Endpoint nativi del cloud e risorse locali

Gli endpoint nativi del cloud possono accedere alle risorse locali. Questo articolo entra nei dettagli e risponde ad alcune domande comuni.

Questa funzionalità si applica a:

  • Endpoint nativi del cloud di Windows

Per una panoramica degli endpoint nativi del cloud e dei loro vantaggi, vai a Che cosa sono gli endpoint nativi del cloud.

Consiglio

Quando si legge sugli endpoint nativi del cloud, vengono visualizzati i termini seguenti:

  • Endpoint: un endpoint è un dispositivo, come un telefono cellulare, un tablet, un laptop o un computer desktop. "Endpoint" e "dispositivi" sono usati in modo intercambiabile.
  • Endpoint gestiti: endpoint che ricevono criteri dall'organizzazione usando una soluzione MDM o oggetti Criteri di gruppo. Questi dispositivi sono in genere di proprietà dell'organizzazione, ma possono anche essere BYOD o di proprietà personale.
  • Endpoint nativi del cloud: endpoint aggiunti a Microsoft Entra. Non sono uniti ad AD locale.
  • Carico di lavoro: qualsiasi programma, servizio o processo.

Prerequisiti

Affinché gli endpoint Windows nativi del cloud possano accedere alle risorse e ai servizi locali che usano Active Directory locale (AD) per l'autenticazione, sono richiesti i prerequisiti seguenti:

  • Le app client devono usare l'autenticazione integrata di Windows. Per informazioni più specifiche, vai a Autenticazione integrata di Windows (WIA).

  • Configurare Microsoft Entra Connect. Microsoft Entra Connect sincronizza gli account utente da AD locale a Microsoft Entra. Per informazioni più specifiche, vai a Sincronizzazione di Microsoft Entra Connect: comprendere e personalizzare la sincronizzazione.

    In Microsoft Entra Connect, potrebbe essere necessario modificare il filtro basato su dominio per confermare che i dati dei domini richiesti siano sincronizzati con Microsoft Entra.

  • Il dispositivo disponga di connettività in linea di vista (direttamente o tramite VPN) a un controller di dominio dal dominio AD e al servizio o alla risorsa a cui si accede.

Simile ai dispositivi Windows locali

Per gli utenti finali, un endpoint nativo del cloud Windows si comporta come qualsiasi altro dispositivo Windows locale.

L'elenco seguente è un set comune di risorse locali a cui gli utenti possono accedere dai dispositivi aggiunti a Microsoft Entra:

  • Un file server: utilizzando SMB (Server Message Block), è possibile mappare un'unità di rete a un server membro del dominio che ospita una condivisione di rete o un NAS (Network Attached Storage).

    Gli utenti possono mappare le unità ai documenti condivisi e personali.

  • Una risorsa stampante su un server membro del dominio: gli utenti possono stampare sulla stampante locale o più vicina.

  • Un server Web in un server membro di un dominio che usa Sicurezza integrata di Windows: gli utenti possono accedere a qualsiasi applicazione Win32 o basata sul Web.

  • Si vuole gestire il dominio AD locale da un endpoint aggiunto a Microsoft Entra: Installare gli strumenti di amministrazione remota del server:

    • Utilizzare lo snap-in Utenti e computer di Active Directory (ADUC) per amministrare tutti gli oggetti AD. È necessario immettere manualmente il dominio a cui ci si vuole connettere.
    • Usare lo snap-in DHCP per amministrare un server DHCP aggiunto ad Active Directory. Potrebbe essere necessario immettere il nome o l'indirizzo del server DHCP.

Consiglio

Per capire come Microsoft Entra dispositivi aggiunti utilizzano le credenziali memorizzate nella cache in un approccio cloud-native, guarda OPS108: autenticazione di Windows internals in a hybrid world (syfuhs.net) (apre un sito web esterno).

Autenticazione e accesso alle risorse locali

I passaggi seguenti descrivono come un endpoint aggiunto a Microsoft Entra autentica e accede (in base alle autorizzazioni) a una risorsa locale.

I passaggi seguenti sono una panoramica. Per informazioni più specifiche, inclusi grafici dettagliati della corsia che descrivono l'intero processo, vai a Token di aggiornamento primario (PRT) e Microsoft Entra.

