Entra ID – Proxy de aplicativos locais para usuários remoto.

336

O que é Proxy de aplicativo?

O proxy de aplicativo Microsoft Entra fornece acesso remoto seguro a aplicativos da Web locais. Após um logon único no Microsoft Entra ID, os usuários podem acessar aplicativos locais e de nuvem por meio de uma URL externa ou um portal interno do aplicativo. Por exemplo, o proxy de aplicativo pode fornecer acesso remoto e o logon único para a Área de Trabalho Remota, o SharePoint, o Teams, o Salesforce, e aplicativos LOB (linha de negócios).

ATENÇÃO: As implementações apresentadas em nossos artigos foram desenvolvidas com base em documentações oficiais e nas boas práticas recomendadas pela Microsoft. Entretanto, enfatizamos que qualquer implementação deve ser previamente testada em ambientes de homologação ou testes para garantir a segurança e a estabilidade do ambiente de produção

Por que usar o Proxy de Aplicativo do Microsoft Entra?

Simplicidade de uso: Os usuários podem acessar seus aplicativos locais da mesma forma que acessam o Microsoft 365 e outros aplicativos SaaS integrados ao Microsoft Entra ID. Não é necessário modificar ou atualizar os aplicativos para que funcionem com o Proxy de Aplicativo.

Segurança aprimorada : Os aplicativos locais podem utilizar os controles de autorização e análises de segurança do Azure, como acesso condicional e verificação em duas etapas

Econômico. As soluções locais geralmente exigem configurar e manter as DMZs (zonas desmilitarizadas), servidores de borda ou outras infraestruturas complexas. O proxy de aplicativo é executado na nuvem, o que facilita o uso. Para usar o proxy de aplicativo, você não precisa alterar a infraestrutura de rede ou instalar mais dispositivos no seu ambiente local.

Nota: É importante entender que o Proxy de Aplicativo do Microsoft Entra destina-se a ser um substituto da VPN ou proxy reverso para usuários de roaming (ou remotos) que precisam de acesso a recursos internos. Não é destinado a usuários internos na rede corporativa. Os usuários internos que usam desnecessariamente o proxy de aplicativo podem apresentar problemas de desempenho inesperados e indesejados.

Vamos aprender a configurar o Proxy de Aplicativo.

Pré-requisitos

1. Uma assinatura P1 ou P2 do Microsoft Entra ID
2. Uma conta de administrador de aplicativo no minimo.
3. Instalar o conector de rede privada.

O primeiro passo para garantir o funcionamento correto é instalar e verificar o conector de rede privada Microsoft Entra. Entre no centro de administração do Microsoft Entra, pelo menos como Administrador de Aplicativos.

1. Vá para Identidade
2. Clique me Aplicativos
3. Depois em Aplicativos Empresariais
4. Conectores de rede privada
5. Clique em Serviço de conector de Dowload
6. Siga as instruções do assistente para instalar o serviço em seu servidor.

Quando for solicitado que você registre o conector com o Proxy de Aplicativo do seu locatário do Microsoft Entra, forneça suas credenciais de Administrador do Aplicativo.

Após baixar e configurar o conector, é assim que ele será exibido.

Vamos verificar no servidor onde o conector foi instalado para garantir que está tudo certo.

1. Abra o Gerenciador de Serviços do seu servidor pressione Win + R e digite services.msc
2. Procure por Microsoft Entra Private Network Connector e veja se esta em execução.

Você também pode criar um grupo de conectores para aplicar ao seu aplicativo. No meu caso, já havia criado um grupo chamado “APP”, aqui simulei um grupo, mas o ideal que seja criado um grupo se tiver varios conectores.

Feito isso vamos adicionar o aplicativo em meus aplicativos no portal do Microsoft Entra ID.

1. Vá para Identidade
2. Clique me Aplicativos
3. Depois em Aplicativos Empresariais
4. Em seguida em Novo Aplicativo

Chegamos a um ponto crucial na configuração do seu APP Local.

1. Aqui você deve inserir o nome do seu aplicativo.
2. A URL para acessar o aplicativo de dentro de sua rede privada. Você pode fornecer um caminho específico no servidor back-end para publicar, enquanto o restante do servidor é não publicado. Assim, você pode publicar sites diferentes no mesmo servidor como diferentes aplicativos, e dar a cada um deles seu próprio nome e suas regras de acesso. Se você publicar um caminho, verifique se ele inclui todas as imagens, scripts e folhas de estilo necessários para seu aplicativo. Por exemplo, se o aplicativo estiver em https://yourapp/app e utilizar imagens localizadas em https://yourapp/media, você deverá publicar https://yourapp/ como o caminho. Essa URL interna não precisa ser a página que os usuários veem.
3. O endereço para os usuários acessarem o aplicativo de fora da sua rede. Você pode usar seu propio dominio, mas para isso precisa criar um registro CNAME no seu servidor DSN.
4. O proxy de aplicativo redireciona os usuários para entrar com o Microsoft Entra ID, que autentica suas permissões para o diretório e o aplicativo. É recomendável manter essa opção como padrão para poder aproveitar os recursos de segurança do Microsoft Entra como o acesso condicional e a autenticação multifator.
5. É aqui que adicionamos o conector instalado anteriormente. É essencial que ele já esteja configurado previamente. Feito isso e so criar.

Após criar o aplicativo, é necessário conceder permissão para que os usuários possam acessá-lo. É possível adicionar um usuário ou um grupo específico.

Por fim, é assim que o usuário final verá seu aplicativo. Ao clicar, será necessário autenticar com as credenciais do Entra ID e passar pelo MFA.

Você pode se perguntar: por que seguir todo esse processo em vez de simplesmente usar uma VPN tradicional?

VPNs tradicionais expõem a rede interna à internet de forma ampla. Se um atacante comprometer uma credencial da sua VPN, ele pode acessar toda a rede corporativa. O Proxy de Aplicativo do Entra ID permite expor apenas os serviços essenciais, reduzindo o risco de ataques laterais, e ainda podendo ser configurado o acesso condicional, seguindo os principios do Zero Trust, (escrevi um artigo somente sobre isso você pode acessar ele aqui.)

Aqui abaixo deixarei alguns links do Microsoft Learn caso precisar.
Link de Referência , Adicionando aplicativo local para uso remoto: https://lnkd.in/dR6d3v8i
Link de Referência, Como configurar conectores: https://lnkd.in/d-YTaHAa

Sua contribuição é importante. Venha também fazer parte dessa jornada.