考虑多个解决方案拼凑在一起给 CIO 带来的复杂性，我们正在扩大与 Microsoft 的合作，以打造最好的 Zero Trust 解决方案之一。今天，我们推出 Microsoft Azure Active Directory (Azure AD) 和 Cloudflare Zero Trust 之间的四项新集成，旨在主动降低风险。这些集成提高了自动化程度，使安全团队能够专注于威胁，无需顾及实施和维护。
Zero Trust 是什么？为什么重要？
Zero Trust 是一个被业界过度使用的术语，造成了不少困惑。因此，请让我们细细分说。Zero Trust 架构强调“永不信任，始终验证”的方法。打一个比方，在传统的安全边界或“城堡+护城河”模型中，只需通过正门(例如，通常是 VPN)，您就可以自由进入建筑物内的所有房间(例如，应用程序)。在 Zero Trust 模型中，您需要分别获得对每个上锁房间（应用）的权限，而非仅仅通过正门即可。Zero Trust 模型中的一些关键组成部分有：身份，例如 Azure AD（谁）；应用，例如一个 SAP 实例，或 Azure 上的自定义应用（应用程序）；策略，例如Cloudflare Access rules (谁可访问什么应用程序)；设备，例如由 Microsoft Intune 管理的一台笔记本电脑（ (请求访问的端点的安全性) ；以及其他上下文信号。
Zero Trust 在今天愈发重要，因为大大小小的公司都面临着数字化转型加速，以及员工队伍日益分散的情况。淘汰城堡+护城河模型，并将整个互联网作为企业网络，要求对访问每个资源的每个用户进行安全检查。因此，所有的公司，尤其是那些越来越多地使用 Microsoft 广泛云产品组合者，都在采用 Zero Trust 架构，将其作为云之旅的重要组成部分。
Cloudflare 的 Zero Trust 平台为内部和 SaaS 应用程序提供了一种现代化的身份验证方法。大多数公司可能都拥有各种企业应用程序——一些是 SaaS，一些托管在本地部或 Azure 上。Cloudflare 的 Zero Trust 网络访问(ZTNA)产品是我们 Zero Trust 平台的一部分，使这些应用程序感觉像 SaaS 应用程序，允许员工通过简单和一致的流程进行访问。Cloudflare Access 充当一个统一的反向代理，通过确保每个请求都经过身份验证、授权和加密来实施访问控制。
Cloudflare Zero Trust 与 Microsoft Azure Active Directory
我们有成千上万的客户使用 Microsoft Azure Active Directory 和 Cloudflare Access 作为他们 Zero Trust 架构的一部分。我们去年宣布的Microsoft 的集成可在不影响我们共同客户性能的前提下加强安全。Cloudflare 的 Zero Trust 平台与 Azure AD 集成，为组织的混合办公人员提供无缝的应用程序访问体验。
回顾一下，我们推出的集成解决了两个关键问题：
- 对于本地传统应用程序，Cloudflare 作为 Azure AD 安全混合访问合作伙伴的参与，使客户能够使用 SSO 身份验证集中管理对其本地传统应用程序的访问，而无需额外开发。共同客户现可轻松使用 Cloudflare Access 作为其传统应用程序前的高性能额外安全层。
- 对于运行于 Microsoft Azure 平台上的应用，共同客户可将 Microsoft Azure AD 与 Cloudflare Zero Trust 集成，构建基于用户身份、组成员资格和 Azure AD 条件策略的规则。通过 Cloudflare 的应用连接器——Cloudflare Tunnel，用户仅需单击几下鼠标，就能使用其 Azure AD 凭据验证身份并连接到 Cloudflare Access 。Cloudflare Tunnel 可暴露在 Microsoft Azure 平台上运行的应用。查看有关安装和配置 Cloudflare Tunnel 的指南。
鉴于 Cloudflare 在 Zero Trust 和安全解决方案方面的创新方法， Microsoft 将 2022年 Microsoft 安全卓越奖中的 安全软件创新者奖项颁给我们，这是一个享有盛誉的奖项类别。
但是我们并没有停止创新。我们听取了客户的反馈，为了解决他们的痛点，我们正在宣布几项全新的集成。
今天推出的 Microsoft 集成
今天宣布的四项全新集成是——
1. 针对每个应用程序的条件访问：Azure AD 客户可在 Cloudflare Zero Trust 中使用其现有的条件访问策略。
Azure AD 允许管理员就应用程序和用户创建和执行使用条件访问的策略。它提供了广泛参数，可用于控制用户对应用程序的访问（例如，用户风险等级、登录风险等级、设备平台、位置、客户端应用等）。Cloudflare Access 现在支持每个应用程序的 Azure AD 条件访问策略。这允许安全团队在 Azure AD 或 Cloudflare Access 中定义安全条件，并在两个产品中执行，而无需更改一行代码。
