Construindo Federação de Identidade com SAML no Azure AD

Visão Geral

A federação de identidade permite que usuários autenticados por um provedor de identidade acessem recursos gerenciados por outro, sem a necessidade de manter credenciais separadas. Esta habilidade abrange o estabelecimento da federação SAML 2.0 entre o Active Directory local de uma organização (via AD FS ou IdP de terceiros) e o Microsoft Entra ID (anteriormente Azure AD), bem como a configuração de SSO federado para aplicativos SaaS de terceiros. A federação elimina preocupações com sincronização de senhas e mantém a autoridade de autenticação no local, ao mesmo tempo que estende o SSO para recursos na nuvem.

Quando Usar

• Ao implantar ou configurar recursos de construção de federação de identidade com SAML no Azure AD em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Domínio do Active Directory local
• AD FS 2019+ ou IdP SAML de terceiros (Okta, Ping, etc.)
• Tenant do Microsoft Entra ID (licença P1 ou P2 recomendada)
• Azure AD Connect (se estiver usando identidade híbrida com sincronização de hash de senha como backup)
• Certificado TLS público para o endpoint de federação
• Registros DNS para o nome do serviço de federação

Conceitos Principais

Modelos de Federação

Arquitetura de Federação SAML

User → Cloud App (SP)
   │
   └── Redirect to Azure AD
          │
          ├── Azure AD checks federated domain
          │
          └── Redirect to on-premises AD FS
                 │
                 ├── AD FS authenticates against Active Directory
                 │
                 ├── AD FS issues SAML token
                 │
                 └── Token posted back to Azure AD
                        │
                        ├── Azure AD validates federation trust
                        │
                        ├── Azure AD issues its own token
                        │
                        └── User receives access token for cloud app

Componentes de Confiança de Federação

Fluxo de Trabalho

Etapa 1: Preparar a Infraestrutura do AD FS

# Install AD FS role
Install-WindowsFeature ADFS-Federation -IncludeManagementTools

# Configure AD FS farm
Install-AdfsFarm `
    -CertificateThumbprint $certThumbprint `
    -FederationServiceDisplayName "Corp Federation Service" `
    -FederationServiceName "fs.corp.example.com" `
    -ServiceAccountCredential $gmsaCredential

# Verify AD FS is operational
Get-AdfsProperties | Select-Object HostName, Identifier, FederationPassiveAddress

Etapa 2: Configurar o Domínio Federado do Azure AD

# Install Microsoft Graph PowerShell module
Install-Module Microsoft.Graph -Scope CurrentUser

# Connect to Microsoft Graph
Connect-MgGraph -Scopes "Domain.ReadWrite.All"

# Convert managed domain to federated
# Using AD FS federation metadata URL
$domainId = "corp.example.com"
$federationConfig = @{
    issuerUri = "http://fs.corp.example.com/adfs/services/trust"
    metadataExchangeUri = "https://fs.corp.example.com/adfs/services/trust/mex"
    passiveSignInUri = "https://fs.corp.example.com/adfs/ls/"
    signOutUri = "https://fs.corp.example.com/adfs/ls/?wa=wsignout1.0"
    signingCertificate = $base64Cert
    preferredAuthenticationProtocol = "saml"
}

# Apply federation settings to domain
New-MgDomainFederationConfiguration -DomainId $domainId -BodyParameter $federationConfig

Etapa 3: Configurar Regras de Claims do AD FS

# Adicionar Confiança da Parte Confiável para o Azure AD
Add-AdfsRelyingPartyTrust `
    -Name "Microsoft Office 365 Identity Platform" `

…