Vad är Microsoft Entra ID?

Microsoft Entra ID (tidigare Azure Active Directory) är Microsofts molnbaserade tjänst för identitets- och åtkomsthantering. Den utgör identitetsgrunden för Azure och Microsoft 365 och hanterar autentisering och auktorisering för miljontals användare och applikationer världen över. Varje Azure-prenumeration är kopplad till en Entra ID-klientorganisation som lagrar användaridentiteter och hanterar åtkomsten till resurser.

Traditionella lokala Active Directory Domain Services (AD DS) hanterar identiteter med protokollen Kerberos och LDAP och är anpassade för domänanslutna Windows-datorer i ett företagsnätverk. Entra ID är molnbaserat från grunden och använder moderna protokoll — OAuth 2.0, OpenID Connect och SAML — för att autentisera användare till webbappar, SaaS-tjänster och API:er från valfri enhet och plats. Tjänsterna kan samexistera via Microsoft Entra Connect, som synkroniserar lokala identiteter till molnet.

En klientorganisation är en dedikerad instans av Entra ID som en organisation får när den registrerar sig för Azure eller Microsoft 365. Den har en egen katalog med användare, grupper och program. Er klientorganisation har ett domännamn som yourcompany.onmicrosoft.com, och ni kan lägga till anpassade domäner som yourcompany.com. Varje Azure-prenumeration litar på exakt en klientorganisation för autentisering.

En Azure-prenumeration är en gräns för fakturering och resurser — den innehåller Azure-resurser som virtuella datorer, databaser och lagringskonton. En prenumeration litar på en Entra ID-klientorganisation, vilket innebär att endast identiteter från den klientorganisationen (eller federerade identiteter) kan beviljas åtkomst till resurser i prenumerationen. Flera prenumerationer kan lita på samma klientorganisation, vilket gör att stora företag kan hantera många miljöer med ett gemensamt identitetslager.

Det är grundläggande att förstå skillnaden. Autentisering (AuthN) är processen där ni bevisar vem ni är — Entra ID verifierar ert användarnamn och lösenord (eller er MFA-token). Auktorisering (AuthZ) är processen där det avgörs vad ni har behörighet att göra — Azure RBAC kontrollerar era rolltilldelningar för att avgöra vilka åtgärder er identitet får utföra på Azure-resurser efter att autentiseringen har lyckats.

Entra ID finns i tre huvudversioner. Free (ingår i alla Azure-prenumerationer) tillhandahåller grundläggande hantering av användare och grupper, SSO för upp till 10 appar samt grundläggande säkerhetsrapporter. P1 lägger till villkorsstyrd åtkomst, hybrididentitet med lokalt AD och självbetjäningshantering av grupper. P2 lägger till identitetsskydd med riskbaserad villkorsstyrd åtkomst och Privileged Identity Management (PIM) för just-in-time-aktivering av roller.

Entra ID har stöd för enbart molnbaserade användare (som skapas direkt i katalogen) och synkroniserade användare (som synkroniseras från lokalt AD via Entra Connect). Ni kan skapa användare via Azure-portalen, administrationscentret för Microsoft 365, Azure CLI eller PowerShell. Varje användarobjekt lagrar attribut som visningsnamn, e-postadress, befattning, avdelning och chef samt autentiseringsuppgifter.

Entra ID har stöd för två grupptyper. Säkerhetsgrupper används för att tilldela behörigheter — lägg till en användare i en säkerhetsgrupp och ge gruppen en RBAC-roll i stället för att hantera individuella tilldelningar. Microsoft 365-grupper samlar en delad postlåda, kalender, SharePoint-webbplats och Teams-arbetsyta för samarbete. Medlemskap i grupper kan tilldelas dynamiskt baserat på användarattribut, vilket minskar den manuella hanteringen.

När ni vill tillåta att ett program autentiserar användare via Entra ID skapar ni en App Registration. Den representerar programmet i katalogen och ger det ett klient-ID. Därefter konfigurerar ni tillåtna omdirigerings-URI:er och API-behörigheter och (för konfidentiella klienter) genererar ni en klienthemlighet eller laddar upp ett certifikat. Appen använder OAuth 2.0-/OIDC-flöden för att hämta åtkomsttoken åt användare.

En hanterad identitet är en automatiskt hanterad identitet i Entra ID som tilldelas till en Azure-resurs, till exempel en virtuell dator eller App Service. Resursen kan hämta token från Entra ID utan lagrade autentiseringsuppgifter eller hantering av rotation. Systemtilldelade hanterade identiteter skapas och tas bort tillsammans med resursen; användartilldelade hanterade identiteter är fristående objekt som kan kopplas till flera resurser.

Self-Service Password Reset (SSPR) låter användare återställa sina egna Entra ID-lösenord utan att kontakta IT-supporten genom att använda verifieringsmetoder som autentiseringsapp, telefon, e-post eller säkerhetsfrågor. SSPR minskar antalet supportärenden avsevärt och gör att användare kan häva blockeringar själva även utanför arbetstid. Funktionen finns i Entra ID P1 och P2 och kan skriva tillbaka lösenord till lokalt AD i hybridmiljöer.

I den här lektionen lärde ni er att: Entra ID är Azures molnbaserade identitetstjänst som använder OAuth 2.0 och OpenID Connect, klientorganisationer är dedikerade kataloginstanser som prenumerationer litar på för autentisering och hanterade identiteter gör att Azure-resurser kan autentisera utan lagrade autentiseringsuppgifter. Nästa steg är att gå igenom användare, grupper och RBAC-rolltilldelningar i Entra ID.