19、身份验证、授权与安全原则解析

身份验证、授权与安全原则解析

1. 敏感信息存储风险与单一登录的重要性

在处理敏感信息和个人身份信息（PII）时，如果没有充分保护，可能会在不知不觉中违反像 GDPR 这样的法规。同时，身份验证虽然是必要的，但往往令人感到繁琐，导致人们采取一些不安全的捷径，如将密码写在便签上贴在屏幕上，或在每个应用程序中使用相同的弱密码。因此，单一登录（SSO）成为了备受追捧的身份验证功能。

2. SSO 的工作原理与实现

SSO 允许用户进行一次身份验证后，在一段时间内无需重新输入凭据，即可被组织内的所有应用程序自动识别。这一过程由 Azure AD 完成：
- 当访问应用程序时，应用程序会将用户重定向到 Azure AD。
- Azure AD 对用户进行身份验证，并向应用程序提供信息，以便为用户分配所需的访问权限。
- Azure AD 提供身份验证信息的方式有多种，包括：
- 使用 OpenID Connect 和 OAuth 2
- 使用 SAML
- 提供特定于应用程序的用户名和密码
- 使用标头
- 使用集成 Windows 身份验证（IWA）
- 使用与链接身份提供者的联合身份验证

对于原生云应用程序，通过采用 OpenID Connect 与 Azure AD SSO 集成通常是无缝的。而更传统的（非原生云）应用程序可能需要使用 Azure AD 应用程序代理，以确保 Azure AD 执行身份验证并为应用程序提供授予访问权限所需的信息。

Azure AD 通过在设备上本地存储一些信息来实现跨多个应用程序的 SSO，在 Windows 上通常会创