יישום פדרציה של זהות עם Azure Ad B2B ו- B2C

מיפוי זהות: מדוע Azure AD B2B ו- B2C Matter

ארגונים מודרניים פועלים במערכת אקולוגית היברידית שבה עובדים, שותפים ולקוחות כולם דורשים גישה מאובטחת ליישומים ונתונים. Identity פדרציה היא התבנית האדריכלית המאפשרת למשתמשים מתחומים שונים של זהות כדי לאמת באמצעות האישורים הקיימים שלהם, תוך חיסול הצורך בחשבונות כפולים וצמצום עייפות הסיסמה.Microsoft Azure Active Directory מציעה שני שירותים ייעודיים לניהול מטרות-תכליתי של הפדרציה: FLT:0e AD B2BLTR, 1B2BRIRIR, לאסטרטגיות ניהול זהות בסיסיות של מטרה עבור יישום פתרונות:2CTO2CTO2CREFDR2CTO2CTO2CTO2CTO, כולל של ניהול יישומים, כולל של ניהול יישומים, כולל של ניהול נתונים של ניהול נתונים, כולל של ניהול נתונים, כולל של ניהול נתונים, כולל של ניהול נתונים, כולל של ניהול נתונים של ניהול נתונים של ניהול נתונים של ניהול נתונים, כולל של ניהול נתונים של ניהול נתונים, כולל של ניהול נתונים של ניהול נתונים של ניהול נתונים, כולל של ניהול נתונים של ניהול נתונים, כולל של ניהול נתונים, כולל של Microsoft Azure Active Data2Cread: 2Cread:2Cready2Cread: 2Cread: 2, כולל של ניהול נתונים של ניהול נתונים של ניהול נתונים, כולל ניהול פעולה של ניהול נתונים, כולל

מה זה Azure AD B2B ו- B2C? A השוואות מפורטות

Azure AD B2B (עסקים לעסקים)

Azure AD B2B מאפשר לארגונים להזמין משתמשים חיצוניים - כגון ספקים, שותפים או קבלנים - ב- Azure AD Tenant שלהם.משתמשי אורח אלה אותנטיים עם ספק הזהות שלהם (למשל, Azure AD של החברה שלהם, גוגל, או SAML / W-Fed פדרציה) ולקבל גישה יישומים משותפים, ערוצי צוות, אתרי SharePoint ועוד מאפיינים מרכזיים:

(FLT:0) גילוי זהות UtilizationFLT: האורחים משתמשים באישורים התאגידיים שלהם, צמצום ניהול הסיסמה מעל פני.
(FLT:0) אינטגרציה ישירה: אין צורך לספק חשבונות נפרדים; הזמנות יוצרות אובייקטים של משתמשי B2B.
(FLT:0) 1-Clickr פדרציה 1FLT:1: תומך סינכרוניזציה חוצה-גבוה עם שותפים של Azure AD.
(ב) ,0) ,התיכון מוכן ל- 1:1: Admins לשמור על השליטה על הרשאות אורחות, גישה מותנית ומדיניות התפוגה.

Azure AD B2C (עסקים אל-קונגמר)

Azure AD B2C הוא שירות זהות לקוחות וניהול גישה (CDCM) עבור יישומים מקיפים לצרכנים.זה תומך פדרציה עם ספקי זהות חברתית (למשל, Facebook, Google, חשבון Microsoft, Apple, GitHub) וספקי זהות ארגוניים (למשל, SAML או OIDC מנהלים). B2C מיועד לטפל במיליוני משתמשים ומציע:

(FLT:0 Social NoteFLT:1) : משתמשים יכולים להיכנס עם חשבונות חברתיים קיימים, שיפור שיעורי ההמרה.
(ב) ,0)Custom BrandingFLT:1: שליטה מלאה על מסך Sign-in ו- Sign-up, כולל HTML/CSS/JavaScript מותאם אישית.
(FLT:0User Flows and Custom PolicyFLT:103): Multi-step רישום, סיסמאות איפוס, עריכה פרופיל ואוסף תכונות.
(ב) ⁇ :0) ⁇ ⁇ : כל לקוח מקבל את ה- B2C שלו עצמו, ומבטיח הפרדה הגיונית.

מתי להשתמש B2B לעומת B2C

ההחלטה תלויה בסוג המשתמש:0B2Boriver (להלן: 1) עבור זהות עסקית חיצונית (שותפים, עובדים של חברות אחרות) ו-FLT:2B2CigFLT 3 עבור הצרכנים הסופיים (לקוחות רזים, משתמשים היברידיים) קיימים גם כן - לדוגמה, יישום המשרת שותפים וצרכנים עשויים לדרוש שילוב של שירותים עם מסלול מתאים להתאמה.

