Sistema di autenticazione di backup di Microsoft Entra ID

Le organizzazioni di tutto il mondo dipendono dalla disponibilità elevata dell'autenticazione di Microsoft Entra per utenti e servizi 24 ore al giorno, sette giorni alla settimana. Promettiamo una disponibilità del livello di servizio del 99,99% per l'autenticazione e cerchiamo continuamente di migliorarla migliorando la resilienza del servizio di autenticazione. Per migliorare ulteriormente la resilienza durante le interruzioni, è stato implementato un sistema di backup nel 2021.

Il sistema di autenticazione di backup di Microsoft Entra è costituito da più servizi di backup che interagiscono per aumentare la resilienza dell'autenticazione in caso di interruzione. Questo sistema gestisce in modo trasparente e automatico le autenticazioni per applicazioni e servizi supportati se il servizio Microsoft Entra primario non è disponibile o danneggiato. Aggiunge un ulteriore livello di resilienza oltre ai diversi livelli di ridondanza esistenti. Questa resilienza è descritta nel post di blog Migliorare la resilienza del servizio in Microsoft Entra ID con il relativo servizio di autenticazione di backup. Questo sistema sincronizza i metadati di autenticazione quando il sistema è integro e li usa per consentire agli utenti di continuare ad accedere alle applicazioni durante le interruzioni del servizio primario, applicando comunque i controlli dei criteri.

Durante un'interruzione del servizio primario, gli utenti possono continuare a lavorare con le applicazioni, purché abbiano eseguito l'accesso negli ultimi tre giorni dallo stesso dispositivo e non esistano criteri di blocco che ne limitano l'accesso:

Oltre alle applicazioni Microsoft, Microsoft supporta:

• Client di posta elettronica nativi di iOS e Android.
• Applicazioni SaaS (Software as a Service) disponibili nella raccolta di app, ad esempio ADP, Atlassian, AWS, GoToMeeting, Kronos, Marketo, SAP, Trello, Workday e altro ancora.
• Applicazioni line-of-business selezionate, in base ai modelli di autenticazione.

L'autenticazione da servizio a servizio che si basa su identità gestite per le risorse di Azure o su servizi di Azure, ad esempio macchine virtuali, archiviazione cloud, servizi di Azure AI e servizio app, riceve una maggiore resilienza dal sistema di autenticazione di backup.

Microsoft sta espandendo continuamente il numero di scenari supportati.

Quali carichi di lavoro non Microsoft sono supportati?

Il sistema di autenticazione di backup offre automaticamente resilienza incrementale a decine di migliaia di applicazioni non Microsoft supportate in base ai modelli di autenticazione. Vedere l'appendice per un elenco delle applicazioni non Microsoft più comuni e il relativo stato di copertura. Per una spiegazione approfondita dei modelli di autenticazione supportati, vedere l'articolo Informazioni sul supporto delle applicazioni per il sistema di autenticazione di backup.

• Applicazioni native che usano il protocollo OAuth (Open Authorization) 2.0 per accedere alle applicazioni di risorse, ad esempio i comuni client di posta elettronica e messaggistica istantanea non Microsoft come Apple Mail, Aqua Mail, Gmail, Samsung Email e Spark.
• Applicazioni aziendali web configurate per l'autenticazione con OpenID Connect usando solo token ID.
• Le applicazioni Web che eseguono l'autenticazione con il protocollo SAML (Security Assertion Markup Language), se configurate per l'accesso Single Sign-On avviato da IdP come ADP, Atlassian Cloud, AWS, GoToMeeting, Kronos, Marketo, Palo Alto Networks, SAP Cloud Identity Services, Trello, Workday e Zscaler.

Tipi di applicazioni non Microsoft non protette

I modelli di autenticazione seguenti non sono attualmente supportati:

• Applicazioni Web che eseguono l'autenticazione con OpenID Connect e richiedono token di accesso
• Applicazioni Web che usano il protocollo SAML per l'autenticazione, se configurate come SSO avviato da SP

Cosa rende un utente supportabile dal sistema di autenticazione di backup?

Durante un'interruzione, un utente può eseguire l'autenticazione usando il sistema di autenticazione di backup se vengono soddisfatte le condizioni seguenti:

1. L'utente ha eseguito correttamente l'autenticazione usando la stessa app e lo stesso dispositivo negli ultimi tre giorni.
2. Non è necessario che l'utente esegua l'autenticazione interattiva
3. L'utente accede a una risorsa come membro del tenant di origine, anziché esercitare uno scenario B2B o B2C.
4. L'utente non è soggetto ai criteri di accesso condizionale che limitano il sistema di autenticazione del backup, ad esempio disabilitando le impostazioni predefinite di resilienza.
5. L'utente non è stato soggetto a un evento di revoca, ad esempio una modifica delle credenziali dall'ultima autenticazione riuscita.

