Mi az Azure Active Directory? Azure AD vs Windows AD

A COVID-19 világjárvány jelentősen felgyorsította a Microsoft felhőalapú szolgáltatásainak átvételét. A Microsoft Teams például a napi felhasználók számának 70%-os növekedését tapasztalta egy hónapon belül. Hasonlóképpen, a Microsoft Azure AD (Azure Active Directory), amely az Office 365 ökoszisztéma létfontosságú összetevője, egyre inkább elterjedt. Az Azure AD leegyszerűsíti a felhasználói bejelentkezés kezelését azáltal, hogy egyetlen felhasználónevet és jelszót rendel hozzá az összes Azure-szolgáltatáshoz. Ez különösen előnyös a több ezer alkalmazottat foglalkoztató nagy szervezetek számára, mivel kiküszöböli a több felhasználói bejelentkezés kezelésének gondját. Az Azure AD a Microsoft felhőalapú identitás- és hozzáférés-kezelési megoldásának gerinceként is szolgál, és szinkronizálható a helyszíni Active Directory-környezetekkel. Ezenkívül biztonságos hitelesítést biztosít más felhőalapú rendszerek számára az OAuth segítségével.

Mi az Azure Active Directory?

Az Azure Active Directory (AAD) egy felhőalapú címtárszolgáltatás, amely központosított identitáskezelést biztosít a több bérlős környezetben működő szervezetek számára. Az AAD segítségével a felhasználók zökkenőmentesen elérhetik a különböző szolgáltatásokat egyetlen bejelentkezési folyamattal. Ezenkívül az AAD megkönnyíti az alkalmazottak bevonását és folyamatos kezelését, lehetővé téve számukra, hogy bárhonnan biztonságosan hozzáférjenek a szolgáltatásokhoz. Az AAD kulcsfontosságú szolgáltatásai közé tartozik a felhasználói információk rögzítésének képessége, valamint a belső és külső erőforrásokhoz való hozzáférési jogok meghatározása. Továbbfejlesztett biztonsági intézkedéseket is kínál, mivel az Active Directory környezetekben lévő sebezhetőségek kihasználhatók kibertámadások során.

Az AAD különbözik az Active Directorytól, amely a Domain Controllers (DC) nevű helyszíni kiszolgálókat futtatja, amely a jogosult felhasználók és számítógépek katalógusát tartalmazza, és Kerberos vagy NTLM használatával hitelesíti őket. Míg az AAD és az Active Directory együtt tud működni hibrid környezetben, az AAD egy különálló megoldás, amely a Microsoft Azure nyilvános felhőplatform része.

Különbség a Windows és az Azure AD között

A Windows Active Directory (AD) és az Azure AD közötti választás során a döntés a szervezet meglévő infrastruktúrájától és jövőbeli terveitől függ. A jól bevált vállalati hálózatok esetében továbbra is a Windows AD a legjobb választás a helyszíni infrastruktúra kezeléséhez. Másrészt a csak felhőalapú megközelítést kívánó szervezetek az Azure AD-t alkalmasabbnak találják teljes felhőalapú infrastruktúrájukhoz. A felügyelet és a biztonság tekintetében a Windows AD és az Azure AD is összehasonlítható szintű konfigurálhatóságot és biztonságot kínál. A 100-nál több felhasználót számláló szervezeteknél azonban bármelyik platform speciális szakértelmet igényel a hatékony kezeléshez. Az Azure AD azonban felhőalapú jellege miatt egyszerűsített kezelést kínál kisebb szervezetek számára. A korlátozott erőforrásokkal rendelkező szervezetek számára az Azure AD könnyebben elérhető és felügyelhető megoldás.

Az alábbiakban bemutatjuk a Windows AD és az Azure AD közötti legszembetűnőbb különbségeket:

Funkció: Kommunikáció

Windows Active Directory: Lightweight Directory Access Protocol (LDAP) protokollt használ az ügyfél-szerver kommunikációhoz

Azure AD: A REST API-kat használja a webalkalmazásokkal való kommunikációhoz

Funkció: Hitelesítés

Windows Active Directory: ellenőrzi a felhasználói hitelesítő adatokat Kerberos és NTLM protokollokon keresztül

Azure AD: OAuth2-t, SAML-t és WS-Security-t használ a biztonságos felhasználói hitelesítéshez

Funkció: Hierarchia

Windows Active Directory: Erdőkből, tartományokból és szervezeti egységekből álló hierarchikus struktúrába rendezve

Azure AD: A felhasználók és csoportok hierarchikus szervezése a „bérlőn” belül

Funkció: Access Management

Windows Active Directory: Engedélyeket biztosít a felhasználóknak, és csoportokhoz rendeli őket, amelyek szabályozzák a hálózati erőforrásokhoz való hozzáférést

Azure AD: A csoportok az alkalmazások és erőforrások engedélyeinek megadására szolgálnak

Funkció: Eszközkezelés

Windows Active Directory: Windows asztali számítógépekre és kiszolgálókra korlátozva, a mobileszközök kivételével

Azure AD: Integrál a Microsoft Intune-nal a mobileszközök kezeléséhez

Funkció: Asztali felügyelet

Windows Active Directory: A házirendek és beállítások érvényesítése a Windows asztali számítógépeken a csoportházirendeken (GPO) keresztül.

Azure AD: Lehetővé teszi, hogy a Windows asztali számítógépek csatlakozzanak az Azure AD-hez a Microsoft Intune-on keresztül

Funkció: Szerverkezelés

Windows Active Directory: A csoportházirendek vagy a helyszíni szerveradminisztrációs rendszerek segítségével vezérli és kezeli a kiszolgálókat

Azure AD: Lehetővé teszi a kiszolgálók kezelését az Azure felhőben az Azure AD Domain Services szolgáltatáson keresztül

Hogyan működik az Azure Active Directory?

Az Azure Active Directory REST API-kat használ a zökkenőmentes adatátvitel érdekében. Az Azure AD egyetlen bérlőn belüli sima szerkezete kényelmet biztosít, de korlátozza az adatok feletti ellenőrzést a bérlő határain túl.

Az Azure AD alapvető építőelemei a felhasználók és a csoportok, amelyek lehetővé teszik a szervezett engedélykezelést. Belső és külső felhasználók is hozzáadhatók, növelve a biztonságot. Különféle módszerek léteznek a felhasználók és csoportok hozzáadására, beleértve a szinkronizálást a Windows AD-ből, a kézi létrehozást, a PowerShell-parancsfájlokat és az Azure AD Graph API-t.

Kulcsfontosságú a megfelelő hitelesítési és jelszószabályok beállítása, a szükségtelen felhasználói kiegészítések minimalizálása, a privilegizált hozzáférés korlátozása, a csoportok kihasználása az erőforrások elosztásához, és a felhasználók csatlakoztatása eszközeikhez a hatékony felhasználókezelés érdekében. Ezenkívül az Azure AD lehetővé teszi az egyéni tartományok konfigurálását, csökkentve a felhasználók frusztrációját és javítva a márka felismerését.

Hogyan működik együtt az On-Prem AD és az Azure AD?

A hibrid AD-környezetek egyesítik a helyszíni Active Directoryt (AD) az Azure AD-vel. A Microsoft Azure AD Connect szinkronizálja az identitásadatokat a helyszíni AD és az Azure AD között, lehetővé téve a felhasználók számára, hogy helyszíni hitelesítési adataikkal hitelesítsenek felhőalapú erőforrásokat, például a SharePoint Online-t és a Teams-t.

Az informatikai szakemberek elsősorban a felhasználókat, csoportokat és engedélyeket kezelik az on-prem AD-n keresztül, amely automatikusan szinkronizálódik a felhővel. Ez szükségtelenné teszi a különálló identitás- és engedélykezelést, minimalizálva a lehetséges hibákat.

Az on-prem AD-vel való szinkronizálás mellett a hibrid AD-környezetek a csak felhőalapú objektumokat és attribútumokat is kezelik. Ide tartoznak a külső felhasználók B2B és B2C felhasználói fiókjai, valamint a csak felhőalapú attribútumok, például az Office 365-alkalmazások „Licenctípus” attribútuma. Ezeknek a csak felhőalapú elemeknek a szinkronban tartása további kezelési, biztonsági, migrációs és jelentéskészítő megoldásokat igényel az on-prem eszközökön túl.

A szinkronizálás fenntartásának elmulasztása hatással lehet a felhasználók hozzáférésére az Office 365 alkalmazásokhoz, mivel a „Licenctípus” attribútum elveszhet a felhasználói objektum törlésekor.

Az Azure Active Directory előnyei és korlátai

Az AAD számos előnnyel rendelkezik, beleértve a több identitásszolgáltatóval való zökkenőmentes integrációt, a különféle alkalmazásokkal való kompatibilitást és az olyan robusztus biztonsági intézkedéseket, mint a többtényezős hitelesítés, a feltételes hozzáférés és a Privileged Identity Management (PAM). Elosztott architektúrájának köszönhetően magas rendelkezésre állást biztosít, biztosítva a folyamatos teljesítményt.

Ezenkívül az AAD megkönnyíti az együttműködést az üzleti partnerekkel és a külső ügyfelekkel. Az AAD-nek azonban vannak bizonyos korlátai. Az MFA-módszerek korlátozott választékát kínálja, és nem támogatja a csoportházirendeket.

Ezenkívül nem támogatja az NTLM vagy Kerberos hitelesítési protokollokat, és korlátozott az OAuth támogatása. Ezenkívül az AAD nem teszi lehetővé az egyéni alkalmazások létrehozását, és korlátozásokkal rendelkezik az eszköz-, hely- és időalapú hozzáférési házirendekkel kapcsolatban.

E korlátozások ellenére az Azure Active Directory továbbra is hatékony eszköz az identitás- és hozzáférés-kezeléshez, és számos előnnyel rendelkezik, amelyek fokozzák a biztonságot és a használhatóságot.

Azure Active Directory hitelesítési összetevői

Az Azure Active Directory kulcsszerepet játszik a hitelesítésben a két elsődleges összetevővel:

• Szolgáltató: Az Azure Active Directory megkönnyíti a kommunikációt a felhasználó és az identitásszolgáltató között. Felvállalja a hitelesítési folyamat kezelését és a hitelesítési token visszaküldését a felhasználónak.
• Identity Provider: Az Azure Active Directory hitelesíti a felhasználó hitelesítő adatait, és ellenőrzi a személyazonosságát. A hitelesítés után az Azure Active Directory hitelesítési jogkivonatot biztosít a szolgáltatónak, amely lehetővé teszi a felhasználó számára, hogy hozzáférjen a kívánt erőforráshoz vagy alkalmazáshoz.