Система резервной аутентификации Microsoft Entra ID

Организации по всему миру зависят от высокой доступности проверки подлинности Microsoft Entra для пользователей и служб 24 часов в день, семь дней в неделю. Мы обещаем доступность на уровне обслуживания 99,99% для проверки подлинности, и мы постоянно стремимся улучшить ее, повышая устойчивость нашей службы проверки подлинности. Чтобы повысить устойчивость во время сбоя, мы реализовали систему резервного копирования в 2021 году.

Система проверки подлинности резервного копирования Microsoft Entra состоит из нескольких служб резервного копирования, которые совместно работают для повышения устойчивости проверки подлинности при сбое. Эта система прозрачно и автоматически обрабатывает аутентификацию для поддерживаемых приложений и служб, если основная служба Microsoft Entra недоступна или имеет сниженную производительность. Он добавляет дополнительный уровень устойчивости поверх нескольких уровней существующей избыточности. Эта устойчивость описана в записи блога о повышении устойчивости службы в Microsoft Entra ID с помощью резервной службы аутентификации. Эта система синхронизирует метаданные проверки подлинности, если система работоспособна и использует эту функцию, чтобы пользователи могли продолжать получать доступ к приложениям во время сбоя основной службы, при этом применяя элементы управления политикой.

Во время сбоя основной службы пользователи могут продолжать работать со своими приложениями, если они обращаются к ним за последние три дня с того же устройства, и политики блокировки не существуют, которые будут ограничивать их доступ:

Помимо приложений Майкрософт, мы поддерживаем:

• Собственные клиенты электронной почты в iOS и Android.
• Приложения Программного обеспечения как услуга (SaaS), доступные в коллекции приложений, таких как ADP, Atlassian, AWS, GoToMeeting, Kronos, Marketo, SAP, Trello, Workday и многое другое.
• Выбор бизнес-приложений на основе шаблонов проверки подлинности.

Аутентификация между службами, которая зависит от управляемых удостоверений для ресурсов Azure или построена на службах Azure, таких как виртуальные машины, облачное хранилище, службы Azure AI и Служба приложений, получает повышенную устойчивость благодаря системе резервной аутентификации.

Корпорация Майкрософт постоянно расширяет число поддерживаемых сценариев.

Какие рабочие нагрузки, отличные от Майкрософт, поддерживаются?

Система проверки подлинности резервного копирования автоматически обеспечивает добавочную устойчивость к десяткам тысяч поддерживаемых приложений, отличных от Майкрософт, на основе их шаблонов проверки подлинности. См. приложение, чтобы увидеть список наиболее распространенных приложений, не связанных с Microsoft, и их статус покрытия. Подробное описание поддерживаемых шаблонов проверки подлинности см. в статье "Общие сведения о поддержке приложений" для системы проверки подлинности резервного копирования.

• Собственные приложения, использующие протокол Open Authorization (OAuth) 2.0 для доступа к приложениям-ресурсам, таким как популярные клиенты электронной почты и службы мгновенных сообщений, отличные от Microsoft, например, Apple Mail, Aqua Mail, Gmail, Samsung Email и Spark.
• Веб-приложения для бизнеса, настроенные на аутентификацию с помощью OpenID Connect, используют только токены идентификатора.
• Веб-приложения, проходящие аутентификацию с помощью протокола SAML (Security Assertion Markup Language), при настройке единого входа, инициированного IDP (SSO), как, например, ADP, Atlassian Cloud, AWS, GoToMeeting, Kronos, Marketo, Palo Alto Networks, SAP Cloud Identity Services, Trello, Workday и Zscaler.

Типы приложений, отличные от Майкрософт, которые не защищены

В настоящее время не поддерживаются следующие шаблоны проверки подлинности:

• Веб-приложения, проходящие проверку подлинности с помощью OpenID Connect и запрашивающие токены доступа
• Веб-приложения, использующие протокол SAML для аутентификации, когда они настроены для единого входа, инициированного поставщиком услуг (SP-Initiated SSO).

Что делает пользователя поддерживаемым системой резервной аутентификации?

