяет объектам приложения и субъекта-службы проходить проверку подлинности с помощью пароля (также известного как секрет приложения) или с помощью сертификата. Использование паролей для субъектов-служб не рекомендуется, поэтому по возможности рекомендуется использовать сертификат.

Управляемые удостоверения для ресурсов Azure. Управляемые удостоверения — это специальные субъекты-службы в идентификаторе Microsoft Entra. Этот тип субъекта-службы можно использовать для проверки подлинности в службах, поддерживающих проверку подлинности Microsoft Entra, без необходимости хранить учетные данные в коде или обрабатывать управление секретами. См. сведения об управляемых удостоверениях для ресурсов Azure.
Удостоверение устройства: удостоверение устройства проверяет, что устройство в потоке проверки подлинности прошло процесс, чтобы убедиться, что устройство является законным и соответствует техническим требованиям. После успешного завершения этого процесса устройство может использоваться для дальнейшего управления доступом к ресурсам организации. С помощью идентификатора Microsoft Entra устройства могут проходить проверку подлинности с помощью сертификата.

Для некоторых устаревших сценариев требуется, чтобы удостоверение человека использовалось в сценариях, не относящихся к человеку. Например, если учетные записи служб используются в локальных приложениях, таких как сценарии или пакетные задания, требуют доступа к идентификатору Microsoft Entra. Этот шаблон не рекомендуется, поэтому лучше использовать сертификаты. Однако если вы используете удостоверение человека с паролем для проверки подлинности, защитите учетные записи Microsoft Entra с помощью многофакторной проверки подлинности Microsoft Entra.

Гибридное удостоверение. Гибридное удостоверение — это удостоверение, которое охватывает локальные и облачные среды. Это дает возможность использовать одно удостоверение для доступа к локальным и облачным ресурсам. Источник центра в этом сценарии обычно является локальным каталогом, а жизненный цикл удостоверений для подготовки, отмены подготовки и назначения ресурсов также осуществляется из локальной среды. Дополнительные сведения см. в статье Документация по гибридной идентификации.

Объекты каталога. Клиент Microsoft Entra содержит следующие распространенные объекты:

Пользовательские объекты представляют удостоверения человека и удостоверения, не относящиеся к человеку, для служб, которые в сейчас не поддерживают субъекты-службы. Пользовательские объекты содержат атрибуты, содержащие необходимые сведения о пользователе, включая персональные данные, членство в группах, устройства и роли, назначенные пользователю.
Объекты устройств представляют устройства, связанные с клиентом Microsoft Entra. Объекты устройств содержат атрибуты, содержащие необходимые сведения об устройстве. Это включает операционную систему, связанного пользователя, состояние соответствия требованиям и характер связи с клиентом Microsoft Entra. Эта связь может принимать несколько форм в зависимости от типа взаимодействия и уровня доверия устройства.
- Присоединено к гибридному домену. Устройства, принадлежащие организации и присоединенные к локальная служба Active Directory и идентификатору Microsoft Entra. Обычно организация приобретает устройство и управляет им, а также оно управляется System Center Configuration Manager.
- Присоединено к домену Microsoft Entra. Устройства, принадлежащие организации и присоединенные к клиенту Microsoft Entra организации. Обычно устройство, приобретенное и управляемое организацией, присоединенное к идентификатору Microsoft Entra и управляемое службой, например Microsoft Intune.
- Зарегистрирована microsoft Entra. Устройства, не принадлежащие организации, например личное устройство, используются для доступа к ресурсам компании. Организациям может потребоваться регистрация устройства с помощью управления мобильными устройствами (MDM) или принудительное применение с помощью управления мобильными приложениями (MAM) без регистрации для доступа к ресурсам. Эта возможность может предоставляться службой, например Microsoft Intune.
Объекты группы содержат объекты для назначения доступа к ресурсам, применения элементов управления или конфигурации. Объекты группы содержат атрибуты, в которые входят необходимые сведения о группе, включая имя, описание, члены группы, владельцев групп и тип группы. Группы в идентификаторе Microsoft Entra принимают несколько форм в зависимости от требований организации и могут быть эталонированы в идентификаторе Microsoft Entra или синхронизированы из локальная служба Active Directory доменных служб (AD DS).
- Назначенные группы. В назначенных группах пользователи добавляются в группу или удаляются из нее вручную, синхронизируются из локальных доменных служб Active Directory или обновляются как часть автоматизированного рабочего процесса с использованием скриптов. Назначенная группа может быть синхронизирована из локальной службы AD DS или может быть размещена в идентификаторе Microsoft Entra.
- Группы динамического членства. В динамических группах пользователи автоматически назначаются группе на основе определенных атрибутов. Это позволяет динамически обновлять членство в группах на основе данных, содержащихся в пользовательских объектах. Динамическую группу можно использовать только в идентификаторе Microsoft Entra.

