1/122 15:24

曹祖聖

台灣微軟資深講師

jimycao@syset.com

http://teacher.syset.com

MCP, MCP+I, MCSA, MCSE, MCDBA, MCAD, MCSD, MCTS, MCITP, MCPD, MCT, MVP

2/122 15:24

3/122 15:24

關於身份驗證的兩三事

4/122 15:24

5/122 15:24

6/122 15:24

woodgrovebank.comcontoso.com

Forest trust

Global

CatalogGlobal

Catalog

emea.woodgrovebank.com na.contoso.com

24

6

1

3

57

8

9

7/122 15:24

contoso.local

資料層10.2.2.0/24

應用程式層10.2.3.0/24

Web 前端10.2.4.0/24

後端 AD

10.2.1.0/24可用性群組

可用性群組

WFE1WFE2

DC1DC2

負載平衡器

SQLSharePoint

Microsoft Azure 虛擬網路 - 10.2.0.0

WFE3

可用性群組

8/122 15:24

Point-to-Site

VPN

Point-to-Site

VPN

DC

contoso.local

資料層10.2.2.0/24

應用程式層10.2.3.0/24

Web 前端10.2.4.0/24

後端 AD

10.2.1.0/24可用性群組

可用性群組

WFE1WFE2

DC1DC2

負載平衡器

SQLSharePoint

Microsoft Azure 虛擬網路 - 10.2.0.0

WFE3

可用性群組

9/122 15:24

contoso.local

本地端Active Directory

Site-to-Site VPN

使用Windows Server 2012

R2 做為 IKEv2 VPN 閘道

Point-to-Site

VPN

資料層10.2.2.0/24

應用程式層10.2.3.0/24

Web 前端10.2.4.0/24

後端 AD

10.2.1.0/24可用性群組

可用性群組

WFE1WFE2

DC1DC2

負載平衡器

SQLSharePoint

Microsoft Azure 虛擬網路 - 10.2.0.0

WFE3

可用性群組

10/122 15:24

11/122 15:24

應用程式提供者

身份提供者

應用程式Security Token Service (STS)

Security Token

(Outgoing

Claims)

Security Token

(Incoming

Claims)

使用 SAML 格式傳送 Claims

12/122 15:24

真實世界的 STS

STS

token token

STStoken token

RP

13/122 15:24

14/122 15:24

15/122 15:24

Azure Active Directory

16/122 15:24

企業開始強調行動性

裝置遺失或遭竊所導致的資料外洩是最主要的智慧型手機資安風險 – 歐洲網路和安全委員會

29% 的全球當前工作人力使用3種以上的裝置，並且在不同的地點工作，使用不同的 apps

67% 的人使用智慧型手機來工作，70% 使用平板電腦來工作的人選擇他們自己的裝置

超過 80%的員工在工作中使用未核准的軟體即服務 (SaaS)應用程式

17/122 15:24

各式各樣的裝置正在改變傳統 IT公司的途徑

裝置

跨平台的部署和管理應用程式是相當困難的

應用程式

滿足客戶在業務上的挑戰

資料

使用者需要很有效率地來保持法規遵循和降低風險

使用者期待可以在任何地點進行工作並且可以存取他們所以的工作資源

使用者

18/122 15:24

裝置 應用程式使用者

實現以使用者為中心的 IT

讓使用者更容易使用

用戶可以在工作上選用不同的裝置，並可以一致地存取到公司資源

整合您的環境

在內部部屬及雲端之間提供單一的應用程式和裝置管理

保護您的資料

協助保護您的企業資訊，並進行風險管理

管理 存取 保護

資料

19/122 15:24

真實世界的 SaaS 應用程式與使用裝置

Salesforce.com

force.comAmazon.com

AWS

Private cloud

EC2

System Center

20/122 15:24

使用者

微軟帳號alice@outlook.com

微軟帳號

使用者

組織帳號alice@contoso.com

微軟 Azure Active Directory

21/122 15:24

一個完整的身份與取存管理的雲端解決方案

它包含了目錄服務、進階的身份管理、應用程式存取管理與開發平台

Azure Active Directory Premium 提供私有雲、混合雲、公有雲環境一個身份識別與存取控制的能力

什麼是Azure Active Directory ?

