system uwierzytelniania kopii zapasowych Microsoft Entra ID

Organizacje na całym świecie zależą od wysokiej dostępności uwierzytelniania Microsoft Entra dla użytkowników i usług 24 godziny dziennie, siedem dni w tygodniu. Obiecujemy dostępność poziomu usług na poziomie 99,99% na potrzeby uwierzytelniania i stale dążymy do jej poprawy, zwiększając odporność naszej usługi uwierzytelniania. Aby jeszcze bardziej zwiększyć odporność podczas przestojów, wdrożyliśmy system tworzenia kopii zapasowych w 2021 roku.

System uwierzytelniania kopii zapasowych Microsoft Entra składa się z wielu usług kopii zapasowych, które współpracują ze sobą w celu zwiększenia odporności uwierzytelniania w przypadku awarii. Ten system w sposób niewidoczny i automatycznie obsługuje uwierzytelnianie obsługiwanych aplikacji i usług, jeśli podstawowa usługa Microsoft Entra jest niedostępna lub obniżona. Dodaje dodatkową warstwę odporności ponad wieloma poziomami istniejącej nadmiarowości. Ta odporność została opisana we wpisie w blogu Advancing service resilience in Microsoft Entra ID with its backup authentication service (Wzmacnianie odporności usługi w Microsoft Entra ID dzięki zapasowej usłudze uwierzytelniania). Ten system synchronizuje metadane uwierzytelniania, gdy system jest w dobrej kondycji i używa ich do umożliwienia użytkownikom dalszego uzyskiwania dostępu do aplikacji podczas przestojów usługi podstawowej, jednocześnie wymuszając mechanizmy kontroli zasad.

Podczas przestoju usługi podstawowej użytkownicy mogą kontynuować pracę z aplikacjami, o ile dostęp do nich uzyskali w ciągu ostatnich trzech dni z tego samego urządzenia i nie istnieją żadne zasady blokujące, które ograniczyłyby dostęp:

Oprócz aplikacji firmy Microsoft obsługujemy:

• Natywni klienci poczty e-mail w systemach iOS i Android.
• Aplikacje oprogramowania jako usługi (SaaS) dostępne w galerii aplikacji, takie jak ADP, Atlassian, AWS, GoToMeeting, Kronos, Marketo, SAP, Trello, Workday i inne.
• Wybrane aplikacje biznesowe oparte na ich wzorcach uwierzytelniania.

Uwierzytelnianie między usługami, które opiera się na tożsamościach zarządzanych dla zasobów Azure lub na usługach Azure, otrzymuje zwiększoną odporność dzięki systemowi zapasowego uwierzytelniania.

Firma Microsoft stale rozszerza liczbę obsługiwanych scenariuszy.

Które obciążenia innych niż Microsoft są obsługiwane?

System uwierzytelniania kopii zapasowych automatycznie zapewnia przyrostową odporność na dziesiątki tysięcy obsługiwanych aplikacji firm innych niż Microsoft na podstawie ich wzorców uwierzytelniania. Zobacz dodatek, aby zapoznać się z listą najpopularniejszych aplikacji innych niż Microsoft i ich stan pokrycia. Aby uzyskać szczegółowe wyjaśnienie, które wzorce uwierzytelniania są obsługiwane, zobacz artykuł Understanding Application Support for the backup authentication system (Opis obsługi aplikacji dla systemu uwierzytelniania kopii zapasowych).

• Aplikacje natywne korzystające z protokołu Open Authorization (OAuth) 2.0 w celu uzyskania dostępu do aplikacji zasobów, takich jak popularne klienci poczty e-mail i komunikatorów innych niż Microsoft, takie jak Apple Mail, Aqua Mail, Gmail, Samsung Email i Spark.
• Aplikacje internetowe dla biznesu skonfigurowane do uwierzytelniania za pomocą OpenID Connect z wykorzystaniem wyłącznie tokenów ID.
• Aplikacje internetowe, które uwierzytelniają się za pomocą protokołu SAML (Security Assertion Markup Language) i są skonfigurowane do logowania jednokrotnego inicjowanego przez dostawcę tożsamości (SSO), takie jak: ADP, Atlassian Cloud, AWS, GoToMeeting, Kronos, Marketo, Palo Alto Networks, SAP Cloud Identity Services, Trello, Workday i Zscaler.

