Undercpd: Planificación y características avanzadas Azure AD APP Proxy

lunes, 27 de febrero de 2023

Planificación y características avanzadas Azure AD APP Proxy

Hola,

A través de este artículo, voy a recopilar toda la información importante a tener en cuenta sobre el conector y escenario a construir con Azure AD Application Proxy.

Planificación e instalación

Requisito en cuanto a licenciamiento Azure AD P1
Requisito de entorno entorno AD sincronizado a través de AD Connect.
Windows Server 2012 R2 o superior
En cuanto a requisito de capacidades en el sevidor, tenéis aquí el capacity planner:

https://learn.microsoft.com/en-us/azure/active-directory/app-proxy/application-proxy-connectors#capacity-planning

El conector, se puede instalar en un servidor en Workgroup. No obstante, si queremos tener Single Sign On, tenemos que tener el equipo en dominio con el fin de poder hacer Kerberos Constrained Delegation.
Comando para desplegar el conector de forma silenciosa: AADApplicationProxyConnectorInstaller.exe REGISTERCONNECTOR="false" /q

Comando para registrar el conector de forma silenciosa:
$User = "<username>"
$PlainPassword = '<password>'
$SecurePassword = $PlainPassword | ConvertTo-SecureString -AsPlainText -Force
$cred = New-Object –TypeName System.Management.Automation.PSCredential –ArgumentList $User, $SecurePassword
.\RegisterConnector.ps1 -modulePath "C:\Program Files\Microsoft AAD App Proxy Connector\Modules\" -moduleName "AppProxyPSModule" -Authenticationmode Credentials -Usercredentials $cred -Feature ApplicationProxy

El servidor puede estar en un dominio que tenga relación de confianza con otro e incluso con solo acceso a un Read Only Domain Controller.
Es importante instalar Azure AD APP proxy procurando una muy buena comunicación con las aplicaciones internas que publicará (Network topology considerations for Azure Active Directory Application Proxy - Microsoft Entra | Microsoft Learn)

Además puedes tener un número ilimitado de Azure AD App proxy conectors que puedes organizar en grupos y estos estar ubicados en diferentes redes (buenas prácticas)

Publish apps on separate networks via connector groups - Azure Active Directory - Microsoft Entra | Microsoft Learn

No instales Azure AD App proxy en el mismo servidor que hayas instalado Azure AD Password Protection
Las identidades que vayan a validarse localmente y las que vayan a validarse en cloud, han de estar sincronizadas vía AD Connect.
En Windows Server 2019, tras la instalación de Azure APP proxy has de lanzar estos comandos:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp] "EnableDefaultHTTP2"=dword:00000000
Set-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp\' -Name EnableDefaultHTTP2 -Value 0

TLS 1.2 ha de estar habilitado en el servidor, previamente a la instalación de Azure AD Application proxy:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319] "SchUseStrongCrypto"=dword:00000001
reiniciar el servidor.

Azure AD App Proxy connector, necesita conectividad a internet:

Puertos 80 y 443.
URLS a los que ha de poder acceder:

Opción 1: Lista de URLS: https://learn.microsoft.com/en-us/azure/active-directory/app-proxy/application-proxy-add-on-premises-application#allow-access-to-urls
Opción 2 generalista: Podrías abrir un poco el foco permitiendo acceso a urls: *msapproxy.net y *.servicebus.windows.net.
Si tienes un proxy, revisa la documentación de plataformado de proxies para Azure ADD application proxy: Work with existing on-premises proxy servers and Azure Active Directory - Microsoft Entra | Microsoft Learn

El DNS de la empresa ha de poder resolver nombres de las URLS aparecidas en opción generalista

Instala más de un Azure AD App Proxy en tu entorno para proveer al sistema de HA y englóbalos en un grupo. Publish apps on separate networks via connector groups - Azure Active Directory - Microsoft Entra | Microsoft Learn

Trata de publicar cada Azure AD App Proxy Connector detrás de una salida a internet distinta para evitar un punto de fallo
Cada conector está limitado a 200 salidas concurrentes

Evita en los firewalls inspección de tráfico TLS en las salida de los servidores con el conector instalado.
Si vas a querer publicar la aplicación con un dominio propio, aplicando así una capa de validación Azure AD, has de tener en cuenta lo que MSFT indica en este artículo: Custom domains in Azure Active Directory Application Proxy - Microsoft Entra | Microsoft Learn
En un entorno multi forest y multi dominio, hay que instalar un Azure AD App Proxy connector en cada bosque.
Puedes apuntar un connector a una web balanceada con un balanceador Layer 4 y si la web no requiere validación, puedes incluso no contar con persistencia en el balanceo. Incluso podéis usar Round Robin.
Puedes recopilar todo el log en "Analytics" Collect Windows event log data sources with Log Analytics agent in Azure Monitor - Azure Monitor | Microsoft Learn

por defecto, tienes los logs en Azure AD Sign in and Login Logs.

En un escenario global, podrías añadir un Azure Traffic manager a dos conectores en dos sedes distantes. Add your own Traffic Manager to Application Proxy - Microsoft Entra | Microsoft Learn

En linea con lo anterior, también podemos utilizar Azure Front Door para cachear contenido.

Using Azure Front Door to provide geo-acceleration - Microsoft Entra | Microsoft Learn

En línea también con la hibridación con servicios Azure, podemos publicar nuestra app a través de Azure Waf:

Mantenimiento y Remediación

Ante una situación donde el conector, esté sin internet un tiempo, puede pasar que aparezca un error por certificado caducado, en este caso podrás reinstalar el conector o lanzar los siguientes comandos: