Enkel inloggning och externa identiteter

Single Sign-On (SSO) gör att en användare kan autentisera sig en gång och få åtkomst till flera program utan att ange autentiseringsuppgifter på nytt för varje program. Entra ID fungerar som den centrala identitetsprovidern (IdP): efter inloggning på Microsofts identitetsplattform utfärdas token som ger åtkomst till alla registrerade program som användaren har rätt att använda. SSO förbättrar säkerheten genom att minska lösenordströtthet och mängden autentiseringsuppgifter som hanteras separat för varje program.

Entra ID stöder två huvudsakliga SSO-protokoll. OpenID Connect (OIDC) är den moderna standarden som bygger på OAuth 2.0 och används av Microsofts egna appar och de flesta nya SaaS-program — den utfärdar JSON Web Tokens (JWT). SAML 2.0 är ett äldre XML-baserat protokoll som fortfarande krävs av många äldre företagsprogram och stöds av tusentals förintegrerade appar i Entra ID:s programgalleri.

Entra ID har ett programgalleri med färdiga SSO-integrationer för över 3 000 SaaS-program, bland annat Salesforce, ServiceNow, GitHub Enterprise, AWS och Zoom. När du lägger till ett program från galleriet konfigureras SSO-metadata automatiskt, vilket kraftigt minskar integrationstiden. För program som inte finns i galleriet kan du konfigurera parametrar för SAML- eller OIDC-federering manuellt.

Portalen My Apps (myapps.microsoft.com) är en självbetjäningsportal på webben där användare ser alla företagsprogram som de har tilldelats åtkomst till och kan starta dem med ett enda klick. IT-administratörer styr vilka appar som visas och för vilka användare. Om självbetjäningsfunktioner är aktiverade kan användarna även hantera gruppmedlemskap och åtkomstbegäranden från den här portalen.

Entra ID B2B (Business-to-Business) gör att du kan bjuda in externa partner, konsulter och leverantörer till din klient som gästanvändare. Gäster autentiserar sig med sin egen organisations identitetsprovider (en annan Entra ID-klient, Google eller valfri SAML/OIDC-provider) och får sedan en åtkomsttoken till dina resurser. Du styr exakt vilka appar, grupper och resurser gästerna får åtkomst till genom standardiserad RBAC och principer för villkorsstyrd åtkomst.

När du bjuder in en extern användare får personen en e-postinbjudan med en länk för att acceptera inbjudan. När länken öppnas autentiserar sig användaren med sina egna autentiseringsuppgifter (inte med ett nytt lösenord i din klient), och Entra ID skapar ett gästanvändarobjekt i din katalog som representerar användaren. Därefter tilldelar administratörer roller och gruppmedlemskap till gästanvändaren på samma sätt som för interna användare, men gästen fortsätter att autentisera sig via sin hemorganisation.

Entra External ID för kunder (tidigare Azure AD B2C) är en separat identitetstjänst för konsumentinriktade program. Den gör att kunder kan registrera sig och logga in med sin e-postadress, sitt telefonnummer eller sociala konton (Google, Facebook, Apple). Till skillnad från B2B, som federerar med befintliga organisationsidentiteter, skapar och hanterar B2C kundidentitetskonton och stöder miljontals användare med anpassade, varumärkesanpassade inloggningsupplevelser.

Valet mellan B2B och B2C beror på vilka användarna är. B2B är avsett för affärspartner och medarbetare i andra organisationer som redan har en företagsidentitet att autentisera sig med. B2C är avsett för slutkonsumenter som inte har någon organisationsidentitet — de registrerar sig med en e-postadress eller ett socialt konto. B2B-användare visas som gäster i din klient, medan B2C-användare lagras i B2C-klientens egen katalog.

Entra ID stöder direktfederering med externa SAML- eller WS-Fed-identitetsproviders. Det är användbart när en partnerorganisation använder en icke-Microsoft-baserad IdP, till exempel Okta, Ping Identity eller AD FS. När federeringen har konfigurerats kan alla användare från partnerns domän logga in i dina program med sin egen IdP, utan att behöva individuella gästanvändarinbjudningar — idealiskt för stora partnerskap med många användare.

Inställningar för åtkomst mellan klienter (XTAP) i Entra ID ger dig detaljerad kontroll över inkommande och utgående samarbete med specifika partnerklienter. Du kan konfigurera principer per klient för att lita på (eller inte lita på) partnerns MFA-anspråk och status för enhetskompatibilitet. Då behöver gäster inte genomföra MFA på nytt när de redan har uppfyllt kravet i sin hemklient. XTAP ersätter de äldre listorna över tillåtna och nekade B2B-klienter.

Entra ID stöder att lösenord tas bort helt genom lösenordsfri autentisering. Alternativen omfattar Windows Hello for Business (biometri eller PIN-kod kopplad till en enhet), FIDO2-säkerhetsnycklar (maskinvarunycklar med USB/NFC från exempelvis YubiKey) och appen Microsoft Authenticator med telefoninloggning (nummermatchning). Lösenordsfria metoder är både säkrare än lösenord och smidigare för användarna, och angriper därmed den främsta angreppsvektorn vid kontoövertaganden.

I den här lektionen lärde du dig att SSO med Entra ID gör att användare kan autentisera sig en gång och få åtkomst till flera program, att B2B bjuder in externa partner som gästanvändare som autentiserar sig med sin egen IdP och att B2C hanterar konsumentidentitetskonton med stöd för inloggning via sociala konton. Härnäst utforskar vi Azures säkerhetsverktyg, med början i Microsoft Defender for Cloud.