Single sign-on og eksterne identiteter

Single Sign-On (SSO) giver en bruger mulighed for at godkende sig én gang og få adgang til flere apps uden at indtaste legitimationsoplysninger igen for hver app. Entra ID fungerer som den centrale identitetsudbyder (IdP): Når brugeren har logget på Microsofts identitetsplatform, udstedes tokens, som giver adgang til alle registrerede apps, brugeren har tilladelse til at anvende. SSO forbedrer sikkerheden ved at reducere adgangskodetræthed og udbredelsen af legitimationsoplysninger pr. app.

Entra ID understøtter to primære SSO-protokoller. OpenID Connect (OIDC) er den moderne standard, der er bygget på OAuth 2.0, og som bruges af Microsofts egne apps og de fleste nye SaaS-apps — den udsteder JSON Web Tokens (JWT'er). SAML 2.0 er en ældre XML-baseret protokol, som stadig kræves af mange ældre virksomhedsapps og understøttes af tusindvis af forintegrerede apps i Entra IDs appgalleri.

Entra ID indeholder et appgalleri med forudbyggede SSO-integrationer til over 3.000 SaaS-apps, herunder Salesforce, ServiceNow, GitHub Enterprise, AWS, Zoom og mange flere. Når du tilføjer en app fra galleriet, konfigureres SSO-metadata automatisk, hvilket reducerer integrationstiden markant. For apps, der ikke findes i galleriet, kan du manuelt konfigurere parametre for SAML- eller OIDC-federation.

Portalen My Apps (myapps.microsoft.com) er en selvbetjeningswebportal, hvor brugere kan se alle virksomhedsapps, de har fået adgang til, og starte dem med ét klik. IT-administratorer bestemmer, hvilke apps der vises, og for hvilke brugere. Brugere kan også administrere gruppemedlemskaber og adgangsanmodninger fra denne portal, hvis selvbetjeningsfunktionerne er aktiveret.

Entra ID B2B (Business-to-Business) giver dig mulighed for at invitere eksterne partnere, konsulenter og leverandører til din tenant som gæstebrugere. Gæster godkender sig med deres egen organisations identitetsudbyder (en anden Entra ID-tenant, Google eller en SAML/OIDC-udbyder) og modtager derefter et adgangstoken til dine ressourcer. Du bestemmer præcis, hvilke apps, grupper og ressourcer gæsterne kan få adgang til, gennem standard-RBAC og politikker for betinget adgang.

Når du inviterer en ekstern bruger, modtager vedkommende en e-mailinvitation med et indløsningslink. Når brugeren klikker på linket, godkender vedkommende sig med sine egne legitimationsoplysninger (ikke med en ny adgangskode i din tenant), og Entra ID opretter et gæstebrugerobjekt i din mappe, som repræsenterer brugeren. Herefter tildeler administratorer roller og gruppemedlemskaber til gæstebrugeren på samme måde som til interne brugere, men gæsten fortsætter med at godkende sig gennem sin hjemorganisation.

Entra External ID for kunder (tidligere Azure AD B2C) er en separat identitetstjeneste til forbrugerrettede apps. Den giver kunder mulighed for at oprette en konto og logge på ved hjælp af deres e-mailadresse, telefonnummer eller sociale konti (Google, Facebook, Apple). I modsætning til B2B, der opretter federation med eksisterende organisationsidentiteter, opretter og administrerer B2C kundeidentitetskonti og understøtter millioner af brugere med brugerdefinerede loginoplevelser med eget brand.

Valget mellem B2B og B2C afhænger af, hvem brugerne er. B2B er til forretningspartnere og medarbejdere i andre organisationer, som allerede har en virksomhedsidentitet, de godkender sig med. B2C er til slutforbrugere, som ikke har en organisationsidentitet — de registrerer sig med en e-mailkonto eller social konto. B2B-brugere vises som gæster i din tenant, mens B2C-brugere gemmes i B2C-tenantens egen mappe.

Entra ID understøtter direkte federation med eksterne SAML- eller WS-Fed-identitetsudbydere. Det er nyttigt, når en partnerorganisation bruger en ikke-Microsoft-baseret IdP som Okta, Ping Identity eller AD FS. Når federation er konfigureret, kan alle brugere fra partnerens domæne logge på dine apps med deres egen IdP uden individuelle gæsteinvitationer — ideelt til store partnerskaber med mange brugere.

Indstillinger for adgang på tværs af tenants (XTAP) i Entra ID giver dig detaljeret kontrol over indgående og udgående samarbejde med bestemte partnertenants. Du kan konfigurere politikker pr. tenant for at have tillid til (eller ikke have tillid til) partnerens MFA-krav og status for enhedens overensstemmelse, så gæster ikke behøver at gennemføre MFA igen, når de allerede har opfyldt kravet i deres hjemmetenant. XTAP erstatter de ældre B2B-lister over tilladte og afviste tenants.

Entra ID understøtter fuldstændig fjernelse af adgangskoder gennem adgangskodefri godkendelse. Mulighederne omfatter: Windows Hello for Business (biometri eller pinkode knyttet til en enhed), FIDO2-sikkerhedsnøgler (hardwarebaserede USB-/NFC-nøgler fra YubiKey osv.) og appen Microsoft Authenticator med login via telefon (nummermatchning). Adgangskodefri metoder er både mere sikre end adgangskoder og mere praktiske for brugerne, og de adresserer den primære angrebsvektor ved kontoovertagelser.

I denne lektion har du lært, at SSO med Entra ID giver brugere mulighed for at godkende sig én gang og få adgang til flere apps, at B2B inviterer eksterne partnere som gæstebrugere, der godkender sig med deres egen IdP, og at B2C administrerer forbrugeridentitetskonti med understøttelse af login via sociale konti. I næste afsnit ser vi nærmere på Azures sikkerhedsværktøjer, begyndende med Microsoft Defender for Cloud.