Czym jest Microsoft Entra ID?

Microsoft Entra ID (dawniej Azure Active Directory) to oparta na chmurze usługa firmy Microsoft do zarządzania tożsamością i dostępem. Stanowi podstawę zarządzania tożsamościami w Azure i Microsoft 365, obsługując uwierzytelnianie i autoryzację milionów użytkowników i aplikacji na całym świecie. Każda subskrypcja Azure jest powiązana z jedną dzierżawą Entra ID, która przechowuje tożsamości użytkowników i zarządza dostępem do zasobów.

Tradycyjna lokalna usługa Active Directory Domain Services (AD DS) zarządza tożsamościami za pomocą protokołów Kerberos i LDAP. Jest przeznaczona dla komputerów z systemem Windows dołączonych do domeny w sieci firmowej. Entra ID działa natywnie w chmurze i korzysta z nowoczesnych protokołów — OAuth 2.0, OpenID Connect, and SAML — aby uwierzytelniać użytkowników w aplikacjach internetowych, usługach SaaS i interfejsach API z dowolnego urządzenia i miejsca. Obie usługi mogą współistnieć dzięki rozwiązaniu Microsoft Entra Connect, które synchronizuje lokalne tożsamości z chmurą.

Dzierżawa to dedykowana instancja Entra ID, którą organizacja otrzymuje podczas rejestracji usługi Azure lub Microsoft 365. Ma własny katalog użytkowników, grup i aplikacji. Dzierżawa ma nazwę domeny taką jak yourcompany.onmicrosoft.com, a także można do niej dodać domeny niestandardowe, takie jak yourcompany.com. Każda subskrypcja platformy Azure ufa dokładnie jednej dzierżawie w zakresie uwierzytelniania.

Subskrypcja platformy Azure stanowi granicę rozliczeń i zasobów — zawiera zasoby platformy Azure, takie jak maszyny wirtualne, bazy danych i konta magazynu. Subskrypcja ufa jednej dzierżawie Entra ID, co oznacza, że tylko tożsamości z tej dzierżawy (lub tożsamości federacyjne) mogą otrzymać dostęp do zasobów w subskrypcji. Wiele subskrypcji może ufać tej samej dzierżawie, dzięki czemu duże przedsiębiorstwa mogą zarządzać wieloma środowiskami w ramach jednego magazynu tożsamości.

Zrozumienie tej różnicy ma fundamentalne znaczenie. Uwierzytelnianie (AuthN) to proces potwierdzania, kim jesteś — Entra ID weryfikuje nazwę użytkownika i hasło (lub token MFA). Autoryzacja (AuthZ) to proces ustalania, jakie działania możesz wykonywać — Azure RBAC sprawdza przypisane Ci role, aby określić, jakie operacje Twoja tożsamość może wykonywać na zasobach platformy Azure po pomyślnym uwierzytelnieniu.

Entra ID jest dostępne w trzech głównych edycjach. Free (dołączona do każdej subskrypcji platformy Azure) zapewnia podstawowe zarządzanie użytkownikami i grupami, logowanie jednokrotne (SSO) dla maksymalnie 10 aplikacji oraz podstawowe raporty zabezpieczeń. P1 dodaje dostęp warunkowy, tożsamość hybrydową z lokalnym AD oraz samoobsługowe zarządzanie grupami. P2 dodaje ochronę tożsamości z dostępem warunkowym opartym na ryzyku oraz funkcję Privileged Identity Management (PIM) umożliwiającą aktywowanie ról na żądanie.

Entra ID obsługuje użytkowników tylko w chmurze (tworzonych bezpośrednio w katalogu) oraz użytkowników synchronizowanych (synchronizowanych z lokalnego AD za pomocą Entra Connect). Użytkowników można tworzyć w portalu Azure, centrum administracyjnym Microsoft 365, interfejsie Azure CLI lub za pomocą PowerShell. Każdy obiekt użytkownika przechowuje atrybuty, takie jak nazwa wyświetlana, adres e-mail, stanowisko, dział i przełożony, a także dane uwierzytelniające.

Entra ID obsługuje dwa typy grup. Grupy zabezpieczeń służą do przypisywania uprawnień — można dodać użytkownika do grupy zabezpieczeń i przypisać grupie rolę RBAC, aby uniknąć zarządzania pojedynczymi przypisaniami. Grupy Microsoft 365 łączą udostępnioną skrzynkę pocztową, kalendarz, witrynę SharePoint i obszar roboczy Teams na potrzeby współpracy. Członkostwo w grupach może być przypisywane dynamicznie na podstawie atrybutów użytkowników, co ogranicza konieczność ręcznego zarządzania.

Aby umożliwić aplikacji uwierzytelnianie użytkowników za pomocą Entra ID, należy utworzyć App Registration. Reprezentuje ona aplikację w katalogu i nadaje jej identyfikator klienta. Następnie konfiguruje się dozwolone identyfikatory URI przekierowania i uprawnienia interfejsu API, a w przypadku klientów poufnych generuje klucz tajny klienta lub przekazuje certyfikat. Aplikacja korzysta z przepływów OAuth 2.0 / OIDC w celu uzyskiwania tokenów dostępu w imieniu użytkowników.

Tożsamość zarządzana to automatycznie zarządzana tożsamość w Entra ID przypisana do zasobu platformy Azure, takiego jak maszyna wirtualna lub App Service. Zasób może uzyskiwać tokeny z Entra ID bez przechowywanych danych uwierzytelniających i zarządzania ich rotacją. Tożsamości zarządzane przypisane przez system istnieją tak długo, jak zasób; tożsamości zarządzane przypisane przez użytkownika są niezależnymi obiektami, które można dołączać do wielu zasobów.

Funkcja Self-Service Password Reset (SSPR) umożliwia użytkownikom samodzielne resetowanie haseł Entra ID bez kontaktowania się z pomocą techniczną IT, przy użyciu metod weryfikacji, takich jak aplikacja uwierzytelniająca, telefon, poczta e-mail lub pytania zabezpieczające. SSPR znacząco ogranicza liczbę zgłoszeń do pomocy technicznej i pozwala użytkownikom samodzielnie odblokować konto poza godzinami pracy. Funkcja jest dostępna w wersjach Entra ID P1 i P2 oraz może zapisywać hasła z powrotem w lokalnym AD w środowiskach hybrydowych.

Sprawdź swoją wiedzę na temat zagadnień Microsoft Azure Fundamentals (AZ-900) omówionych w tej lekcji.

W tej lekcji poznali Państwo następujące informacje: Entra ID to natywna dla chmury usługa tożsamości platformy Azure korzystająca z OAuth 2.0 i OpenID Connect, dzierżawy to dedykowane instancje katalogów, którym subskrypcje ufają w zakresie uwierzytelniania, a tożsamości zarządzane umożliwiają zasobom platformy Azure uwierzytelnianie bez przechowywanych danych uwierzytelniających. W następnej części omówimy użytkowników, grupy i przypisywanie ról RBAC w Entra ID.