擴大與Microsoft的合作：為客戶提供主動、自動化的Zero Trust安全防護

考慮多個解決方案拼湊在一起給CIO帶來的復雜性，我們正在擴大與Microsoft的合作，以打造最好的Zero Trust解決方案之一。今天，我們推出Microsoft Azure Active Directory（Azure AD）和Cloudflare Zero Trust之間的四項新集成，旨在主動降低風險。這些集成提高了自動化程度，使安全團隊能夠專注于威脅防御，無需顧及實施和維護。

Zero Trust是什么？為什么重要？

Zero Trust是一個被業(yè)界過度使用的術語（也被稱為“零信任”），造成了不少困惑。因此，請讓我們細細分說。Zero Trust架構強調“永不信任，始終驗證”的方法。打一個比方，在傳統的安全邊界或“城堡+護城河”模型中，只需通過正門（例如，通常是VPN），您就可以自由進入建筑物內的所有房間（例如，應用程序）。在Zero Trust模型中，您需要分別獲得對每個上鎖房間（應用）的權限，而非僅僅通過正門即可。Zero Trust模型中的一些關鍵組成部分有：身份，例如Azure AD（誰）；應用，例如一個SAP實例，或Azure上的自定義應用（應用程序）；策略，例如Cloudflare Access rules（誰可訪問什么應用程序）；設備，例如由Microsoft Intune管理的一臺筆記本電腦（（請求訪問的端點的安全性）；以及其他上下文信號。

Zero Trust在今天愈發(fā)重要，因為大大小小的公司都面臨著數字化轉型加速，以及員工隊伍日益分散的情況。淘汰城堡+護城河模型，并將整個互聯網作為企業(yè)網絡，要求對訪問每個資源的每個用戶進行安全檢查。因此，所有的公司，尤其是那些越來越多地使用Microsoft廣泛云產品組合者，都在采用Zero Trust架構，將其作為云之旅的重要組成部分。

Cloudflare的Zero Trust平臺為內部和SaaS應用程序提供了一種現代化的身份驗證方法。大多數公司可能都擁有各種企業(yè)應用程序——一些是SaaS，一些托管在本地部或Azure上。Cloudflare的Zero Trust零信任網絡訪問（ZTNA）產品是我們Zero Trust平臺的一部分，使這些應用程序感覺像SaaS應用程序，允許員工通過簡單和一致的流程進行訪問。Cloudflare Access充當一個統一的反向代理，通過確保每個請求都經過身份驗證、授權和加密來實施訪問控制。

Cloudflare Zero Trust與Microsoft Azure Active Directory

我們有成千上萬的客戶使用Microsoft Azure Active Directory和Cloudflare Access作為他們Zero Trust架構的一部分。我們去年宣布的Microsoft的集成可在不影響我們共同客戶性能的前提下加強安全。Cloudflare的Zero Trust平臺與Azure AD集成，為組織的混合辦公人員提供無縫的應用程序訪問體驗。

回顧一下，我們推出的集成解決了兩個關鍵問題：

對于本地傳統應用程序，Cloudflare作為Azure AD安全混合訪問合作伙伴的參與，使客戶能夠使用SSO身份驗證集中管理對其本地傳統應用程序的訪問，而無需額外開發(fā)。共同客戶現可輕松使用Cloudflare Access作為其傳統應用程序前的高性能額外安全層。

對于運行于Microsoft Azure平臺上的應用，共同客戶可將Microsoft Azure AD與Cloudflare Zero Trust集成，構建基于用戶身份、組成員資格和Azure AD條件策略的規(guī)則。通過Cloudflare的應用連接器——Cloudflare Tunnel，用戶僅需單擊幾下鼠標，就能使用其Azure AD憑據驗證身份并連接到Cloudflare Access。Cloudflare Tunnel可暴露在Microsoft Azure平臺上運行的應用。查看有關安裝和配置Cloudflare Tunnel的指南。

鑒于Cloudflare在Zero Trust和安全解決方案方面的創(chuàng)新方法，Microsoft將2022年Microsoft安全卓越獎中的安全軟件創(chuàng)新者獎項頒給我們，這是一個享有盛譽的獎項類別。

但是我們并沒有停止創(chuàng)新。我們聽取了客戶的反饋，為了解決他們的痛點，我們正在宣布幾項全新的集成。

今天推出的Microsoft集成

今天宣布的四項全新集成是——

1.針對每個應用程序的條件訪問：Azure AD客戶可在Cloudflare Zero Trust中使用其現有的條件訪問策略。

Azure AD允許管理員就應用程序和用戶創(chuàng)建和執(zhí)行使用條件訪問的策略。它提供了廣泛參數，可用于控制用戶對應用程序的訪問（例如，用戶風險等級、登錄風險等級、設備平臺、位置、客戶端應用等）。Cloudflare Access現在支持每個應用程序的Azure AD條件訪問策略。這允許安全團隊在Azure AD或Cloudflare Access中定義安全條件，并在兩個產品中執(zhí)行，而無需更改一行代碼。

