Nasazení, zabezpečení a správa ověřování AD FS s vysokou dostupností opravdu není žádná legrace i přesto, že na první pohled „se to dá naklikat za hoďku“.
AD FS má (a ještě dlouho bude mít) své místo v místní infrastruktuře, ale pro změnu způsobu ověřování do Azure/O365 je již dnes mnoho dobrých důvodů.
Častým argumentem, proč zůstat u AD FS, je lehce problematická fáze změny samotné – ta byla donedávna možná jen jako tzv. „cutover“ – tedy všechny uživatele přepneme najednou. Tím pádem je problematické předchozí ověření v testovacím režimu, uživatelé mohou mít dočasné trable s ověřováním k aplikacím atd.
Společnost Microsoft nedávno zpřístupnila možnost tzv. „staged rollout“ migrace do ověřování v cloudu. Může se hodit např. v situacích, kdy si cutover migraci nemůžete bez řádného otestování dovolit. Důvodem mohou být složitější konfigurace, jako je ověřování čipovými kartami, onprem MFA server nebo jiná omezení.
Předpokladem je tedy federovaná doména v tenantu a plánovaný přechod na
- Synchronizace hashů hesel + seamless single sign-on (SSO)
- Pas-through ověřování (PTA) + SSO
Před nasazením je vhodné se seznámit s omezeními, jako jsou např.
- Lze použít max. 10 skupin zabezpečení
- Vnořené nebo dynamické skupiny nelze použít
- Není vhodné používat dlouhodobě (finální cutover by měl být stále cílem)
- Při prvním nastavení je možné aktivovat pro skupinu s maximálně 200 uživateli, následně už můžete přidat až 50 000 uživatelů
- Uživatelům je nastavena politika změny hesla na 90 dnů
Samotná aktivace není složitá, a ve zkratce se sestává z následujících kroků:
- Aktivace PHS na AAD Connectu (pro variantu A)
- Instalace PTA agentů (pro variantu B)
- Konfigurace SSO (volitelně, ale je doporučeno)
- Zapnutí funkce a výběr skupin uživatelů
- Ověření funkcionality, kontroly záznamů v auditních lozích.
Jedná se opravdu o nástroj pro usnadnění migrace – nelze tedy provozovat všechny scénáře, které vás při čtení článku možná napadly.
Podrobnosti o dalších možnostech najdete jako vždy na webu společnosti Microsoft https://docs.microsoft.com/en-us/azure/active-directory/hybrid/how-to-connect-staged-rollout.
