質問: azure activedirectoryを使用してvmベースのwebサーバーへのアクセスを保護する 特注のwebベースのサービスをazureに導入しようとしています。これは3つのlinuxvmで実行され、そのうちの1つは(ポート443で)外向きである必要があり、他は別のサブネット上にあり、外向きのサーバーにのみアクセス可能である必要があります。このビットは簡単で、正常に機能します。私の問題は、独自の認証がないことです。そのため、azureサービス(できればmfaを使用)を使用して外部ユーザーにこれを提供したいと思います。これは私が混乱しているところです。これを行うために、azure active directoryb2cテナントをセットアップしました。次に、条件付きアクセスを提供するためにこれにアプリケーションを登録し、次にwebサーバーにリンクするためにazureアプリケーションプロキシを登録する必要があると考えました。ただし、すべてのドキュメントは、オンプレミスサービスにリンクするアプリケーションプロキシについて説明しているようであり、私のようなクラウドにすでに存在するサービスについては説明していないので、他のものを使用する必要がありますか?間違ったツリーを吠えているので、別のサービスセットを使用する必要があるのでしょうか、それともazureでは実行できないのでしょうか。誰かがいくつかのガイダンスを提供することができれば、私は非常に感謝するでしょう。
回答: これを実現する方法はたくさんありますが、私がよく知っているいくつかの選択肢について簡単に説明します。この全体を通して、azure activedirectoryをaadと呼びます。aadとはaadとは何か、そうでないものについて簡単に説明しましょう。 aadはactive directoryではありません。彼らに共通しているのは名前だけです。 aadはldapではなく、radiusをサポートしておらず、activedirectoryエンドポイントを必要とするものに対してactivedirectoryエンドポイントとして機能することはできません。aadはrest apiベースの認証サービスです。oauth 2をサポートしており、samlもサポートしていると思います。構成するものはすべてこれらのエンドポイントを使用する必要があります。認証。少し皮肉なことに、azureのネイティブサービスの多くは、認証エンドポイントとしてaadをサポートしていません。実行可能なオプションazure application gatewayこれは基本的に、azureでホストされているサービス用のazureアプリケーションプロキシです。設定するのが最も簡単な解決策かもしれません。前回使用してからしばらく経ちますが、aad認証に対応しているはずです。 application gatewayをセットアップおよび構成する方法については、azureが提供するドキュメントがたくさんあります。 azure application gatewayのドキュメント サードパーティの認証プロキシデプロイメントの前でapacheやnginxなどを使用している場合は、 skipper のようなサードパーティの認証プロキシを使用してwebサイトへのアクセスをゲートできます。スキッパーサービスをデプロイし、顧客のaad oauthエンドポイントに接続するように構成する必要があります。実行不可能なオプションazureアプリケーションプロキシ質問で述べたように、これはazureでホストされているアプリケーションでの使用を目的としたものではありません。サードパーティのvpnゲートウェイoauthまたはバックエンドメカニズムとしてsamlをサポートするvpnサーバーを認識していません。openvpnはそれをサポートしていないと思います。これは最も一般的に使用されているvpnサーバーです。可能性があります。ただし、オプションが存在する可能性があります。azurevpnゲートウェイaddで認証する場合、azure vpn gatewayはtlsまたはradiusのいずれかによる認証のみを許可し、どちらもaadと互換性がないため、これは実際にはオプションではありません。結果として、これは実行可能なオプションではありません。