22/122 15:24

23/122 15:24

24/122 15:24

WS-Federation

WS-Trust

SAML 2.0

Metadata

Shibboleth

Graph API

25/122 15:24

Azure Active Directory Premium 整合概觀

PC 與行動裝置

微軟雲端應用程式

非微軟雲端應用程式

Active Directory

其它身份提供者

26/122 15:24

https://account.windowsazure.com/organization

27/122 15:24

https://azure.microsoft.com/en-us/trial/get-started-active-directory/

28/122 15:24

http://azure.microsoft.com/en-us/pricing/free-trial/

29/122 15:24

30/122 15:24

31/122 15:24

32/122 15:24

雲端的目錄服務

33/122 15:24

Azure AD 身份驗證 –純雲端

使用者帳號使用者

34/122 15:24

35/122 15:24

36/122 15:24

37/122 15:24

超過 1200 個預先整合完成的 SaaS APP

連接與同步

• 本地端 AD 與雲端 AD

• 本地端其它目錄服務與雲端 AD

雲端的目錄服務

38/122 15:24

預先整合完成的 SaaS APP

39/122 15:24

超過 1200 個預先整合完成的 SaaS APP

連接與同步

• 本地端 AD 與雲端 AD

• 本地端其它目錄服務與雲端AD

雲端的目錄服務

開發人員可以透過開放的Azure AD API 建構企業的雲端APP

身份與應用程式都在同一個地方

40/122 15:24

集中管理預先整合的SaaS APP 與其它雲端應用程式

透過進階的存取管理能力，進一步加強商業流程安全性

統一的身份與存取管理主控台

集中管理身份與存取

你的雲端 APP 隨時隨處可用

IT 管理人員

41/122 15:24

42/122 15:24

授權使用者

管理自己的帳戶

個人化公司應用程式入口網站http://myapps.microsoft.com

+ 行動 APP

43/122 15:24

管理自己的帳戶

自助密碼重設與委派雲端使用者群組管理

個人化公司應用程式入口網站http://myapps.microsoft.com

+ 行動 APP

授權使用者

44/122 15:24

http://myapps.microsoft.com

45/122 15:24

46/122 15:24

透過安全報表來追蹤可疑的存取、提供即時的警示、進行後續的分析

內建安全相關功能

監控與保護企業應用程式存取

47/122 15:24

48/122 15:24

透過安全報表來追蹤可疑的存取、提供即時的警示、進行後續的分析

內建安全相關功能

監控與保護企業應用程式存取

使用第二步驟身份驗證

X X X X X

X X X X X

X X X X X

49/122 15:24

自訂 AAD 商標

50/122 15:24

51/122 15:24

Cloud App Discovery

代理程式

收集資訊 Active Directory

Cloud App Discovery

52/122 15:24

Cloud App Discovery

53/122 15:24

http://blogs.technet.com/b/ad/archive/2014/04/28/a-new-azure-ad-module-in-preview-cloud-app-discovery.aspx

https://appdiscovery.azure.com/

54/122 15:25

身份驗證與應用程式授權

55/122 15:25

多因子身份驗證

56/122 15:25

任何以下兩種以上的身份驗證:

• 你記得的: 密碼、PIN 碼

• 你手邊的: 手機、信用卡、硬體

• 生物辨識: 指紋、視網膜掃描、

57/122 15:25

在 Azure Active Directory Premium 中內建的進階身份與存取服務

透過第二步驟的驗證手續，避免未經授權的本地應用程式或雲端應用程式存取

目前廣為所有企業與個人所使用

什麼第二步驟身份驗證 ?

58/122 15:25

第二步驟身份驗證運作方式

行動 APP 電話

ALERT

1 4 5 6 7 6

簡訊

59/122 15:25

內部 APP

RADIUSLDAP

IIS RDS/VDI

Multi-Factor

AuthenticationServer

Multi-Factor

Authentication

Service

雲端 APP

使用者必須使用手機或其它行動裝置進行第二步驟驗證，才可以使用應用程式2使用者在任何裝置上，使用他

們已知的帳號和密碼登入1

Windows Server AD or Other LDAP

第二步驟身份驗證運作方式

60/122 15:25

61/122 15:25

與本地端 Active Directory 整合

62/122 15:25

Azure AD 身份驗證 –帳號同步式

密碼雜湊

使用者帳號

本地端Active Directory

DirSync 工具

使用者

登入

透過 Identity Synchronization 服務將使用者帳戶的屬性 (含密碼雜湊) 同步到雲端，所有使用者身份驗證都由 Azure Active Directory 處理

63/122 15:25

Azure AD 身份驗證 –聯邦式

密碼雜湊

使用者帳號

本地端Active Directory

DirSync 工具

使用者

登入

ADFS驗證

驗證

使用 Identity Synchronization 工具將使用者帳戶的屬性同步到雲端，使用者身份驗證由 ADFS 轉回本地端 Active Directory 處理

64/122 15:25

密碼同步 ADFS SSO

使用一致的使用者密碼來存取應用程式

在本地端控制密碼原則

支援多因子驗證

不需要重覆輸入密碼

由本地端進行身份驗證

進一步進行用戶端存取過濾

65/122 15:25

http://www.microsoft.com/en-us/download/details.aspx?id=44225

https://msdn.microsoft.com/en-us/library/azure/dn790204.aspx

66/122 15:25

67/122 15:25

68/122 15:25

69/122 15:25

70/122 15:25

71/122 15:25

72/122 15:25

73/122 15:25

74/122 15:25

75/122 15:25

76/122 15:25

77/122 15:25

78/122 15:25

79/122 15:25

80/122 15:25

81/122 15:25

82/122 15:25

83/122 15:25

使用 Identity Synchronization 工具將使用者帳戶的屬性同步到雲端，使用者身份驗證由 ADFS 轉回本地端 Active Directory 處理

84/122 15:25

85/122 15:25

86/122 15:25

ADFS 組成元件

網域控制站(屬性儲存區)

提供宣告屬性

ADFS

Web Application Proxy

Federation Service Proxy應用程式伺服器Relying Party

網域控制站(屬性儲存區)

ADFS

提供宣告屬性Relying-Party

Trust

Claims-Provider Trust

內部網路 伙伴網路

adfs.adatum.com

adfs.adatum.com

87/122 15:25

外部用戶端

ADFS

Federation

Service

Proxy

Web伺服器

網域控制站

DMZ 企業內部網路

3

2

4

77

6 5

1

8

88/122 15:25

ADFS – B2B SSO

A 公司 (Account Partner) B 公司 (Resource Partner)

內部用戶端

ADFS

ADFS

Web 伺服器

網域控制站

聯邦式信任

7

6

8

5

4

3

2

1 11

9

10

89/122 15:25

ADFS –微軟線上服務 SSO

ADFS (IP)

你的企業 微軟

內部用戶端

微軟線上 ADFS

Office 365, Azure

網域控制站

聯邦式信任

7

6

8

4

3

2

1 11

10

9

5

90/122 15:25

91/122 15:25

92/122 15:25

http://go.microsoft.com/fwlink/?LinkID=286152

http://go.microsoft.com/fwlink/p/?linkid=236297

$cred=Get-Credential

Connect-MsolService –Credential $cred

93/122 15:25

Set-MsolAdfscontext –Computer adfs.demo.com

以下指令擇一執行:

New-MsolFederatedDomain -DomainName demo.com

Convert-MsolDomainToFederated –DomainName demo.com

94/122 15:25

按指示，在 contoso.com 中建立以下記錄(擇一)

DNS TXT 記錄@，值為 MS=ms24458965

MX 記錄@，值為 ms24458965.msv1.invalid、優先順序值設為 32767

增加記錄之後，等 15min ~ 72 hr，再執行一次 (擇一):