In che modo l'autenticazione interattiva e l'attività utente influiscono sulla resilienza?

Il sistema di autenticazione di backup si basa sui metadati di un'autenticazione precedente per autenticare nuovamente l'utente durante un'interruzione. Per questo motivo, un utente deve aver eseguito l'autenticazione negli ultimi tre giorni usando la stessa app sullo stesso dispositivo per far funzionare il servizio di backup. Gli utenti inattivi o non autenticati in una determinata app non possono usare il sistema di autenticazione di backup per tale applicazione.

In che modo i criteri di accesso condizionale influiscono sulla resilienza?

Alcuni criteri non possono essere valutati in tempo reale dal sistema di autenticazione di backup e devono basarsi sulle valutazioni precedenti di questi criteri. In condizioni di interruzione, il servizio usa una valutazione precedente per impostazione predefinita per massimizzare la resilienza. Ad esempio, l'accesso condizionale per un utente con un ruolo specifico,ad esempio Amministratore applicazione, continua durante un'interruzione in base al ruolo che l'utente aveva durante l'autenticazione più recente. Se è necessario limitare l'uso di una valutazione precedente solo in caso di interruzione del servizio, gli amministratori del tenant possono optare per una valutazione rigorosa di tutti i criteri di accesso condizionale, anche in caso di interruzione, disabilitando le impostazioni predefinite di resilienza. Questa decisione deve essere presa con attenzione perché la disabilitazione delle impostazioni predefinite di resilienza per un determinato criterio impedisce agli utenti di usare l'autenticazione di backup. Le impostazioni predefinite per la resilienza devono essere riabilitate prima che si verifichi un'interruzione per consentire al sistema di backup di fornire resilienza.

Alcuni altri tipi di criteri non supportano l'uso del sistema di autenticazione di backup. L'uso dei criteri seguenti riduce la resilienza:

• Uso del controllo della frequenza di accesso come parte di un criterio di accesso condizionale.
• Uso dei criteri dei metodi di autenticazione.
• Uso dei criteri di accesso condizionale classici.

Resilienza dell'identità di carico di lavoro nel sistema di autenticazione di riserva

Oltre all'autenticazione utente, il sistema di autenticazione di backup fornisce resilienza per le identità gestite e altre infrastrutture chiave di Azure offrendo un servizio di autenticazione isolato a livello regionale con livelli di ridondanza che affiancano il servizio di autenticazione primario. Questo sistema consente all'autenticazione dell'infrastruttura all'interno di un'area di Azure di essere resiliente ai problemi che possono verificarsi in un'altra area o all'interno del servizio Microsoft Entra più grande. Questo sistema integra l'architettura tra aree di Azure. La creazione delle proprie applicazioni utilizzando l'Intelligenza Artificiale (MI) e seguendo le procedure consigliate di Azure per la resilienza e la disponibilità garantisce che le applicazioni siano altamente resilienti. Oltre a MI, questo sistema di backup resiliente a livello regionale protegge l'infrastruttura e i servizi chiave di Azure che garantiscono la funzionalità del cloud.

Riepilogo del supporto dell'autenticazione dell'infrastruttura

• I servizi basati sull'infrastruttura di Azure che usano identità gestite sono protetti dal sistema di autenticazione di backup.
• I servizi di Azure che eseguono l'autenticazione tra loro sono protetti dal sistema di autenticazione di backup.
• I servizi sviluppati su Azure o al di fuori di Azure, quando le identità sono registrate come principal del servizio e non come "identità gestite", non sono protetti dal sistema di autenticazione di backup.

Ambienti cloud che supportano il sistema di autenticazione di backup

Il sistema di autenticazione di backup è supportato in tutti gli ambienti cloud ad eccezione di Microsoft Azure gestito da 21Vianet. I tipi di identità supportati variano in base al cloud e hanno endpoint di autenticazione separati, come descritto nella tabella seguente.

Appendice

App client native popolari non-Microsoft e applicazioni della galleria

Risorse di Azure e relativo stato

Passaggi successivi

• Requisiti dell'applicazione per il sistema di autenticazione di backup
• Introduzione al sistema di autenticazione di backup
• Impostazioni predefinite di resilienza per l'accesso condizionale
• Report sulle prestazioni del contratto di servizio (SLA) di Microsoft Entra