V predchádzajúcom článku som písal o tom, že hybrid cloud je predovšetkým model riadenia, ktorý stojí na identite, governance, bezpečnosti, monitoringu a DR. Ak by som mal vybrať jeden prvok, od ktorého závisia ostatné, bola by to identita. Keď nemáte prehľad o tom, kto sa kam prihlasuje, dobre navrhnutá sieť ani drahý bezpečnostný nástroj vás nezachránia. V tomto diele sa pozrieme na to, prečo to tak je a ako identity nastaviť bezpečne, no zároveň tak, aby sa s nimi dalo normálne pracovať.
Už vieme, čo je hybrid cloud a prečo je dnes kľúčový. Ak má hybridné prostredie fungovať bezpečne a bez zbytočných komplikácií, prvým krokom je identita. V ekosystéme Microsoft je jej centrom Entra ID (predtým Azure AD). Spolu s lokálnym Active Directory vytvára spoločnú vrstvu, v ktorej má používateľ, zariadenie aj aplikácia svoju overiteľnú identitu bez ohľadu na to, či pracuje on-prem alebo v cloude.
Kedysi bola bezpečnosť postavená na jasnej hranici: firemná sieť bola „vnútri“ a všetko ostatné „vonku“. Dnes ľudia pracujú z domu, z mobilu či z pobočky a veľká časť aplikácií beží mimo vašej infraštruktúry. Z pôvodného perimetra toho veľa nezostalo.
Dôležitejšie než to, odkiaľ sa používateľ pripája, je preto to, kto sa pripája. Odtiaľ pochádza známe tvrdenie, že identita je nový bezpečnostný perimeter. Zneužité prihlasovacie údaje patria dlhodobo medzi najčastejšie spôsoby, ako sa útočník dostane do firmy, typicky cez phishing alebo slabé či opakovane používané heslá. Pribúdajú aj útoky, pri ktorých útočník heslo vôbec nepotrebuje. Ukradne platnú reláciu až po prihlásení, a tým obíde aj druhý faktor. Overiť používateľa raz pri vstupe teda nestačí, dôveru treba vyhodnocovať priebežne.
Z toho vyplýva aj poradie krokov: najprv zabezpečte identitu, potom zvyšok prostredia. Kto začne opačne a stavia bezpečnosť okolo roztrúsených a nekonzistentných účtov, robí veľa vecí dvakrát a diery mu aj tak zostanú.
Najprv si ujasnime jednu vec, ktorá býva častým zdrojom zmätku. Active Directory a Entra ID nie sú to isté a jedno zatiaľ nenahrádza druhé. V hybridnom prostredí fungujú vedľa seba a dopĺňajú sa.
Active Directory je overený nástroj on-prem sveta. Rieši prihlasovanie do domény, správu zariadení cez Group Policy, súborové servery, tlačiarne a staršie aplikácie, ktoré sú viazané na protokoly ako Kerberos či NTLM. Pre veľa firemných workloadov je stále nevyhnutný.
Entra ID je identita v cloude. Stará sa o prístup k Microsoft 365, Azure a tisíckam SaaS aplikácií cez webové protokoly ako SAML, OAuth 2.0 či OpenID Connect. Prináša aj funkcie, ktoré v on-prem AD nenájdete: Conditional Access, ochranu identity na základe rizika a SSO naprieč cloudovými službami.
Hybrid identita oba svety prepája. Používateľov a skupiny z lokálneho AD synchronizujete do Entra ID nástrojom Entra Connect, prípadne jeho odľahčenou verziou Entra Cloud Sync, ktorú Microsoft odporúča všade, kde pokrýva potrebné scenáre. Používateľ má potom jeden účet s rovnakými prihlasovacími údajmi pre on-prem aj cloud a IT nemusí spravovať dve oddelené identity. Ak chcete, aby sa používateľ naozaj prihlásil len raz, treba ešte zaradiť zariadenia do Entra ID (hybrid join) alebo zapnúť Seamless SSO.
