Azure AD 解决方案：企业如何通过标识构建外围安全屏障

51CTO 博客地址：​ ​​​​https://blog.51cto.com/14669127​​

Azure培训视频地址：​ ​​​https://space.bilibili.com/2000820534​​

对于企业来说，无论是每个员工还是员工的任何设备，比如笔记本电脑，手机等等如果想访问企业数据，都会有一个访问数据资源的标识，所以如果企业想保护内部数据资源，那么这些访问企业数据和其他资源的员工和设备等对象就是企业保护数据安全的基础。

上一篇博客，我们讨论了​​零信任管理构建企业安全模型策略​​，今天我们将给大家分享一下有关标识的安全管理。

首先我们来讨论一下与标识相关的关键词：身份验证和授权。

·       身份验证是指验证用户是否有其身份一致的过程。比如说当你要访问计算机或者设备时，可能要求你输入用户名和密码，用户名说明你是谁，密码与其结合使用，就允许你访问设备了，那么用户名和密码的结合就是身份验证的一种形式。

·       授权是指对用户进行身份验证后，那么需要对你授权访问数据或者资源的权限，否则你也无法访问自己所需要的数据等等

随着近几年的快速发展，企业的数字协作也在发生变化，员工和合作伙伴现在都需要随时随地在任何设备上协作和访问企业内的数据资源，从而不影响其工作效率，同时我们因为疫情，导致越来越多的人员都采用居家办公的模式，那么这种情况下企业安全需要根据这一个特殊情况而进行及时调整，它已经不再仅仅为本地网络了，而且还包含托管在其他云厂商的云产品应用程序，员工在家办公时用于访问企业资源的个人设备，与公司数据交互或者员工协作时合作伙伴或者客户所用的非管理设备，整个公司网络和客户公司内安装的物联网设备等等，所以传统的安全模型已经无法满足企业的需求了，所以标识将成为帮助企业保护数据资产的新安全策略。

那么标识是什么呢？是指定义人员和内容的一组事物，比如人员的标识包括验证自己的信息，比如用户名，密码以及授权级别。标识可以与用户、应用程序、设备或其他内容关联，如下是标识的最新安全策略模型。

所以，综上图所见，要获得全面且强大的标识和访问控制解决方案，需要解决从管理、身份验证、授权和审核四个重要方面入手。所谓管理就是指创建和管理用户、设备和服务标识，管理员在什么情况下更改、创建、删除标识。那么审核就是指跟踪谁在何时何地以何方式执行了什么操作，审核包括对标识进行深入报告、警报和治理。

如果企业选择微软Microsoft Azure或者Office 365 作为企业的数据管理平台，那么Azure Active Directory (Azure AD) 是 Microsoft 推出的基于云的标识和访问管理服务。企业可以使用 Azure AD 来使其员工、来宾和其他人员登录并访问所需资源，包括：

·       内部资源，例如公司网络和 Intranet 上的应用，以及由自己的组织开发的云应用。

·       外部服务，例如 Microsoft Office 365，Azure 门户以及组织使用的任何 SaaS 应用程序。

 Azure AD 通过为云和本地应用程序提供单一的标识系统，简化了组织管理授权和访问的方式。Azure AD 可与现有本地 Active Directory 和其他目录服务同步，也可用作独立服务。 Azure AD 还使组织可以安全地使用个人设备（例如手机和平板电脑），以及与业务合作伙伴和客户进行 协作。

IT 管理员可使用 Azure AD 根据业务需求来控制对公司应用和资源的访问。此外，还可将其设置为在访问 重要的组织资源时需进行多重身份验证。可以使用 Azure AD 在现有 Windows Server AD 和云应用（包 括 Microsoft 365）之间自动完成用户预配。

最后，Azure AD 提供了功能强大的工具来自动帮助保护用户标识和凭据，并满足企业的访问治理要求。 开发人员使用 Azure AD 作为一种基于标准的方法，用于将单一登录 (SSO) 功能添加到其应用，以便用户 可以使用他们已有的凭据登录。另外，开发人员还可以通过 Azure AD 提供的 API 来构建个性化应用体 验，充分使用现有的组织数据。

谢谢大家阅读，如果大家感兴趣或者配置过程中有其他问题要讨论，欢迎线下联系。