F5与Microsoft：简化用户和管理员的应用访问体验

F5生态系统 | 2020年5月13日

如今，许多组织正将日常应用迁移到公有云，并采用云原生应用或软件即服务（SaaS），取代仍部署在本地或单体式数据中心的应用。

随着业务向公有云迁移，许多组织也在将本地身份存储迁移到基于云的身份即服务（IDaaS）解决方案。IDaaS可与云应用和SaaS无缝集成，在不同云应用和平台之间实现身份联合，从而简化用户的应用登录和访问。IDaaS解决方案采用现代身份验证标准和协议，例如安全断言标记语言（SAML），或使用OpenID Connect（OIDC）进行身份验证并使用开放授权（OAuth）进行授权。采用现代身份验证和授权标准，不仅能简化用户操作、加快应用访问，还能让组织的应用开发（AppDev）、安全和IT团队获得同样的益处。

复杂之处

许多组织希望将所有应用迁移到公有云或SaaS，但发现这并不可行。原因在于，许多应用承载敏感数据且对业务至关重要，或者是专为组织定制并已运行多年的应用。其中许多应用需要供大部分甚至全体员工访问。这些关键业务应用和定制应用大多部署在本地、数据中心或私有云中。此外，大多数此类应用完全不支持身份联合或现代身份验证标准和协议；即使能够支持，也至少需要在停机时间、人员和成本方面投入大量资源，而大多数组织无力承担。

这意味着组织不得不维护两个身份存储：一个部署在本地，用于支持不兼容现代标准的应用和定制应用；另一个部署在云端，以便支持公有云和SaaS应用。但实际情况更为复杂。组织通常需要为本地、数据中心和私有云中的应用，以及云和SaaS应用分别创建和部署访问策略。组织还可能需要维护彼此独立的应用访问系统，既耗费成本又耗费时间。更重要的是，这会影响用户体验：用户必须通过一种登录体验访问云和SaaS应用，而每次访问新的关键任务应用和定制应用时都必须进行身份验证，甚至可能需要为每个应用分别验证。

如何改善

Microsoft Azure Active Directory是Microsoft全面的云端身份即服务（IDaaS）平台，现已与F5值得信赖的应用访问解决方案BIG-IP Access Policy Manager (APM)集成，以应对上述挑战。通过弥合原生公有云和SaaS应用与本地、数据中心或私有云中的关键任务应用及自定义应用之间的身份和访问差距，这一无缝集成可实现用户身份、身份验证和授权的联合。

Azure AD作为IDaaS，可与BIG-IP APM建立可信连接。Azure AD与BIG-IP APM协同工作，为现代应用和传统应用提供统一的安全性与用户体验，并提供统一的身份控制平面。无论应用托管在本地还是云端，也无论是否支持现代身份验证和授权，用户都可以从任何位置、使用任何设备，通过单点登录（SSO）访问所有应用。这不仅可以改善用户体验并提高员工工作效率，还能让应用开发、安全和IT团队无需进行成本高昂的重新开发或升级，即可支持IDaaS。该集成还可通过多重身份验证（MFA）保护所有应用。对于此前无法支持MFA的应用，该集成可为其引入MFA，从而增强安全性。Azure Active Directory与BIG-IP APM的集成还可利用无密码身份验证、基于用户、设备、位置、时段及其他上下文参数的条件访问策略，以及基于第三方API的用户和实体行为分析（UEBA），进一步增强应用安全性。

后续方向

计划于今年夏季发布的下一版本F5 BIG-IP APM将增强APM的高级引导式配置（AGC），使管理员能够轻松将关键任务应用（例如部分SAP和Oracle应用）接入Azure AD并进行运维管理。端到端运维策略管理已直接集成到APM AGC控制台中，因此管理员无需再在Azure AD与BIG-IP之间来回切换。BIG-IP APM与Azure AD的进一步集成提供了自动化的便捷操作，可帮助此类关键任务应用快速、轻松地支持身份联合、SSO和MFA。BIG-IP APM与Azure AD的无缝集成可减少管理开销，同时改善管理员体验。

F5与Microsoft将继续深化合作，增强BIG-IP APM与Azure Active Directory的集成，为不支持现代身份验证和授权的各类关键任务型SAP、Oracle及其他第三方应用，以及自定义应用，提供快速设置和部署联合身份验证、SSO、条件访问及MFA的支持。

F5和Microsoft的目标是，不仅让用户能够随时随地无缝访问任何应用，从而提升用户体验，还要简化集成式Microsoft Azure Active Directory和F5 BIG-IP APM的设置与部署，从而改善管理员体验并减少对管理支持的需求。