Учетная запись Майкрософт (MSA). Вы можете создавать подписки и арендаторы Azure с помощью учетных записей Майкрософт (MSA). Учетная запись Майкрософт — это личная учетная запись (в отличие от учетной записи организации), которая обычно используется разработчиками и применяется для пробных сценариев. При использовании личная учетная запись всегда делается гостем в клиенте Microsoft Entra.

Функциональные области Microsoft Entra

Это функциональные области, предоставляемые идентификатором Microsoft Entra, которые относятся к изолированным средам. Дополнительные сведения о возможностях идентификатора Microsoft Entra см. в статье "Что такое идентификатор Microsoft Entra ID?".

Проверка подлинности

Проверка подлинности. Идентификатор Microsoft Entra предоставляет поддержку протоколов проверки подлинности, соответствующих открытым стандартам, таким как OpenID Connect, OAuth и SAML. Идентификатор Microsoft Entra также предоставляет возможности, позволяющие организациям федеративные существующие локальные поставщики удостоверений, такие как службы федерации Active Directory (AD FS) (AD FS) для проверки подлинности доступа к интегрированным приложениям Microsoft Entra.

Идентификатор Microsoft Entra предоставляет ведущие в отрасли варианты надежной проверки подлинности, которые организации могут использовать для защиты доступа к ресурсам. Возможности многофакторной проверки подлинности Microsoft Entra, проверки подлинности устройств и без пароля позволяют организациям развертывать надежные параметры проверки подлинности, соответствующие требованиям их рабочей силы.

Единый вход. С помощью единого входа пользователи войдите один раз с одной учетной записью, чтобы получить доступ ко всем ресурсам, которые доверяют каталогу, таким как устройства, присоединенные к домену, корпоративные ресурсы, приложения программного обеспечения как услуга (SaaS) и все интегрированные приложения Microsoft Entra. Дополнительные сведения см. в разделе "Единый вход в приложения" в идентификаторе Microsoft Entra.

Авторизация

Назначение доступа к ресурсам. Идентификатор Microsoft Entra предоставляет и защищает доступ к ресурсам. Назначение доступа к ресурсу в идентификаторе Microsoft Entra можно сделать двумя способами:

Назначение пользователя. Пользователю напрямую назначается доступ к ресурсу, а также назначается соответствующая роль или разрешение.
Назначение группы. Группа, содержащая одного или нескольких пользователей, назначается ресурсу, а также назначается соответствующая роль или разрешение.

Политики доступа приложений. Идентификатор Microsoft Entra предоставляет возможности для дальнейшего управления и безопасного доступа к приложениям вашей организации.

Условный доступ. Политики условного доступа Microsoft Entra — это средства для привлечения контекста пользователей и устройств к потоку авторизации при доступе к ресурсам Microsoft Entra. Организации должны изучить использование политик условного доступа, чтобы разрешить, запретить или улучшить проверку подлинности на основе пользователя, риска, устройства и контекста сети. Дополнительные сведения см. в документации по условному доступу Microsoft Entra.

Защита идентификации Microsoft Entra. Эта возможность позволяет организациям автоматизировать обнаружение и устранение рисков на основе удостоверений, анализировать риски и экспортировать данные об обнаружении рисков в сторонние программы для дальнейшего анализа. Дополнительные сведения см. в обзоре Защита идентификации Microsoft Entra.

Администрирование

Управление удостоверениями. Идентификатор Microsoft Entra предоставляет средства для управления жизненным циклом удостоверений пользователей, групп и устройств. Microsoft Entra Connect позволяет организациям расширить текущее локальное решение для управления удостоверениями в облаке. Microsoft Entra Connect управляет подготовкой, отменой подготовки и обновлениями этих удостоверений в идентификаторе Microsoft Entra.

Идентификатор Microsoft Entra также предоставляет портал и API Microsoft Graph, чтобы организации могли управлять удостоверениями или интегрировать управление удостоверениями Microsoft Entra в существующие рабочие процессы или автоматизацию. Дополнительные сведения о Microsoft Graph см. в статье Использование Microsoft API Graph.

