Azure Active Directory

Introducción

Azure Active Directory (Azure AD o AAD) es un servicio simplificado de gestión de directorios empresariales alojado en la nube de Microsoft. Se pueden crear o replicar usuarios y grupos, pero no es posible la gestión de un objeto de política de grupo o de una unidad organizativa. Una ventaja importante es que el empleado podrá autenticarse en los portales de Azure (o en Azure PowerShell/CLI) con su cuenta de usuario de dominio y su contraseña asociada. Además, una empresa puede proporcionar a sus socios y clientes un acceso controlado a los recursos de su sistema de información.

Los servicios en la nube de Microsoft disponibles en Internet (Office 365, Microsoft Azure, Dynamics, etc.) basan su autenticación en una cuenta AAD.

Permiten a los empleados de una empresa conectarse y acceder a recursos tales como las aplicaciones SaaS, pero también a recursos internos, como las aplicaciones ubicadas en la red e intranet de su empresa.

Cada nueva suscripción proporciona un AAD dedicado, denominado directorio predefinido. Se crea siguiendo la lógica: suemaildesuscripción.onmicrosoft.com. Así, si crea una suscripción con un correo electrónico eni.es@hotmail.es, el directorio creado automáticamente será enieshotmail.onmicrosoft.com.

Este directorio puede albergar cuentas de Microsoft cuando se crea la suscripción, así...

Usuario

Un usuario alojado en el AAD puede definirse de tres formas:

Así, se puede invitar a un usuario para que se convierta en miembro de nuestro directorio (los que no tienen una cuenta @enieshotmail.onmicrosoft.com en nuestro ejemplo). Este es el procedimiento:

Si el correo electrónico especificado es un correo empresarial (por ejemplo, usuario@nombredesuempresa.com), el usuario puede iniciar de inmediato una sesión en el portal de Azure (https://portal.azure.com).

Si el correo electrónico es personal (@gmail.com, free.es, etc.), el usuario tendrá que convertir su dirección de correo electrónico...

Azure RBAC

Azure tiene varios roles incorporados entre los que puede elegir los niveles de acceso. Puede asignar estos roles a diferentes niveles: suscripción, grupo de recursos, recursos, etc. De forma predefinida, la persona que crea una suscripción a Azure puede dar a otros usuarios acceso administrativo a ella.

Es necesario conocer los tres roles más utilizados (propietario, colaborador y lector) para asignar el acceso a los recursos de Azure.

La lista de los roles integrados (built-in) está disponible en: https://docs.microsoft.com/es-es/azure/role-based-access-control/built-in-roles#owner

Para añadir al usuario previamente invitado como propietario de un grupo de recursos, siga estos pasos:

Tenant

Para explicar de forma sencilla qué es un inquilino (tenant), resumiremos los diferentes componentes relacionados con Azure. El control de acceso en Azure se considera en primer lugar desde la perspectiva de la facturación y los límites. El propietario actual de una suscripción es el administrador de la cuenta, y uno de sus derechos es la gestión de la facturación. Una suscripción permite tanto limitar la facturación como garantizar un límite de seguridad, ya que el administrador solo puede trabajar en una suscripción a la vez. Cada suscripción tiene una relación privilegiada con una instancia de Azure AD. Esto significa concretamente que la suscripción se basa en un directorio que autentica usuarios y servicios. Se pueden vincular varias suscripciones al mismo directorio de Azure AD, pero cada suscripción solo puede estar vinculada a un directorio.

En Azure AD, un cliente es un inquilino de su suscripción a Azure y representa a una empresa en su conjunto. Cuando una empresa se suscribe a una oferta de la nube de Microsoft, ya sea Office 365, Dynamics o Azure, se le asigna una instancia dedicada. Este inquilino almacena los objetos del sistema de información de la empresa, como grupos, usuarios y aplicaciones. Es independiente de los demás inquilinos de otras empresas.

La empresa también puede publicar su aplicación...

Ediciones

Azure Active Directory está disponible en cuatro ediciones, cada una de las cuales proporciona un conjunto de características para una organización en función de su tamaño y necesidades:

Las tres ediciones siguientes solo están disponibles si la empresa tiene un contrato Enterprise o si es miembro del programa de licencias por volumen Open o Cloud Solution Provider:

Azure AD Connect

Azure AD Connect es un software gratuito proporcionado como descarga por Microsoft para permitir al administrador sincronizar objetos de su Active Directory local en Azure AD. Se instala en su dominio de Active Directory local, lo más cerca posible de un controlador de dominio, pero no en él. Con este programa, la autenticación en el portal de Azure o el uso de scripts (Azure PowerShell, Azure CLI) es posible con el nombre de usuario y la contraseña del dominio de Active Directory del empleado (cuenta profesional). El acceso a los servicios IaaS (por ejemplo, una máquina virtual de Windows Server 2019) o a un servicio PaaS (gestión de un blob en una cuenta de almacenamiento) también es posible a través de este tipo de cuenta.

Azure AD Connect incluye tres componentes:

Azure AD Connect requiere el acceso a varios sitios, tales como mscrl.microsoft.com, *.verisign.com y *.entrust.com a través del puerto HTTP/80. La herramienta también utiliza el puerto HTTPS/443 para el tráfico saliente hacia *.windows.net, secure.aadcdn.microsoftonline-p.com y *.microsoftonline.com.

¿Cuáles son las diferencias entre instalar un controlador de dominio en Azure o en las instalaciones? Hay tres:

Azure MFA

La autenticación es el paso que permite verificar la identidad de una entidad (persona, ordenador, etc.) para darle acceso a los recursos locales (archivos, aplicaciones, etc.) o a los recursos en la nube (Apps).

Tradicionalmente, un administrador se autentica en un recurso utilizando un nombre de usuario y su contraseña. Azure Multi-Factor Authentication (MFA) propone añadir una verificación adicional a través de un smartphone o un medio biométrico para validar el acceso a un recurso en la nube.

La fase de verificación implica un protocolo de autenticación. La autenticación simple se basa en un único elemento (por ejemplo, la contraseña) para autenticar a una persona.

La autenticación fuerte, por otro lado, se basa en al menos dos de estos factores: 

El servicio MFA admite tres tipos de verificación:

Puede utilizar la configuración de seguridad predefinida para habilitar la autenticación multifactor para todos...

Puntos clave para recordar

Hemos resumido los principales temas de este capítulo y los hemos ordenado alfabéticamente. De este modo, el lector puede utilizar este recordatorio como lista de control.

Azure Active Directory

Azure AD Connect

MFA

Tenant