Introduction

在系統開發的初期，我們常常會為了求快，自己刻一套會員註冊、登入系統。但隨著產品線增加、微服務架構的導入，如果每個服務都自己實作一套登入機制，不僅會陷入「重複造輪子」的泥淖，更會帶來嚴重的資安隱患。

Discussion

某科技廠內部有一套行之多年的地端 AD，員工每天早上登入辦公室電腦都靠它。但這幾年陸續引進了許多新系統，這些新系統不吃傳統 AD 的 Kerberos 協議，結果就是每個系統都自帶一套帳號密碼資料庫。

在面對 ISO 27001 稽核時，稽核員發現有員工離職了一個月，雖然 AD 帳號停用了，但外部打卡系統的權限卻「漏砍」了

Takeaways

使用者組態配置 (User Provisioning)

服務帳戶 (Service Accounts)

重新核准 (Reapproval process)

為什麼需要覆核

Further Reading

Microsoft 聯邦身份識別模式
https://learn.microsoft.com/zh-tw/azure/architecture/patterns/federated-identity

Microsoft Entra ID 將認證委派給集中式 IDP

1. 使用者會存取網頁應用程式。
2. 網頁應用程式會將使用者重新導向至 Microsoft Entra ID 進行驗證。
3. 成功認證後，Microsoft Entra ID 會將使用者重新導向至帶有授權碼的網頁應用程式。
4. 網頁應用程式會以授權碼換取權杖，並將 POST 要求傳送至權杖端點。
5. Microsoft Entra ID 會發出一個包含使用者權利主張的令牌。
6. 網頁應用程式利用此權杖呼叫後端 API。
7. 網頁應用程式和後端 API 會根據聲明驗證令牌並執行授權規則。
8. API 會將回應回傳給網頁應用程式。