例如，客户可能对内部工资单应用程序有更严格的控制级别，因此在 Azure AD 上有特定的条件访问策略。但是，对于一般的信息类应用程序(例如内部 wiki)，客户可能会通过 Azure AD 条件访问策略执行不那么严格的规则。在这种情况下，两个应用程序组和相关 Azure AD 条件访问策略都可以直接无缝地插入 Cloudflare Zero Trust，而无需任何代码更改。
2. SCIM：在 Cloudflare Zero Trust 和 Azure Active Directory 之间自动同步 Azure AD 组，为 CIO 节省大量时间。
Cloudflare Access 策略可以使用 Azure AD 验证用户的身份并提供有关该用户的信息(例如，姓/名、电子邮件、组成员资格等)。这些用户属性并非总是不变，可以随着时间的推移而改变。当用户仍然保留对某些敏感资源的访问权限时，可能会产生严重的后果。
通常，当用户属性发生变化时，管理员需要检查和更新可能包含相关用户的所有访问策略。这是一个单调乏味的过程，容易导致错误结果。
SCIM (跨域身份管理系统) 规范确保使用它的实体之间的用户身份始终是最新的。我们很高兴地宣布，Azure AD 和 Cloudflare Access 的共同客户将很快能够启用 SCIM 用户和组的配置和取消配置。它将完成如下操作：
-
IdP 策略组选择器现在已经预先填充了 Azure AD 组，并将保持同步。对策略组所做的任何更改都将立即反映在 Access 中，而不会给管理员带来任何开销。
-
当某个用户在 Azure AD 上被取消配置时，该用户在 Cloudflare Access 和 Gateway 上的所有权限都将被撤销。这确保了几乎实时的更改，从而降低了安全风险。
3. 高风险用户隔离：通过将高风险用户（基于 AD 信号）隔离到浏览器隔离会话（使用 Cloudflare 的 RBI 产品），帮助共同客户增加额外的完全保护层。
Azure AD 根据它分析的许多数据点将用户分为低风险、中风险和高风险用户。用户可能会根据其活动从一个风险组转移到另一个风险组。用户被确定存在风险是基于多个因素的，例如雇佣性质（即承包商）、危险登录行为、凭据泄露等。虽然这些用户是高风险用户，但在进一步评估用户的同时，可以通过一种低风险的方式提供对资源/应用的访问。
我们现在支持将 Azure AD 群组与 Cloudflare Browser Isolation 集成。当一个用户在 Azure AD 上被归类为高风险时，我们会使用这个信号，通过我们的 Azure AD 集成自动将其流量隔离开来。这意味着高风险用户可以通过安全和隔离的浏览器访问资源。如果用户从高风险用户转变为到低风险用户，则不再受到适用于高风险用户的隔离策略影响。
4. 保护共同政府云客户：通过 Azure AD 的集中式身份和访问管理，帮助政府云 (“GCC”) 客户实现更高的安全性，并通过将他们连接到 Cloudflare 全球网络来增加额外的安全层，而不必向整个互联网开放。
通过安全混合访问 (SHA) 计划，政府云 (‘GCC’) 客户很快就能将 Microsoft Azure AD 与 Cloudflare Zero Trust 集成，构建基于用户身份、组成员资格和 Azure AD 条件策略的规则。通过 Cloudflare Tunnel，用户仅需单击几下鼠标，就能使用其 Azure AD 凭据验证身份并连接到 Cloudflare Access。Cloudflare Tunnel 可暴露在 Microsoft Azure 上运行的应用程序。
“数字化转型创造了一种新的安全范式，导致组织加速采用 Zero Trust。Cloudflare Zero Trust 和 Azure Active Directory 联合解决方案简化了员工 Zero Trust 部署，使我们能够专注于核心业务，促进了 Swiss Re 的增长。该联合解决方案使我们能够超越 SSO，为我们的自适应员工提供从任何地方对应用程序的无摩擦、安全访问。该联合解决方案还为我们提供了一个全面的 Zero Trust 解决方案，包括人员、设备和网络。”
– Botond Szakács，主管，Swiss Re
“随着企业继续采用云优先战略，云原生的 Zero Trust 安全模型已经成为绝对的必需品。Cloudflare 和 Microsoft 联合开发了强大的产品集成，以帮助 CIO 团队主动预防攻击，动态控制策略和风险，并增加自动化，与 Zero Trust 最佳实践保持一致。”
– Joy Chik，总裁，身份与网络访问，Microsoft
马上试试吧
有兴趣进一步了解我们的 Zero Trust 产品如何与 Azure Active Directory 集成吗？欢迎查看这个可帮助您开始 Zero Trust 之旅的广泛参考架构，然后按需阅读以上具体用例。此外，欢迎关注我们与 Microsoft 举行网络研讨会，其中介绍了我们的联合 Zero Trust 解决方案，以及如何开始。
下一步是什么
我们才刚刚开始。我们希望继续创新，让 Cloudflare Zero Trust 和 Microsoft 安全联合解决方案解决您的问题。随着您继续使用这个联合解决方案，欢迎 告诉我们您希望增加什么新功能。