方案：基于用户和组配置 P2S 访问 - Microsoft Entra ID 身份验证

本文将引导你完成一个场景，基于使用 Microsoft Entra ID 身份验证的点到站点 (P2S) VPN 连接的用户和组配置访问权限。 在这种情况下，你需要使用多个自定义受众应用ID和指定权限，以及多个P2S VPN网关来配置这种访问。 有关 P2S 协议和身份验证的详细信息，请参阅关于点到站点 VPN。

在此方案中，用户根据连接到特定 P2S VPN 网关的权限具有不同的访问权限。 概括来说，此工作流如下所示：

  1. 为要为采用 Microsoft Entra ID 身份验证的 P2S VPN 进行配置的每个 P2S VPN 网关创建一个自定义应用。 记下自定义应用 ID。
  2. 将 Azure VPN 客户端应用程序添加到自定义应用配置。
  3. 为每个自定义应用分配用户和组权限。
  4. 为 P2S VPN Microsoft Entra ID 身份验证配置网关时，请指定 Microsoft Entra ID 租户和与你要允许通过该网关连接的用户关联的自定义应用 ID。
  5. 客户端计算机上的 Azure VPN 客户端配置文件是使用用户有权连接到的 P2S VPN 网关的设置配置的。
  6. 用户连接后，会进行身份验证，并且只能连接到其帐户具有权限的 P2S VPN 网关。

注意事项：

  • 如果只有一个 VPN 网关，则无法创建此类型的细粒度访问。
  • Microsoft Entra ID 身份验证仅支持 OpenVPN® 协议连接，并且需要 Azure VPN 客户端。
  • 请确保每个 Azure VPN 客户端都配置正确的客户端配置文件包配置，以确保用户连接到其拥有权限的对应网关。
  • 在本练习中使用配置步骤时，可能最简单的方法是一直运行第一个自定义应用 ID 和网关的步骤，然后针对每个后续的自定义应用 ID 和网关重复这些步骤。

先决条件

  • 此方案需要 Microsoft Entra 租户。 如果你还没有租户，请在 Microsoft Entra ID 中创建新租户。 记下租户 ID。 为 Microsoft Entra ID 身份验证配置 P2S VPN 网关时，需要此值。

  • 此方案需要多个 VPN 网关。 每个网关只能分配一个自定义应用 ID。

    • 如果你还没有与 Microsoft Entra ID 身份验证兼容的至少两个正常运行的 VPN 网关，请参阅创建和管理 VPN 网关 - Azure 门户来创建 VPN 网关。
    • 某些网关选项与使用 Microsoft Entra ID 身份验证的 P2S VPN 网关不兼容。 不支持基本 SKU 和基于策略的 VPN 类型。 有关网关 SKU 的详细信息，请参阅《关于网关 SKU》。 有关 VPN 类型的详细信息，请参阅《VPN 网关设置》。

注册应用程序

若要创建自定义受众应用 ID 值（在配置 VPN 网关时指定），必须注册应用程序。 注册应用程序。 如需了解步骤，请参阅注册应用程序。

  • 名称字段是面向用户的。 使用某个直观的名称来描述通过此自定义应用程序进行连接的用户或组。
  • 对于其余设置，请使用文章中显示的设置。

添加作用域

添加作用域。 添加范围是为用户和组配置权限流程的一部分。 如需了解步骤，请参阅公开 API 并添加作用域。 稍后，您可以为此范围分配用户和组权限。

  • 为“范围名称”字段使用直观的名称，例如“Marketing-VPN-Users”。 根据需要填写其余字段。
  • 对于状态，选择启用。

添加 Azure VPN 客户端应用程序

添加 Azure VPN 客户端应用程序的“客户端 ID”并指定“授权范围”。 添加应用程序时，建议尽可能使用用于 Azure 的 Microsoft 注册 Azure VPN 客户端应用 IDc632b3df-fb67-4d84-bdcf-b95ad541b5c8。 此应用值具有全局许可，这意味着你无需手动注册它。 如需了解步骤，请参阅添加 Azure VPN 客户端应用程序。

添加 Azure VPN 客户端应用程序后，转到“概述”页，复制并保存“应用程序(客户端) ID”。 你稍后需要使用此信息来配置 P2S VPN 网关。

分配用户和组

向连接到网关的用户和/或组分配权限。 如果要指定组，则用户必须是组的直接成员。 不支持嵌套组。

  1. 转到你的 Microsoft Entra ID 并选择“企业应用程序”。
  2. 从列表中选择你注册的应用来打开它。
  3. 展开管理，然后选择属性。 在“属性”页上，确认“启用以供用户登录”设置为“是”。 否则，将值更改为“是”。
  4. 对于“需要分配”，请将值更改为“是”。 有关此设置的详细信息，请参阅应用程序属性。
  5. 如果已进行更改，请选择页面顶部的保存。
  6. 在左窗格中，选择用户和组。 在“用户和组”页上，选择“+ 添加用户/组”以打开“添加分配”页。
  7. 点击 用户与组 下的链接以打开 “用户与组 ”页面。 选择你想分配的用户和组，然后选择 “选择”。
  8. 选择完用户和组后，选择分配。

配置 P2S VPN

完成上一部分中的步骤后，请继续 为 Microsoft Entra ID 身份验证配置 P2S VPN 网关 - Microsoft 自主注册的应用。

  • 配置每个网关时，请关联相应的自定义受众应用 ID。
  • 下载 Azure VPN 客户端配置包，为有权连接到特定网关的用户配置 Azure VPN 客户端。

配置 Azure VPN 客户端

使用 Azure VPN 客户端配置文件配置包在每个用户的计算机上配置 Azure VPN 客户端。 验证客户端配置是否对应于你想要用户连接到的 P2S VPN 网关。

后续步骤

  • 上次更新時間：