Во время сбоя пользователь может пройти проверку подлинности с помощью системы резервной проверки подлинности, если выполнены следующие условия:

1. Пользователь успешно прошел проверку подлинности с помощью того же приложения и устройства за последние три дня.
2. Пользователю не требуется проходить интерактивную аутентификацию
3. Пользователь обращается к ресурсу как член своего домашнего арендатора, а не в сценарии B2B или B2C.
4. Пользователь не подлежит политикам условного доступа, ограничивающим систему проверки подлинности резервного копирования, например отключение устойчивости по умолчанию.
5. Пользователь не подвергался событию отзыва, например изменению учетных данных после последней успешной проверки подлинности.

Как интерактивная проверка подлинности и активность пользователей влияют на устойчивость?

Система проверки подлинности резервного копирования использует метаданные из предыдущей проверки подлинности для повторной проверки подлинности пользователя во время сбоя. По этой причине пользователь должен пройти проверку подлинности за последние три дня, используя то же приложение на одном устройстве, чтобы служба резервного копирования была эффективной. Пользователи, неактивные или не прошедшие проверку подлинности в данном приложении, не могут использовать систему проверки подлинности резервного копирования для этого приложения.

Как политики условного доступа влияют на устойчивость?

Некоторые политики не могут быть оценены в режиме реального времени системой проверки подлинности резервной копии и должны полагаться на предыдущие оценки этих политик. В условиях сбоя служба использует предварительную оценку по умолчанию для максимальной устойчивости. Например, доступ, который обусловлен пользователем с определенной ролью (например, администратором приложений), продолжается во время сбоя на основе роли, которую пользователь имел во время последней проверки подлинности. Если использование предыдущей оценки только в случае сбоя должно быть ограничено, администраторы арендаторов могут выбрать строгую оценку всех политик условного доступа, даже в условиях сбоя, выключив параметры устойчивости по умолчанию. Это решение следует принять во внимание, так как отключение значений устойчивости по умолчанию для данной политики отключает пользователей от использования проверки подлинности резервного копирования. Чтобы система резервного копирования обеспечила устойчивость, необходимо повторно включить настройки устойчивости до возникновения сбоя.

Некоторые другие типы политик не поддерживают использование системы проверки подлинности резервного копирования. Использование следующих политик снижает устойчивость:

• Использование контроля частоты входа в рамках политики условного доступа.
• Использование политики методов проверки подлинности.
• Использование классических политик условного доступа.

Устойчивость идентификации рабочих нагрузок в системе резервной аутентификации

В дополнение к аутентификации пользователей, система резервной аутентификации обеспечивает устойчивость для управляемых удостоверений и другой ключевой инфраструктуры Azure, предлагая регионально изолированную службу аутентификации, которая функционирует совместно с основной службой аутентификации через избыточное многослойное покрытие. Эта система позволяет обеспечить устойчивость проверки подлинности инфраструктуры в регионе Azure к проблемам, которые могут возникнуть в другом регионе или в более крупной службе Microsoft Entra. Эта система дополняет межрегиональную архитектуру Azure. Создание собственных приложений с помощью MI и применение рекомендаций Azure по обеспечению устойчивости и доступности обеспечивает высокую устойчивость приложений. Помимо MI, эта региональная отказоустойчивая система резервного копирования защищает ключевую инфраструктуру и службы Azure, которые сохраняют облачную функцию.

Сводка поддержки проверки подлинности инфраструктуры

• Ваши службы, построенные на инфраструктуре Azure с использованием управляемых удостоверений, защищены резервной системой аутентификации.
• Службы Azure, осуществляющие авторизацию друг друга, защищены системой резервной аутентификации.
• Службы, созданные в Azure или вне его, если удостоверения зарегистрированы как учётные записи служб, а не "управляемые удостоверения" не защищены резервной системой аутентификации.

Облачные среды, поддерживающие систему проверки подлинности резервного копирования

Система проверки подлинности резервного копирования поддерживается во всех облачных средах, кроме Microsoft Azure, управляемой 21Vianet. Типы удостоверений, поддерживаемые облаком, зависят от облака и имеют отдельные конечные точки проверки подлинности, как описано в следующей таблице.

Приложение

Популярные нативные клиентские приложения и приложения из галереи приложений, отличные от Майкрософт.

Ресурсы Azure и их состояние

Следующие шаги

• Требования к приложению для системы проверки подлинности резервного копирования
• Общие сведения о системе проверки подлинности резервного копирования
• Устойчивость по умолчанию для условного доступа
• Отчеты о производительности соглашения об уровне обслуживания (SLA) Microsoft Entra