ZA303学习笔记九部署和管理Azure计算资源 Azure AD/配置MFA

已于 2022-09-25 19:36:09 修改
阅读量1k 收藏 2
点赞数
分类专栏： Azure 学习笔记以及运维笔记 文章标签： azure 云计算 microsoft
于 2022-01-21 11:08:57 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43258559/article/details/122615151
版权

Azure AD

一：添加自定义域名

在这里插入图片描述

将下列信息填入到DNS服务商

在这里插入图片描述

过一段时间就会验证通过

在这里插入图片描述

配置Azure AD身份保护（Identity Protection）

标识是ID的意思
标识保护是风险检测的意思
一定要开启P2订阅，才会有用户的风险策略
标识保护是一种使组织能够完成三项关键任务的工具:

  • 自动检测和修正基于标识的风险。
  • 使用门户中的数据调查风险。
  • 将风险检测数据导出到第三方实用程序，供进一步分析。
    标识保护利用Microsoft从Azure AD组织、Microsoft 帐户中的用户群以及Xbox游戏中获得的自身经验来保护用户。Microsoft每天分析6.5万亿条信号，以识别威胁并保护客户安全。

可以将由标识保护生成并发送到标识保护的信号进一步发送给条件访问等工具，供其制定访问决策，也可以将信号发送回安全信息和事件管理(SIEM）工具，以根据组织的强制执行策略进行深入调查。

风险检测

登录风险

风险检测类型说明
异常位置登录:匿名IP地址:从异常位置(基于用户最近的登录)进行登录。
不熟悉的登录属性:从匿名IP地址登录（例如:Tor浏览器，匿名程序 VPN)。使用给定用户最近未曾出现过的属性进行登录。
受恶意软件感染的IP地址:从受恶意软件感染的IP地址进行登录。
密码喷射:表示使用常见密码以统一的暴力攻击方式攻击了多个用户名。
管理员确认用户遭入侵:表明管理员已在有风险的用户u或使用riskyUsers API中选择了"确认用户泄露"。
可疑收件箱操作规则:可能表示用户的帐户被泄露，消息将被有意隐藏，邮箱将用于在组织中分发垃圾邮件或恶意软件。基于Microsoft Cloud App Security (MCAS)
lmpossible travel:可识别来源于保持一定地理距离的位置的两个用户活动（一个或多个会话），而完成这两个活动的时间段短于该用户从第一个位置旅行到第二个位置所需的时间，这表示另一个用户在使用相同的凭据。基于Microsoft Cloud App Security (MCAS)

用户风险

风险检测类型说明
凭据泄漏:此风险检测指示用户的有效凭据已泄漏。
Azure AD 威胁智能:Microsoft的内部和外部威胁智能源已识别出已知的攻击模式。

等级是 Azure定死了，但是可以更改风险访问策略

在这里插入图片描述

在这里插入图片描述

许可证要求

在这里插入图片描述

二：Azure AD Privileged Identity (PIM)

使你能够管理、控制和监视对组织中重要资源的访问。这些资源包括 Azure AD、Azure 和其他 Microsoft Online Services（如 Microsoft 365 或 Microsoft Intune）中的资源
许可证要求：Azure AD Premium P2 license （Azure AD 高级 P2 许可证）

使用原因

组织希望最大限度地减少有权访问安全信息或资源的人数，因为这会降低：

  • 恶意行为者获得访问权限
  • 授权用户无意中影响了敏感资源
    但是，用户仍需要在 Azure AD、Azure、Microsoft 365 或 SaaS 应用中执行特权操作。组织可以授予用户对 Azure 和 Azure AD 资源的实时特权访问权限，并可以监督这些用户使用其特权访问权限执行的操作

