Tento článek obsahuje moje stručné poznámky k velmi rozsáhlé oblasti Azure AD pro služby Microsoft 365 / Office 365. Neměl jsem čas na detailnější studium, takže jsem se snažil co nejjednodušeji otestovat a zprovoznit potřebné. Tedy replikaci lokálních účtů do online prostředí. Navíc v situaci, kdy již v Azure AD existovaly ručně vytvořené účty (cloud), a ty bylo potřeba spárovat s lokálními účty (on-premises). Neručím za přesnost a již vůbec není článek komplexní.

V článku se podíváme na možnosti Azure AD pro samoobslužnou změnu či reset hesla nebo odemknutí účtu (SSPR). Zaměříme se na situaci, kdy máme On-Premises Active Directory Domain Services (AD DS) uživatele synchronizované do cloudového Azure AD. Ne tak důležité je, že se využívá Password hash synchronization (PHS). Na začátku budeme řešit zpětný zápis hesla (Password Writeback), aby se změny hesel v cloudu projevily i v On-Premises. Zmíníme pojem moderní autentizace, politiky hesel a důležité jsou ověřovací metody (Authentication methods).

Navážeme na minulý článek, který se věnoval samoobslužnému portálu na reset hesla nebo odemknutí účtu (SSPR). Podíváme se na to, co Microsoft označuje jako přihlašování bez hesla (Passwordless Sign-in). Zde za pomoci aplikace Microsoft Authenticator. Jako hlavní se budeme věnovat vícefaktorové autentizaci (Multi-Factor Authentication - MFA). Znovu si zmíníme ověřovací metody a podíváme se i na jejich správu v Azure AD.

Registrace počítačů a dalších zařízení (jako jsou mobilní telefony) do Azure AD nám může přinést různé výhody. Krátce zmíníme základní možnost Azure AD Device Registration. Dále se budeme věnovat Hybrid Azure AD Join. Kdy máme počítače připojené k On-Premises AD doméně, jejich účty synchronizujeme do Azure AD a počítače se zaregistrují do Azure AD. Mohou pak využívat výhody obou prostředí. V Azure AD funguje SSO a podmíněný přístup (Conditional Access).

Podíváme se na možné způsoby registrace zařízení do Azure AD. Zaměříme se na operační systémy macOS a Android (iOS by měl být podobný), ale popíšeme si také Windows. V druhé části rozebereme Device Authentication, tedy ověření zařízení při přihlašování do Azure AD, které můžeme využít pro identifikaci zařízení a řízení přístupu. Opět je zajímavější fungování na macOS a Android, které má určitá omezení, kdežto Windows funguje jednoduše automaticky.

Ve firemním prostředí můžeme zvýšit bezpečnost uživatelských účtů, a často také pohodlí uživatelů, když nasadíme Windows Hello for Business. Jde o vytvoření přihlašovacích údajů (asymetrický pár klíčů, často chráněný pomocí TPM) pro uživatelský účet v Azure AD (případně AD). Tyto údaje jsou napevno svázány s určitým zařízením (počítačem) a nelze je použít jinde (vzdáleně). Uživatel si pro přihlášení nastaví (nejčastěji) otisk prstu, jako záloha slouží PIN. Tento článek stručně popisuje technologii a uvádí argumenty o zvýšení bezpečnosti.

Windows Hello vytvoří přihlašovací údaje (asymetrický pár klíčů, často chráněný pomocí TPM) pro uživatelský účet v Azure AD (případně AD), které jsou napevno svázány s určitým zařízením. Uživatel si pro přihlášení nastaví (nejčastěji) otisk prstu, jako záloha slouží PIN. V článku si popíšeme možný způsob nasazení Windows Hello for Business v hybridním firemním prostředí. Jde o nejnovější a velmi jednoduchou metodu nasazení zvanou Cloud Kerberos Trust.

Windows Hello vytvoří přihlašovací údaje (asymetrický pár klíčů, často chráněný pomocí TPM) pro uživatelský účet v Azure AD (případně AD), které jsou napevno svázány s určitým zařízením. Uživatel si pro přihlášení nastaví (nejčastěji) otisk prstu, jako záloha slouží PIN. V tomto článku si popíšeme průběh registrace (Provisioning) Windows Hello na zařízení. Může probíhat při prvním přihlášení po zapnutí nebo přes nastavení Windows. Zmíníme přihlašování a reset PINu.

Podíváme se na Microsoft podporu pro přihlašování (autentizaci) pomocí FIDO2 security key (ve firemním prostředí). V rámci Azure AD je podporováno ověření pomocí FIDO2 bezpečnostního klíče. V hybridním prostředí, můžeme využít také pro přihlášení do Windows a lokálního Active Directory. FIDO2 se řadí mezi bezpečné vícefaktorové ověření bez hesla, navíc odolné proti phishingu, a můžeme tak výrazně zvýšit bezpečnost uživatelských účtů. Přihlašování klíčem může být také pohodlnější.

Využití Multi-Factor Authentication (MFA) je dnes běžným standardem. Podíváme se na možnosti, které nabízí Microsoft pro firemní účty v Microsoft Entra ID. Toto ověřování můžeme využít v rámci Microsoft 365, ale také napojit aplikace třetích stran či naše interní aplikace. Uvedeme si, jaké ověřovací metody jsou k dispozici, a proč jsou některé více bezpečné než jiné. Popíšeme fungování různých kategorií MFA.

Po obecném popisu Microsoft Entra Multi-Factor Authentication (MFA) se podíváme více prakticky na registraci a správu ověřovacích metod. Zaměříme se na možnosti Microsoft Authenticator, v tomto případě je optimální Phone sign-in. Pak si ukážeme průběh přihlášení pomocí MFA a použití některých ověřovacích metod.

Uživatelská FIDO autentizace s přístupovými klíči (passkeys). Přístupové klíče jsou výrazně bezpečnější možnost, jak se přihlásit k nějaké službě, než použití hesla. Využívá se soukromý (vlastní uživatel) a veřejný (uložen u služby) klíč. Passkeys jsou FIDO credentials podle standardu FIDO2. V článku se podíváme jak passkeys fungují, jaké jsou jejich vlastnosti a jak souvisí s FIDO2 security key.

Podíváme se na praktické možnosti vytváření a používání přístupových klíčů pro přihlášení k online službám na platformách Microsoft Windows a Google Android, včetně Cross-Device Authentication (ověření mezi zařízeními). Tedy využití interního autentizátoru (a lokálních passkeys) nebo externího autentizátoru (a passkeys na jiném zařízení), včetně FIDO2 bezpečnostního klíče. Vyzkoušíme různé webové prohlížeče. Testy budeme provádět na Google účtu, pro který vytvoříme passkey na různých zařízeních.

Microsoft v současné chvíli přidává (možná lépe řečeno rozšiřuje) podporu pro přístupové klíče na svých účtech, jak pro osobní Microsoft účty, tak pracovní nebo školní účty v Entra ID. Podíváme se na možnosti pro osobní účty, kde je použití volnější. Více se budeme věnovat firemním účtům, které vyžadují přístupové klíče vázané na zařízení. Navíc na mobilních zařízeních Android (od verze 14) a iOS (od verze 17) se zatím mohou nacházet pouze v aplikaci Microsoft Authenticator.