  1. Quando gli utenti eseguono l'accesso, le loro credenziali vengono inviate al provider di autenticazione cloud (CloudAP) e al Web Account Manager (WAM).

  2. Il plug-in CloudAP invia le credenziali dell'utente e del dispositivo a Microsoft Entra. In alternativa, esegue l'autenticazione con Windows Hello for Business.

  3. Durante l'accesso a Windows, il plug-in Microsoft Entra CloudAP richiede un token di aggiornamento primario (PRT) da Microsoft Entra usando le credenziali utente. Memorizza inoltre nella cache il token di aggiornamento primario (PRT), che abilita l'accesso nella cache quando gli utenti non dispongono di una connessione Internet. Quando gli utenti tentano di accedere alle applicazioni, il plug-in WAM di Microsoft Entra usa il token di aggiornamento primario per abilitare SSO.

  4. Microsoft Entra autentica l'utente e il dispositivo e restituisce un token di aggiornamento primario e un token ID. Il token ID include i seguenti attributi per l'utente:

    • sAMAccountName
    • netBIOSDomainName
    • dnsDomainName

    Questi attributi vengono sincronizzati da AD locale tramite Microsoft Entra Connect.

    Il provider di autenticazione Kerberos riceve le credenziali e gli attributi. Nel dispositivo, il servizio Autorità di sicurezza locale di Windows (LSA) abilita l'autenticazione Kerberos e NTLM.

  5. Durante un tentativo di accesso a una risorsa locale che richiede l'autenticazione Kerberos o NTLM, il dispositivo usa gli attributi correlati al nome di dominio per trovare un controller di dominio (DC) usando il localizzatore di controller di dominio.

    • Se viene trovato un controller di dominio, invia le credenziali e il controller di dominio per l'autenticazione sAMAccountName .
    • Se si usa Windows Hello for Business, PKINIT con il certificato Windows Hello for Business.
    • Se non viene trovato alcun controller di dominio, non viene eseguita l'autenticazione locale.

    Nota

    PKINIT è un meccanismo di preautenticazione per Kerberos 5 che utilizza i certificati X.509 per autenticare il Centro distribuzione chiavi (KDC) ai client e viceversa.

    MS-PKCA: crittografia a chiave pubblica per l'autenticazione iniziale (PKINIT) nel protocollo Kerberos

  6. Il controller di dominio autentica l'utente. Il controller di dominio restituisce un ticket di Ticket-Granting Kerberos (TGT) o un token NTLM in base al protocollo supportato dalla risorsa o dall'applicazione locale. Windows memorizza nella cache il token TGT o NTLM restituito per l'uso futuro.

    Se il tentativo di ottenere il token TGT o NTLM Kerberos per il dominio ha esito negativo (il timeout DCLocator correlato può causare un ritardo), Windows Credential Manager tenta di eseguire questo tentativo. In alternativa, l'utente potrebbe ricevere un popup di autenticazione che richiede le credenziali per la risorsa locale.

  7. Tutte le app che usano l'autenticazione integrata di Windows usano automaticamente SSO quando un utente tenta di accedere alle app. WIA include l'autenticazione utente standard per un dominio AD locale tramite NTLM o Kerberos per l'accesso a risorse o servizi locali.

    Per altre informazioni, vedere Come funziona SSO alle risorse locali nei dispositivi aggiunti a Microsoft Entra.

    È importante sottolineare il valore dell'autenticazione integrata di Windows. Gli endpoint cloud nativi "funzionano" semplicemente con qualsiasi applicazione configurata per WIA.

    Quando gli utenti accedono a una risorsa che utilizza WIA (file server, stampante, server web, ecc.), il TGT viene scambiato con un ticket di servizio Kerberos, che è il solito flusso di lavoro Kerberos.

Seguire le indicazioni per gli endpoint nativi del cloud

  1. Panoramica: che cosa sono gli endpoint nativi del cloud?
  2. Esercitazione: Configurare endpoint di Windows nativi per il cloud con Microsoft Intune
  3. Concetto: Microsoft Entra unito vs. ibrido Microsoft Entra unito
  4. 🡺 Concetto: endpoint nativi del cloud e risorse on-premise (Sei qui)
  5. Guida alla pianificazione di alto livello
  6. Problemi noti e informazioni importanti

Risorse online utili

  • Last updated on