Управление устройством. Идентификатор Microsoft Entra используется для управления жизненным циклом и интеграцией с облачными и локальными инфраструктурами управления устройствами. Эта служба также используется для определения политик для управления доступом из облачных или локальных устройств к данным организации. Идентификатор Microsoft Entra предоставляет службы жизненного цикла устройств в каталоге и подготовку учетных данных для включения проверки подлинности. Эта служба также управляет ключевым атрибутом устройства в системе, которая имеет уровень доверия. Это важно при разработке политики доступа к ресурсам. Дополнительные сведения см. в документации по Microsoft Entra Управление устройствами.

Управление конфигурацией. Идентификатор Microsoft Entra содержит элементы службы, которые необходимо настроить и управлять, чтобы служба была настроена в соответствии с требованиями организации. К этим элементам относятся управление доменами, конфигурация единого входа, управление приложениями для имен и т. д. Идентификатор Microsoft Entra предоставляет портал и API Microsoft Graph, чтобы организации могли управлять этими элементами или интегрироваться в существующие процессы. Дополнительные сведения о Microsoft Graph см. в статье Использование Microsoft API Graph.

Система управления

Жизненный цикл удостоверений. Идентификатор Microsoft Entra предоставляет возможности для создания, извлечения, удаления и обновления удостоверений в каталоге, включая внешние удостоверения. Идентификатор Microsoft Entra также предоставляет службы для автоматизации жизненного цикла удостоверений, чтобы обеспечить его обслуживание в соответствии с потребностями вашей организации. Например, доступно использование проверок доступа для удаления внешних пользователей, которые не выполнили вход в течение указанного периода.

Отчеты и аналитика. Важным аспектом управления удостоверениями является видимость действий пользователей. Идентификатор Microsoft Entra предоставляет аналитические сведения о шаблонах безопасности и использования вашей среды. Эти аналитические сведения содержат подробные данные о:

доступе пользователей;
месте выполнения доступа;
использованных устройствах;
приложениях, используемых для доступа.

Идентификатор Microsoft Entra также содержит сведения о действиях, выполняемых в идентификаторе Microsoft Entra, и отчетах о рисках безопасности. Дополнительные сведения см . в отчетах и мониторинге Microsoft Entra.

Аудит. Аудит обеспечивает трассировку с помощью журналов для всех изменений, выполненных определенными функциями в идентификаторе Microsoft Entra. Примеры действий, найденных в журналах аудита, включают изменения, внесенные в любые ресурсы в идентификаторе Microsoft Entra, например добавление или удаление пользователей, приложений, групп, ролей и политик. Отчеты в идентификаторе Microsoft Entra позволяют выполнять аудит действий входа, рискованных входов и пользователей, помеченных для риска. Дополнительные сведения см. в отчетах о действиях аудита в портал Azure.

Доступ к сертификации. Сертификация доступа — это процесс подтверждения того, что пользователь имеет право на доступ к ресурсу в определенный момент времени. Проверки доступа Microsoft Entra постоянно проверяют членство в группах или приложениях и предоставляют аналитические сведения о необходимости или удалении доступа. Это позволяет организациям эффективно управлять членством в группах, доступом к корпоративным приложениям и назначениям ролей, чтобы обеспечить постоянный доступ только нужным людям. Дополнительные сведения см. в разделе "Что такое проверки доступа Microsoft Entra"?

Привилегированный доступ. Microsoft Entra управление привилегированными пользователями (PIM) обеспечивает активацию роли на основе времени и утверждения, чтобы снизить риски чрезмерного, ненужного или неправильного доступа к ресурсам Azure. Оно используется для обеспечения защиты привилегированных учетных записей, уменьшая время действия привилегий и улучшая видимость их использования с помощью отчетов и оповещений.

Самостоятельное управление услугами

Регистрация учетных данных. Идентификатор Microsoft Entra предоставляет возможности для управления всеми аспектами жизненного цикла удостоверений пользователей и возможностей самообслуживания для уменьшения рабочей нагрузки вспомогательной службы организации.

Управление группами. Идентификатор Microsoft Entra предоставляет возможности, позволяющие пользователям запрашивать членство в группе для доступа к ресурсам и создавать группы, которые можно использовать для защиты ресурсов или совместной работы. Эти возможности можно контролировать в организации, чтобы установить соответствующие элементы управления.

Система управления идентификацией и доступом (IAM)

Azure Active Directory B2C. Azure Active Directory B2C — это служба, которая может быть включена в подписке Azure для предоставления удостоверений потребителям для клиентских приложений вашей организации. Это отдельный остров удостоверений, и эти пользователи не отображаются в клиенте Microsoft Entra организации. Администраторы управляют Azure Active Directory B2C в арендаторе, связанном с подпиской Azure.

Поделиться через