Do Azure Active Directory Идентифицирует машину / IP / сеть, а также войти в систему или есть какие-либо настройки

Question

Я выполняю SSO SAML в своем проекте, сценарий таков: я подготавливаю URL запроса проверки подлинности SAML, есть страница входа, на которой есть 2 переключателя для внутреннего / внешнего пользователя. В обоих случаях необходимо подготовить проверку подлинности SAML. с предоставленными мне URL-адресами IDP я смог подготовиться, и он перенаправил меня на страницу входа в Microsoft, мне были предоставлены учетные данные в этом домене для входа в систему, проблема в том, что один человек, сидящий в США, пытается войти в систему с учетными данными, успешно смог войти в систему, получить ответ SAML, и он перенаправил его на URL перенаправления, когда я взял те же его учетные данные, пытается войти в систему с моей машины, я получил ошибку, как будто вы не авторизованы, я был сбит с толку, что происходит, мы используем те же учетные данные, но машина другая, есть ли какие-либо настройки в Azure Active Directory, которая также проверяет СЕТЬ / Компьютер / IP?

Answer 1

Да, они обнаруживают риск входа в систему на основе многих факторов. Расположение является одним из них. Вероятно, вы попали в следующий раз: https://docs.microsoft.com/en-us/azure/active-directory/reports-monitoring/concept-risk-events#impossible -travel-to-atypical-location .

Этот пользователь не может пройти такое большое расстояние в такой короткое время, поэтому он помечается как подозрительный и блокируется. У меня это тоже случалось, когда я входил в учетную запись через виртуальную машину на другом континенте.

Хотя со временем он узнает типичные местоположения, поэтому он может начать работать позже.

Алгоритм игнорирует очевидные «ложные срабатывания», способствующие невозможным условиям путешествия, таким как VPN и местоположения, регулярно используемые другими пользователями в организации. Система имеет начальный период обучения 14 дней, в течение которого она изучает поведение входа нового пользователя.

У вас должен быть свой собственный идентификатор пользователя:)