Giải thích về Active Directory so với Azure Active Directory - Quản lý nền tảng Microsoft - Blog - Quest Community

“Active Directory so với Azure Active Directory”? Được rồi, tôi sẵn sàng thừa nhận rằng trận đấu này sẽ không bao giờ truyền cảm hứng cho niềm đam mê giống như “Coke vs. Pepsi”, “ Marvel vs. DC ” hay “ Kirk vs. Picard. ” Tuy nhiên, hai công nghệ cốt lõi này của Microsoft ảnh hưởng đến cuộc sống số của bạn nhiều hơn bạn có thể nhận ra, vì vậy việc hiểu chúng thực sự quan trọng.

Để trợ giúp, bài đăng trên blog này trình bày tất cả những điều quan trọng bạn cần biết: chúng giống nhau như thế nào, chúng khác nhau như thế nào và - quan trọng là - chúng có thể hoạt động cùng nhau như thế nào.

Active Directory so với Azure Active Directory: Điểm tương đồng chính

Cái tên “Active Directory” tiết lộ rất nhiều điều về những điểm chung của Active Directory (AD) và Azure Active Directory (Azure AD). Hãy bắt đầu với “thư mục. ” Nói chung, thư mục là một danh sách có tổ chức gồm nhiều thứ, chẳng hạn như những Trang Vàng dày đặc từng nằm trước cửa nhà bạn (hoặc cha mẹ bạn) hoặc Danh sách liên hệ trên điện thoại của bạn. Cả AD và Azure AD đều duy trì cơ sở dữ liệu hoặc thư mục đối tượng; một trong những loại đối tượng quan trọng nhất là tài khoản người dùng, bao gồm các chi tiết như tên người dùng và mật khẩu của một người, cũng như tên thật, chức danh, bộ phận, v.v.

Nhưng không giống như các Trang vàng, các thư mục Active Directory và Azure AD đều đang hoạt động. Thư mục được in khá tĩnh: Nó không làm bất cứ điều gì; nó nằm đó để bạn tham khảo ý kiến. Ngược lại, AD và Azure AD làm được khá nhiều việc. Trên thực tế, chúng thực hiện hai dịch vụ cơ bản giống nhau: cung cấp xác thực và ủy quyền cho người dùng đang cố gắng truy cập vào thiết bị, dữ liệu, ứng dụng và các tài nguyên kỹ thuật số khác trong hệ sinh thái CNTT của bạn:

• Xác thực là quá trình xác thực rằng ai đó hoặc điều gì đó thực sự đúng như những gì họ nói. Theo truyền thống, các cá nhân xác thực bằng cách cung cấp tên người dùng và mật khẩu - lý tưởng nhất là chỉ có bạn biết mật khẩu của mình, vì vậy bằng cách nhập mật khẩu, bạn đang chứng minh rằng chính bạn đang đăng nhập chứ không phải ai khác. Như bạn chắc chắn đã biết, ngày nay người khác rất dễ dàng đoán hoặc đánh cắp mật khẩu của bạn, vì vậy, bây giờ bạn thường phải cung cấp bằng chứng thứ hai rằng bạn chính là chính mình, chẳng hạn như mã được gửi đến thiết bị di động hoặc dấu vân tay, trong một quy trình được gọi là (bạn đoán vậy!) xác thực đa yếu tố (MFA).
• Ủy quyền là quá trình xác định xem ai đó hoặc việc gì đó được phép làm sau khi họ đã được xác thực. Ví dụ: một công ty có thể muốn cho phép CPA Alex tạo và chỉnh sửa một số tài liệu tài chính nhất định, nhưng lại không cho phép quản trị viên hệ thống Chris đọc chúng. Tương tự, Chris sẽ được phép xây dựng và chạy các tập lệnh PowerShell cũng như truy cập dữ liệu bị cấm đối với Alex.

Nói cách khác, cả Active Directory và Azure Active Directory đều là hai thứ: một thư mục chứa thông tin quan trọng về các đối tượng trong môi trường CNTT của bạn và một tập hợp dịch vụ kiểm soát phần lớn hoạt động đang diễn ra, trong đó xác thực và ủy quyền là hai trong số các dịch vụ quan trọng nhất.

Active Directory so với Azure Active Directory: Sự khác biệt chính

Sự khác biệt cơ bản nhất giữa hai công nghệ là Active Directory ban đầu tồn tại trong các trung tâm dữ liệu tại chỗ trong khi Azure Active Directory được thiết kế cho đám mây của Microsoft. Hãy giải nén điều đó có nghĩa là gì.