例如，客戶可能對內部工資單應用程序有更嚴格的控制級別，因此在Azure AD上有特定的條件訪問策略。但是，對于一般的信息類應用程序（例如內部wiki），客戶可能會通過Azure AD條件訪問策略執(zhí)行不那么嚴格的規(guī)則。在這種情況下，兩個應用程序組和相關Azure AD條件訪問策略都可以直接無縫地插入Cloudflare Zero Trust，而無需任何代碼更改。

2.SCIM：在Cloudflare Zero Trust和Azure Active Directory之間自動同步Azure AD組，為CIO節(jié)省大量時間。

Cloudflare Access策略可以使用Azure AD驗證用戶的身份并提供有關該用戶的信息（例如，姓/名、電子郵件、組成員資格等）。這些用戶屬性并非總是不變，可以隨著時間的推移而改變。當用戶仍然保留對某些敏感資源的訪問權限時，可能會產生嚴重的后果。

通常，當用戶屬性發(fā)生變化時，管理員需要檢查和更新可能包含相關用戶的所有訪問策略。這是一個單調乏味的過程，容易導致錯誤結果。

SCIM（跨域身份管理系統）規(guī)范確保使用它的實體之間的用戶身份始終是最新的。我們很高興地宣布，Azure AD和Cloudflare Access的共同客戶將很快能夠啟用SCIM用戶和組的配置和取消配置。它將完成如下操作：

IdP策略組選擇器現在已經預先填充了Azure AD組，并將保持同步。對策略組所做的任何更改都將立即反映在Access中，而不會給管理員帶來任何開銷。

當某個用戶在Azure AD上被取消配置時，該用戶在Cloudflare Access和Gateway上的所有權限都將被撤銷。這確保了幾乎實時的更改，從而降低了安全風險。

3.高風險用戶隔離：通過將高風險用戶（基于AD信號）隔離到瀏覽器隔離會話（使用Cloudflare的RBI產品），幫助共同客戶增加額外的完全保護層。

Azure AI根據它分析的許多數據點將用戶分為低風險、中風險和高風險用戶。用戶可能會根據其活動從一個風險組轉移到另一個風險組。用戶被確定存在風險是基于多個因素的，例如雇傭性質（即承包商）、危險登錄行為、憑據泄露等。雖然這些用戶是高風險用戶，但在進一步評估用戶的同時，可以通過一種低風險的方式提供對資源/應用的訪問。

我們現在支持將Azure AD群組與Cloudflare Browser Isolation集成。當一個用戶在Azure AD上被歸類為高風險時，我們會使用這個信號，通過我們的Azure AD集成自動將其流量隔離開來。這意味著高風險用戶可以通過安全和隔離的瀏覽器訪問資源。如果用戶從高風險用戶轉變?yōu)榈降惋L險用戶，則不再受到適用于高風險用戶的隔離策略影響。

4.保護共同政府云客戶：通過Azure AD的集中式身份和訪問管理，幫助政府云（“GCC”）客戶實現更高的安全性，并通過將他們連接到Cloudflare全球網絡來增加額外的安全層，而不必向整個互聯網開放。

通過安全混合訪問（SHA）計劃，政府云（‘GCC’）客戶很快就能將Microsoft Azure AD與Cloudflare Zero Trust集成，構建基于用戶身份、組成員資格和Azure AD條件策略的規(guī)則。通過Cloudflare Tunnel，用戶僅需單擊幾下鼠標，就能使用其Azure AD憑據驗證身份并連接到Cloudflare Access。Cloudflare Tunnel可暴露在Microsoft Azure上運行的應用程序。

“數字化轉型創(chuàng)造了一種新的安全范式，導致組織加速采用Zero Trust。Cloudflare Zero Trust和Azure Active Directory聯合解決方案簡化了員工Zero Trust部署，使我們能夠專注于核心業(yè)務，促進了Swiss Re的增長。該聯合解決方案使我們能夠超越SSO，為我們的自適應員工提供從任何地方對應用程序的無摩擦、安全訪問。該聯合解決方案還為我們提供了一個全面的Zero Trust解決方案，包括人員、設備和網絡?！报CBotond Szakács，主管，Swiss Re

“隨著企業(yè)繼續(xù)采用云優(yōu)先戰(zhàn)略，云原生的Zero Trust安全模型已經成為絕對的必需品。Cloudflare和Microsoft聯合開發(fā)了強大的產品集成，以幫助CIO團隊主動預防攻擊，動態(tài)控制策略和風險，并增加自動化，與Zero Trust最佳實踐保持一致。”–Joy Chik，總裁，身份與網絡訪問，Microsoft