Kertakirjautuminen ja ulkoiset identiteetit

Single Sign-On (SSO) mahdollistaa käyttäjän todentamisen kerran ja pääsyn useisiin sovelluksiin ilman tunnistetietojen syöttämistä uudelleen jokaista sovellusta varten. Entra ID toimii keskitettynä identiteetintarjoajana (IdP): kun käyttäjä on kirjautunut Microsoftin identiteettialustaan, hänelle myönnetään tunnisteita, jotka antavat pääsyn kaikkiin rekisteröityihin sovelluksiin, joiden käyttöön hänellä on oikeus. SSO parantaa tietoturvaa vähentämällä salasanoihin liittyvää kuormitusta ja sovelluskohtaisten tunnistetietojen määrää.

Entra ID tukee kahta ensisijaista SSO-protokollaa. OpenID Connect (OIDC) on OAuth 2.0 -standardin pohjalta rakennettu moderni standardi, jota käyttävät Microsoftin omat sovellukset ja useimmat uudet SaaS-sovellukset. Se myöntää JSON Web Token -tunnisteita (JWT). SAML 2.0 on vanhempi XML-pohjainen protokolla, jota monet vanhat yrityssovellukset edelleen edellyttävät ja jota tuhannet Entra ID:n sovellusvalikoiman valmiiksi integroidut sovellukset tukevat.

Entra ID tarjoaa application gallery -sovellusvalikoiman, jossa on valmiit SSO-integraatiot yli 3 000 SaaS-sovellukselle, kuten Salesforce, ServiceNow, GitHub Enterprise, AWS ja Zoom. Sovelluksen lisääminen valikoimasta määrittää SSO-metatiedot automaattisesti ja lyhentää integraatioon kuluvaa aikaa huomattavasti. Jos sovellusta ei löydy valikoimasta, voit määrittää SAML- tai OIDC-federaation parametrit manuaalisesti.

My Apps portal (myapps.microsoft.com) on itsepalveluverkk portaali, jossa käyttäjät näkevät kaikki yrityssovellukset, joiden käyttöoikeus heille on määritetty, ja voivat käynnistää ne yhdellä napsautuksella. IT-järjestelmänvalvojat hallitsevat sitä, mitkä sovellukset näkyvät ja mille käyttäjille. Jos itsepalveluominaisuudet ovat käytössä, käyttäjät voivat hallita portaalissa myös ryhmäjäsenyyksiään ja käyttöoikeuspyyntöjään.

Entra ID B2B (Business-to-Business) mahdollistaa ulkoisten kumppaneiden, alihankkijoiden ja toimittajien kutsumisen tenanttiisi vieraskäyttäjinä. Vieraat todentavat itsensä oman organisaationsa identiteetintarjoajan avulla (toinen Entra ID -tenantti, Google tai mikä tahansa SAML/OIDC-palveluntarjoaja) ja saavat sen jälkeen käyttöoikeustunnisteen resursseihisi. Voit hallita tarkasti, mitä sovelluksia, ryhmiä ja resursseja vieraat voivat käyttää tavallisten RBAC- ja Conditional Access -käytäntöjen avulla.

Kun kutsut ulkoisen käyttäjän, hän saa sähköpostikutsun, joka sisältää lunastuslinkin. Kun käyttäjä napsauttaa linkkiä, hän todentaa itsensä omilla tunnistetiedoillaan (ei uudella tenanttiisi luotavalla salasanalla), ja Entra ID luo hakemistoosi häntä edustavan guest user object -objektin. Tämän jälkeen järjestelmänvalvojat määrittävät vieraskäyttäjälle roolit ja ryhmäjäsenyydet samalla tavalla kuin sisäisille käyttäjille, mutta vieras todentaa itsensä edelleen kotiorganisaationsa kautta.

Entra External ID for customers (formerly Azure AD B2C) on erillinen identiteettipalvelu kuluttajille suunnatuille sovelluksille. Sen avulla asiakkaat voivat rekisteröityä ja kirjautua sisään käyttämällä sähköpostiosoitettaan, puhelinnumeroaan tai sosiaalisen median tilejään (Google, Facebook, Apple). Toisin kuin B2B, joka yhdistää olemassa olevat organisaatioidentiteetit, B2C luo ja hallitsee asiakkaiden identiteettitilejä ja tukee miljoonia käyttäjiä mukautetuilla brändätyillä kirjautumiskokemuksilla.

Valinta B2B:n ja B2C:n välillä riippuu siitä, keitä käyttäjät ovat. B2B on tarkoitettu liikekumppaneille ja muiden organisaatioiden työntekijöille, joilla on jo yritysidentiteetti, jolla he todentavat itsensä. B2C on tarkoitettu kuluttajille, joilla ei ole organisaatioidentiteettiä – he rekisteröityvät sähköpostiosoitteella tai sosiaalisen median tilillä. B2B-käyttäjät näkyvät tenantissasi vieraina, kun taas B2C-käyttäjät tallennetaan B2C-tenantin omaan hakemistoon.

Entra ID tukee suoraa federaatiota ulkoisten SAML- tai WS-Fed-identiteetintarjoajien kanssa. Tämä on hyödyllistä, kun kumppaniorganisaatio käyttää muuta kuin Microsoftin IdP-palvelua, kuten Oktaa, Ping Identityä tai AD FS:ää. Federaation määrittämisen jälkeen kaikki kumppanin toimialueen käyttäjät voivat kirjautua sovelluksiisi oman IdP-palvelunsa avulla ilman erillisiä vieraskutsuja. Tämä sopii erityisesti suuriin kumppanuuksiin, joissa on paljon käyttäjiä.

Entra ID:n cross-tenant access settings (XTAP) antaa tarkan hallinnan saapuvalle ja lähtevälle yhteistyölle tiettyjen kumppanitenanttien kanssa. Voit määrittää tenanttikohtaisilla käytännöillä, luotetaanko kumppanin MFA-väitteisiin ja laitteen vaatimustenmukaisuustilaan. Näin vieraan ei tarvitse suorittaa MFA:ta uudelleen, jos hän on jo täyttänyt vaatimuksen kotitenantissaan. XTAP korvaa vanhemmat B2B:n sallittujen ja estettyjen tenanttien luettelot.

Entra ID tukee salasanojen poistamista kokonaan käytöstä salasanattomalla todentamisella. Vaihtoehtoja ovat esimerkiksi Windows Hello for Business (laitteeseen sidottu biometrinen tunniste tai PIN-koodi), FIDO2 security keys (YubiKeyn kaltaiset USB- tai NFC-laitteet) ja Microsoft Authenticator -sovellus puhelimella kirjautumiseen (numeron täsmäytyksellä). Salasanattomat menetelmät ovat sekä salasanoja turvallisempia että käyttäjille helpompia, ja ne torjuvat tilien kaappausten ensisijaista hyökkäysvektoria.

Tässä oppitunnissa opit, että Entra ID:n SSO:n avulla käyttäjä voi todentaa itsensä kerran ja käyttää useita sovelluksia, B2B kutsuu ulkoiset kumppanit vieraskäyttäjiksi, jotka todentavat itsensä oman IdP-palvelunsa kautta ja B2C hallitsee kuluttajien identiteettitilejä ja tukee kirjautumista sosiaalisen median tileillä. Seuraavaksi tutustumme Azuren suojaustyökaluihin aloittaen Microsoft Defender for Cloudista.