Active Directory thường hoạt động trên các máy tính đặt tại chỗ đặc biệt được gọi là bộ điều khiển miền (DC). Bạn mua những máy này, bạn cài đặt hệ điều hành Windows Server trên mỗi máy, bạn định cấu hình chúng và bạn chịu trách nhiệm chăm sóc và cung cấp cho chúng. DC lưu trữ thư mục AD và chạy các dịch vụ AD. Thông thường, các tổ chức có nhiều DC làm việc cùng nhau. Đặc biệt, bất kỳ thay đổi nào được thực hiện đối với thư mục trên một bộ điều khiển miền — chẳng hạn như người dùng cập nhật mật khẩu hoặc tài khoản người dùng bị khóa do đăng nhập thất bại quá nhiều lần — đều được sao chép sang các bộ điều khiển miền khác để tất cả chúng luôn được cập nhật. Trong những năm gần đây, một số tổ chức đã chuyển Active Directory của họ sang đám mây; tuy nhiên, họ vẫn chịu trách nhiệm về vị trí của cơ sở hạ tầng.

Azure AD hoạt động trên các máy chủ của Microsoft trong trung tâm dữ liệu của Microsoft. Bạn không cần phải mua chúng, cấu hình chúng, đảm bảo chúng có nhiệt độ và độ ẩm thích hợp hoặc bảo vệ chúng khỏi những kẻ xâm nhập và thiên tai. Nếu tổ chức của bạn đăng ký bất kỳ dịch vụ kinh doanh trực tuyến nào của Microsoft chẳng hạn như Office 365 (hiện được gọi là Microsoft 365), thì bạn có Azure AD. (Tuy nhiên, chỉ một số tính năng của Azure AD được bao gồm miễn phí; những tính năng khác yêu cầu giấy phép Azure AD Basic, Premium P1 hoặc Premium P2.)

Nhưng đây là điều quan trọng cần hiểu: Azure AD không giống như Active Directory cũ mà bạn biết, chỉ chạy trên máy chủ của Microsoft thay vì DC của riêng bạn. Azure AD là một công nghệ khác, được thiết kế đặc biệt để đáp ứng nhu cầu của môi trường đám mây thay vì môi trường tại chỗ. Hãy đi sâu vào điểm khác biệt quan trọng nhất.

Kết cấu

Trong Active Directory, đơn vị chính là miền: một nhóm người dùng, máy tính và các đối tượng AD khác có liên quan được lưu trữ trong một cơ sở dữ liệu (thư mục) duy nhất và có thể được quản lý cùng nhau. Một công ty nhỏ có thể chỉ có một miền nhưng các tổ chức lớn hơn thường có nhiều miền, chẳng hạn như các miền riêng biệt cho các vị trí hoặc đơn vị kinh doanh khác nhau. Nhiều miền có thể được kết hợp thành một cây và nhiều cây có thể được nhóm thành một rừng.

Azure AD không có bất kỳ thứ nào trong số này. Thay vào đó, thành phần cơ bản là đối tượng thuê: một phiên bản dành riêng của Azure AD cho một công ty cụ thể. Bạn tạo đối tượng thuê khi tổ chức của bạn đăng ký dịch vụ đám mây của Microsoft như Office 365. Đối tượng thuê Azure của bạn có một thư mục chuyên dụng bao gồm tất cả người dùng của bạn và thực hiện các dịch vụ như xác thực và ủy quyền cho bạn.

Xác thực

Cả Active Directory và Azure Active Directory đều thực hiện xác thực nhưng chúng sử dụng các giao thức hoàn toàn khác nhau để hoàn thành công việc. (Về cơ bản, một giao thức là một bộ quy tắc trao đổi dữ liệu giữa các máy khác nhau, bao gồm cách cấu trúc thông tin cũng như cách mỗi bên gửi và nhận thông tin đó.)

Active Directory đã tồn tại quá lâu nên các giao thức xác thực đã phát triển rất nhiều, từ LM đến NTLM, sau đó đến NTLMv2 và Kerberos hiện được hỗ trợ. Mỗi sự tiến bộ làm cho những kẻ mạo danh khó đánh lừa hệ thống và xác thực thành công bằng thông tin xác thực của người khác.