作用

特权身份管理提供基于时间和批准的角色激活，以降低对所关注的资源的过多、不必要或滥用访问权限的风险。以下是特权身份管理的一些主要功能

  • 提供对 Azure AD 和 Azure 资源的即时特权访问
  • 使用开始日期和结束日期分配对资源的有时限访问
  • 需要批准才能激活特权角色
  • 强制执行多重身份验证以激活任何角色
  • 使用理由来了解用户激活的原因
  • 激活特权角色时获取通知
  • 进行访问审查以确保用户仍然需要角色
  • 下载内部或外部审计的审计历史
  • 防止删除最后一个活动的全局管理员角色分配

对于 Privileged Identity Management 中的 Azure AD 角色，只有处于 Privileged Role Administrator 或 Global Administrator 角色的用户才能管理其他管理员的分配。 全局管理员、安全管理员、全局读者和安全读者还可以在 Privileged Identity Management 中查看对 Azure AD 角色的分配。

对于 Privileged Identity Management 中的 Azure 资源角色，只有订阅管理员、资源所有者或资源用户访问管理员可以管理其他管理员的分配。 默认情况下，作为特权角色管理员、安全管理员或安全读者的用户无权查看 Privileged Identity Management 中对 Azure 资源角色的分配。

三：自助式密码重置(SSPR)

Azure Active Directory (Azure AD)自助式密码重置(SSPR)使用户能够更改或重置其密码，而不需要管理员或支持人员的于预。如果用户的帐户被锁定或用户忘记了自己的密码，他们可以按照提示取消对自己的阻止，回到工作状态。当用尸无法登录到其设备或应用程序时，此功能可减少呼叫支持人员的次数，降低生产力损失。

先决条件:

  • 一个至少启用了Azure AD Free或试用版许可证的有效Azure AD租户。在免费层中，SSPR仅适用于Aure AD中的云用户。
  • 一个拥有“全局管理员”特权的帐户。
  • 该非管理员用户所属的组，例如SSPR-Test-Group。
  • 一定要开启密码写回，使Azure AD与本地密码同步，不同步的话导致云端和本地密码不一致

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

官网
https://passwordreset.microsoftonline.com/

密码重置通知

管理员更改密码后，其他管理员会收到信息

在这里插入图片描述

例：一个环境中有四个管理员。 管理员 A 使用 SSPR 重置其密码。 管理员 B、C 和 D 收到一封电子邮件，提醒他们密码已重置，自身则不会收到消息

四：多重身份验证(MFA)

多重身份验证(MFA)是在登录事件期间提示用户完成其他形式的身份识别的过程。此提示可以是让用户在手机上输入某个代码，或提供指纹扫描。需要另一种形式的身份验证时，会提高安全性,因为攻击者并不容易获取或复制进行多重身份验证所需的额外内容。

在特定的登录事件期间，可以通过Azure多重身份验证和条件访问策略来灵活地为用户启用MFA。

使用条件访问可以创建和定义策略，用于对登录事件做出反应，并在向用户授予对应用程序或服务的访问权限之前请求更多的操作。条件访问策略可以做到精细且具体，其目标是使用户能够随时随地保持工作效率，同时为组织提供保护。本教程将创建一个基本的条件访问策略，以便在用户登录到Azure门户时提示其执行MFA。

在这里插入图片描述

启用MFA

在这里插入图片描述
在这里插入图片描述

设置MFA用户登录后会强制使用其他安全验证

在这里插入图片描述

在这里插入图片描述

Azure AD OAuth 2.0 认证

https://learn.microsoft.com/en-us/azure/active-directory/fundamentals/auth-oauth2

  • OAuth 2.0是用于授权的行业协议。它允许用户授予对其受保护资源的有限访问权限。OAuth专门用于超文本传输协议（HTTP），它将客户端角色与资源所有者分离。客户端请求访问由资源所有者控制并由资源服务器托管的资源。资源服务器在资源所有者的批准下颁发访问令牌。客户端使用访问令牌访问资源服务器托管的受保护资源。

在这里插入图片描述

五：条件访问 Conditional access

Azure Active Directory使用条件访问作为一种工具来统合信号、做出决策，以及实施组织策略。条件访问是新的标识驱动控制平面的核心。条件访问策略是一个关于分配和访问控制的if-then语句。条件访问策略可统合信号，做出决策，并实施组织策略。一个策略可以包含多个条件。

