Развертывание локальных служб федерации Active Directory в Azure

Microsoft Entra ID

Microsoft Entra

Azure Load Balancer

Эта эталонная архитектура реализует безопасную гибридную сеть, которая расширяет вашу локальную сеть в Azure и использует службы федерации Active Directory (AD FS) для выполнения федеративной проверки подлинности и авторизации компонентов, работающих в Azure.

Архитектура

Diagram showing an example of a secure hybrid network architecture with Active Directory Federation Services.

Скачайте файл Visio для этой архитектуры.

Примечание.

Файл Visio содержит 4 вкладки схем. Перейдите на вкладку AD FS , чтобы просмотреть соответствующую схему архитектуры для этой статьи.

Workflow

Подсеть AD DS. Серверы AD DS содержатся в собственной подсети с правилами группы сетевой безопасности (NSG), действующими в качестве брандмауэра.
Серверы AD DS. Контроллеры домена, выполняющие функции виртуальных машин в Azure. Эти серверы предоставляют проверку подлинности локальных удостоверений в домене.
Подсеть AD FS. Серверы AD FS расположены в своей собственной подсети с правилами NSG, действующими в качестве брандмауэра.
Серверы AD FS. Серверы AD FS предоставляют федеративную авторизацию и проверку подлинности. В этой архитектуре они выполняют следующие задачи:
- Получение маркеров безопасности, содержащих утверждения, сделанные сервером федерации партнера от имени пользователя партнера. Службы федерации Active Directory проверяют действительность токенов, прежде чем передавать утверждения в веб-приложение, запущенное в Azure, для авторизации запросов.
  
  Приложение, выполняемое в Azure, является проверяющей стороной. Сервер федерации партнера должен выдавать утверждения, которые распознаются веб-приложением. Серверы федерации партнера называются партнерами по учетным записям, так как они отправляют запросы на доступ от имени прошедших проверку подлинности учетных записей в организации партнера. Серверы AD FS называются партнерами по ресурсам, так как они обеспечивают доступ к ресурсам (веб-приложение).
- Проверка подлинности и авторизация входящих запросов от внешних пользователей, работающих с веб-браузером или устройством, которым необходим доступ к веб-приложениям, с использованием доменных служб Active Directory и службы регистрации устройств Active Directory.
Серверы AD FS настроены как ферма, доступ к которой осуществляется через подсистему балансировки нагрузки Azure. Эта реализация позволяет повысить доступность и масштабируемость. Серверы AD FS не предоставляются непосредственно в Интернете. Весь интернет-трафик фильтруется через прокси-серверы веб-приложений AD FS и промежуточную сеть (также называемую сетью периметра).

Дополнительные сведения о работе служб федерации Active Directory см. в статье Active Directory Federation Services Overview (Службы федерации Active Directory). Подробные пошаговые инструкции по реализации см. в статье Развертывание служб федерации Active Directory в Azure.
Подсеть прокси-сервера AD FS. Прокси-серверы AD FS могут содержаться в собственной подсети с правилами NSG, обеспечивающими защиту. Серверы этой подсети доступны в Интернете через набор сетевых виртуальных устройств, которые обеспечивают брандмауэр между вашей виртуальной сетью Azure и Интернетом.
Прокси-серверы веб-приложения (WAP) AD FS. Эти виртуальные машины действуют как серверы AD FS для входящих запросов от партнерских организаций и внешних устройств. WAP-серверы действуют как фильтр, защищая серверы AD FS от прямого доступа из Интернета. Как и для серверов AD FS, развертывание WAP-серверов в ферме с подсистемой балансировки нагрузки обеспечивает большую доступность и масштабируемость, чем развертывание коллекции автономных серверов.

Примечание.

Подробные сведения об установке WAP-серверов см. в статье Установка и настройка прокси-сервера веб-приложений.
Партнерская организация. Партнерская организация, запускающая веб-приложение, которое запрашивает доступ к веб-приложению, запущенному в Azure. Сервер федерации в партнерской организации проверяет подлинность запросов локально и отправляет маркеры безопасности, содержащие утверждения, в AD FS, работающие в Azure. Службы AD FS в Azure проверяют маркеры безопасности, и если они действительны, передают утверждения в веб-приложение, запущенное в Azure, для их авторизации.

Примечание.

Вы также можете настроить VPN-туннель с помощью шлюза Azure для предоставления прямого доступа к AD FS доверенным партнерам. Запросы, полученные от этих партнеров, не проходят через WAP-серверы.

Компоненты

Эта архитектура расширяет реализацию, описанную в статье Расширение доменных служб Active Directory в Azure. Он содержит следующие компоненты.

Подробности сценария

AD FS можно размещать в локальной среде, но если приложение является гибридным, в котором некоторые части реализованы в Azure, это может оказаться более эффективным для реплика te AD FS в облаке.

На предыдущей схеме показаны следующие сценарии:

Код приложения организации-партнера обращается к веб-приложению, размещенному внутри виртуальной сети Azure.
Внешний зарегистрированный пользователь с учетными данными, хранящимися в доменных службах Active Directory (DS), обращается к веб-приложению, размещенному внутри виртуальной сети Azure.
Пользователь, подключенный к виртуальной сети с помощью авторизованного устройства, запускает веб-приложение, размещенное внутри виртуальной сети Azure.

В этой эталонной архитектуре основное внимание уделяется пассивной федерации, в которой серверы федерации определяют, как и когда выполнять проверку подлинности пользователя. Пользователь предоставляет сведения для входа при запуске приложения. Этот механизм чаще всего используется веб-браузерами и включает в себя протокол, который перенаправляет браузер на сайт, на котором пользователь проходит проверку подлинности. Службы федерации Active Directory поддерживают также активную федерацию, где приложение отвечает за предоставление учетных данных без дальнейшего участия пользователя, но этот сценарий выходит за рамки этой архитектуры.

Дополнительные сведения см. в статье "Выбор решения для интеграции локальная служба Active Directory с Azure".

Потенциальные варианты использования

Типичные способы использования этой архитектуры:

Гибридные приложения, в которых рабочие нагрузки выполняются частично локально и частично в Azure.
Решения, использующие федеративную авторизацию для публикации веб-приложений в партнерских организациях.
Системы, которые поддерживают доступ из веб-браузеров за пределами брандмауэра организации.
Системы, которые позволяют пользователям получать доступ к веб-приложениям, подключаясь к авторизованным внешним устройствам, таким как удаленные компьютеры, ноутбуки и другие мобильные устройства.

Следующие аспекты, изложенные в статье Планирование развертывания служб федерации Active Directory, позволяют приступить к изменению размера ферм AD FS:

Если у вас меньше 1000 пользователей, не создавайте выделенные серверы, а установите AD FS на каждом из серверов DS Active Directory в облаке. Убедитесь, что у вас есть как минимум два сервера AD DS для обеспечения доступности. Создайте один сервер WAP.
Если у вас есть от 1000 до 15 000 пользователей, создайте два выделенных сервера AD FS и два выделенных WAP-сервера.
Если у вас от 15 000 до 60 000 пользователей, создайте между тремя и пятью выделенными серверами AD FS и по крайней мере двумя выделенными WAP-серверами.

В этих рекомендациях предполагается, что в Azure используются виртуальные машины с двумя четырьмя ядрами (стандартный D4_v2 или более поздней версии).

Если вы используете внутренняя база данных Windows для хранения данных конфигурации AD FS, в ферме ограничено восемь серверов AD FS. Если вы ожидаете, что вам потребуется больше в будущем, используйте SQL Server. Дополнительные сведения см. в статье The Role of the AD FS Configuration Database (Роль базы данных конфигурации AD FS).

Надежность

Надежность гарантирует, что ваше приложение позволит вам выполнить ваши обязательства перед клиентами. Дополнительные сведения см. в разделе "Обзор основы надежности".

Создайте ферму AD FS с как минимум двумя серверами, чтобы увеличить доступность службы. Используйте разные учетные записи для каждой виртуальной машины AD FS в ферме. Этот подход помогает убедиться, что сбой в одной учетной записи хранения не делает всю ферму недоступной.

Создайте отдельные группы доступности Azure для виртуальных машин AD FS и WAP. Убедитесь, что в каждой группе есть по крайней мере две виртуальные машины. Для каждой группы доступности нужно настроить по крайней мере два домена обновления и два домена сбоя.

Настройте подсистемы балансировки нагрузки для виртуальных машин AD FS и WAP следующим образом:

Используйте подсистему балансировки нагрузки Azure для обеспечения внешнего доступа к виртуальным машинам WAP и внутреннюю систему балансировки нагрузки для распределения нагрузки между серверами AD FS в ферме.
Передавайте на серверы AD FS и WAP только трафик с порта 443 (HTTPS).
Предоставьте статический IP-адрес подсистеме балансировки нагрузки.
Создайте проверку работоспособности для /adfs/probe с помощью HTTP. Дополнительные сведения см. в статье Hardware Load Balancer Health Checks and Web Application Proxy / AD FS 2012 R2 (Проверки работоспособности аппаратной подсистемы балансировки нагрузки и прокси-службы веб-приложения или AD FS 2012 R2).

Примечание.

Серверы AD FS используют протокол указания имени сервера (SNI), поэтому попытка проверки с использованием конечной точки HTTPS из подсистемы балансировки нагрузки не выполняется.
Добавьте запись A DNS в домен для подсистемы балансировки нагрузки AD FS. Укажите IP-адрес подсистемы балансировки нагрузки и присвойте ей имя домена (например, adfs.contoso.com). Это имя, которое клиенты и серверы WAP используют для доступа к ферме серверов AD FS.