Typy aplikacji innych niż Microsoft, które nie są chronione

Następujące wzorce uwierzytelniania nie są obecnie obsługiwane:

• Aplikacje internetowe, które uwierzytelniają się przy użyciu protokołu OpenID Connect i żądają tokenów dostępu
• Aplikacje internetowe korzystające z protokołu SAML do uwierzytelniania, skonfigurowane jako SSO inicjowane przez dostawcę usług (SP)

Co sprawia, że użytkownik może być obsługiwany przez system uwierzytelniania zapasowego?

Podczas awarii użytkownik może uwierzytelnić się przy użyciu systemu uwierzytelniania kopii zapasowych, jeśli spełnione są następujące warunki:

1. Użytkownik pomyślnie uwierzytelnił się przy użyciu tej samej aplikacji i urządzenia w ciągu ostatnich trzech dni.
2. Użytkownik nie jest wymagany do interaktywnego uwierzytelniania
3. Użytkownik uzyskuje dostęp do zasobu jako członka swojego macierzystego dzierżawcy, zamiast korzystać ze scenariusza B2B lub B2C.
4. Użytkownik nie podlega zasadom dostępu warunkowego, które ograniczają system uwierzytelniania kopii zapasowych, na przykład wyłączając domyślne ustawienia odporności.
5. Użytkownik nie podlega zdarzeniu odwołania, takim jak zmiana poświadczeń od czasu ostatniego pomyślnego uwierzytelnienia.

Jak interakcyjne uwierzytelnianie i aktywność użytkownika wpływają na odporność?

System uwierzytelniania kopii zapasowej opiera się na metadanych z wcześniejszego uwierzytelniania w celu ponownego uwierzytelnienia użytkownika podczas awarii. Użytkownik musi uwierzytelnić się w ciągu ostatnich trzech dni przy użyciu tej samej aplikacji na tym samym urządzeniu, aby usługa tworzenia kopii zapasowych mogła być skuteczna. Użytkownicy nieaktywni lub nie uwierzytelnieni w danej aplikacji nie mogą używać systemu uwierzytelniania kopii zapasowych dla tej aplikacji.

Jak zasady dostępu warunkowego wpływają na odporność?

Niektóre zasady nie mogą być oceniane w czasie rzeczywistym przez system uwierzytelniania kopii zapasowych i muszą polegać na wcześniejszych ocenach tych zasad. W warunkach awarii usługa domyślnie używa wcześniejszej oceny, aby zmaksymalizować odporność. Na przykład dostęp, który jest warunkowy dla użytkownika mającego określoną rolę (na przykład Administrator aplikacji) jest kontynuowany podczas przestoju w oparciu o rolę, jaką użytkownik miał podczas tego ostatniego uwierzytelniania. Jeśli wykorzystanie poprzedniej oceny wyłącznie podczas awarii musi być ograniczone, administratorzy dzierżawy mogą wybrać ścisłą ocenę wszystkich zasad dostępu warunkowego, nawet w warunkach awarii, wyłączając domyślne ustawienia zapewniające odporność. Ta decyzja powinna być podjęta z ostrożnością, ponieważ wyłączenie domyślnych ustawień odporności dla danej zasady uniemożliwia tym użytkownikom korzystanie z uwierzytelniania kopii zapasowych. Wartości domyślne odporności muszą zostać ponownie włączone, zanim wystąpi awaria systemu kopii zapasowych, aby zapewnić odporność.

Niektóre inne typy zasad nie obsługują korzystania z systemu uwierzytelniania kopii zapasowych. Użycie następujących zasad zmniejsza odporność:

• Używanie kontrolki częstotliwości logowania w ramach zasad dostępu warunkowego.
• Korzystanie z zasad metod uwierzytelniania.
• Korzystanie z klasycznych zasad dostępu warunkowego (przestarzałe — zasady klasyczne przestały działać po 10 lipca 2024 r.).