Azure AD không hỗ trợ bất kỳ giao thức nào trong số này. Thay vào đó, nó sử dụng các giao thức xác thực hiện đại như OAuth, SAML và OpenID Connect. Hơn nữa, xác thực Azure Active Directory là một quy trình nhiều mặt bao gồm các thành phần như đặt lại mật khẩu tự phục vụ, Xác thực đa yếu tố Azure AD, chính sách Truy cập có điều kiện và thậm chí cả xác thực không cần mật khẩu.

Ủy quyền

Active Directory và Azure Active Directory cũng thực hiện ủy quyền theo những cách khá khác nhau. Trong cả hai trường hợp, ủy quyền là một quá trình phức tạp bao gồm rất nhiều thành phần; Tôi sẽ chỉ tập trung vào những yếu tố quan trọng nhất, vì vậy đừng nhầm bài đăng blog ngắn này là một cuộc thảo luận toàn diện.

Trong Active Directory, có ba cách chính để kiểm soát những gì người dùng được phép làm:

• Thành viên nhóm bảo mật AD — Nhóm bảo mật AD về cơ bản là danh sách tài khoản người dùng và một tập hợp các quyền được cấp cho mọi người dùng trong nhóm. Có nhiều nhóm bảo mật tích hợp khác nhau, chẳng hạn như Quản trị viên miền và Khách, đồng thời bạn cũng có thể tạo các nhóm tùy chỉnh của riêng mình. Ví dụ: bạn có thể có một nhóm bảo mật có tên là “Nhóm tài chính” cho phép mọi người trong nhóm chạy một số ứng dụng nhất định và sửa đổi một số tệp nhất định có liên quan đến trách nhiệm tập thể của họ.
• Quyền được chỉ định trực tiếp — Bạn cũng có thể chỉ định trực tiếp quyền cho các đối tượng Active Directory như tài khoản người dùng. Điều này cho phép kiểm soát quyền truy cập rất chi tiết, nhưng nhìn chung đây không phải là phương pháp hay nhất vì việc quản lý quyền cho từng người dùng rất dễ xảy ra lỗi và gần như không thể quản lý hiệu quả ngay lập tức.
• Chính sách nhóm — Chính sách nhóm là một tính năng rất mạnh mẽ của Active Directory ảnh hưởng đến nhiều quy trình, một trong số đó là ủy quyền. Nó cho phép quản lý tập trung người dùng và máy tính, do đó, chẳng hạn, bạn có thể sử dụng nó để ngăn chặn bất kỳ ai thực thi lệnh từ dấu nhắc lệnh trên máy của họ hoặc sao chép dữ liệu sang thiết bị di động. Ví dụ, nó cũng có thể được sử dụng chi tiết hơn để chặn người dùng không xác định trên các máy tính từ xa kết nối với mạng chia sẻ.

Vì vậy, khi người dùng được xác thực cố gắng thực hiện điều gì đó — chẳng hạn như đọc một phần dữ liệu hoặc chạy ứng dụng — Active Directory sẽ quyết định xem có cho phép hành động đó hay không bằng cách (trong số những việc khác) kiểm tra các quyền mà họ đã được cấp trực tiếp và thông qua bảo mật của họ. tư cách thành viên nhóm và các quy tắc được đặt ra trong Chính sách nhóm.

Azure AD xử lý ủy quyền rất khác nhau. Một lần nữa, đây là một quá trình phức tạp mà tôi không trình bày chi tiết đầy đủ nhưng đây là các thành phần chính:

• Nhóm bảo mật Azure AD — Nhóm bảo mật trong Azure AD có cấu trúc và chức năng tương tự như nhóm bảo mật trong Active Directory tại chỗ: Tất cả thành viên của nhóm đều được cấp tất cả các quyền được chỉ định cho nhóm. Tuy nhiên, các nhóm Active Directory bao gồm các tài khoản người dùng tại chỗ và kiểm soát quyền truy cập vào các tài nguyên và ứng dụng tại chỗ, trong khi các nhóm bảo mật Azure AD bao gồm các tài khoản người dùng Azure AD và được sử dụng để cấp quyền truy cập vào tài nguyên Microsoft 365, chẳng hạn như SharePoint Trực tuyến.
• Nhóm Microsoft 365 (trước đây gọi là nhóm Office 365) — Nhóm Microsoft 365 giống như nhóm bảo mật Azure AD trên steroid. Nó có một danh sách các thành viên nhưng cũng được kết hợp với các tài nguyên và khối lượng công việc cho nhóm, chẳng hạn như site nhóm SharePoint và hộp thư Exchange chung. Nhóm Microsoft 365 có thể bao gồm người dùng cả trong và ngoài công ty của bạn, đồng thời họ có thể được đặt cấu hình cho tư cách thành viên động, nghĩa là các thành viên trong nhóm được thêm hoặc xóa tự động dựa trên các thuộc tính như bộ phận, vị trí hoặc chức danh.
• Vai trò Azure AD — Vai trò Azure AD cấp các nhóm quyền cụ thể cho các loại quản trị viên khác nhau. Ví dụ: vai trò Quản trị viên toàn cầu cấp quyền truy cập vào tất cả các tính năng quản trị trong Azure AD và các dịch vụ sử dụng danh tính Azure AD, chẳng hạn như Trung tâm bảo mật Microsoft 365, Exchange Online và SharePoint Online. Vai trò Quản trị viên Exchange, như tên ngụ ý, cấp cho người dùng quyền chung trong Exchange Online. Có rất nhiều vai trò Azure AD tích hợp sẵn và bạn cũng có thể tạo vai trò tùy chỉnh của riêng mình.

Quản lý máy tính và thiết bị

Trong Active Directory, một trong những công cụ mạnh mẽ nhất để quản lý máy tính là Group Policy. Ví dụ: bạn có thể sử dụng Chính sách nhóm để chặn người dùng thêm tài khoản Microsoft mới trên một máy tính cụ thể, ngăn cài đặt máy trái phép, khóa máy tính sau một thời gian không hoạt động nhất định, tự động cài đặt bản cập nhật phần mềm trên tất cả các máy tính và ngăn việc sử dụng của các thiết bị lưu trữ di động.

Azure AD, như chúng ta đã thấy, không có Chính sách nhóm. Thay vào đó, việc quản lý thiết bị được thực hiện bằng Microsoft Intune. Bạn có thể thiết lập các quy tắc khác nhau cho các thiết bị thuộc sở hữu của tổ chức và thiết bị cá nhân (BYOD) đã đăng ký Intune. Các tùy chọn bao gồm chặn các thiết bị đã bẻ khóa, đẩy chứng chỉ đến thiết bị để người dùng có thể kết nối với mạng của bạn thông qua VPN và xóa dữ liệu của công ty khỏi thiết bị bị mất hoặc bị đánh cắp.

Active Directory so với Azure Active Directory: Cái này hoặc cái kia — hoặc cả hai!

Những khác biệt đáng kể giữa hai công nghệ này có nghĩa là chúng phù hợp trong các tình huống khác nhau. Nhưng nó không nhất thiết phải là “Active Directory so với. Azure Active Directory ” — trên thực tế, trong hầu hết các trường hợp, nó thực sự là “Active Directory và Azure Active Directory . ” Hãy xem lý do và cách các tổ chức sử dụng cả hai thứ đó cùng nhau trong môi trường được gọi là môi trường CNTT kết hợp.

Lý do giữ Active Directory tại chỗ

Trong khi một số tổ chức được sinh ra trên nền tảng đám mây và do đó chưa bao giờ có bất kỳ môi trường CNTT tại chỗ nào để quản lý, thì hầu hết các tổ chức lại ở trong một tình huống hoàn toàn khác. Họ đã có một hệ sinh thái CNTT phức tạp, được thiết lập tốt trước khi đám mây xuất hiện và giờ đây họ muốn tận dụng tất cả những gì đám mây của Microsoft cung cấp.

Tại sao họ lại giữ Active Directory tại chỗ thay vì chuyển hoàn toàn sang đám mây? Thực tế có nhiều lý do thuyết phục, bao gồm những lý do sau:

• Ứng dụng cũ hơn — Các tổ chức thường có nhiều ứng dụng riêng và của bên thứ ba rất quan trọng đối với hoạt động của họ nhưng không dễ dàng chuyển sang đám mây. Ví dụ: một tổ chức chăm sóc sức khỏe có thể có các máy MRI đắt tiền dựa vào Active Directory để kiểm soát truy cập và việc thay thế chúng đơn giản là quá đắt. Một tổ chức khác có thể đã xây dựng phần mềm quản lý quan hệ khách hàng hoặc tự động hóa quy trình kinh doanh của riêng họ và việc sửa đổi nó sẽ vừa tốn kém vừa rủi ro. Nói như vậy, nhiều ứng dụng có thể được hiện đại hóa hoặc thay thế bằng các lựa chọn thay thế dựa trên đám mây; nó chỉ cần thời gian và sự quan tâm.
• Bảo mật và tuân thủ — Một số dữ liệu và quy trình rất quan trọng hoặc nhạy cảm đến mức chúng không nên tồn tại trên đám mây. Ví dụ: hệ thống điều khiển công nghiệp và cơ sở hạ tầng nhạy cảm không nên tiếp xúc với internet. Các tổ chức có thể đã phát triển các quy trình mạnh mẽ để bảo vệ dữ liệu nhạy cảm và được quản lý chặt chẽ như hồ sơ sức khỏe hoặc thông tin tài chính tại cơ sở, đồng thời lo lắng về việc tuân thủ HIPAA, SOX, GDPR và các quy định khác nếu họ chuyển dữ liệu đó sang đám mây.
• Hoạt động kinh doanh liên tục — Các tổ chức cũng lo ngại về việc đảm bảo họ có thể tiếp tục hoạt động ngay cả khi mất quyền truy cập Internet hoặc Azure AD ngừng hoạt động. (Điều đó đặc biệt đúng với các tổ chức quản lý cơ sở hạ tầng quan trọng, chẳng hạn như nhà máy nước.) Mối lo ngại này hoàn toàn có cơ sở: Sự cố ngừng xác thực Azure AD vào tháng 3 đã khiến người dùng Microsoft 365 trên toàn thế giới không thể đăng nhập vào Teams và các ứng dụng Office 365 khác — và đã khiến người dùng Microsoft 365 trên toàn thế giới quay trở lại những ký ức đau buồn về sự cố ngừng hoạt động tương tự của Azure AD vào tháng 9 năm 2020. Việc duy trì Active Directory tại chỗ sẽ giảm thiểu rủi ro đó. Ngoài ra, đối với một số tổ chức, bản thân vị trí vật lý của dữ liệu là một vấn đề vận hành; ví dụ, các công ty thương mại cần đặt máy tính của họ gần với máy tính của sàn giao dịch chứng khoán, vì micro giây có thể tạo ra những khác biệt quan trọng trong giao dịch tần số cao.
• Tự cung cấp — Nói chung hơn, các tổ chức thận trọng khi bỏ hết trứng vào một giỏ và giao giỏ đó cho bên thứ ba có lợi ích và ưu tiên riêng. Nếu Máy chủ Exchange tại chỗ của bạn ngừng hoạt động, bạn có thể quyết định xem việc sao lưu nó có phải là ưu tiên hàng đầu của nhóm CNTT hay không, nhưng nếu email Microsoft 365 của bạn không hoạt động bình thường thì bạn phải phó mặc cho Microsoft , ai có thể có cá lớn hơn để chiên vào lúc này.

Kết nối Active Directory và Azure Active Directory

Vì những lý do đó và các lý do khác, các tổ chức chọn môi trường CNTT kết hợp và đồng bộ hóa dữ liệu từ Active Directory tại chỗ của họ với Azure Active Directory.

Microsoft cung cấp hai công cụ trợ giúp: Azure AD Connect và đồng bộ hóa đám mây Azure AD Connect. Các công cụ này tự động đồng bộ hóa dữ liệu nhận dạng giữa môi trường Active Directory tại chỗ và Azure AD, cho phép người dùng sử dụng cùng thông tin xác thực để truy cập vào cả ứng dụng tại chỗ và dịch vụ đám mây như Microsoft 365. Để biết thông tin chi tiết cần thiết, hãy xem bài đăng trên blog của tôi , “Azure AD Connect: Cách thức hoạt động và các biện pháp thực hành tốt nhất. ”

Suy nghĩ cuối cùng

Tôi hy vọng tôi đã thuyết phục được bạn rằng “Active Directory so với Azure Active Directory” là một sự phân đôi sai lầm. Hai công nghệ chỉ phục vụ các mục đích khác nhau. Các tổ chức sinh ra trên đám mây có thể sẽ không bao giờ có nhu cầu về Active Directory và một số ít công ty có thể sẽ gắn bó với AD mà họ đã có và không bao giờ áp dụng Azure AD. Nhưng hầu hết các tổ chức đều có lý do chính đáng để sử dụng cả hai công nghệ cùng nhau - giống như quán cà phê của họ có thể cung cấp cả Coke và Pepsi và nhân viên của họ có thể yêu thích cả Star Trek TOS và TNG một cách hợp pháp.