Azure Active Directory (Azure AD) 是 Microsoft 基于云的多租户目录和标识管理服务。 Azure AD 有助于支持用户访问资源和应用程序，例如：
-
位于企业网络上的内部资源和应用。
-
Microsoft 365、Azure 门户和 SaaS 应用程序等外部资源。
-
为组织开发的云应用。
下图显示了 Azure AD 的实现示例。 在此场景中，Windows Server AD 对本地应用使用 Kerberos 和 NTLM 身份验证。
有关 Azure AD 功能的注意事项
| Azure AD 功能 | 说明 |
|---|---|
| 单一登录 (SSO) 访问 | Azure AD 为云上的 Web 应用和本地应用提供安全的单一登录 (SSO)。 用户可以使用一组相同的凭据登录，以便访问其所有应用。 |
| 无处不在的设备支持 | Azure AD 适用于 iOS、macOS、Android 和 Windows 设备，并提供跨设备的常见体验。 用户可以使用其现有工作凭据从基于 Web 的个性化访问面板、移动应用、Microsoft 365 或自定义公司门户启动应用。 |
| 安全远程访问 | Azure AD 为本地 Web 应用启用安全的远程访问。 安全访问可能包括多重身份验证 (MFA)、条件访问策略和基于组的访问管理。 用户可以从任何位置访问本地 Web 应用，包括从同一个门户中访问。 |
| 云扩展性 | Azure AD 可以扩展到云，帮助在各环境之间管理一组一致的用户、组、密码和设备。 |
| 敏感数据保护 | Azure AD 提供独特的标识保护功能来保护敏感数据和应用。 管理员可在目录的用户和资源综合视图中监视可疑登录活动和潜在漏洞。 |
| 自助支持 | 使用 Azure AD，可以将任务委托给公司员工，否则这些任务可能由具有更高访问特权的管理员完成。 通过验证步骤提供自助式应用访问和密码管理可以减少帮助台呼叫并增强安全性。 |
使用 Azure AD 功能时的注意事项
Azure AD 提供许多功能和优势。 考虑哪些功能可用于以最佳方式支持公司场景。
- 请考虑启用单一登录访问。 为用户启用 SSO 访问以连接到云或使用本地应用。 Azure AD SSO 支持 Microsoft 365 和数千个 SaaS 应用，例如 Salesforce、Workday、DocuSign、ServiceNow 和 Box。
- 考虑 UX 和设备支持。 打造适用于所有设备和目录访问点的一致用户体验。 可以为员工设计自定义公司门户和基于 Web 的个性化访问，让他们能够连接现有工作凭证。
- 考虑安全远程访问的优势。 通过使用 MFA 和访问策略实现安全远程访问来保护本地 Web 应用。
- 考虑云扩展性的优势。 只需几个步骤，即可将Active Directory 和云中的其他本地目录连接到 Azure AD。 可以让管理员更轻松地在所有受支持的环境之间管理相同的用户、组、密码和设备。
- 考虑对敏感数据的高级保护。 使用 Azure AD 的内置保护功能增强敏感数据和应用的安全性。 管理员可利用高级安全报告、通知、修正建议和基于风险的策略。
- 请考虑降低成本、自助服务选项。 利用 Azure AD 自助服务功能来帮助降低组织的成本。 将某些任务（如重置密码或创建和管理组）委托给非管理员用户。
