Azure 身份服务与访问控制

理解 Microsoft Azure 架构与服务

Florin Angelescu

Azure Architect

Azure 身份验证方法

• 身份验证 = 验证个人、服务或设备的身份
• 提交凭据以证明身份

多重身份验证（MFA）

• 登录时需额外的身份要素
• 即使密码泄露也能防止未授权访问
• 通过两个或更多要素提供额外安全性

多重身份验证

• 将验证码发送到用户手机
• 生物特征
• 回答安全问题

无密码身份验证

• 免去密码需求
• 设备需注册并绑定到用户
• 通过"持有物、所知、所是"进行验证

Windows Hello for Business

• 适用于使用 Windows 电脑的个人
• 可通过以下方式登录：
  • 指纹
  • 人脸识别
  • PIN 码
• 防止他人未经授权访问

Microsoft Authenticator 应用

• 提供多重身份验证（MFA）的移动应用
• 可将任意手机变为安全的无密码工具
• 登录方式：
  • 接收通知
  • 匹配显示的数字
  • 生物特征确认
  • PIN 码

FIDO2 安全密钥

• 安全的无密码身份验证方法
• 由 FIDO 联盟推出的开放标准
• 密钥有多种形态，包括 USB 设备

条件性访问

• 基于以下信息控制资源访问：
  • 用户身份
  • 位置
  • 设备
• 登录时收集并分析上述信息
• 决策：
  • 允许访问
  • 拒绝访问
  • 强制启用 MFA

条件性访问用例

• 按以下条件强制启用 MFA：
  • 角色
  • 位置
  • 网络

条件性访问用例

• 仅允许通过已批准的客户端应用访问服务
• 控制哪些应用可连接到特定服务

条件性访问用例

• 仅允许符合安全与合规标准的受管设备用户访问应用

条件性访问用例

• 阻止来自不受信任来源（未知或异常位置）的访问

Passons à la pratique !

理解 Microsoft Azure 架构与服务