управление рисками для уязвимых приложений с помощью дополнительной многофакторной проверки подлинности

Обзор сценария . Описание сценария, в котором используется службы федерации Active Directory (AD FS) (AD FS) для включения многофакторной проверки подлинности (MFA) на основе членства пользователя в группе.

в AD FS в Windows Server 2012 R2 можно включить MFA на основе сетевого расположения, удостоверения устройства, удостоверения пользователя или членства в группе.

Основные концепции — способы проверки подлинности в AD FS

службы федерации Active Directory (AD FS) (AD FS) в Windows Server 2012 R2 предоставляет ит-администраторам более широкий и гибкий набор средств для проверки подлинности пользователей, желающих получить доступ к корпоративным ресурсам. он позволяет администраторам гибко управлять основным и дополнительными методами проверки подлинности, предоставляет широкие возможности управления для настройки политик проверки подлинности (как с помощью пользовательского интерфейса, так и Windows PowerShell), а также повышает удобство работы конечных пользователей, которые обращаются к приложениям и службам, защищенным AD FS. ниже приведены некоторые преимущества защиты приложения и служб с помощью AD FS в Windows Server 2012 R2.

Глобальная политика проверки подлинности — централизованное управление, от которого ИТ-администратор может выбирать, какие методы проверки подлинности используются для аутентификации пользователей в зависимости от сетевого расположения, из которого они обращаются к защищенным ресурсам. Это позволяет администраторам выполнять следующие задачи:

Принудительно использовать более безопасные методы проверки подлинности для запросов на доступ из экстрасети.

Настраивать проверку подлинности устройств для комплексной двухфакторной проверки подлинности. Это связывает удостоверение пользователя с зарегистрированным устройством, которое используется для доступа к ресурсу, тем самым предлагая более безопасную проверку составных удостоверений перед обращением к защищенным ресурсам.

Дополнительные сведения об объекте устройства, службе регистрации устройств, Workplace Joinе и устройстве в качестве высокопроизводительной проверки подлинности и единого входа см. в статье Подключение к рабочему месту с любого устройства для единого входа и Однофакторная проверка подлинности в приложениях компании.

Задайте требование MFA для всего доступа к экстрасети или по условию на основе удостоверения пользователя, сетевого расположения или устройства, используемого для доступа к защищенным ресурсам.

Более гибкая настройка политик проверки подлинности. можно настроить пользовательские политики проверки подлинности для ресурсов, защищенных AD FS, с различными бизнес-значениями. Например, можно требовать принудительного применения многофакторной проверки подлинности для доступа к приложениям с высокой степенью важности для бизнеса.

простота использования: простые и интуитивно понятные средства управления, такие как оснастка консоли управления AD FS management на основе графического интерфейса пользователя, и командлеты Windows PowerShell позволяют ит-администраторам настраивать политики аутентификации с относительным удобством. С помощью Windows PowerShell можно создать из решения сценарий для использования в масштабе предприятия и автоматизации повседневных задач администрирования.

Больший контроль над корпоративными ресурсами. так как администратор может использовать AD FS для настройки политики проверки подлинности, применяемой к конкретному ресурсу, вы сможете контролировать, как защищаются корпоративные ресурсы. Приложения не могут отменить политики проверки подлинности, определенные ИТ-администраторами. Для уязвимых приложений и служб можно включить требование многофакторной проверки подлинности, проверки подлинности устройства и дополнительной проверки подлинности при каждом доступе к ресурсу.

Поддержка пользовательских поставщиков MFA. для организаций, использующих сторонние методы MFA, AD FS предлагает возможность легко внедрять и использовать эти методы проверки подлинности.

