Migrarea de la autentificarea SSO Azure AD la ADFS

Avem un client cu următoarea configurație.

• onPrem Active Directory cu Azure AD Connect și Password Hash Sync (PHS), inclusiv activarea SSO

• SSO pentru toate aplicațiile M365

• Integrarea a aproximativ 15 aplicații cloud externe diferite, care au încredere în relația Azure pentru a utiliza SSO în browser

Acum, clientul dorește să migreze la autentificarea ADFS, pentru a utiliza soluția onPrem MFA pentru toate aplicațiile sale în viitor. Deci, ce se întâmplă dacă schimbăm metoda „User Sign-In” în Azure AD Connect departe de PHS incl. SSO la „Federație cu ADFS”? Am gasit urmatoarea postare: Combinați ADFS și Azure AD pentru autentificare - Întrebări și răspunsuri Microsoft unde utilizatorul „amanpreetsingh-msft” descrie fluxul de comunicare. Dar din moment ce avem o configurație puțin diferită, nu sunt sigur dacă acest flux de comunicare se aplică și la noi. Ar mai funcționa automat SSO? Și ce trebuie să luăm în considerare în ceea ce privește cele două abordări SSO diferite: „PRT SSO” și „Seamless SSO”. În prezent, nu știm ce tip de SSO folosește clientul.

De asemenea, am găsit următorul flux de comunicare: SSO2 Dar nu acoperă în totalitate configurația noastră. Deoarece nu trimitem niciun bilet Kerberos către Azure AD. Constelația noastră implică SAML, revendicări de intrare și de ieșire, o încredere între Azure și un furnizor de servicii (în loc de ADFS direct) un fel de jeton SSO în tehnologia „PRT SSO” sau „Seamless SSO”.Cum ar arăta fluxul de comunicare în cazul nostru?

Sau ar putea fi o abordare mai bună de a „migra” încrederile dintre aplicații și Azure de la Azure la ADFS una câte una?

Multumesc pentru ajutor!

Depinde de aplicație, dar scenariul cel mai probabil este că va trebui să configurați toate aplicațiile pentru a utiliza o încredere ADFS în loc de o încredere Azure AD.

este posibil că unele aplicații pot continua să utilizeze încrederi Azure AD și apoi Azure AD se va ocupa de autentificarea federată cu ADFS, dar acest lucru ar complica foarte mult procesul de conectare și ar face mai dificil de gestionat și depanat. De asemenea, adăugarea ADFS înseamnă adăugarea unui potențial punct de eșec, ca în „dacă ADFS nu funcționează, nu te vei putea conecta la nimic” (de aceea ADFS este de obicei implementat cu cel puțin o fermă cu două servere) .

Notă secundară: nu „migrați domeniul la „Autentificare ADFS” în Microsoft AD Connect”; va trebui să configurați o fermă ADFS reală (inclusiv un proxy invers pentru publicarea externă) și apoi să configurați domeniul pentru autentificare federală în Azure AD.

Nu cunosc specificul scenariului dvs., dar acest lucru mi se pare destul de complex, mai ales dacă nu aveți o experiență bună cu ADFS (pe care, fără supărare, se pare că nu aveți); dacă motivul clientului pentru a face toate acestea este pur și simplu să-și folosească propria soluție MFA, i-aș sfătui insistent să activeze MFA Microsoft sau să treacă la una dintre diferitele soluții cloud MFA care pot fi integrate cu Azure AD.