Ocena zasad dostępu warunkowego tylko do raportu

Jeśli żądanie jest przetwarzane przez system uwierzytelniania kopii zapasowej, zasady dostępu warunkowego w trybie tylko do raportu będą wyświetlane na karcie Dostęp warunkowy w Entra ID>Monitorowanie i kondycja>Dzienniki logowania dla tego zdarzenia logowania, a nie na karcie Raportowanie. Należy pamiętać, że nawet w tym widoku zasady skonfigurowane w trybie tylko do raportu nigdy nie są wymuszane. Aby sprawdzić, czy tokeny zostały wystawione za pośrednictwem systemu zapasowego uwierzytelniania w dzierżawcy, możesz użyć logów logowania. W Entra ID>Monitorowanie i stan zdrowia>Logi logowania, dodaj filtr Token issuer type == Microsoft Entra Backup Auth, aby wyświetlić dzienniki przetworzone przez zapasowy system uwierzytelniania.

Odwoływanie certyfikatów i system uwierzytelniania kopii zapasowych

Aby zwiększyć poziom odporności, zapasowy system uwierzytelniania nie ma możliwości przeprowadzenia świeżych sprawdzeń unieważnienia. Zamiast tego opiera się na stanie sprawdzenia listy odwołania certyfikatów (CRL), które zostało wykonane podczas ostatniego tworzenia kopii zapasowej sesji. Jeśli musisz odwołać sesję przed wygaśnięciem tej kopii zapasowej, należy wyraźnie odwołać sesję zamiast czekać na CRL.

Odporność tożsamości zadania roboczego w systemie uwierzytelniania zapasowego

Oprócz uwierzytelniania użytkowników, system uwierzytelniania kopii zapasowych zapewnia odporność dla tożsamości zarządzanych oraz innej infrastruktury kluczowej Azure, oferując regionalnie izolowaną usługę uwierzytelniania, złożoną nadmiarowo z podstawową usługą uwierzytelniania. Dzięki temu systemowi uwierzytelnianie infrastruktury w regionie Azure może być odporne na problemy, które mogą wystąpić w innym regionie lub w ramach większej usługi Microsoft Entra. Ten system uzupełnia architekturę między regionami Azure. Budowanie własnych aplikacji z użyciem Sztucznej Inteligencji i zgodnie z najlepszymi praktykami Azure dotyczącymi odporności i dostępności zapewnia wysoką odporność aplikacji. Oprócz MI, ten regionalnie odporny system kopii zapasowych chroni kluczową infrastrukturę i usługi Azure, które utrzymują funkcjonalność chmury.

Podsumowanie obsługi uwierzytelniania infrastruktury

• Usługi wbudowane w infrastrukturę Azure korzystającą z tożsamości zarządzanych są chronione przez system uwierzytelniania kopii zapasowych.
• Usługi Azure uwierzytelniające się wzajemnie są chronione przez system zapasowego uwierzytelniania.
• Usługi oparte na platformie Azure lub poza nią, gdy tożsamości są zarejestrowane jako zasady usługi, a nie jako "tożsamości zarządzane," nie są chronione przez system uwierzytelniania zapasowego.

Środowiska w chmurze, które obsługują system uwierzytelniania kopii zapasowych

System uwierzytelniania kopii zapasowych jest obsługiwany we wszystkich środowiskach chmury z wyjątkiem Microsoft Azure obsługiwanych przez firmę 21Vianet. Typy tożsamości obsługiwanych różnią się w zależności od chmury i mają oddzielne punkty końcowe uwierzytelniania, zgodnie z opisem w poniższej tabeli.

Dodatek

Popularne aplikacje klienckie i aplikacje z galerii aplikacji spoza firmy Microsoft

Azure zasoby i ich status

Następne kroki

• Wymagania aplikacji dotyczące systemu uwierzytelniania kopii zapasowych
• Wprowadzenie do systemu uwierzytelniania kopii zapasowych
• Domyślne ustawienia niezawodności dla dostępu warunkowego
• Raportowanie wydajności umowy SLA dotyczącej poziomu usług Microsoft Entra