в AD FS в Windows Server 2012 R2 можно указать политику проверки подлинности в глобальной области, применимую ко всем приложениям и службам, защищенным AD FS. Можно также задать политики проверки подлинности для определенных приложений и служб (отношения доверия с проверяющей стороной), защищенных AD FS. Определение политики проверки подлинности для конкретного приложения (на основе отношения доверия с проверяющей стороной) не отменяет глобальную политику проверки подлинности. Если глобальная политика проверки подлинности или политика проверки подлинности на основе отношений доверия с проверяющей стороной требует многофакторной проверки подлинности, то при попытке пользователя пройти проверку подлинности на основе указанного отношения доверия с проверяющей стороной будет инициирована многофакторная проверка подлинности. Глобальная политика проверки подлинности представляет собой резервный вариант для политики на основе отношений доверия с проверяющей стороной (для приложений и служб), для которых не настроена определенная политика проверки подлинности.

Глобальная политика проверки подлинности применяется ко всем проверяющим сторонам, защищенным AD FS. При настройке глобальной политики проверки подлинности можно настроить следующие параметры:

Метод проверки подлинности, который будет использоваться в качестве основного.

Параметры и методы многофакторной проверки подлинности.

Политики проверки подлинности на основе отношения доверия с проверяющей стороной применяются, в частности, при попытке доступа к этому отношению доверия с проверяющей стороной (приложению или службе). При настройке политики проверки подлинности на основе отношения доверия с проверяющей стороной можно настроить следующие параметры:

Будут ли запрашиваться учетные данные при каждом входе пользователя в систему

Параметры многофакторной проверки подлинности на основе учетной записи пользователя или группы, регистрации устройства и данных расположения, из которого запрашивается доступ к данным

при использовании AD FS в Windows Server 2012 R2 в дополнение к основному механизму проверки подлинности администраторы могут настраивать дополнительные методы проверки подлинности. Основные методы проверки подлинности являются встроенными и предназначены для проверки удостоверений пользователей. Можно настроить дополнительные коэффициенты проверки подлинности, чтобы запросить дополнительные сведения об удостоверении пользователя и, соответственно, обеспечить более надежную проверку подлинности.

при первичной проверке подлинности в AD FS в Windows Server 2012 R2 доступны следующие варианты.

Для ресурсов, которые опубликованы для доступа из корпоративной сети, по умолчанию выбрана проверка подлинности на основе форм. Кроме того, можно включить проверку подлинности сертификата (другими словами, проверку подлинности с использованием смарт-карты или проверку подлинности сертификата клиента, которая работает с доменными службами Active Directory).

Для ресурсов интрасети по умолчанию выбрана проверка подлинности Windows. Дополнительно можно выбрать проверку подлинности на основе форм или проверку подлинности сертификата.

Выбирая более одного метода проверки подлинности, администратор предоставляет пользователям возможность выбора метода проверки подлинности на странице входа приложения или службы.

Можно также включить проверку подлинности устройств для комплексной двухфакторной проверки подлинности. Это связывает удостоверение пользователя с зарегистрированным устройством, которое используется для доступа к ресурсу, тем самым предлагая более безопасную проверку составных удостоверений перед обращением к защищенным ресурсам.

Дополнительные сведения об объекте устройства, службе регистрации устройств, Workplace Joinе и устройстве в качестве высокопроизводительной проверки подлинности и единого входа см. в статье Подключение к рабочему месту с любого устройства для единого входа и Однофакторная проверка подлинности в приложениях компании.

При выборе для ресурсов интрасети метода проверки подлинности Windows (задан по умолчанию) проверка подлинности пройдет без проблем в браузерах, которые поддерживают проверку подлинности Windows.

Проверка подлинности Windows поддерживается не всеми браузерами. механизм проверки подлинности в AD FS в Windows Server 2012 R2 обнаруживает пользовательский агент браузера пользователя и использует настраиваемый параметр, чтобы определить, поддерживает ли этот агент пользователя проверку подлинности Windows. Администраторы могут добавлять элементы к этому списку агентов пользователя (с помощью команды Windows PowerShell Set-AdfsProperties -WIASupportedUserAgents ), чтобы указать альтернативную строку агента пользователя для браузеров, которые поддерживают проверку подлинности Windows. если агент пользователя клиента не поддерживает проверку подлинности Windows, метод резервного использования по умолчанию является проверкой подлинности с помощью форм.