Вы можете использовать SQL Server или внутреннюю базу данных Windows для хранения данных о конфигурации AD FS. Внутренняя база данных Windows обеспечивает основную избыточность. Изменения записываются непосредственно только в одну из баз данных AD FS в кластере AD FS, в то время как другие серверы используют репликацию по запросу, чтобы обновлять свои базы данных. Использование SQL Server обеспечивает избыточность и высокую доступность всей базы данных за счет отказоустойчивой кластеризации или зеркального отображения.

Безопасность

Безопасность обеспечивает гарантии от преднамеренного нападения и злоупотребления ценными данными и системами. Дополнительные сведения см. в разделе "Общие сведения о компоненте безопасности".

AD FS используют протокол HTTPS, поэтому убедитесь, что правила NSG для подсети, содержащей виртуальные машины веб-уровня, разрешают HTTPS-запросы. Эти запросы могут быть получены из локальной сети, подсетей, содержащих веб-уровень, бизнес-уровень, уровень данных, частную и общедоступную сеть периметра, а также подсеть, содержащую серверы AD FS.

Предотвратите прямой доступ серверов AD FS к Интернету. Серверы AD FS — это компьютеры, присоединенные к доменам, которые имеют полную авторизацию для предоставления маркеров безопасности. Если сервер взломан, злоумышленник может выдавать маркеры доступа всем веб-приложениям и всем серверам федерации, которые защищены AD FS. Если ваша система должна обрабатывать запросы от внешних пользователей, не подключающихся с сайтов доверенных партнеров, используйте WAP-серверы для обработки этих запросов. Дополнительные сведения см. в статье Where to Place a Federation Server Proxy (Место размещения прокси-сервера федерации).

Поместите серверы AD FS и WAP-серверы в отдельные подсети со своими брандмауэрами. Для определения правил брандмауэра можно использовать правила NSG. Все брандмауэры должны пропускать трафик через порт 443 (HTTPS).

Ограничьте прямой вход на серверы AD FS и WAP. Только сотрудники DevOps должны иметь возможность подключения. Не присоединяйте серверы WAP к домену.

Для выполнения аудита рассмотрите возможность использования набора сетевых виртуальных устройств, которые регистрируют подробные сведения о трафике, пересекающем край вашей виртуальной сети.

Оптимизация затрат

Оптимизация затрат заключается в поиске способов уменьшения ненужных расходов и повышения эффективности работы. Дополнительные сведения см. в разделе Обзор критерия "Оптимизация затрат".

Ниже приведены рекомендации по затратам для служб, используемых в этой архитектуре.

доменные службы Active Directory;

Рассмотрите возможность использования доменных служб Active Directory в качестве общей службы, которая в свою очередь используется несколькими рабочими нагрузками для снижения затрат. Дополнительные сведения см. в разделе о ценах на службы домен Active Directory.

службы федерации Active Directory;

Сведения о выпусках, предлагаемых идентификатором Microsoft Entra, см. в ценах на Microsoft Entra. Функция служб федерации AD доступна во всех выпусках.

Эффективность работы

Сотрудники DevOps должны быть готовы выполнить следующие задачи:

Управление серверами федерации, включая управление фермой AD FS, управление политикой доверия на серверах федерации и управление сертификатами, используемыми службами федерации.
Управление серверами WAP, включая управление фермой WAP и сертификатами.
Управление веб-приложениями, включая настройку проверяющих сторон, методов проверки подлинности и сопоставлений утверждений.
Резервное копирование компонентов AD FS.

Дополнительные сведения о DevOps см. в статье DevOps: расширение служб домен Active Directory (AD DS) в Azure.

Соавторы

Эта статья поддерживается корпорацией Майкрософт. Первоначально он был написан следующими участник.

Автор субъекта:

Сара Паркес | Старший архитектор облачных решений

Чтобы просмотреть недоступные профили LinkedIn, войдите в LinkedIn.

Развертывание локальных служб федерации Active Directory в Azure

Архитектура

Workflow

Компоненты

Подробности сценария

Потенциальные варианты использования

Рекомендации

Рекомендации по сети

Установка AD FS

Доверие AD FS

Мониторинг AD FS

Рекомендации

Уровень производительности

Надежность

Безопасность

Оптимизация затрат

доменные службы Active Directory;

службы федерации Active Directory;

Эффективность работы

Соавторы

Дальнейшие действия

Обратная связь

Обратная связь

Дополнительные ресурсы

Развертывание локальных служб федерации Active Directory в Azure

Архитектура

Workflow

Компоненты

Подробности сценария

Потенциальные варианты использования

Рекомендации

Рекомендации по сети

Установка AD FS

Доверие AD FS

Мониторинг AD FS

Рекомендации

Уровень производительности

Надежность

Безопасность

Оптимизация затрат

доменные службы Active Directory;

службы федерации Active Directory;

Эффективность работы

Соавторы

Дальнейшие действия

Связанные ресурсы

Обратная связь

Обратная связь

Дополнительные ресурсы