
考虑多个解决方案拼凑在一起给 CIO 带来的复杂性,我们正在扩大与 Microsoft 的合作,以打造最好的 Zero Trust 解决方案之一。今天,我们推出 Microsoft Azure Active Directory (Azure AD) 和 Cloudflare Zero Trust 之间的四项新集成,旨在主动降低风险。这些集成提高了自动化程度,使安全团队能够专注于威胁,无需顾及实施和维护。
Zero Trust 是什么?为什么重要?
Zero Trust 是一个被业界过度使用的术语,造成了不少困惑。因此,请让我们细细分说。Zero Trust 架构强调“永不信任,始终验证”的方法。打一个比方,在传统的安全边界或“城堡+护城河”模型中,只需通过正门(例如,通常是 VPN),您就可以自由进入建筑物内的所有房间(例如,应用程序)。在 Zero Trust 模型中,您需要分别获得对每个上锁房间(应用)的权限,而非仅仅通过正门即可。Zero Trust 模型中的一些关键组成部分有:身份,例如 Azure AD(谁);应用,例如一个 SAP 实例,或 Azure 上的自定义应用(应用程序);策略,例如Cloudflare Access rules (谁可访问什么应用程序);设备,例如由 Microsoft Intune 管理的一台笔记本电脑( (请求访问的端点的安全性) ;以及其他上下文信号。
Zero Trust 在今天愈发重要,因为大大小小的公司都面临着数字化转型加速,以及员工队伍日益分散的情况。淘汰城堡+护城河模型,并将整个互联网作为企业网络,要求对访问每个资源的每个用户进行安全检查。因此,所有的公司,尤其是那些越来越多地使用 Microsoft 广泛云产品组合者,都在采用 Zero Trust 架构,将其作为云之旅的重要组成部分。
Cloudflare 的 Zero Trust 平台为内部和 SaaS 应用程序提供了一种现代化的身份验证方法。大多数公司可能都拥有各种企业应用程序——一些是 SaaS,一些托管在本地部或 Azure 上。Cloudflare 的 Zero Trust 网络访问(ZTNA)产品是我们 Zero Trust 平台的一部分,使这些应用程序感觉像 SaaS 应用程序,允许员工通过简单和一致的流程进行访问。Cloudflare Access 充当一个统一的反向代理,通过确保每个请求都经过身份验证、授权和加密来实施访问控制。
Cloudflare Zero Trust 与 Microsoft Azure Active Directory
我们有成千上万的客户使用 Microsoft Azure Active Directory 和 Cloudflare Access 作为他们 Zero Trust 架构的一部分。我们去年宣布的Microsoft 的集成可在不影响我们共同客户性能的前提下加强安全。Cloudflare 的 Zero Trust 平台与 Azure AD 集成,为组织的混合办公人员提供无缝的应用程序访问体验。

回顾一下,我们推出的集成解决了两个关键问题:
- 对于本地传统应用程序,Cloudflare 作为 Azure AD 安全混合访问合作伙伴的参与,使客户能够使用 SSO 身份验证集中管理对其本地传统应用程序的访问,而无需额外开发。共同客户现可轻松使用 Cloudflare Access 作为其传统应用程序前的高性能额外安全层。
- 对于运行于 Microsoft Azure 平台上的应用,共同客户可将 Microsoft Azure AD 与 Cloudflare Zero Trust 集成,构建基于用户身份、组成员资格和 Azure AD 条件策略的规则。通过 Cloudflare 的应用连接器——Cloudflare Tunnel,用户仅需单击几下鼠标,就能使用其 Azure AD 凭据验证身份并连接到 Cloudflare Access 。Cloudflare Tunnel 可暴露在 Microsoft Azure 平台上运行的应用。查看有关安装和配置 Cloudflare Tunnel 的指南。
鉴于 Cloudflare 在 Zero Trust 和安全解决方案方面的创新方法, Microsoft 将 2022年 Microsoft 安全卓越奖中的 安全软件创新者奖项颁给我们,这是一个享有盛誉的奖项类别。
但是我们并没有停止创新。我们听取了客户的反馈,为了解决他们的痛点,我们正在宣布几项全新的集成。
今天推出的 Microsoft 集成
今天宣布的四项全新集成是——
1. 针对每个应用程序的条件访问:Azure AD 客户可在 Cloudflare Zero Trust 中使用其现有的条件访问策略。

Azure AD 允许管理员就应用程序和用户创建和执行使用条件访问的策略。它提供了广泛参数,可用于控制用户对应用程序的访问(例如,用户风险等级、登录风险等级、设备平台、位置、客户端应用等)。Cloudflare Access 现在支持每个应用程序的 Azure AD 条件访问策略。这允许安全团队在 Azure AD 或 Cloudflare Access 中定义安全条件,并在两个产品中执行,而无需更改一行代码。
例如,客户可能对内部工资单应用程序有更严格的控制级别,因此在 Azure AD 上有特定的条件访问策略。但是,对于一般的信息类应用程序(例如内部 wiki),客户可能会通过 Azure AD 条件访问策略执行不那么严格的规则。在这种情况下,两个应用程序组和相关 Azure AD 条件访问策略都可以直接无缝地插入 Cloudflare Zero Trust,而无需任何代码更改。
2. SCIM:在 Cloudflare Zero Trust 和 Azure Active Directory 之间自动同步 Azure AD 组,为 CIO 节省大量时间。

Cloudflare Access 策略可以使用 Azure AD 验证用户的身份并提供有关该用户的信息(例如,姓/名、电子邮件、组成员资格等)。这些用户属性并非总是不变,可以随着时间的推移而改变。当用户仍然保留对某些敏感资源的访问权限时,可能会产生严重的后果。
通常,当用户属性发生变化时,管理员需要检查和更新可能包含相关用户的所有访问策略。这是一个单调乏味的过程,容易导致错误结果。
SCIM (跨域身份管理系统) 规范确保使用它的实体之间的用户身份始终是最新的。我们很高兴地宣布,Azure AD 和 Cloudflare Access 的共同客户将很快能够启用 SCIM 用户和组的配置和取消配置。它将完成如下操作:
-
IdP 策略组选择器现在已经预先填充了 Azure AD 组,并将保持同步。对策略组所做的任何更改都将立即反映在 Access 中,而不会给管理员带来任何开销。
-
当某个用户在 Azure AD 上被取消配置时,该用户在 Cloudflare Access 和 Gateway 上的所有权限都将被撤销。这确保了几乎实时的更改,从而降低了安全风险。
3. 高风险用户隔离:通过将高风险用户(基于 AD 信号)隔离到浏览器隔离会话(使用 Cloudflare 的 RBI 产品),帮助共同客户增加额外的完全保护层。

Azure AD 根据它分析的许多数据点将用户分为低风险、中风险和高风险用户。用户可能会根据其活动从一个风险组转移到另一个风险组。用户被确定存在风险是基于多个因素的,例如雇佣性质(即承包商)、危险登录行为、凭据泄露等。虽然这些用户是高风险用户,但在进一步评估用户的同时,可以通过一种低风险的方式提供对资源/应用的访问。
我们现在支持将 Azure AD 群组与 Cloudflare Browser Isolation 集成。当一个用户在 Azure AD 上被归类为高风险时,我们会使用这个信号,通过我们的 Azure AD 集成自动将其流量隔离开来。这意味着高风险用户可以通过安全和隔离的浏览器访问资源。如果用户从高风险用户转变为到低风险用户,则不再受到适用于高风险用户的隔离策略影响。
4. 保护共同政府云客户:通过 Azure AD 的集中式身份和访问管理,帮助政府云 (“GCC”) 客户实现更高的安全性,并通过将他们连接到 Cloudflare 全球网络来增加额外的安全层,而不必向整个互联网开放。
通过安全混合访问 (SHA) 计划,政府云 (‘GCC’) 客户很快就能将 Microsoft Azure AD 与 Cloudflare Zero Trust 集成,构建基于用户身份、组成员资格和 Azure AD 条件策略的规则。通过 Cloudflare Tunnel,用户仅需单击几下鼠标,就能使用其 Azure AD 凭据验证身份并连接到 Cloudflare Access。Cloudflare Tunnel 可暴露在 Microsoft Azure 上运行的应用程序。
“数字化转型创造了一种新的安全范式,导致组织加速采用 Zero Trust。Cloudflare Zero Trust 和 Azure Active Directory 联合解决方案简化了员工 Zero Trust 部署,使我们能够专注于核心业务,促进了 Swiss Re 的增长。该联合解决方案使我们能够超越 SSO,为我们的自适应员工提供从任何地方对应用程序的无摩擦、安全访问。该联合解决方案还为我们提供了一个全面的 Zero Trust 解决方案,包括人员、设备和网络。”
– Botond Szakács,主管,Swiss Re
“随着企业继续采用云优先战略,云原生的 Zero Trust 安全模型已经成为绝对的必需品。Cloudflare 和 Microsoft 联合开发了强大的产品集成,以帮助 CIO 团队主动预防攻击,动态控制策略和风险,并增加自动化,与 Zero Trust 最佳实践保持一致。”
– Joy Chik,总裁,身份与网络访问,Microsoft
马上试试吧
有兴趣进一步了解我们的 Zero Trust 产品如何与 Azure Active Directory 集成吗?欢迎查看这个可帮助您开始 Zero Trust 之旅的广泛参考架构,然后按需阅读以上具体用例。此外,欢迎关注我们与 Microsoft 举行网络研讨会,其中介绍了我们的联合 Zero Trust 解决方案,以及如何开始。
下一步是什么
我们才刚刚开始。我们希望继续创新,让 Cloudflare Zero Trust 和 Microsoft 安全联合解决方案解决您的问题。随着您继续使用这个联合解决方案,欢迎 告诉我们您希望增加什么新功能。