这是一款堡垒机, 它属于全球首款, 具备完全开源的特性, 该堡垒机运用的是GNU GPL v3.0开源许可协议, 它同时还是一款运维安全审计系统, 此系统符合4A规范, 这里的4A涵盖认证、授权、账号以及审计。
围绕语言展开去推进开发作业, 照着Web 2.0对应的规范去遵循运用, 具备并配备了在业界处于领先位置的Web方面的方案, 其交互界面呈现出美观的状态, 给予用户的体验具备优异的特性。除此之外, 还运用了分布式架构这种形式, 该架构能够对多机房在跨区域的情况下提供部署方面的支持, 可以支撑着进行横向扩展这一操作, 而且不存在资产数量以及并发方面的限制。
针对身份验证事宜, 堡垒机为用户提供出多种可供选择的方式。当下, 其所支持的用户登录认证方式涵盖了LDAP/AD认证, 且包含认证, 还有认证, 以及SAML 2.0, 并且有CAS认证, 另外有SSO对接, 涵盖企业微信认证, 也涵盖钉钉认证, 甚至包含飞书认证等等。
眼下即将给大伙阐述一番堡垒机运用认证方式去对接Azure （也就是Azure AD呀）的详尽步骤, 目的是要针对众多用户的具体操作给予指引呢。
Azure AD是什么？
名为Azure的, 也就是Azure AD, 是微软给出的多租户、基于云的目录以及标识管理服务。Azure AD把核心目录服务、应用程序访问管理与标识保护合并到一个解决方案里, 提供基于标准的平台, 助力开发人员依据集中策略和规则为其应用程序给予访问控制。
Azure AD企业标识服务, 能供给单独登录以及多重身份验证, 依靠此服务来保护的用户, 能够避开99.9%的面向网络的安全攻击。
谁在使用 Azure AD？
Azure AD适用于以下这些人群：
IT管理员
基于自身业务需求, IT 管理员能够借助 Azure AD, 对用户针对其应用以及应用资源的访问实施控制, 比如说, 借助 Azure AD 可要求用户于访问关键组织资源之际, 执行多重身份验证。
此外, 能够采用Azure AD使得在现有的AD以及云应用（涵盖365）之间实现用户预配的自动化, 最终借助Azure AD所提供的强大工具对用户标识和凭据进行自动保护, 达成访问管理的需求。
应用开发人员
使用Azure AD当作一种基于标准的办法, 应用开发人员能给应用添加单点登录 (SSO), 进而让其运用用户预先就有的凭据, 得以使用这一方式。并且能够借助Azure AD给出的API构建个性化的应用体验, 将现有的组织数据充分加以利用。
365、 365、Azure或 CRM 的订阅者
那些云服务的订户已然在运用Azure AD, 每种有着365特点、另一种也包含365特性、还有Azure特质以及CRM租户属性的情形下, 都会自然而然成为Azure AD的租户。
使用对接Azure AD身份认证步骤
- 通过Azure AD初始化应用
① 新注册应用
图1 新注册应用
② 注册应用
以下是受支持的账户类型, 哪些用户能够访问应用, 需依据需求来进行选择。
需进行重定向之URI为, https://{xxxx}/core/auth/// , 要注意的是, 必须选取https协议, 最后的那个"/"是一定要添加的, 不然的话访问时候就会出现报错情况。
图2填写该应用的"名称"选项, 填写该应用的"受支持的帐户类型"选项, 填写该应用的"重定向URI"选项, 之后点击"注册"按钮用作提交操作。
图3 生成使用标识平台的应用程序
③ 添加客户端密钥
图4 添加证书或机器，创建客户端密钥
图5 添加客户端密码，确认密钥失效时间
图6 复制客户端密钥
④ 获取端点信息
图7 获取终结点信息
Azure中国跟Azure国际的端点地址彼此会不一样, 挑选与之相对应的信息填进去做配置便可达成。
图8 选择对应的端点信息
- 在中填写（OIDC）信息
① 进入填写OIDC信息
图9 填写OIDC的基本信息和相关参数
② 注意修改令牌有效时间
需留意, 提议把令牌有效时间更改成数值更大一些的, 在此处改成600就会生效（或许是因为时区方面的问题, 预设为60的话, 会出现异常的情况）。
图10 修改令牌有效时间