Namespace: microsoft.graph
Define os tipos de domínios aos quais a validação de token federado se aplica. A propriedade validatingDomains do recurso federatedTokenValidationPolicy usa esse tipo.
Esse objeto é um tipo abstrato do qual derivam os seguintes recursos:
Observação
Como parte da postura de segurança segura por padrão da Microsoft, as entradas federadas entre domínios são bloqueadas para reduzir o risco de representação entre realms. Quando rootDomains é configurado com um valor diferente de none, o Microsoft Entra impõe a validação de correspondência de domínio, garantindo que os tokens federados sejam aceitos somente quando o domínio do emissor do token se alinhar ao domínio UPN do usuário ou outro domínio de validação explicitamente configurado.
Embora a Microsoft recomende manter a imposição da correspondência de domínio, os administradores podem configurar intencionalmente uma política menos restritiva, se necessário.
Propriedades
| Propriedade |
Tipo |
Descrição |
| rootDomains |
rootDomains |
Define os tipos de domínios aos quais a validação se aplica. Os valores possíveis são:
-
none: desabilite completamente a validação entre domínios. Não ocorre correspondência de domínio raiz. Essa não é a opção mais segura. O Microsoft Entra ID não verifica se o domínio de entrada corresponde a um domínio esperado para autenticação. Como resultado, as organizações perdem uma camada adicional de validação de domínio que pode ajudar a detectar problemas de configuração ou identidades inesperadas. Se um provedor de identidade federada (IdP) estiver comprometido ou mal-intencionado, ele poderá se autenticar como usuários fora do escopo de domínio pretendido, estendendo o impacto de um único domínio para potencialmente todo o locatário. Os clientes que usam essa configuração são incentivados a confiar em controles como MFA, Acesso Condicional, provedores de identidade confiáveis e políticas de autorização de aplicativo para proteger o acesso. -
all (padrão): requer uma correspondência de domínio para todos os domínios; Os usuários só poderão entrar se o domínio corresponder. -
allFederated: bloqueia a entrada se o domínio do usuário for federado (por exemplo, quando o usuário vem de um domínio federado diferente), mas permite a entrada se o domínio do usuário for gerenciado. -
allManaged: bloqueia a entrada se o domínio do usuário for gerenciado, mas permite a entrada para usuários de domínios federados. -
enumerated: bloqueia a entrada se o domínio do usuário estiver na lista de domínios enumerados especificados. -
allManagedAndEnumeratedFederated: bloqueia a entrada para todos os domínios gerenciados e bloqueia os domínios federados incluídos na lista de domínios enumerados. -
unknownFutureValue: Valor sentinela de enumeração evolutiva. Não usar.
|
Relações
Nenhum
Representação JSON
A representação JSON a seguir mostra o tipo de recurso.
{
"@odata.type": "#microsoft.graph.validatingDomains",
"rootDomains": "String"
}