Pri prepojení treba rozhodnúť, ako sa budú overovať heslá. Možnosti sú tri. Pri Password Hash Synchronization (PHS) sa do cloudu nesynchronizujú samotné heslá, ale ich zahashovaná podoba, takže prihlásenie overuje priamo Entra ID. Je to najjednoduchšia možnosť na prevádzku a prihlásenie do cloudu funguje aj vtedy, keď je on-prem prostredie mimo prevádzky. Pri Pass-through Authentication (PTA) sa do cloudu neposiela ani hash hesla. Heslo pri každom prihlásení overí lokálny agent priamo voči on-prem AD. Volia ju firmy, ktoré z bezpečnostných alebo regulačných dôvodov nechcú mať v cloude žiadnu podobu hesiel.
Cenou je, že prihlásenie do cloudu potom závisí od dostupnosti lokálnych serverov a ich spojenia s cloudom. Federácia cez AD FS je najzložitejšia a Microsoft ju dnes odporúča len tam, kde na ňu existuje konkrétny dôvod. Pre väčšinu firiem je rozumnou predvoľbou PHS. Rozhodnutie by však malo vychádzať z vášho prostredia a z toho, čo dokážete dlhodobo prevádzkovať.
V praxi má Entra ID v hybridnom prostredí niekoľko úloh. Spolu tvoria jednu vrstvu identity, ktorá platí pre on-prem aj cloud.
Cieľom je, aby mal každý používateľ jednu identitu. Po prepojení Active Directory s Entra ID sa účty synchronizujú do cloudu a používateľ nepotrebuje zvlášť prihlasovacie údaje pre on-prem a zvlášť pre cloud. IT má menej práce so správou, používatelia menej hesiel na zapamätanie a nikto nerieši, ktorý z dvoch účtov je ten správny.
Tu prichádza na rad Conditional Access, teda pravidlá, ktoré určujú, za akých podmienok sa identita dostane k aplikácii alebo dátam. V cloudovom svete preberá veľkú časť úlohy, ktorú kedysi plnil sieťový perimeter. Pri prihlásení posúdi okrem hesla aj kontext: kto sa prihlasuje, odkiaľ, z akého zariadenia, či je zariadenie spravované a ako rizikovo prihlásenie vyzerá. Podľa toho prístup povolí, vyžiada ďalšie overenie alebo ho zablokuje. Bežný používateľ v kancelárii si politiky takmer nevšimne, podozrivé prihlásenie z neznámeho zariadenia však narazí. Conditional Access pritom chráni prístupy cez Entra ID. Lokálne zdroje, ktoré sa overujú cez Kerberos alebo NTLM, potrebujú vlastnú ochranu.
Jeden detail sa v praxi často podceňuje. Staré autentifikačné protokoly (legacy auth) druhý faktor nepodporujú, takže politiky vyžadujúce MFA cez ne neplatia. Microsoft ich v Exchange Online už z veľkej časti vypol, no v mnohých prostrediach ešte niekde prežívajú. Zablokovať ich je lacné a efekt je veľký.
Viacfaktorové overenie (MFA) patrí k najúčinnejším a zároveň najlacnejším opatreniam proti zneužitiu účtu. Heslo, aj keď je silné, je jediný bod zlyhania. Druhý faktor v podobe aplikácie, hardvérového kľúča alebo biometrie výrazne znižuje šancu, že útočník s ukradnutým heslom niečo dosiahne. Rozdiely medzi metódami sú však veľké. SMS kódy sa dajú obísť a ani bežné potvrdenie v aplikácii neodolá dobre pripravenému phishingu. Metódy odolné voči phishingu, napríklad FIDO2 kľúče, passkeys alebo Windows Hello for Business, si s ním poradia. V hybridnom prostredí by MFA malo byť štandardom pre všetkých používateľov, nielen pre administrátorov.
