São Paulo – největší město Brazílie a Latinské Ameriky | Průvodce

Možná jste právě dostali za úkol nastavit přístup k nějaké firemní aplikaci v Microsoft Entra ID a zjistili jste, že to není úplně „klikni a je hotovo“. Nebo vás zajímá, jak se vlastně do služby, jako je Salesforce nebo SAP, dostanou správní lidé ze správných skupin. Pojďme se na to podívat prakticky — na to, jak přiřadit skupinu ke konkrétní podnikové aplikaci (Enterprise Application) a co to přesně znamená pro přihlašování přes SAML 2.0, včetně předávání informací o členství ve skupinách formou takzvaných group claims. Najdete tu ověřený postup z oficiální dokumentace a vysvětlení, která jdou k jádru věci.

Jak přiřadit skupinu k aplikaci v Microsoft Entra ID

Základem pro přístup uživatelů k podnikové aplikaci je přiřazení. Bez něj se k aplikaci uživatelé nedostanou, i kdyby byli členy skupiny, která má být synchronizovaná. Podle oficiální dokumentace Microsoft Learn – Správa přiřazení uživatelů a skupin k aplikaci platí, že aby se uživatel mohl k aplikaci přihlásit, musí být buď přímo přiřazen, nebo musí být členem přiřazené skupiny. Toto je zásadní rozdíl oproti některým starším nastavením, kde stačilo povolení v rámci aplikace samotné.

Pojďme si ukázat postup, jak na to. V Entra portálu vyberete „Identity”, poté „Applications” a „Enterprise applications”. Následně najdete svou aplikaci a v jejím menu přejdete na „Users and groups”. Zde kliknete na „Add user/group” a v sekci „Users” vyberete místo konkrétního uživatele položku „Group”. Následně vyberete skupinu, kterou chcete aplikaci zpřístupnit. Potvrďte volbu tlačítkem „Assign”. Až to uděláte, systém vám ukáže, že přiřazení proběhlo.

Administrátoři Enterprise aplikací tuto možnost mají, jak je uvedeno v Microsoft Learn – Správa přiřazení uživatelů a skupin. Standardní uživatelé bez role správce takto postupovat nemohou. Toto nastavení je klíčové pro dodržení firemní bezpečnostní politiky, protože říká, kdo má mít k citlivé aplikaci přístup. Bez tohoto kroku by se jednalo o mezeru v zabezpečení.

Role a oprávnění potřebná pro správu přiřazení

Než začnete s přiřazováním, je důležité vědět, kdo má oprávnění tento krok provést. Podle dokumentace Microsoft Learn – Co je správa přístupu? je správa přístupu založena na přiřazování uživatelů a skupin. Aby mohl administrátor spravovat přiřazení, potřebuje roli jako je Globální správce, Správce aplikací nebo Cloud Application Administrator. Tyto role mají oprávnění spravovat přiřazení uživatelů a skupin k aplikacím.

Pokud takovou roli nemáte, bude se vám v portálu možnost přiřazení skupiny zobrazovat šedě. Dokumentace Microsoft Learn – Správa přiřazení uživatelů a skupin k aplikaci doporučuje pro delegování správy využít roli „Správce aplikací”, která umožňuje spravovat přiřazení v rámci podnikových aplikací. To je užitečné pro větší organizace, kde si každá divize spravuje svůj vlastní software.

Z hlediska dopadu na byznys to znamená, že řízení přístupu není jen technická záležitost, ale i procesní. Je třeba mít jasno v tom, kdo za co odpovídá. Pokud se role nesedí s odpovědností, může docházet ke stagnaci při udělování přístupů, což brzdí nástup nových kolegů a naopak zvyšuje riziko u propuštěných zaměstnanců.

SAML 2.0 a předávání deklarací skupin (group claims)

Když už je skupina přiřazená, přichází na řadu samotná výměna informací. SAML 2.0 je standard pro výměnu autentizačních a autorizačních dat mezi poskytovatelem identity (Entra ID) a aplikací (poskytovatel služeb). Jedním z klíčových aspektů je předání informací o tom, do jakých skupin uživatel patří. Tyto informace se v SAML tokenu předávají jako deklarace (claims), konkrétně jako skupinové deklarace.

Dokumentace Microsoft Learn – Konfigurace skupinových deklarací pro aplikace pomocí Microsoft Entra vysvětluje, že skupinové deklarace lze v Entra ID nakonfigurovat tak, aby se předávaly do aplikací. Tato konfigurace se provádí v rámci nastavení „Claims” u konkrétní aplikace. Můžete si vybrat, zda se mají předávat názvy skupin, jejich identifikátory (Object ID), nebo případně role aplikace.

V praxi se nejčastěji setkáte se dvěma typy deklarací. Buď deklarace s názvem „groups”, která obsahuje název skupiny, nebo deklarace obsahující identifikátor (Object ID). Přiřazení skupiny v předešlém kroku je nutnou podmínkou pro to, aby aplikace vůbec měla smysl o těchto deklaracích uvažovat. Bez přiřazené skupiny by token sice obsahoval uživatelovo členství ve skupinách, ale aplikace by ho stejně neměla vpuštět dál, protože mu nebyl povolen přístup na úrovni Entra ID.

Pokud byste chtěli sdílet členství ve skupinách přímo z on-premises Active Directory (přes Microsoft Entra Connect / Cloud Sync), je důležité vědět, že se vám tyto skupiny standardně synchronizují jako běžné skupiny a je možné je použít pro přiřazení. Rozšířené deklarace skupin se konfigurují individuálně podle toho, co konkrétní aplikace očekává. Více se dočtete v Microsoft Learn – Konfigurace skupinových deklarací pro aplikace pomocí Microsoft Entra.

Co se děje s aplikacemi, které přiřazení nemají

Zde se dostáváme k častému nedorozumění. Někdy se domníváme, že když aplikaci povolíme v nabídce „Enterprise applications” a nikomu ji nepřiřadíme, je vlastně nepoužitelná. Pravdou ale je, že podle Microsoft Learn – Co je správa přístupu? se nepřiřazeným aplikacím nezobrazí v přístupovém panelu žádnému uživateli. Jinak řečeno, jsou pro uživatele neviditelné, což je ve většině scénářů žádoucí. Ale je potřeba si uvědomit, že samotné „nevypnutí” aplikace neznamená automaticky bezpečnostní problém. Aplikace bez přiřazených uživatelů je jednoduše připravená k použití, ale uzamčená.

Z pohledu SAML to znamená, že i kdyby se někdo pokusil aplikaci spustit sám, Entra ID mu odpoví chybou, protože nemá přiřazený přístup. Tato vrstva zabezpečení se v dokumentaci označuje jako klíčová pro ochranu podnikových dat. V praxi se tak vyhnete tomu, aby se do aplikace dostal náhodný uživatel s platnými přihlašovacími údaji, ale bez příslušnosti ke skupině. Microsoft Learn – Správa přiřazení uživatelů a skupin tento princip staví na roveň zamykání vchodových dveří.

Aby to celé dávalo smysl, je dobré vnímat souvislost mezi tím, co jste nastavili, a tím, co se objeví v SAML odpovědi. Když se uživatel přihlašuje, Entra ID vytvoří bezpečnostní token. Přiřazení do aplikace funguje jako potvrzení, že uživatel má právo si takový token pro TUTO konkrétní aplikaci vyžádat. Pokud přiřazení chybí, je to, jako byste aplikaci odebrali ze seznamu povolených cílů a ono by bylo proti pravidlům na ni cokoli posílat.

Proč je to celé důležité pro vaši firmu

Na první pohled se může zdát, že jde jen o technický detail. Ale dopad na chod firmy je velký. Bez správného přiřazení skupin nemají noví zaměstnanci přístup k potřebným nástrojům, a naopak zaměstnanci, kteří změnili pozici, si mohou držet přístup k datům, ke kterým by už neměli. To jsou dva nejčastější scénáře, které řeší správci identity.

Microsoft ve své dokumentaci k správě přístupu vyzdvihuje, že řízení přístupu je jedním z hlavních pilířů bezpečnosti. A právě tady vidím ten přínos — když to celé správně nastavíte, vytvoříte si prostředí, kde je přístup k datům řízený a vy máte o něm přehled. Sice to ze začátku vyžaduje trochu práce navíc, ale výsledkem je řád, který se vyplatí.

Konkrétně v prostředí SAML 2.0 to znamená, že kromě samotného přihlašování (autentizace) řešíte i autorizaci. A o té se častěji mluví v kontextu group claims. Je to takový logický řetězec: přiřadíte skupinu (povolení přístupu), uživatel se přihlásí, Entra ID ověří členství ve skupině a do tokenu přidá požadovanou deklaraci. Až pak se aplikace rozhodne, co uživateli zobrazí.

Často kladené otázky