היתרונות של השימוש ב- Azure AD עבור Identity Federation

חתימה אחת על מערכות אקולוגיות

פדרציה עם Azure AD מאפשרת (FLT:0) שלחת סימן (SSO)FIRLT:1 בכל היישומים המשולבים, בין אם הם כלי SaaS (Spotforce, ServiceNow, Office 365) או יישומים קו מותאם אישית של עסקים. משתמשים אותנטיים פעם אחת וגישה משאבים מרובים ללא אישורים נכנסים מחדש.זה משפר באופן דרמטי את הפרודוקטיביות ומפחית את כרטיסי התמיכה הקשורים לסיסמאות נשכחות.

אבטחה הידרדרה באמצעות Multi-Factor Authentication

Azure AD תומך במדיניות הגישה מותנית:0 (FLT:0 מותנית של גישה ל- 1FLT) שיכולה לאכוף אימות רב-גורמי (MFA) עבור משתמשים ממוזגים המבוססים על אותות סיכון, מיקום, מצב המכשיר או רגישות יישומים.עבור אורחים B2B, MFA יכול להיות נדרש ברמה המרבית משאבים, בעוד עבור לקוחות B2C, M יכול להיות מותאם על בסיס ערך העסקה (למשל, לעומת סיסמה גבוהה).

צמצום ניהול סיסמאות Overhead

על ידי הזנה של זהויות, ארגונים מגרים ניהול חיוני לספקי זהות חיצוניים. B2B אורחים להתמודד עם מדיניות הסיסמה שלהם, צמצום הנטל האדמיניסטרטיבי על IT. עבור B2C, משתמשים יכולים לאפס את סיסמאותיהם באמצעות זרימת שירות עצמי, חיסול הצורך בסיוע התערבות שולחן העבודה.

גמישות והתאמה

Azure AD תומך בפרוטוקולים של פדרציה סטנדרטית של ADAFLT ( 1:1 כולל SAML 2.0, WS-Federation, OpenID Connect ו-OAuth 2.0. זה מאפשר שילוב עם כמעט כל ספק זהות, מ-Moderation Active Directory Services (AD FS) לפלטפורמות זהות חברתיות מודרניות.

חווית משתמש מותאמת אישית

B2B ו B2C מציעים התאמה אישית נרחבת. B2B הזמנות האורחים יכול לכלול תבניות דואר אלקטרוני מתוגמות וכתובות כתובות אינטרנט גאולה מותאמות אישית. B2C User Flows מאפשרות שליטה מושלמת על כל מסך אימות, כולל לוגו, תמונות רקע ואינטראקציות המונעות JavaScript.

יישום הפדרציה עם Azure AD B2B

שלב 1: הגדרות שיתוף פעולה חיצוניות

(ב) ב[[1924]] [[1924]]]]]] [[1924]]]]]]]] [[1924]]]]]] [[1924]]]]]]]] [[1924]]]]]]]]]]]]]]]]]]]] [[1924]]]]]]]]]]]]]]]]]]]]]] [[1924]]]]]]]]]]]]]]]]]], [[1924]]]]]]]]]]]]]]

(ב) ,0) רמת הגישה למשתמש (בדוגמא: אורח או גישה מוגבלת).
ניתן או להשבית את היכולת של מנהלי משתמשים ומדריכים להזמין אורחים.
סעיף 1:0 (ב) , ההגבלות על פירוק (FLT) כדי לאפשר או לחסום תחומים ספציפיים.
באופן אופציונלי, ניתן ל- B2B:0cross-tens Synchronizationization 1 כדי לספק באופן אוטומטי משתמשים B2B משותפים.

עבור סביבות אבטחה גבוהות, להגביל את הזמנת האורחים לתחומים ספציפיים של Microsoft-מנדט ודורשות זרימות עבודה אישור באמצעות ניהול זהות:0Privileged Identity Management (PIM)BuildFLT:1 עבור גישה אורחים בשפע זמן.

שלב 2: הזמנת משתמשים חיצוניים

ניתן לשלוח הזמנות אורח באמצעות דואר אלקטרוני, קישור ישיר או שיחות API אוטומטיות דרך ההרחבה:0 Microsoft GraphphcioFLT:1 (כאשר מזמינים באמצעות דואר אלקטרוני, לספק הודעה מותאמת אישית ולהגדיר כתובת אתר גאולה.משתמש האורחים מקבל דוא"ל עם קישור לקבל את ההזמנה. Upon קבלה, Azure AD יוצרת אובייקט משתמש ב- BLT2Gate.