如果用户想要访问某个资源，则必须完成某个操作。示例:薪资管理人员想要访问薪资应用程序，而需要执行多重身份验证才能访问。
在这里插入图片描述

配置条件访问Conditional access

在这里插入图片描述
在这里插入图片描述

设置条件

在这里插入图片描述

授权

在这里插入图片描述

测试 what if

在这里插入图片描述
在这里插入图片描述

设置受信任的IP

在多重认证服务设置页面，可以识别企业内网用户通过选择跳过来自联合用户的请求的多重身份验证
只能是公司内网IP地址，外网环境使用conditonal access，这个是legacy的功能

六：配置欺诈警报

使用欺诈警报功能，用户可以报告欺诈性尝试访问其资源。收到未知和可疑MFA提示后，用户可以使用MicrosoftAuthenticator的应用或通过电话来报告欺诈尝试。
以下欺诈警报配置选项可用:

  • 自动阻止报告欺诈的用户:如果用户报告欺诈，那么他们的帐户将被阻止90天，或者直到管理员解除阻止他们的帐户。管理员可以使用登录报表查看登录并采取相应的操作阻止将来的欺诈。然后管理员可以解除阻止用户帐户。
  • 在初始问候期间报告欺诈的代码:当用户接收到执行多重身份验证的电话呼叫时，他们通常按#确认登录。如果他们想要报告欺诈，则可在按#之前输入代码。此代码默认为0，但可以自定义此代码。

在这里插入图片描述

配置受信任的IP和跳过选项

公司内部，或者受信任IP会跳过验证

Azure多重身份验证的受信任的ip功能会绕过从定义的IP地址范围登录的用户的多重身份验证提示。你可以为本地环境设置受信任的IP范围，以便在用户处于这些位置之一时，没有Azure多重身份验证提示。

受信任的IP绕过只能从公司intranet内部使用。如果选择"所有联合用户”选项，并且用户从公司intranet外部登录，则用户必须使用多重身份验证进行身份验证。即使用户提供了AD FS声明，验证过程也相同。

七：配置验证方法

作为Azure Active Directory (Azure AD)中帐户的登录体验的一部分，用户可以通过不同的方式进行身份验证。用户名和密码是用户历来提供凭据的最常见方式。借助Azure AD中的新式身份验证和安全功能，可以使用其他身份验证方法作为基本密码的补充或替代方法。
Azure AD中的用户可以选择使用以下身份验证方法之一进行身份验证:

  • 传统用户名和密码
  • Microsoft Authenticator应用无密码登录
  • OATH 硬件令牌或 FIDO2安全密钥
  • 基于SMS的无密码登录

Azure AD中的许多帐户启用了自助服务密码重置(SSPR)或Azure多重身份验证。这些功能包括其他验证方法，如电话呼叫或安全问题。建议你要求用户注册多个验证方法。当一个方法对用户不可用时，他们可以选择使用另一种方法进行身份验证。

