Microsoft Identity עם Google Workspace (Entra ID + Authentication Context + MDCA)

פורסם ב-3 בספטמבר 2025

סקירה (מטרה)

ייתכן שאתם משתמשים ב-Google Workspace לאימייל ולשיתוף פעולה, אבל מעדיפים את Microsoft Entra ID כבסיס הזהות והאבטחה שלכם. הפוסט הזה מתאר איך:

משתמשים ב-Entra ID כ-IdP של Google Workspace באמצעות SAML SSO + SCIM provisioning.
מחילים Conditional Access עם Authentication Context לכללי step‑up.
משלבים את Microsoft Defender for Cloud Apps (MDCA) כדי לאכוף אימות step‑up בתוך הסשן, בזמן הפעולה, לפעולות מסוכנות בכל אפליקציית SAML/OIDC.

CA + AC מטפלים בבקרת גישה בהתחברות; MDCA מוסיף אכיפה דינמית בתוך הסשן. למשל, אם משתמש משנה IP באמצע הסשן או מתחיל הורדה רגישה, MDCA יכול להפעיל step-up מיד.

ארכיטקטורה ורישוי

זהות: Entra ID כ-IdP; משתמשים/קבוצות מוקצים ל-Google באמצעות SCIM.
גישה: מדיניות בסיס של Conditional Access, בתוספת תוויות Authentication Context כמו High‑Impact‑Download.
סשן: MDCA פועל כ-reverse‑proxy דרך Conditional Access App Control, ומתווך את התעבורה כדי לאכוף בקרות תוך כדי הסשן.
Google: מוגדר להשתמש ב-Entra ID ל-SSO, ואפשר לשלב אותו גם עם Context‑Aware Access של Google עצמה.

דרישות רישוי:

Entra ID Premium P1+
Microsoft Defender for Cloud Apps

סיכום שלב אחר שלב (ברמה גבוהה):

הגדרת SSO: הוסיפו את Google Cloud / G Suite Connector by Microsoft ב-Entra ID והגדירו SAML SSO; שכפלו את ההגדרה הזו ב-Google Admin .
SCIM Provisioning: הפעילו הקצאת משתמשים אוטומטית מ-Entra ID ל-Google Workspace.
תוויות Authentication Context: ב-Entra ID, הגדירו תוויות שמשמשות להפעלת step‑up, למשל High‑Impact‑Download.
בסיס Conditional Access: אכפו MFA, חסמו legacy authentication והגדירו מדיניות.
הערה: CAE (Continuous Access Evaluation) מציע אכיפה מוגבלת תוך כדי הסשן לאפליקציות Microsoft (למשל שינויי מיקום), אבל לא לאפליקציות Google/SAML.

סקירה: מושג ה-CAE

ניתוב דרך MDCA: הגדירו מדיניות Conditional Access שמנתבת את אפליקציית ה-SAML של Google (ואחרות) דרך MDCA באמצעות Conditional Access App Control.
הגדרת מדיניות סשן ב-MDCA: ב-MDCA, צרו כללים ברמת הסשן, כמו:
תנאי: מכשיר לא מנוהל, IP לא מהימן או תווית קובץ רגיש.
פעולה: דרישת אימות step‑up באמצעות תווית ה-AC שלכם.
פרטים נוספים: Creating session policies
אימות: ממכשיר לא מנוהל או מ-IP חדש, נסו לבצע פעולה רגישה (למשל הורדה). MDCA אמור ליירט ולהפעיל את ה-step-up של AC תוך כדי הפעולה.

למה MDCA עושה את ההבדל:

CA + AC לבדם חלים רק בהתחברות או ברענון token. אפליקציות SAML/OIDC בדרך כלל לא מעריכות מחדש מדיניות באמצע סשן.
MDCA מוסיף אכיפה לכל בקשה, ומאפשר קבלת החלטות גם באמצע סשן.

תרחישים לדוגמה:

תרחיש

בלי MDCA

עם MDCA

שינוי IP/רשת באמצע סשן (אפליקציית Google)

אין הערכה מחדש עד רענון token

MDCA מיירט ומכריח step-up

מכשיר לא מנוהל מוריד מידע

הסשן ממשיך אחרי MFA

MDCA דורש step-up או חוסם את ההורדה מיד

מדיניות עקבית בין אפליקציות

לוגיקה נפרדת לכל אפליקציה

שימוש חוזר בתוויות Authentication Context באפליקציות Microsoft ו-Google

מסקנות עיקריות

Entra ID יכול לשמש כפלטפורמת הזהות והאבטחה המרכזית שלכם, גם אם אתם לקוחות Google Workspace.
SCIM provisioning ו-SAML SSO מבטיחים עקביות זהויות.
תוויות Authentication Context מספקות טריגרים אחידים ל-step‑up.
MDCA סוגר את הפערים באמצעות אכיפת בקרות באמצע הסשן, במיוחד באפליקציות שאינן של Microsoft כמו Google Workspace.

מקורות

נסו את Griffin31

הגדרות עוגיות · מדיניות פרטיות