Contamos con un entorno de Active Directory local al que solo se accede desde nuestra red corporativa. Queremos ampliar este entorno a una suscripción de Azure a través de ExpressRoute. Teníamos la intención de tener servicios IaaS y PaaS en la suscripción, pero solo se accederá a estos servicios desde la red corporativa (a través de ExpressRoute)... sin acceso externo/a Internet. Estamos considerando sincronizar nuestro Active Directory local con Azure AD mediante AD Connect e instalar DC y máquinas virtuales ADFS en una VNet en la suscripción. ADFS se utilizaría para una autenticación perfecta cuando accedemos a aplicaciones basadas en PaaS desarrolladas para la nube.
Mi pregunta es, en este escenario... ¿necesitamos crear una DMZ (en la nube) e implementar servidores WAP? Creemos que no necesitamos esto ya que no habrá ningún acceso externo a nuestra red corporativa.
Respuesta1
Esta pregunta aborda muchos aspectos diferentes de Azure que necesitarían una exploración más profunda antes de poder brindar un consejo definitivo.
Sin embargo, si no tiene ADFS implementado hoy y lo está considerando exclusivamente para servicios de autenticación SSO basados en PaaS, entonces mi consejo general es no implementarlo en absoluto.
En su lugar, como sugiere, configuraría Azure AD Connect, algo que probablemente hará de todos modos, y luego confiaría en Azure AD como proveedor de identidad. Tiene una amplia gama de funciones de integración y seguridad y es mucho más sencillo de administrar que ADFS. Y aún puede extender AD tradicional a Azure para servicios IaaS.
Más detalles se pueden encontrar aquí :¿Qué es el acceso a aplicaciones y el inicio de sesión único con Azure Active Directory?
Si le preocupa que las contraseñas se almacenen en Azure, ya no es necesario utilizar ADFS; en su lugar, consulte Autenticación Pass Through, más detalles aquí:Inicio de sesión de usuario con autenticación PassThrough de Azure Active Directory
Por supuesto, si existe un requisito firme para implementar ADFS, entonces puede implementarlo en Azure, con los mismos principios que tendría en una implementación local, incluido el uso de un modelo 'dmz' mediante el uso de subredes separadas y grupos de seguridad de red: como si lo estuviera utilizando para servicios PaaS o incluso SaaS, es posible que eventualmente necesite algún acceso externo, es mejor crearlo para esa eventualidad, incluso si está bloqueado inicialmente, que tener que volver a diseñarlo más adelante. Puede encontrar un enlace a la guía de Microsoft sobre la implementación de ADFS en Azure aquí:Implementación de servicios de federación de Active Directory en Azure
Pero nuevamente, mi consejo sería explorar más a fondo primero las capacidades de Azure AD, ya que está diseñado para el caso de uso que usted describe.