עבור הזמנות גדולות מתכנתים, השתמש במנהל ה-APFLT:0 Invitation Manager APIFLT:1 כדי להפוך את הרכב בקנה מידה גדול על הסיפון:

בקשה ראשונה ל- 0.
כולל דואר אלקטרוני האורחים, הזמנת הפניית כתובת ה-URL ואופציונלית 1 (Guest or Member).
(ב) עיין במעמד ההזמנה באמצעות [[1924]] ו[[1924]]

שלב 3: ביטול תפקידים וסמכויות

(ב) כאשר קיים אובייקט המשתמש, להקצות תפקידים מתאימים. Azure AD בנתה תפקידים כמו FLT:0Guest OrderrFLT:1 ו-FLT:2Directory ReadersssigFLT 3, או ליצור תפקידים מותאמים אישית עם הרשאות ספציפיות יישומים.עבור גישה למשאב, מענקים באמצעות חברות קבוצתיות (למשל, הוספת אורח לקבוצת אבטחה שיש גישה למשתמשי SharePointFמסורת ספציפית, דרישות גישה ל-DLCD).

שלב 4: אינטגרט עם ספקי זהות קיימים (פדרציה ישירה)

(ב) אם שותפיך משתמשים בספקי זהות שאינם-אזוריים (למשל, אוקטה, Ping, או ADFS), באפשרותך להגדיר את ספקי הזהות הלא-מסלולים:0direct פדרציה 1 ב- Azure AD. בספק הזהות של השותף, להגדיר את Azure AD כגורם מסתמך (SAML או WS-Fed) ב- Azure AD, לעבור ל-LTF:2ternal Reducation for a:

שלב 5: מעקב ואורח ביקורת

(ב) [ה] [ה]] [ה]] [ה]] [ה]], [ה], [ה],] [ה], [ה], [ה]]]][ה]], [ה], [ה], [ה],] ל[[התמ"ל], [ה'], [ה'],], [ה'], [ה']']']']']']']''[ה'[ה']'[ה'[ה'[ה'[ה']'[ה']']']'[ה'[ה']']'[ה']']']']']']']'[ה'[ה'[ה']']']']']']'[ה'[ה']']'[ה'[ה'[ה'[ה']'[ה'[ה']']'[ה'[ה']'[ה']'[ה'[ה']']'[ה'[ה'[ה'[ה'

יישום הפדרציה עם Azure AD B2C

שלב 1: יצירת Azure AD B2C Tenant

ב- Azure Portal, צור מטוס B2C חדש תחת פיקוד:0 (Create a ResourcesveFLT:1 >FLT:2אזורe Active Directory B2CirFLT 3: 3) בחר שם דייר ותחום הראשוני (למשל, FLT:4), הערה מזהה ה- B2CLC, נדרש עבור כל התצורה הבאה B2C.

שלב 2: זיהוי ספקי זהות

B2C תומך הן (FLT:0) ספקי זהות חברתית ספקול 1 ו-FLT:2enterprise ספקים ראשיים 3 כדי להוסיף ספק חברתי כמו גוגל:

(ב) ויקרא י"ד): "וַיְהַּדָּבְהִיתִיתִיתִיתִיתִיתִיתִיתִיתִיתִיתִיתִיתִיתִיתִיתִיתִיתִיתִיתִיתִיתִיתִי" (בראשית כ"ד, ט"ד).
קבל מזהה לקוח ולקוח סודי מ-Google Cloud Console.
הכנס את נקודות הקצה של OAuth 2.0 ואת ההיקף (למשל, פרופיל, דוא"ל).
(ב) ,5 ל- Azure AD's FLT 6).

(ב) , השתמש ב- SAML 2.0 או OpenID Connect.תחת ההרחבה:0) ספקי זהות ארגוניים (Identity ספקים) 1 >FLT:2AddofLT 3 > FLT:4SAMLFLT:5, לספק את כתובת ה- Macdata, תעודה ומיפוי.

שלב 3: עיצוב משתמש זרמים ומדיניות אישית

זרמי משתמש (זרמים מוגדרים מראש) מתאימים לתרחישים פשוטים כמו Sign-up/sign-in, פרופיל עריכה וסיסמה איפוס. עבור דרישות מתקדמות - כגון איסוף דפים מרובים של תכונות, מינוף ממשקי API מותאם אישית במהלך ההרשמה, או שילוב עם ספק זהות תאגידי - שימוש ב-FLT:0-FLT:1 בהתבסס על מסגרת הניסיון (IEF) מדיניות Custom היא XML המאפשרת קבצים מסגרת נאמנות (תוכנות אבטחה).

אוסף תכונות מותאם אישית באמצעות פרופילים טכניים עצמאיים.
תביעות משתנות עם ביטויים דמויי JavaScript.
שילוב עם נקודות קצה API עבור אימות, העשרה או גילוי הונאה.
תזמורת רב-שלב (למשל, סימן ראשון עם חברתי ולאחר מכן קישור לחשבון המקומי).

מדיניות אישית בפורטל Azure תחת FLT:0 (Identity Experience FrameworkFelo 1) [תמיד מתחילה עם תבניות החבילה של Starter המסופקות על ידי Microsoft כדי למנוע שגיאות מס XML.

שלב 4: לגרות את B2C Tenant עם היישומים שלך

(ב) כל יישום (WEB יישום יחיד, אפליקציה ניידת, API) ב- B2C Tenant תחת ה- B2C;0App הרשמה ל-FLT:1 , Note theFLT:2Application (client) IDFLT 3 והגדרתו של ה-FLT:4redirect URAF:5 (למשל, LT) לשימוש ב-A.

כל יישום חייב לציין אילו זרימת משתמשים (או מדיניות אישית) להשתמש באמצעות פרמטר השאילתה (FLT:10 ), לדוגמה, זרימת החתומה של Sign-in תשתמש ב-FLT:11 .

הפדרציה מתקדמת Scenarios

B2B Cross-Tenant SynSyncization

לשיתוף פעולה ארגוני, Azure AD מציעה כעת את ה-FLT:0 לכל אורך-הסנכרון של סינתזה 1 (התצוגה מקדימה בזמן כתיבת) תכונה זו מאפשרת מתן אוטומטי של משתמשים B2B אמינים בין Azure AD Tenants באמצעות מערכת לניהול זהות Cross-domain Identity Management (SCIM) ו-CDCreguration נעשה במקור (העשירים של שותף) שבו משתמשים שנחשבים ל-FSamstosto-F2C) כ-Teramstostostosto-Teramstostostostostostostomateamstotexitamtams (Dams) הוא 10.

B2C פדרציה עם ספקי זהות תאגידיים

ארגונים רבים דורשים שהצרכנים שלהם יאמתו באמצעות אישורים תאגידיים (למשל, עובדים ניגשים לפורטל רבי מכר) ב- B2C, זה מושג על ידי הוספת אישורים תאגידיים:0 ספקית זהות משלבת 1 (SAML/OIDC) והגדרת תביעות מיפוי כדי להבטיח את המאפיין הארגון נתפס.

שילוב B2B ו B2C היברידי עבור Scenarios

כמה יישומים צריכים לתמוך זהויות שותף וצרכני.אדריכלות בת קיימא היא להשתמש ב-FLT:0Zonee AD B2C כ- Identity GateveFLT:1 עבור כל המשתמשים החיצוניים, ולאחר מכן להשתמש ב- B2B פדרציה בתוך ה- B2C יכול להיות מוגדר כדי להאכיל את ה- Azure של שותף באמצעות ADIDC, טיפול בשותף כמודלפת זהות אחרת, אתה יכול לשמור על גישה לצרכנים אחרים עבור 10B2C.

שיטות אבטחה הטובות ביותר עבור Identity Federation

כוח רב-הפעולה Authentication עבור כל המשתמשים הפדרו

אף על פי שמשתמשים המאוזנים יאמתו לספקי הזהות שלהם, העשר שלך צריך להיות (FLT:0always לאכוף את MFAFLT:1 עבור אורח וגישה לצרכנים כאשר נתונים רגישים מעורבים. השתמש במדיניות גישה מותנית מיקוד:2external משתמשים ראשי תיבות של MFAFLT 3 (B2B) או FLT:4all משתמשים:5b2C) כדי לאפשר גישה אישית, או ®.

יישום Just-In-Time Access ו- Access Reviews

עבור B2B, השתמש ב-FLT:0 (Privileged Identity Management) (PIM)BuildFLT:1 כדי להפעיל תפקידי מנהל אורח על בסיס זמן רב. לוח זמנים:2access ReviewsFLT 3) כדי לאמת מעת לעת אם כל אורח עדיין דורש גישה.