在这里插入图片描述

特别注意MFA和SSPR都需要的验证方法

考点是同时满足MFA和SSPR的有那些

在这里插入图片描述

部署和管理来宾账户

批量邀请
邀请外部用户
在这里插入图片描述
在这里插入图片描述

管理多个目录（租户Azure AD）

目录就是租户，就是Azure AD
两个租户里的内容可以完全不同，收费是主账户进行缴费

在这里插入图片描述

B2B 协作概述

  • Azure 活动目录 （AD） B2B 协作是外部标识中的一项功能，可用于邀请来宾用户与你的组织进行协作。通过 B2B 协作，您可以安全地与外部用户共享公司的应用程序和服务，同时保持对自己公司数据的控制。与外部合作伙伴（无论大小）安全可靠地工作，即使他们没有 Azure AD 或 IT 部门。
  • 开发人员可以使用 Azure AD 企业对企业 API 自定义邀请过程或编写自助服务注册门户等应用程序
风车带走过往
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
微信小程序开发中的OAuth登录和第三方登录集成
吃不胖.
04-26 286
在以上代码中，通过点击登录按钮触发getUserInfo方法，调用wx.login()方法获取登录凭证code，并发送给GitHub的OAuth登录接口。2.1 在第三方平台注册开发者账号并创建应用 在使用第三方登录之前，首先需要在相应的第三方平台注册开发者账号，并创建自己的应用。OAuth登录介绍 OAuth登录是一种授权登录机制，允许用户使用第三方平台的账号登录应用，减少用户注册和登录的复杂性。微信小程序开发中的OAuth登录和第三方登录集成是指在小程序中实现使用第三方平台账号登录的功能。
[Azure - Security] Azure的多重身份验证（一）：使用AD(Azure Active Directory)开启用户MFA
热门推荐
我在山城重庆，我希望能为这片软件沙漠地带贡献自己的一滴水，Stay tuned!
09-22 1万+
Multi-Factor Authentication (MFA) ：多重身份验证（英语：Multi-factor authentication，缩写为 MFA），又译多因子认证、多因素验证、多因素认证，是一种电脑访问控制的方法，用户要通过两种以上的认证机制之后，才能得到授权，使用电脑资源。例如，用户要输入PIN码，插入银行卡，最后再经指纹比对，通过这三种认证方式，才能获得授权。这种认证方式可以提高安全性。多重要素验证的概念也广泛应用于计算机系统以外的各领域。
AZ303：Microsoft-Azure-Architect-Technologies
02-13
微软蔚蓝建筑技术 我的认证学习途径AZ-303 Microsoft Azure架构师技术
微软将为Azure AD特权账户启用强制性多因素身份认证，云平台MFA安全登录是大势所趋
Secboot的博客
06-29 1087
上周五，微软表示姜维所有Azure AD特权账户启用强制性的多因素身份认证（MFA）。从此以后，多因素身份认证将成为微软Azure AD“基本政策”的一部分，该功能可使账户的安全性有本质提升。2016年时，微软基础架构每天都会处理超过130亿次认证请求，其中有13亿次是针对Azure AD账户的。而在这些认证请求中，约1/100都是恶意的。因此，微软才一直探索更加安全的身份认证方式。据悉，“特权账...
用Azure AD 实现Web 应用身份认证的Multi-Factor Authentication(MFA)
weixin_30633405的博客
12-28 1379
最近客户有个需求，希望把面向public的Web应用中的终端用户数据库由Azure AD来实现，同时希望可以用MFA来实现用户身份认证。这个想法非常好，通过使用Azure的managedserviceAAD，耗时耗力的数据库运维工作由Azure来完成，安全管控也同样由Azure完成，开发只要在代码中调用相应的AAD SDK并做相应配置就可以实现集成。 可是印象中Azure中国是只支...
Azure实践系列 3：Azure AD中的服务器管理
weixin_34293911的博客
03-05 279
前面一篇文章，我们了解了Azure AD对于用户管理方面的内容，接下来我们来看下Azure AD如何管理服务器。我们需要配置服务器，无论是在Azure上的虚拟机也好，还是我们在本地的实体服务器，在加入Azure AD之前必须保证网络是互通的，由于AD是无法在公网中访问的，所以我们需要配置虚拟网络来与Azure AD相连。这里我们就拿一个新的Azure 虚拟机来举例，首先我们配置一台虚拟机，并在配置...
Exam AZ-303 Microsoft Azure Architect学习路径
