Единый вход и внешние удостоверения

Единый вход (SSO) позволяет пользователю пройти проверку подлинности один раз и получить доступ к нескольким приложениям без повторного ввода учётных данных для каждого из них. Entra ID выступает в роли центрального поставщика удостоверений (IdP): после входа на платформу удостоверений Microsoft выдаются токены, предоставляющие доступ к любому зарегистрированному приложению, которым пользователю разрешено пользоваться. SSO повышает безопасность, уменьшая утомляемость от паролей и распространение отдельных учётных данных для каждого приложения.

Entra ID поддерживает два основных протокола SSO. OpenID Connect (OIDC) — современный стандарт, созданный на основе OAuth 2.0 и используемый собственными приложениями Microsoft и большинством новых приложений SaaS; он выдаёт веб-токены JSON (JWT). SAML 2.0 — более старый протокол на основе XML, который по-прежнему требуется многим устаревшим корпоративным приложениям и поддерживается тысячами предварительно интегрированных приложений в коллекции приложений Entra ID.

Entra ID предоставляет коллекцию приложений с готовыми интеграциями SSO для более чем 3 000 приложений SaaS, включая Salesforce, ServiceNow, GitHub Enterprise, AWS, Zoom и многие другие. Добавление приложения из коллекции автоматически настраивает метаданные SSO, значительно сокращая время интеграции. Для приложений, отсутствующих в коллекции, параметры федерации SAML или OIDC можно настроить вручную.

Портал My Apps (myapps.microsoft.com) — это веб-портал самообслуживания, где пользователи видят все корпоративные приложения, к которым им предоставлен доступ, и могут запускать их одним нажатием. Администраторы IT управляют тем, какие приложения отображаются и для каких пользователей. Если функции самообслуживания включены, пользователи также могут управлять членством в группах и запросами на доступ через этот портал.

Entra ID B2B (Business-to-Business) позволяет приглашать внешних партнёров, подрядчиков и поставщиков в свой клиент как гостевых пользователей. Гости проходят проверку подлинности с помощью собственного поставщика удостоверений организации (другого клиента Entra ID, Google или любого поставщика SAML/OIDC), после чего получают токен доступа к ресурсам. Вы точно определяете, к каким приложениям, группам и ресурсам гости могут обращаться, используя стандартные политики RBAC и Conditional Access.

После приглашения внешнего пользователя он получает электронное письмо с приглашением и ссылкой для активации. Перейдя по ссылке, он проходит проверку подлинности с помощью собственных учётных данных (а не нового пароля в Вашем клиенте), а Entra ID создаёт в Вашем каталоге объект гостевого пользователя, представляющий этого человека. После этого администраторы назначают гостевому пользователю роли и членство в группах так же, как внутренним пользователям, но гость продолжает проходить проверку подлинности через свою домашнюю организацию.

Entra External ID для клиентов (ранее Azure AD B2C) — это отдельная служба удостоверений для приложений, ориентированных на потребителей. Она позволяет клиентам регистрироваться и входить в систему с помощью адреса электронной почты, номера телефона или социальных учётных записей (Google, Facebook, Apple). В отличие от B2B, который устанавливает федерацию с существующими организационными удостоверениями, B2C создаёт учетные записи клиентов и управляет ими, поддерживая миллионы пользователей и индивидуально оформленные процессы входа.

Выбор между B2B и B2C зависит от того, кто является пользователями. B2B предназначен для деловых партнёров и сотрудников других организаций, у которых уже есть корпоративное удостоверение для прохождения проверки подлинности. B2C предназначен для конечных потребителей, у которых нет организационного удостоверения; они регистрируются с помощью электронной почты или социальной учётной записи. Пользователи B2B отображаются в Вашем клиенте как гости, а пользователи B2C хранятся в собственном каталоге клиента B2C.

Entra ID поддерживает прямую федерацию с внешними поставщиками удостоверений SAML или WS-Fed. Это полезно, когда партнёрская организация использует поставщика удостоверений не от Microsoft, например Okta, Ping Identity или AD FS. После настройки федерации все пользователи домена партнёра смогут входить в Ваши приложения с помощью собственного поставщика удостоверений без необходимости отправлять отдельные приглашения гостям — это особенно удобно для крупных партнёрств с большим количеством пользователей.

Параметры доступа между клиентами (XTAP) в Entra ID обеспечивают детальный контроль входящего и исходящего взаимодействия с определёнными клиентами партнёров. Можно настроить политики для каждого клиента, чтобы доверять (или не доверять) утверждениям партнёра о MFA и состоянии соответствия устройства, устраняя необходимость повторно проходить MFA гостям, которые уже выполнили это требование в своём домашнем клиенте. XTAP заменяет прежние списки разрешённых и запрещённых пользователей B2B.

Entra ID поддерживает полный отказ от паролей с помощью аутентификации без пароля. Доступны следующие варианты: Windows Hello for Business (биометрия или PIN, связанный с устройством), ключи безопасности FIDO2 (аппаратные ключи USB/NFC от YubiKey и других производителей) и приложение Microsoft Authenticator для входа с телефона (сопоставление чисел). Методы без пароля одновременно безопаснее паролей и удобнее для пользователей, устраняя основной вектор атак при захвате учётных записей.

Проверьте своё понимание концепций Microsoft Azure Fundamentals (AZ-900), рассмотренных в этом уроке.

В этом уроке Вы узнали, что SSO с использованием Entra ID позволяет пользователям пройти проверку подлинности один раз и получить доступ к нескольким приложениям, B2B приглашает внешних партнёров как гостевых пользователей, которые проходят проверку подлинности через собственный IdP, а B2C управляет учётными записями потребителей и поддерживает вход через социальные учётные записи. Далее мы рассмотрим средства безопасности Azure, начав с Microsoft Defender for Cloud.