Nowe funkcjonalności ADFS i uwierzytelnianie. Piotr Potocki Starszy Inżynier Systemowy APN Promise S.A.

Transkrypt

1 Nowe funkcjonalności ADFS i uwierzytelnianie Piotr Potocki Starszy Inżynier Systemowy APN Promise S.A.

2 Agenda Active Directory Federation Services Instalacja na co zwrócić uwagę Application Groups & Access Control Policies Azure Multi-factor authentication Migracja ADFS

3 Active Directory Federation Services

4 Azure AD Connect Self-service Single sign on Windows Server Active Directory Other Directories Username Azure Public cloud SaaS Office 365 On-premises Microsoft Azure Active Directory Cloud

5 ADFS Windows Server 2003 R2 (additional download) ADFS Windows Server 2008/2008 R2 ADFS Windows Server 2008/2008 R2 (download from Microsoft.com) ADFS Windows Server 2012 ADFS Windows Server 2012 R2 ADFS Windows Server 2016

6 Azure AD logins Azure AD Authentication - Unique Users 6,5% ADFS authentications ~48M/mc Wykorzystanie w 94% przez rozwiązania Microsoft 47,8% 28,2% 17,5% Cloud Only Password Sync AD FS Other 3rd 2016

7

8 Instalacja krok 1 Instalacja i konfiguracja roli ADFS na Windows Server 2016 Środowisko domenowe Web Application Proxy Workgroup lub Domain Join DNS -> Public i Internal: sts.apn365demo.pl" Loadbalancer

9 Certyfikat i porty krok 2 ADFS 4.0 : SSL Communication, Token Signin, Token Decryption DNS Name=sts.apn365demo.pl --> Service Communication (NEW) DNS Name=certauth. apn365demo.pl --> - Jeden host (sts.apn365demo.pl) dwa porty(443, 49443) - Dwa hosty (sts.apn365demo.pl i certauth.apn365demo.pl) - jeden port (443). Polityka firmy zabrania używania portu 49443

10 Instalacja krok 3 Konwersja domeny Office 365 do Single Sign-on - Dodanie konta usługi do grupy Administrators - Microsoft Online Services Sign-in Assistant - PowerShell Module Microsoft Azure Active Directory Module - Connect-MsolService ADFS Primary Server to Office Przekształcenie Domeny Manage do Federated

11 o Instalacja WAP Server Instalacja krok 4 owindows Server Workgroup lub Domain - Perimeter network o Import certyfikatu sts.apn365demo.pl o Komunikacja WAP ADFS Server (443) o DNS lub Hosts o Instalacja Web-Application-Proxy o Dodanie Web-Application-Proxy do istniejącej farmy ADFS

12 Po instalacji Azure MFA dostępne po konfiguracji Azure Active Directory Device Authentication jako podstawowa metoda pod warunkiem skonfigurowania Device Registration

13 Testowanie

14

15 Nowości o Azure MFA o Brak hasła dla strefy Extranet Windows Hello o Application Groups o Access Control Policies o Azure MFA as Primary sign on

16 Azure MFA o Logowanie kodem aplikacją rozmową telefoniczną o Nie jest wymagany serwer MFA on premises o AAD/O365

17 Sign in with Windows Hello for Business Windows Hello for Business konfiguracja przez Group Policy lub MDM policy key-based, certificate-based, TPM authentication PIN, gest lub odcisk palca Hello pozwala na logowanie użytkownikom kont: o Microsoft o Active Directory account. o Microsoft Azure Active Directory (Azure AD

18 Application Groups 2012 R2 Add-AdfsClient, Add-AdfsRelyingPartyTrust 2016 Add Application Group Provision applications multi-hop modern flows

19 Access Control Policies Dostosowane ustawienia polityk dla wielu aplikacji Dostępne z pudełka lub stworzone prze administratora Warunki Security Groups Networks (inside, outside, IP range) Device Trust Level (Authenticated, Managed, Compliant) Require MFA

20 Single sign on Wszystko konfigurowalne (Set-AdfsProperties) bez ograniczeń Ustawienia domyśle Authenticated devices SSO - 90 dni pod warunkiem używania co najmniej raz na 14 dni DeviceUsageWindowInDays : 14 PersistentSsoLifetimeMins : (90 days) User consented SSO via Keep Me Signed In (KMSI) for other devices KmsiLifetimeMins : 1440 (24 hours) NEW: No upper limit on KmsiLifetimeMins (formerly limited to 7 days max) Odwołanie Zmiana hasła lub blokada konta lub usunięcie lub downgrade statusu

21 -CompanyName -OrganizationalNameDescriptionText -SignInPageDescriptionText Set-AdfsWebTheme TargetName o365theme -HomeLink, -PrivacyLink, -HelpDeskLink

22 Azure Multi-factor authentication

23 Azure Multi-factor authentication

24

25 Microsoft Authenticator Aplikacja dostępna na wszystkich platformach MFA dla każdego konta : Push Notifications/OTP Device Registration (workplace join) SSO native mobile apps - Certificate-based SSO

26 DEMO o 47,8% logowań używa ADFS-a

27

28

29 Migracja Jak to było wcześniej przed 2016 Primary / secondary

30 Dodanie nowych serwerów do farmy compat mode Walidacja funkcjonalności Dodanie więcej nod-ów Upgrade wersji farmy Roll back - wspierane Usunięcie starych nod-ów

31 Dodaj serwery do istniejącej farmy

32 Interfejs ADFS Windows Server 2016 federation server Brak opcji widocznych w panelu Serwer nie jest primary server

33 Windows Server 2016 Set-AdfsSyncProperties -Role PrimaryComputer Windows Server 2012 R2 Set-AdfsSyncProperties -Role SecondaryComputer -PrimaryComputerName {FQDN}

34 Web Application Proxy Install-WebApplicationProxy -CertificateThumbprint {SSLCert} -fsname fsname -TrustCred $trustcred

35 Windows Server 2016 federation server Opcje dostępne po transformacji

36 Wygaśnięcie certyfikatu Niepoprawny certyfikat SSL na serwerze Brak klucza prywatnego w certyfikacie SSL Troubleshooting Konto usługi AD FS bez uprawnień dostępowych doklucza prywatnego Must have read the private key Restart usługi AD FS ujawnia powyższe błędy 36

37 Aby audytować usługę AD FS -> włącz najpierw opcje Zdarzenia będą logowane w Security Log

38 Security Audit Logs

39 Dziękuję za uwagę Pytania: