Tenant Restrictions v2:
Autentiseringssperren
Tenant Restrictions v2 er det siste sikkerhetslaget.
Hvordan Tenant Restrictions v2 fungerer
Hvorfor GSA er nødvendig for TR v2
Tenant Restrictions v2 krever at headerne injiseres av en nettverksproxy. Det er ikke noe en klientapplikasjon kan sette selv — da ville enhver angriper bare sette headeren til sin egen tenant-ID.
Krevde TLS-inspeksjon på nettverksnivå. Komplisert, brøt sertifikattillit, og fungerte ikke for moderne krypterte protokoller som QUIC.
GSA-fabrikkens signalering til Microsoft er out-of-band — ingen TLS-inspeksjon nødvendig. Microsoft stoler på GSA-fabrikkens signal fordi det kommer fra Microsofts egen infrastruktur.
Rollen i den samlede arkitekturen
| Scenario | Lag 1-3 stopper? | TR v2 stopper? |
|---|---|---|
| Normal bruk mot din tenant | Tillatt | Tillatt |
| Forsøk på rogue tenant via omvei | Ingen rute | Blokkert |
| Uadministrert enhet, riktig vei | mTLS-avvisning | Blokkert |
| Alternativ nettverksvei (omgår omvei) | Ikke stoppet | Blokkert av Microsoft |
Det siste forsvarslinjen: TR v2 er det eneste laget som opererer på Microsofts egen infrastruktur. Selv om en sofistikert angriper omgår alle de andre lagene, vil Microsoft selv avvise autentiseringen. Dette er det som gjør arkitekturen robust mot ukjente angrepsvektorer.