hugh 's Oracle 10g blog
10-11 392
参与人需要具备在微软云上设计和实施计算，网络，存储以及安全解决方案。并且有中级微软云管理水平，了解微软云开发，和可持续集成。 微软云解决方案架构师的职责包括提供咨询服务以及帮助实现业务需求转化成安全，可拓展，可靠的云解决方案。 微软云解决方案架构师会和云管理员，云数据库管理员，以及客服共同实施解决方案。 本考试要求参与者有高级的IT知识储备和操作经验。如网络，虚拟化，鉴权，安全，业务可持续性，容灾，数据平台，预算，和治理。 该角色应该对提及各方面有决定能力进而影响整个解决方案。除此之外，该角色应具有专家级别
AZURE 204 考试认证学习资料/参考试题
04-11
考试 AZ-204 主要关注的是在 Azure 平台上构建和优化应用程序的能力，涵盖了一系列主题，包括资源管理、计算、存储、网络、监控、安全性等。 首先，了解 Azure 虚拟机 (VM) 的管理和迁移是至关重要的。在描述的场景...
Azure-MFA-Conditional-Access-and-Identity-Protection:配置Azure MFA，条件访问和身份保护
04-12
任务1：使用Azure资源管理器模板部署Azure VM 任务2：实施Azure MFA 任务3：实施Azure AD条件访问策略 任务4：实施Azure AD身份保护 外交部： 多因素身份验证（MFA）是一种安全系统，需要从独立凭据类别中进行...
云计算操作系统Windows Azure学习笔记
01-09
1、WindowsAzure:云计算操作系统 　1.1 计算服务:云上应用提供服务，.netFramework，C#，VisualBasic，C++，Java 　1.1.1 三种实例： 　· WebRole 　· WorkerRole 　· VMRole 　1.2 存储服务:存储二进制和...
【新版】AZ-303|AZ-304|2020年Azure架构师认证改版，全新考试上线
Coming
09-12 3219
【新版】AZ-303|AZ-304|2020年Azure架构师认证改版，全新考试上线, 更多信息，请见B站（搜索同名即可）
Azure基础：什么是Azure AD多重身份验证和条件访问(24)
WenZhongxiang
03-27 904
什么是多重身份验证？ 多重身份验证是一种进程，在登录过程中会提示用户提供其他形式的标识。 示例包括移动电话上收到的验证码或指纹扫描。 思考一下你是如何登录网站、电子邮件或联机游戏服务的。 除了输入用户名和密码之外，是否还需要输入发送到手机的验证码？ 如果需要，则已使用多重身份验证进行登录。 多重身份验证通过要求使用两个及以上的元素进行完全身份验证，为标识提供更多安全性。 这些元素分为三个类别： 用户知道什么 这可以是电子邮件地址和密码。 用户拥有什么 这可以是发送到用户移动电话的验证码。 用户
2023最新AD - Azure AD-MFA Setting（不用多解释，看了就会）
Richard-IT 的博客
11-23 65
1、登录2、3、3、4、5、
Azure AD混合部署，实现在本地AD同步到AAD上面
一直被模仿，从未被超越
07-10 2672
4、 配置全局管理员，这里的账号就是上面我们在AAD上面创建的。4、添加自定义域名，这里要做下验证，所以你要有个线上的域名。1、我是安装在本地AD上面的，生产环境建议安装单独安装。6、 输入本地AD的管理员，这里我专门建一个AD管理员。8、选择同步的OU，这里我们只选SHA这个OU。二、安装 Azure AD Connect。2、安装后打开软件，这里我们选择自定义。1、进入 Azure云 注册一个账号。6、登陆本地AD，创建一个UNP。5、创建一个全局管理员。3、创建一个新的租户。7、AAD 登陆配置。
通过自适应 MFA 提高 IT 安全性
ITmoster的博客
02-24 617
ADSelfService Plus 是一种身份安全解决方案，可以结束许多网络攻击，节省 IT 成本，并开启您的零信任之旅。借助 ADSelfService Plus，您可以保护多种 IT 资源，包括身份、计算机和 VPN，减轻 IT 帮助台的负担，为用户提供自助服务功能，并获得对分布在本地、云和混合环境中身份的可见性和控制。
Azure 中的虚拟机，有关如何在 Azure 中创建和管理虚拟机的文档
最新发布
01-27
这个文档适用于那些寻求在Azure中获取高度定制计算资源，以及对控制力有更高需求的用户。以下是一些关键知识点： 1. 虚拟机类型： - Azure提供了灵活的虚拟机类型，包括标准和高性能实例，以适应不同的工作负载...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值