מדיניות מותאמות אישית ו- User Flows

(ב) מדיניות המכס ב- B2C צריכה להיות קוד: לאחסן אותם במחסן מאובטח, לבצע ביקורות עמיתים ולהשתמש צינור CI /CD עבור פריסה.לעולם לא סודות קוד קשיח (מפתחי API, סודות הלקוח) במדיניות XML; במקום זאת, הפנה אותם כמפתחים FLT:0policyFLT:1 מאוחסנים ב- B2C 10ant מתחת לאגודל:2C:2Identratedity Framework:

עקבו אחרי איומים

(ב) [ה] [ה] ב[דרוש מקור] [ב]] [ה]] [ה]] [ה]]] ב[2B], ב[[1924]], ב[[1924]], ב[[1924]],]], [[1924]]]]]], [[1924]]]]]]]], [[1924]]]]]]]]]], [[1924]]]]]]]]]]]]]]]]]]]]]]]]]], [[1924]]]]]]]]]]]]]], [[1924]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]], [[1924]]]]]]]]]]]]]]]], [[1924]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]], [[1924]]]]]]]]]], [[1924]], [[1924]]]], [[1924]]]]]]]], [[1924]]]], [[1924]]]]]]]]]]]]]]]]]]]]]], [[[[1924]]]]]], [[[[1924]]]]]], [[[[1924]]]]]] ב[[[[1924]]]]

מלכודות נפוצות וכיצד להימנע מהם

(FLT:0) תיקון תצורה בפדרציה ישירה: ⁇ FLT 1:1 ודא כי התחום של השותף מאומת כראוי הן Azure AD והן בשמות התחום של IdP. Mismatched גורמים לכישלונות אימות שקטים.
(FLT:0) באופן פרסי Permissive Guest Access:FearLT:1) כברירת מחדל, משתמשים אורחים יש הרשאות קריאה מוגבלות, אבל קל להקצות בטעות תפקידים סופרי.
(ב) [ה]הספקים החברתיים של ה-Ul:0] מפצלים שגיאות ב- B2CIR: FLT: 1:1 ספקי החברה מחזירים שמות תביעות שונות.תמיד מפה תביעות מפורשות בתצורה של ספק הזהות, במיוחד FLT:12 (subject) ו-FLT:13 תביעות חסרות תביעה מובילות למיפוי כפול של משתמשים או לא צלחות.
(ב) [ה] מדיניות ה-Custom Policy Debging Hardy:cioFLT:1] מדיניות המכס קשה לשמצה ל debug. UseFLT:2UserJourney logsFLT 3 ב- B2C Tenant או FLT:4Application InsightsFLT:5 for Telerymet.
(FLT:0) אבחון Token Lifetime and Session Considerations:cioFLT 1 Default token Lifes עשוי להיות ארוך מדי עבור תרחישים של אבטחה גבוהה.הגדרה של מדיניות חיים שלמים ב- Azure AD (עבור B2B) או בתוך פרופיל טכני של B2C כדי להגדיר מתאים, רענון חלון מזחלות, ושעה.

התייחסות חיצונית לקריאה נוספת

כדי להעמיק את ההבנה של Azure AD פדרציה, להתייעץ עם המשאבים הרשמיים הבאים:

Microsoft Docs:0 (להלן:0) Zonee AD Identities Documentation: 1 (המדריך המקיף ל- B2B, B2C, ושיתוף פעולה חוצה-עוצמה).
Microsoft Docs:0 (אזור AD B2C DocumentationFLT) 1:1 - התייחסות מלאה להגדרה B2C, מדיניות אישית ואפליקציות מדגם.
Microsoft Docs:0.comditional Access DocumentationFLT:1 - למד כיצד לאכוף את הפקדים הביטחוניים עבור משתמשים ממאירים.
Microsoft Security Blog:0 (סעיף 9) הבטחת הפדרציה הזהות שלך עם Azure ADFLT 1:1 - הדרכה מעשית על מערכות פדרציה קשיחות.

מסקנה

יישום פדרציה זהות עם Azure AD B2B ו- B2C הוא מהלך אסטרטגי כי פותח שיתוף פעולה חלקה ומעורבות לקוחות תוך שמירה על אבטחה חזקה. על ידי הבנת התפקידים הייחודיים של כל שירות, לאחר גישה תצורה מובנה, ודבקות בפרקטיקה הטובה ביותר אבטחה, ארגונים יכולים לבנות ארכיטקטורה פדרצית כי בקנה מידה של קומץ שותפים למיליונים של לקוחות.