New-MsolFederatedDomain -DomainName demo.com

Convert-MsolDomainToFederated –DomainNamedemo.com

95/122 15:25

96/122 15:25

企業應用程式與 Azure AD 整合

97/122 15:25

98/122 15:25

99/122 15:25

100/122 15:25

101/122 15:25

102/122 15:25

103/122 15:25

Entity Query Query result

Users https://graph.windows.net/contoso.com/users?api-version=2013-

04-05List all users

https://graph.windows.net/contoso.com/users/admin@contoso.c

omGet a specific user by user

principal name

https://graph.windows.net/contoso.com/users?$filter=surname

eq 'Smith'Find users by surname

https://graph.windows.net/contoso.com/users/admin@contoso.co

m/managerGet manager for the specified user

https://graph.windows.net/contoso.com/users/admin@contoso.co

m/directReportsList the direct reports for the

specified user

https://graph.windows.net/contoso.com/users/admin@contoso.co

m[/$links]/memberOfList the group memberships for the

specified user (non-transitive)

Roles https://graph.windows.net/contoso.com/roles List all roles

Groups https://graph.windows.net/contoso.com/groups List all groups

https://graph.windows.net/contoso.com/groups/3f575eef-bb04-

44a5-a9af-eee9f547e3f9/membersList members for the specified

group

Contacts https://graph.windows.net/contoso.com/contacts List all contacts

104/122 15:25

105/122 15:25

106/122 15:25

107/122 15:25

108/122 15:25

109/122 15:25

https://msdn.microsoft.com/en-us/library/azure/dn195587.aspx

110/122 15:25

111/122 15:25

112/122 15:25

113/122 15:25

Azure AD PowerShell 管理

114/122 15:25

https://msdn.microsoft.com/zh-tw/library/azure/jj151815.aspx

https://admodify.codeplex.com/

115/122 15:25

https://technet.microsoft.com/zh-tw/library/dn750846.aspx

https://testconnectivity.microsoft.com

http://support.microsoft.com/kb/2684395

https://technet.microsoft.com/en-us/library/jj710171.aspx

116/122 15:25

安裝Microsoft Azure PowerShell (用WPI 裝)

Azure Active Directory Module

救回不小心刪除的使用者Get-MsolUser -ReturnDeletedUsers

| ? {$_.UserPrincipalName -like "tim*"} | Restore-MsolUser

參考:

http://technet.microsoft.com/library/jj151815.aspx

117/122 15:25

手動啓動 Azure AD 同步Import-Module DirSyncStart-OnlineCoexistenceSyncSet-FullPasswordSync

停用同步$msolcred = Get-CredentialConnect-MsolService -Credential $msolcred

Set-MsolDirSyncEnabled –EnableDirSync $false

$ci = Get-MSOLCompanyInformation$ci.DirectorySynchronizationEnabled

AAD 同步每 3 小時一次、密碼每 2 分鐘一次 !

118/122 15:25

-SupportMultiDomain

-SupportMultipleDomain

-SupportMultipleDomain

119/122 15:25

檢查同步工具版本，使用 PowerShellGP ('hklm:SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Microsoft Online Directory Sync').DisplayVersion

使用 AAD Sync 做為 ADFS 的備援機制http://social.technet.microsoft.com/wiki/contents/articles/17857.dirsync-how-to-switch-from-single-sign-on-to-password-sync.aspx

120/122 15:25

Azure AD Free Azure AD PremiumMulti-factor

authentication

Directory as a service Up to

500,000 objects No limit

User and group management

Single sign-on for pre-integrated SaaS and custom

applications

10 apps per

user No limit

Microsoft Directory Synchronization Tool

(Windows Server Active Directory extension)

User-based access management and provisioning

Group-based access management and provisioning

Self-service group management for cloud users

Self-service password change for cloud users

Self-service password reset for cloud users

Security reports ( MFA )

Advanced security reporting (based on machine learning)

Usage reporting

Company branding

(logon pages and Access Panel customization)

Multi-factor authentication (all available features on

Windows Azure and on-premises environments)

Service-level agreement (SLA)

Forefront Identity Manager CAL + Forefront Identity

Manager Server

121/122 15:25

結論

PC 與行動裝置

微軟雲端應用程式

非微軟雲端應用程式

Active Directory

其它身份提供者

122/122 15:25

http://azure.microsoft.com/en-us/documentation/services/active-directory/

http://azure.microsoft.com/en-us/documentation/services/active-directory/

https://msdn.microsoft.com/en-us/library/azure/jj205462.aspx