越来越多的企业正借助Microsoft Office 365将生产力应用迁移到云端。根据近期发布的Gartner报告，78%的受访企业正在使用或计划使用Office 365。此外，企业还在部署新的云应用，同时将自行开发的旧版应用迁移到云端。企业既要灵活、快速地迁移到云端，又要确保这些生产力应用的安全，这让许多CIO和CISO夜不能寐。
云安全公司SkyHigh Networks发布的一份报告进一步凸显了这一困境：平均而言，各组织每月需要应对2.7起针对Office 365的威胁，其中1.3起源于账户遭入侵。尽管这些数字看起来并不高，但同一份报告显示，云端存储的敏感数据中，超过58%存储在Office文档中。
组织希望用户能够快速、便捷、安全地访问Office 365。然而，从基于本地数据中心的应用迁移到Office 365等云应用和SaaS应用，可能会给现有资源带来压力，并可能导致用户遇到难以预测的性能问题。对于使用Office 365和SaaS应用的组织而言，最棘手的挑战之一是为用户提供适当级别和强度的身份管理与访问控制。
身份联合和单点登录（SSO）与多重身份验证（MFA）共同构成抵御未经授权或恶意访问Office 365的第一道防线，尤其是在组织使用Microsoft Azure Active Directory存储用户凭据的情况下。事实上，Office 365中的某些功能（如条件访问）需要身份联合和SSO。
正如我在之前的博客中所述，保护Office 365访问安全的常用方法是联合身份认证。采用联合身份认证时，由本地身份提供商验证用户凭据，无需将密码哈希同步到Azure Active Directory。联合身份认证广受欢迎的原因之一是，组织的用户凭据保留在本地，并由组织自行管理。联合身份认证有助于降低凭据丢失或被盗的威胁，并简化与现有或新MFA方法的集成。许多组织希望由本地SAML身份提供商（IdP）或Microsoft Active Directory Federation Services（ADFS）验证用户密码。
虽然Microsoft将ADFS作为Windows Server 2012的一部分提供，但也支持第三方身份联合和单点登录（SSO）产品。与ADFS一样，许多第三方方案也能实现SSO，将身份联合扩展到更多应用，简化用户管理和离职账号处理，并集中管理身份联合；有些方案在这些方面比ADFS更为完善。
与任何IT解决方案一样，组织在决定为Office 365实施身份和访问解决方案之前，应权衡利弊。以下问题清单可供IT团队在考虑为Office 365部署新的身份和访问解决方案时参考：
- 是否需要在网络中部署额外的基础设施？
- 如果需要，购买、部署、维护和管理这些基础设施需要多少成本？
- 是否需要使用应用交付控制器进行负载均衡，以确保快速访问和正常运行时间？
- 身份和访问解决方案的总拥有成本（TCO）是多少？
- 该解决方案能否轻松扩展，以满足组织未来的需求？
- 扩展是否意味着还要增加更多基础设施？
- 云应用管理能否实现自动化，还是需要管理员为每个云应用手动创建或更改规则？手动流程成本高昂且耗时。
- 身份和访问解决方案能否与现有安全方法配合使用，例如由主流企业移动管理（EMM）解决方案在移动设备上执行的现有设备安全状况检查，或与现有多重身份验证（MFA）产品配合使用？
组织需要一款适用于Office 365的身份和访问解决方案，既能充分利用现有的访问和安全工具，又无需更换供应商或改变流程。该解决方案不应加剧已普遍存在的基础设施蔓延问题，同时还应具备可扩展性，以满足组织发展带来的需求。
在下一篇博客中，我们将探讨如何解决Office 365的身份与访问安全难题，以及相关解决方案可应对的多种使用场景。
关于作者
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。