Sophos Endpoint [LAB 08] Hướng dẫn cấu hình tính năng ZTNA sử dụng Sophos Firewall làm Gateway (Phần 4)

Phần 4: Các trường hợp xảy ra giữa Azure AD với Windows AD (on-premise)​

1. Khi tích hợp Azure AD với AD on-premise thì có cần đi qua Sophos Central và có cần trong môi trường Intenet hay không?​

Câu trả lời là không cần thông qua Sophos Central khi tích hợp Azure AD với AD (đó là việc giữa Azure AD và AD thông qua Azure AD Connect) và cần có Internet để Azure AD Connect đồng bộ dữ liệu từ AD on-prem lên Azure AD.

2. Trường hợp khi đã tích hợp AD lên Azure AD rồi thì khi AD bị down hoặc bị mất kết nối thì User có còn không? Và có thể xác thực ZTNA Agent không?​

Nếu AD on-premises bị down hoặc mất kết nối, người dùng vẫn còn trong Azure AD (vì dữ liệu đã được đồng bộ lên trước đó). Tuy nhiên, các thay đổi mới trên AD on-premises sẽ không được đồng bộ lên Azure AD cho đến khi AD on-premises hoạt động lại.

Vì khi đồng bộ User từ AD on-premises lên Azure AD thì sẽ có 3 chế độ là:

1. Password Hash Synchronization (PHS)

• Mục đích: Đồng bộ mật khẩu người dùng từ AD on-premises lên Azure AD dưới dạng hash để Azure AD có thể xác thực người dùng độc lập mà không cần truy vấn AD on-premises.

2. Pass-through Authentication (PTA)

• Mục đích: Cho phép người dùng đăng nhập vào Azure AD (và các dịch vụ liên quan như Office 365, Sophos Central) bằng chính tài khoản và mật khẩu trên AD on-premises mà không cần đồng bộ mật khẩu lên đám mây.

3. Federation with AD FS (Active Directory Federation Services)

• Mục đích: Cung cấp xác thực liên kết (federated authentication) giữa Azure AD và AD on-premises thông qua dịch vụ AD FS.

Khi bạn dùng Azure AD với chế độ Password Hash Sync, thì:​

• User account từ AD on-prem sẽ được sao chép lên Azure AD.
• Mật khẩu (dạng hash) cũng được đồng bộ lên Azure AD.
• Azure AD giữ một bản sao của user + password hash, nên có thể xác thực độc lập, không cần AD on-prem.
• ZTNA của Sophos xác thực người dùng qua Azure AD (chứ không trực tiếp qua AD on-prem).

Nếu AD on-premise chết, nhưng:​

• Azure AD vẫn còn user (đã sync từ trước).
• Và đang dùng Password Hash Sync.

=> User vẫn có thể xác thực và truy cập qua ZTNA bình thường.