настроить mfa в AD FS в Windows Server 2012 R2 можно двумя частями: указание условий, при которых требуется MFA, и выбор дополнительного метода проверки подлинности. Дополнительные сведения о дополнительных методах проверки подлинности см. в разделе Настройка дополнительных методов проверки подлинности для AD FS.

Параметры многофакторной проверки подлинности

Для параметров многофакторной проверки подлинности доступны следующие варианты (условия, при которых обязательно применение многофакторной проверки подлинности):

Можно сделать многофакторную проверку подлинности обязательной для определенных пользователей и групп в домене Active Directory, к которому присоединен ваш сервер федерации.

Можно сделать многофакторную проверку подлинности обязательной для зарегистрированных (присоединенных к рабочему месту) или незарегистрированных (не присоединенных к рабочему месту) устройств.

Windows Server 2012 R2 использует ориентированный на пользователя подход к современным устройствам, в которых объекты устройств представляют связь между user@device и компанией. объекты устройств — это новый класс в AD в Windows Server 2012 R2, который можно использовать для предоставления составных удостоверений при предоставлении доступа к приложениям и службам. Новый компонент AD FS — служба регистрации устройств (DRS) — предоставляет удостоверение устройства в Active Directory и настраивает сертификат для пользовательского устройства, который будет использоваться для представления удостоверения устройства. Затем это удостоверение устройства можно использовать для присоединения устройства к рабочему месту; иначе говоря, для подключения вашего личного устройства к Active Directory на вашем рабочем месте. После подключения личного устройства к вашему рабочему месту оно становится известным устройством и будет служить дополнительным фактором проверки подлинности для доступа к защищенным ресурсам и приложениям. Иными словами, после присоединения устройства к рабочей области удостоверение пользователя привязывается к этому устройству и может использоваться для простой проверки составных удостоверений до доступа к защищенному ресурсу.

Многофакторную проверку подлинности можно сделать обязательной при запросе разрешения на доступ к защищенным ресурсам из экстрасети или интрасети.

Общие сведения о сценарии

В этом сценарии MFA включается на основе данных членства пользователя в группах для конкретного приложения. Иначе говоря, вы настроите политику проверки подлинности на сервере федерации таким образом, чтобы при получении запроса на доступ к определенному приложению, размещенному на веб-сервере, от пользователей, принадлежащих к определенной группе, обязательно применялась многофакторная проверка подлинности.

В частности, в данном случае выполняется настройка политики проверки подлинности для тестового приложения на основе утверждений claimapp, в соответствии с которой пользователь AD Robert Hatley должен будет пройти многофакторную проверку подлинности, так как он принадлежит к группе AD Finance.

Пошаговые инструкции по настройке и проверке этого сценария приведены в разделе Пошаговое руководство. Управление рисками с помощью дополнительной многофакторной проверки подлинности для конфиденциальных приложений. чтобы выполнить действия, описанные в этом пошаговом руководстве, необходимо настроить лабораторную среду и выполнить действия, описанные в разделе настройка лабораторной среды для AD FS в Windows Server 2012 R2.

Другие сценарии включения MFA в AD FS включают следующее:

Включение многофакторной проверки подлинности при поступлении запроса на доступ из экстрасети. Вы можете изменить код, представленный в разделе "Настройка политики MFA" пошагового руководства: управление рисками с помощью дополнительной многофакторной проверки подлинности для конфиденциальных приложений со следующими параметрами:

Включение многофакторной проверки подлинности при поступлении запроса на доступ с устройства, не присоединенного к рабочем месту. Вы можете изменить код, представленный в разделе "Настройка политики MFA" пошагового руководства: управление рисками с помощью дополнительной многофакторной проверки подлинности для конфиденциальных приложений со следующими параметрами:

Включение многофакторной проверки подлинности при поступлении запроса на доступ от пользователя устройства, присоединенного к рабочему месту, но не зарегистрированного для данного пользователя. Вы можете изменить код, представленный в разделе "Настройка политики MFA" пошагового руководства: управление рисками с помощью дополнительной многофакторной проверки подлинности для конфиденциальных приложений со следующими параметрами: