2022 novemberében a Microsoft az Ignite konferencián bejelentette az Azure AD CBA szolgáltatás végleges (General Available) állapotba kerülését. Lássuk, mi ez és hogyan tudjuk beállitani.
Mi az Azure AD CBA?
A CBA lehetővé teszi, hogy különböző Microsoft alkalmazásokba és webes felületekre tanúsitvánnyal jelentkezzünk be. A tanúsitványt a saját PKI (public key infrastructure) környezetünkből kapjuk és az Azure AD ezt használja fel a hitelesitéshez. Ezzel egy úgynevezett phishing-resistent megoldást kapunk.
Hogyan működik a CBA?
A következő ábra bemutatja a bejelentkezési folyamatot:
Lássuk az egyes lépéseket:
- A felhasználó megnyitja a https://myapps.microsoft.com portált
- Ha nem volt eddig bejelentkezve, akkor a felhasználót elirányitja a https://login.microsoftonline.com oldalra
- A felhasználó megadja a nevét
- Az Azure AD ellenőrzni, hogy a tenantban be van-e állitva a CBA authentication. Ha igen, akkor megjelenik egy link “Use a certificate or smartcard” néven
- 5. Ha a felhasználó kiválasztotta a fentit, akkor történik egy átirányitás a https://certauth.login.microsoftonline.com végpontra.
- 6. Az Azure AD bekéri a klienstől a tanúsitványt
- 7. Az Azure AD ellenőrzni a tanúsitvány visszavonási listát (CRL), hogy nincs-e visszavonva
- 8. Ha van Conditional Access policy, ami megköveteli az MFA-t, és ha az úgynevezett certificate authentication binding rule megfelel, akkor a belépés megtörténik.
- 9. Az Azure AD elküldi a primary refresh tokent és a belépési process lezárul
Hogyan állitsuk be a CBA-t?
Előfeltételek:
- Működő PKI rendszer (legalább egy root CA plusz egy intermediate CA)
- Kiadott tanúsitvány a felhasználóknak (client authentication SKU)
- A CA-nak legyen elérhető a CRL listája az internet felől (ennek hiányában az Azure AD nem fogja leellenőrizni a tanúsitvány érvényességét és nem blokkolja a belépést)
CA konfiguráció az Azure portálon
Lépjünk be a https://portal.azure.com/#view/Microsoft_AAD_IAM/SecurityMenuBlade/~/CertificateAuthorities portálra és töltsük fel a Root (és esetleg az intermediate CA) tanúsitványunk publikus kulcsát. Töltsük ki a CRL endpoint URL-jét is.
Engedélyezzük a CBA-at a tenantban
Lépjünk be a https://portal.azure.com/#view/Microsoft_AAD_IAM/AuthenticationMethodsMenuBlade/~/AdminAuthMethods portálra és engedélyezzük a Certificate-based authenticationt.
Beállithatjuk az user csoportokat vagy minden usert is, a configure részben pedig maradhatunk az alapbeállitásoknál.
A többi opciót (single vs multi-factor authentication, rules) a következő posztban fogom részletezni.
Összefoglaló:
Áttekintettük, hogy mi az Azure CBA, hogyan működik és hogyan lehet alapszinten bekonfigurálni.
Zoltan Istvanffy's IT Blog 