Najväčšie riziko predstavujú účty s vysokými oprávneniami a útočníci po nich siahajú ako prvé. Preto sa uplatňuje princíp najmenších oprávnení (least privilege) a nástroj Privileged Identity Management (PIM). Používateľ v ňom nemá administrátorské práva natrvalo. Požiada o ne na konkrétnu úlohu, prípadne prejde schválením, a po určenom čase ich automaticky stratí. Všetko sa pritom zaznamená do auditnej stopy. Ak útočník takýto účet ovládne, zvyčajne v ňom nenájde žiadne aktívne vysoké oprávnenia. V hybride platí ešte jedno pravidlo: administrátorské účty pre Entra ID by mali byť čisto cloudové a nemali by sa synchronizovať z lokálneho AD. Kompromitácia on-prem domény sa tak automaticky neprenesie aj do cloudu.
S riadením prístupov úzko súvisí ich životný cyklus od nástupu po odchod. Nový zamestnanec by mal automaticky dostať prístupy podľa svojej role. Pri zmene pozície majú staré oprávnenia zaniknúť a nové pribudnúť. Pri odchode treba účet zablokovať hneď a zrušiť aj jeho aktívne relácie, a nie čakať tri mesiace, kým si na to niekto spomenie. Aktívne účty ľudí, ktorí vo firme dávno nepracujú, patria medzi najčastejšie nálezy pri kontrolách prístupov.
Identita sa nenastaví zo dňa na deň. Postup sa však dá rozdeliť do troch krokov a prvé výsledky, napríklad plošné MFA, vidno pomerne rýchlo.
Prvým krokom je inventúra a upratanie. Zmapujte existujúce účty, skupiny a oprávnenia, nájdite neaktívne a privilegované účty a ešte pred synchronizáciou vyčistite lokálne Active Directory.
Druhým krokom je nastavenie základov: prepojenie s Entra ID, MFA pre všetkých používateľov, zablokovanie starých autentifikačných protokolov a prvé politiky Conditional Access, zatiaľ v režime report-only.
V treťom kroku prichádza vynucovanie a priebežné riadenie. Politiky zapnete naostro, nastavíte pravidelné kontroly prístupov, sprísnite správu privilegovaných účtov a postupne prejdete na prihlasovanie bez hesla, napríklad cez passkeys alebo FIDO2 kľúče.
Tretím krokom sa práca nekončí. Firma sa mení, ľudia prichádzajú a odchádzajú, pribúdajú zariadenia aj aplikácie a nastavenia identít sa s tým musia meniť tiež. Pri plánovaní počítajte aj s licenciami: Conditional Access vyžaduje Entra ID P1, PIM, rizikové politiky a kontroly prístupov vyžadujú P2 alebo Entra ID Governance.
Správa identít by mala patriť medzi vaše priority, ak platí viac z nasledujúcich bodov:
Ak by som mal tento diel zhrnúť do jednej vety: v hybrid cloude stojí všetko na identite. Bezpečnosť, governance, monitoring aj disaster recovery fungujú dobre až vtedy, keď presne viete, kto je kto, čo smie robiť a za akých podmienok.
V Microsoft ekosystéme máte na to nástroje, ktoré na seba nadväzujú: Entra ID, Conditional Access, MFA a riadenie privilegovaných prístupov. Netreba ich zavádzať naraz. Lepšie je ísť postupne a pri každom kroku vedieť, prečo ho robíte.
Ak už používate Microsoft 365, časť základov, pravdepodobne, máte a stačí na ne nadviazať.
Ak vás táto téma zaujíma, prečítajte si viac na našom Soitron blogu. V prvom článku, ktorý sa týkal témy hybrid cloud, som vysvetlil – čo je vlastne hybrid cloud a prečo sa naň oplatí zamerať. V tomto druhom článku som sa pozrel na identitu. V ďalšej pripravovanej časti sa zameriam na sieť a konektivitu, teda na to, ako bezpečne a spoľahlivo prepojiť on-prem prostredie s cloudom.
We are in the process of finalizing. If you want to be redirected to our old version of web site, please click here.
