Single Sign-On und externe Identitäten

Single Sign-On (SSO) ermöglicht es einem Benutzer, sich einmal zu authentifizieren und auf mehrere Anwendungen zuzugreifen, ohne für jede Anwendung die Anmeldedaten erneut einzugeben. Entra ID fungiert als zentraler Identitätsanbieter (IdP): Nach der Anmeldung bei der Microsoft-Identitätsplattform werden Token ausgestellt, die den Zugriff auf jede registrierte Anwendung gewähren, zu deren Nutzung der Benutzer berechtigt ist. SSO erhöht die Sicherheit, da es die Kennwortüberlastung und die Vielzahl anwendungsspezifischer Anmeldedaten reduziert.

Entra ID unterstützt zwei zentrale SSO-Protokolle. OpenID Connect (OIDC) ist der moderne, auf OAuth 2.0 basierende Standard, der von Microsofts eigenen Apps und den meisten neuen SaaS-Anwendungen verwendet wird – er stellt JSON Web Tokens (JWTs) aus. SAML 2.0 ist ein älteres XML-basiertes Protokoll, das von vielen älteren Unternehmensanwendungen weiterhin benötigt wird und von Tausenden vorintegrierten Apps im Entra ID-Anwendungskatalog unterstützt wird.

Entra ID stellt einen Anwendungskatalog mit vorgefertigten SSO-Integrationen für mehr als 3.000 SaaS-Anwendungen bereit, darunter Salesforce, ServiceNow, GitHub Enterprise, AWS, Zoom und viele weitere. Wenn Sie eine Anwendung aus dem Katalog hinzufügen, werden die SSO-Metadaten automatisch konfiguriert, wodurch sich die Integrationszeit erheblich verkürzt. Für Apps, die nicht im Katalog enthalten sind, können Sie die Parameter für die SAML- oder OIDC-Föderation manuell konfigurieren.

Das My Apps-Portal (myapps.microsoft.com) ist ein Self-Service-Webportal, in dem Benutzer alle Unternehmensanwendungen sehen, denen sie zugewiesen wurden, und diese mit einem einzigen Klick starten können. IT-Administratoren steuern, welche Apps für welche Benutzer angezeigt werden. Wenn Self-Service-Funktionen aktiviert sind, können Benutzer über dieses Portal außerdem Gruppenmitgliedschaften und Zugriffsanforderungen verwalten.

Entra ID B2B (Business-to-Business) ermöglicht es Ihnen, externe Partner, Auftragnehmer und Anbieter als Gastbenutzer in Ihren Mandanten einzuladen. Gäste authentifizieren sich über den Identitätsanbieter ihrer eigenen Organisation (einen anderen Entra ID-Mandanten, Google oder einen beliebigen SAML/OIDC-Anbieter) und erhalten anschließend ein Zugriffstoken für Ihre Ressourcen. Über standardmäßige RBAC- und Richtlinien für bedingten Zugriff steuern Sie genau, auf welche Apps, Gruppen und Ressourcen Gäste zugreifen können.

Wenn Sie einen externen Benutzer einladen, erhält dieser eine E-Mail-Einladung mit einem Einlösungslink. Nach dem Anklicken des Links authentifiziert sich der Benutzer mit seinen eigenen Anmeldedaten (nicht mit einem neuen Kennwort in Ihrem Mandanten), und Entra ID erstellt in Ihrem Verzeichnis ein Gastbenutzerobjekt, das den Benutzer repräsentiert. Anschließend weisen Administratoren dem Gastbenutzer Rollen und Gruppenmitgliedschaften genauso wie internen Benutzern zu. Der Gast authentifiziert sich jedoch weiterhin über seine Heimatorganisation.

Entra External ID für Kunden (ehemals Azure AD B2C) ist ein separater Identitätsdienst für kundenorientierte Anwendungen. Kunden können sich mit ihrer E-Mail-Adresse, Telefonnummer oder ihren Social-Media-Konten (Google, Facebook, Apple) registrieren und anmelden. Im Gegensatz zu B2B, das mit vorhandenen Organisationsidentitäten föderiert, erstellt und verwaltet B2C Kundenidentitätskonten und unterstützt Millionen von Benutzern mit individuell gebrandeten Anmeldeerlebnissen.

Die Entscheidung zwischen B2B und B2C hängt davon ab, wer die Benutzer sind. B2B richtet sich an Geschäftspartner und Beschäftigte anderer Organisationen, die bereits über eine Unternehmensidentität verfügen, mit der sie sich authentifizieren. B2C richtet sich an Endkunden ohne Organisationsidentität – sie registrieren sich mit einer E-Mail-Adresse oder einem Social-Media-Konto. B2B-Benutzer erscheinen in Ihrem Mandanten als Gäste; B2C-Benutzer werden im eigenen Verzeichnis des B2C-Mandanten gespeichert.

Entra ID unterstützt die direkte Föderation mit externen SAML- oder WS-Fed-Identitätsanbietern. Das ist hilfreich, wenn eine Partnerorganisation einen nicht von Microsoft stammenden IdP wie Okta, Ping Identity oder AD FS verwendet. Nach der Einrichtung der Föderation können sich alle Benutzer aus der Domäne des Partners mit ihrem eigenen IdP bei Ihren Anwendungen anmelden, ohne einzeln als Gäste eingeladen werden zu müssen – ideal für große Partnerschaften mit vielen Benutzern.

Mit den Einstellungen für den mandantenübergreifenden Zugriff (XTAP) in Entra ID können Sie die eingehende und ausgehende Zusammenarbeit mit bestimmten Partnermandanten granular steuern. Sie können mandantenspezifische Richtlinien konfigurieren, um den MFA-Nachweisen und dem Konformitätsstatus von Geräten des Partners zu vertrauen (oder nicht zu vertrauen). Dadurch müssen Gäste MFA nicht erneut durchführen, wenn sie die Anforderung bereits in ihrem Heimatmandanten erfüllt haben. XTAP ersetzt die älteren B2B-Zulassungs- und -Verweigerungslisten.

Entra ID unterstützt den vollständigen Verzicht auf Kennwörter durch kennwortlose Authentifizierung. Zu den Optionen gehören: Windows Hello for Business (biometrische Authentifizierung oder PIN, an ein Gerät gebunden), FIDO2-Sicherheitsschlüssel (USB-/NFC-Hardwareschlüssel von YubiKey usw.) und die App Microsoft Authenticator mit der Telefonanmeldung (Zahlenabgleich). Kennwortlose Methoden sind sowohl sicherer als Kennwörter als auch komfortabler für Benutzer und beseitigen damit den wichtigsten Angriffsvektor bei der Übernahme von Konten.

Testen Sie Ihr Verständnis der Konzepte aus dieser Lektion zu Microsoft Azure Fundamentals (AZ-900).

In dieser Lektion haben Sie gelernt: SSO mit Entra ID ermöglicht es Benutzern, sich einmal zu authentifizieren und auf mehrere Anwendungen zuzugreifen, B2B lädt externe Partner als Gastbenutzer ein, die sich mit ihrem eigenen IdP authentifizieren und B2C verwaltet Kundenidentitätskonten und unterstützt die Anmeldung über soziale Konten. Als Nächstes sehen wir uns die Sicherheitstools von Azure an, beginnend mit Microsoft Defender for Cloud.