Daftar Masuk Tunggal dan Identiti Luaran

Single Sign-On (SSO) membolehkan pengguna mengesahkan identiti sekali dan mendapatkan akses kepada berbilang aplikasi tanpa memasukkan semula kelayakan bagi setiap aplikasi. Entra ID bertindak sebagai pembekal identiti pusat (IdP): selepas log masuk ke platform identiti Microsoft, token dikeluarkan untuk memberikan akses kepada mana-mana aplikasi berdaftar yang berhak digunakan oleh pengguna. SSO meningkatkan keselamatan dengan mengurangkan keletihan akibat kata laluan dan lambakan kelayakan berasingan bagi setiap aplikasi.

Entra ID menyokong dua protokol SSO utama. OpenID Connect (OIDC) ialah standard moden yang dibina berasaskan OAuth 2.0, digunakan oleh aplikasi Microsoft sendiri dan kebanyakan aplikasi SaaS baharu — protokol ini mengeluarkan JSON Web Tokens (JWT). SAML 2.0 ialah protokol berasaskan XML yang lebih lama dan masih diperlukan oleh banyak aplikasi perusahaan legasi, serta disokong oleh ribuan aplikasi yang telah disepadukan terlebih dahulu dalam galeri aplikasi Entra ID.

Entra ID menyediakan galeri aplikasi dengan penyepaduan SSO terbina dalam untuk lebih 3,000 aplikasi SaaS termasuk Salesforce, ServiceNow, GitHub Enterprise, AWS, Zoom dan banyak lagi. Menambahkan aplikasi daripada galeri mengkonfigurasi metadata SSO secara automatik, sekali gus mengurangkan masa penyepaduan dengan ketara. Bagi aplikasi yang tiada dalam galeri, anda boleh mengkonfigurasi parameter persekutuan SAML atau OIDC secara manual.

Portal My Apps (myapps.microsoft.com) ialah portal web layan diri yang membolehkan pengguna melihat semua aplikasi perusahaan yang telah diberikan akses kepada mereka dan melancarkannya dengan satu klik. Pentadbir IT mengawal aplikasi yang dipaparkan dan pengguna yang boleh melihatnya. Pengguna juga boleh mengurus keahlian kumpulan dan permintaan akses daripada portal ini jika keupayaan layan diri didayakan.

Entra ID B2B (Perniagaan-ke-Perniagaan) membolehkan anda menjemput rakan kongsi luaran, kontraktor dan vendor ke penyewa anda sebagai pengguna tetamu. Tetamu mengesahkan identiti menggunakan pembekal identiti organisasi mereka sendiri (penyewa Entra ID lain, Google atau mana-mana pembekal SAML/OIDC), kemudian menerima token akses kepada sumber anda. Anda mengawal dengan tepat aplikasi, kumpulan dan sumber yang boleh diakses oleh tetamu melalui RBAC standard dan dasar Conditional Access.

Apabila anda menjemput pengguna luaran, mereka menerima jemputan e-mel dengan pautan penebusan. Selepas mengklik pautan tersebut, mereka mengesahkan identiti menggunakan kelayakan sendiri (bukan kata laluan baharu dalam penyewa anda), dan Entra ID mencipta objek pengguna tetamu dalam direktori anda untuk mewakili mereka. Selepas itu, pentadbir memberikan peranan dan keahlian kumpulan kepada pengguna tetamu sama seperti pengguna dalaman, tetapi tetamu tersebut terus mengesahkan identiti melalui organisasi asal mereka.

Entra External ID untuk pelanggan (dahulunya Azure AD B2C) ialah perkhidmatan identiti berasingan untuk aplikasi yang berhadapan dengan pengguna. Perkhidmatan ini membolehkan pelanggan mendaftar dan log masuk menggunakan alamat e-mel, nombor telefon atau akaun sosial (Google, Facebook, Apple). Tidak seperti B2B yang bersekutu dengan identiti organisasi sedia ada, B2C mencipta dan mengurus akaun identiti pelanggan, menyokong jutaan pengguna dengan pengalaman log masuk berjenama tersuai.

Pemilihan antara B2B dan B2C bergantung pada siapa penggunanya. B2B adalah untuk rakan kongsi perniagaan dan pekerja organisasi lain yang sudah mempunyai identiti korporat untuk pengesahan. B2C adalah untuk pengguna akhir yang tidak mempunyai identiti organisasi — mereka mendaftar menggunakan e-mel atau akaun sosial. Pengguna B2B muncul dalam penyewa anda sebagai tetamu; pengguna B2C disimpan dalam direktori penyewa B2C sendiri.

Entra ID menyokong persekutuan langsung dengan pembekal identiti SAML atau WS-Fed luaran. Ini berguna apabila organisasi rakan kongsi menggunakan IdP bukan Microsoft seperti Okta, Ping Identity atau AD FS. Selepas persekutuan disediakan, semua pengguna daripada domain rakan kongsi boleh log masuk ke aplikasi anda menggunakan IdP mereka sendiri, tanpa memerlukan jemputan tetamu secara individu — sesuai untuk perkongsian besar yang melibatkan ramai pengguna.

tetapan akses rentas penyewa (XTAP) dalam Entra ID memberikan kawalan terperinci terhadap kerjasama masuk dan keluar dengan penyewa rakan kongsi tertentu. Anda boleh mengkonfigurasi dasar mengikut penyewa untuk mempercayai (atau tidak mempercayai) tuntutan MFA dan status pematuhan peranti rakan kongsi, sekali gus menghapuskan keperluan tetamu mengulangi MFA apabila mereka telah memenuhinya dalam penyewa asal. XTAP menggantikan senarai benarkan/sekat B2B yang lebih lama.

Entra ID menyokong penghapusan kata laluan sepenuhnya melalui pengesahan tanpa kata laluan. Pilihan termasuk: Windows Hello for Business (biometrik atau PIN yang terikat pada peranti), kunci keselamatan FIDO2 (kunci perkakasan USB/NFC daripada YubiKey dan sebagainya), serta aplikasi Microsoft Authenticator menggunakan log masuk telefon (padanan nombor). Kaedah tanpa kata laluan lebih selamat berbanding kata laluan dan lebih mudah untuk pengguna, sekali gus menangani vektor serangan utama bagi pengambilalihan akaun.

Dalam pelajaran ini, anda telah mempelajari bahawa: SSO menggunakan Entra ID membolehkan pengguna mengesahkan identiti sekali dan mengakses berbilang aplikasi, B2B menjemput rakan kongsi luaran sebagai pengguna tetamu yang mengesahkan identiti dengan IdP mereka sendiri, dan B2C mengurus akaun identiti pengguna dengan sokongan log masuk sosial. Seterusnya, kita akan meneroka alat keselamatan Azure, bermula dengan Microsoft Defender untuk Cloud.