共用方式為

第 1 階段：探索應用程式並界定範圍

  • 發行項

應用程式探索和分析是提供您良好起點的基本演練。 您無法事事皆知，因此必須做好接受未知應用程式的準備。

尋找您的應用程式

移轉程式中的第一個決策是要移轉哪些應用程式 (如果有的話)，以及要淘汰哪些應用程式。 您永遠有機會淘汰組織中不使用的應用程式。 您可以透過數種方式來尋找組織中的應用程式。 探索應用程式時，務必將開發中和已規劃的應用程式包含在內。 在所有未來的應用程式中，使用Microsoft Entra ID 進行驗證。

使用 ADFS 探索應用程式：

  • 使用 Microsoft Entra Connect Health for ADFS：如果您有Microsoft Entra ID P1 或 P2 授權，建議您部署 Microsoft Entra Connect Health，以分析內部部署環境中的應用程式使用量。 您可以使用 ADFS 應用程式報表來探索可遷移的 ADFS 應用程式，並評估要遷移的應用程式是否就緒。

  • 如果您沒有 Microsoft Entra ID P1 或 P2 授權，建議您使用以 PowerShell 為基礎的 ADFS 到 Microsoft Entra 應用程式移轉工具。 請參閱解決方案指南：

注意

這段影片涵蓋移轉流程的第 １ 階段和第 2 階段。

使用其他識別提供者 (IdP)

  • 如果您目前使用 Okta，請參閱我們的 Okta Microsoft Entra 移轉指南。

  • 如果您目前使用 Ping 同盟，請考慮使用 Ping 系統管理 API 來探索應用程式。

  • 如果應用程式與 Active Directory 整合，請搜尋可用於應用程式的服務主體或服務帳戶。

使用 Cloud Discovery 工具

在雲端環境中，您需要豐富的可見度、控制資料移動，以及精密的分析，才能在所有雲端服務中找出並對抗網路威脅。 您可以使用下列工具來收集您的雲端應用程式詳細目錄：

  • 雲端存取安全性代理程式 (CASB) – CASB 通常會與您的防火牆一起運作，以提供員工雲端應用程式使用情況的可見度，並協助您保護公司資料免於網路安全性的威脅。 CASB 報告可協助您判斷組織中最常使用的應用程式，以及遷移至 Microsoft Entra ID 的早期目標。
  • Cloud Discovery - 藉由設定 Microsoft Defender for Cloud Apps，您可以看到雲端應用程式的使用情況，並且可以探索待批准或影子 IT 應用程式。
  • Azure 託管應用程式 - 針對連線到 Azure 基礎結構的應用程式，您可以使用這些系統上的 API 和工具來開始清查託管的應用程式。 在 Azure 環境中：

手動探索流程

一旦您採用本文所述的自動化方法之後，您便能妥善處理應用程式。 不過，您可能會考慮進行下列動作，以確保包含所有使用者存取區域：

  • 請與組織中的各個業務負責人聯繫，以找出組織中正在使用的應用程式。
  • 在您的 Proxy 伺服器上執行 HTTP 檢查工具，或分析 Proxy 記錄，以查看流量通常路由的位置。
  • 從熱門公司入口網站檢閱網路日誌，查看使用者最常存取的連結。
  • 與主管或其他重要業務成員接洽，確保您已涵蓋商務關鍵應用程式。

要遷移的應用程式類型

找到您的應用程式之後，您會在組織中識別這些類型的應用程式：

已使用新式驗證的應用程式

已現代化的應用程式最有可能移至 Microsoft Entra ID。 這些應用程式已使用新式驗證通訊協定，例如 SAML 或 OIDC，且可以重新設定為使用 Microsoft Entra ID 進行驗證。

建議您從 Microsoft Entra 應用資源庫搜尋和新增應用程式。 如果您在資源庫中找不到它們，您仍然可以將自訂應用程式上線。

您選擇將其現代化的舊版應用程式

針對您想要現代化的舊版應用程式，請移至 Microsoft Entra ID 進行核心驗證和授權，即可解鎖 Microsoft Graph 和 Intelligent Security Graph 必須提供的所有功能和資料豐富性。

建議您更新這些應用程式的驗證堆疊程式碼，以從舊版通訊協定 (例如 Windows 整合式驗證、Kerberos、HTTP 標頭式驗證) 更新到新式通訊協定 (如 SAML 或 OpenID Connect)。

您選擇不要將其現代化的舊版應用程式

有時候因為一些商業原因，對於某些使用舊版驗證通訊協定的應用程式而言，現代化其驗證並不是正確做法。 其中包括下列類型的應用程式：

  • 基於合規性或控制原因而保留在內部部署環境中的應用程式。
  • 連線至內部部署身分識別的應用程式，或是您不想要變更的同盟提供者。
  • 使用您不打算移動的內部部署驗證標準所開發的應用程式

Microsoft Entra ID 可以為這些舊版應用程式帶來極大的好處。 您可以對這些應用程式啟用新式 Microsoft Entra 安全性和治理功能，例如多重要素驗證、條件式存取、身分識別保護、委派的應用程式存取及存取權檢閱，而且完全無須觸及應用程式！

新的企業營運 (LoB) 應用程式

您通常會開發在組織內部使用的 LoB 應用程式。 如果您的管線中有新的應用程式，我們建議使用 Microsoft 身分識別平台來實作 OIDC。

要淘汰的應用程式

沒有明確擁有者和明確維護和監視方式的應用程式，會讓您的組織存在安全性風險。 如有以下情況，請考慮淘汰應用程式：

  • 其功能性與其他系統高度重複
  • 沒有企業主
  • 顯然已不再使用

建議您不要淘汰影響度高的業務關鍵性應用程式。 在這些情況下，請與業務負責人合作，以判斷正確的策略。

允出準則

若要成功完成此階段，您必須具備下列條件：

  • 充分瞭解移轉範圍中的應用程式、需要現代化的應用程式、應保持最新狀態的應用程式，或您標示為淘汰的應用程式。

下一步