7、云身份管理：Azure AD 身份保护与访问控制全解析

云身份管理：Azure AD 身份保护与访问控制全解析

1. 引入 Azure AD 身份保护

在云环境安全方面，条件访问可以让我们精细地定义何时以及如何授予或拒绝访问云环境。而 Azure AD 身份保护在其中扮演着重要角色。

安全的一个重要目标是让攻击者的攻击成本尽可能高，同时确保不阻碍合法用户的身份验证，避免影响用户的登录体验。微软在保护云身份方面已有超过 10 年的经验，Azure AD 身份保护利用其保护系统来保护身份。

窃取用户账户凭证（即使是非高权限账户）一直是攻击者获取企业资源访问权限的常用手段。攻击者会利用第三方漏洞或复杂的网络钓鱼攻击来获取企业凭证，一旦获得低权限账户访问权，他们就能相对容易地提升权限或横向移动获取重要资源。因此，我们需要做到：
- 保护所有级别的身份。
- 防止受攻击的身份访问企业资源。

其中，第二步更具挑战性，因为需要先确定身份是否已被泄露，而 Azure AD 身份保护就能解决这个问题。

2. Azure AD 身份保护概览

Azure AD 在用户账户认证过程中，利用自适应机器学习算法和启发式方法来确定异常和可疑行为。基于这些数据，Azure AD 身份保护可以生成报告和警报，帮助用户评估近期登录情况。此外，它还能计算用户和登录风险级别，用于基于风险的条件访问策略。例如，当登录尝试的风险级别为中或更高时，可以强制使用多因素身份验证（MFA），或者根据风险计算阻止登录尝试。

Azure AD 会进行实时（报告在 5 - 10 分钟后显示）和离线（2 - 4 小时）的多种风险检测。一旦检测到与账户登录相关的风险，就会将其添加到“风险登录”