Microsoft Entra ID: Neden bir dizinden çok daha fazlası?

Klasik bir dizin ve çok daha fazlası

Active Directory, orijinal X.500 tabanlı Exchange Server dizin deposunda derin köklere sahip, saf ve basit bir dizindir. Şirket içi dağıtımlardan saf veya hibrit bir yapılandırmayla bulutu benimsemeye geçiş yapanlar, Entra ID'nin (Azure Active Directory) Microsoft 365 ekosisteminde oynadığı genişletilmiş rol karşısında genellikle şaşırıyorlar. Bu makalede Entra ID'nin neden klasik bir dizinden daha fazlası olduğu tartışılmaktadır. Bunun yerine Microsoft 365'in temel taşıdır.

Dizin temelleri

Öncelikle Entra ID'nin bir dizin hizmetinden beklediğiniz tüm rolleri yerine getirdiğini kabul etmek önemlidir. Microsoft, "Entra ID'nin bulut tabanlı bir kimlik ve erişim yönetimi hizmeti olduğunu" söylüyor. Temel olarak Entra ID, kullanıcı hesaplarının (Şekil 1), grupların, cihazların ve uygulamaların ayrıntılarını tutar. Kimlik doğrulama isteklerine yanıt verir ve uygulamaların verilere erişmesine izin vermek için gerekli yetkiyi (OAuth2 belirteçleri) verir. Entra ID, birincil hizmetinin herhangi bir nedenle kullanılamaması durumunda kimlik doğrulama isteklerine hizmet vermeye devam etmesine olanak tanıyan bir yedek kimlik doğrulama hizmetine sahiptir.

Şekil 1: Entra ID Kullanıcı yönetimi

Bütün bunlar çok büyük ölçekte oluyor. Temmuz 2023'te Microsoft, Microsoft Entra ID'nin aylık 610 milyon aktif kullanıcıya sahip olduğunu söyledi. Entra ID kullanıcılarının yaklaşık 400 milyonu veya üçte ikisi Microsoft 365 kiracılarından geliyor. Başka bir deyişle, Entra ID kullanımının üçte biri Workday ve ServiceNow gibi Microsoft 365 dışı kaynaklardan geliyor.

Bulut hizmetiyle ilgili olan şey, tüketicilerinin fiziksel altyapısı hakkında hiçbir şey bilmesine gerek olmamasıdır. Microsoft dünya çapında veri merkezleri işletiyor. Microsoft 365 veri merkezleri, kiracı verilerinin depolanmasını düzenlemek için 'Çekirdek Mağaza' adı verilen bir konsepti kullanan Entra ID'yi barındırıyor. Core Store, her biri birden fazla kiracı içeren "ölçek birimlerinden" oluşur. Her kiracının, kiracı verilerine erişmek için kullanılan benzersiz bir güvenlik belirteci vardır. Ölçek birimleri bir Azure coğrafi konumuna (ABD gibi) atanır. Veri dayanıklılığını sağlamak için veriler, coğrafi konum dahilinde en az iki Azure bölgesindeki fiziksel veri merkezlerine çoğaltılır. Core Store'un nasıl çalıştığı hakkında daha fazla bilgi için bu videoya bakın.

Çok uluslu kuruluşların ihtiyaçlarını karşılamak için Microsoft 365, birincil kiracı ve uydu kiracılardan oluşan çok coğrafyalı kuruluşları destekler. Son zamanlardaki bir diğer yenilik ise çok kiracılı organizasyonlara yönelik ön izlemedir. Bu, Entra ID kiracılar arası erişim ilkelerinin ve Microsoft 365 özelliklerinin bir birleşimi olup, en fazla beş kiracının sanal bir kuruluşta birleştirilmesine olanak tanır. Bu, kiracıların normdan daha güvenilir olduğunu belirlemenin bir yoludur. Ve bir kiracı daha güvenilir olduğunda Teams gibi Microsoft 365 uygulamaları bu kiracıların kullanıcılarına daha yüksek düzeyde erişime izin verebilir.

Kimlik doğrulamanın değişen şekli

Kullanıcılar ve uygulamalar, sunucular, etki alanları, ormanlar veya başka herhangi bir şey hakkında bilgi sahibi olmadan kiracı örneğine karşı kimlik doğrulaması yapar. Kimlik doğrulaması için gereken tek şey, kullanıcı asıl adı (kullanıcı hesabı) veya uygulama kaydıdır. Son yıllarda Microsoft, mümkün olan her yerde temel kimlik doğrulamayı kaldırarak ve parola sprey saldırılarını durdurmak için çok faktörlü kimlik doğrulamayı (MFA) zorunlu kılarak güvenliği artırmak ve Entra ID kullanıcı hesaplarının ele geçirilmesini önlemek için yoğun bir kampanya yürüttü. Tercih edilen kimlik doğrulama yöntemleri, geleneksel SMS tabanlı sorgulama-yanıt verme yönteminden uzaklaşmış olup Microsoft Authenticator uygulamasını, Outlook mobile'ı (artık 'Authenticator Lite' özelliklerini de içermektedir) ve FIDO2 anahtarlarını içermektedir.

Microsoft, Entra ID hizmetinin yürütülmesinden sorumlu olduğundan, bağlantı için gerekli güvenlik düzeyini kademeli olarak artırarak müşterilerin çalışma alışkanlıklarını değiştirmelerini sağlayabilir. Örneğin Microsoft, kiracılara Güvenlik Varsayılanları uygular, müşterileri mevcut en güçlü kimlik doğrulama yöntemini kullanmaya zorlar ve şu anda kullanıcıları MFA yöntemlerini Authenticator uygulamasına yükseltmeye ikna etmek için kayıt kampanyaları yürütmektedir.

Platform farkı

Tüm Microsoft 365 kiracıları, dizin olarak Entra ID'nin temel sürümünü kullanır. Kiracılar için eklenti lisansları veya Microsoft 365 E5 gibi daha üst düzey ürünler aracılığıyla iki düzeyde premium özellik mevcuttur. Örneğin, yaygın olarak kullanılan bazı Entra ID Premium özellikleri şunlardır:

Koşullu erişim politikaları: Uygulamalara erişmeye çalışırken bağlantıların doğru düzeyde kimlik doğrulama gücü kullandığından, doğru konumdan geldiğinden veya onaylı bir cihaz kullandığından emin olmak için gelen bağlantılar üzerinde kontrol uygulayın. Koşullu erişimi karmakarışık hale getirmek kolaydır ancak bu politikalar birçok Microsoft 365 kiracısını korumanın önemli bir parçasıdır.
Grup sona erme ilkesi: Microsoft 365 gruplarının kullanılmadığını ve silinebileceğini algılamak için Microsoft Graph tarafından toplanan sinyalleri kullanır. Grup sahipleri ve yöneticileri gerektiğinde grupları yenileme şansına sahiptir.
İncelemelere erişim: Yöneticiler, doğru kişilerin gruplar aracılığıyla bilgilere erişmesini sağlamak için grup üyeliklerinin incelemelerini düzenli aralıklarla planlayabilir.
Ayrıcalıklı Kimlik Yönetimi: PIM, Entra Kimlik Yönetişim çözümünün bir parçasıdır ve kuruluşların, sahip oldukları rollere erişimi elinde bulunduran kişiler tarafından "ayrıcalık yayılımının" sızmamasını sağlamak için izin verilen roller üzerinde sıkı kontrol uygulamasına olanak tanır. daha fazla gerekli değil.

Önemli olan, Entra ID'nin yalnızca temel dizin yönetimi ve kimlik doğrulamayla ilgili olmamasıdır. Entra ID'nin sağladığı değerin büyük bir kısmı Microsoft'un platformun üzerine inşa ettiği işlevlerden geliyor. Elbette, işlevselliğe erişim kazanmak için fazladan ödeme yapmanız gerekir, ancak çoğu durumda Entra ID Premium lisansları için ödeme yapmak, aynı tür özellikleri kendiniz oluşturmaya çalışmaktan daha ekonomik ve uygundur. PowerShell ve Graph API istekleriyle eski grupların geçerliliğini sona erdirmek veya erişim incelemelerini işlemek için kod oluşturmak mümkündür. Kullanılmayan konuk hesaplarının temizlenmesi gibi Microsoft'un göz ardı ettiği dizin yönetiminin diğer yönlerini bile otomatikleştirebilirsiniz. Ancak, kullanıma hazır yazılım lisansları için ödeme yapmak ile ısmarlama kodun geliştirilmesi ve bakımının devam eden maliyeti arasında her zaman dikkate alınması gereken bir denge vardır.

Lisans yönetimi

Yazılım için ödeme yapmaktan bahsetmişken, buluttaki en büyük fark, Entra ID kullanıcı hesaplarının uygulamalara erişmek için lisanslara ihtiyaç duymasıdır. Bu lisansların aylık maliyetleri vardır ve bunların bazıları ağır olabilir. Lisans yönetimi, herhangi bir Microsoft 365 kiracısının odaklanacağı çok büyük bir alandır. Aktif kullanıcılara hizmet sunmak için Microsoft'a gereğinden fazla ödeme yapmak istemezsiniz.

Yazılım satıcıları lisans yönetimi yazılımı sağlamaktan mutluluk duyacaktır. Ancak, Microsoft lisanslamanın nasıl çalıştığını (karanlık bir sanat) ve kullanıcı hesaplarından lisans verilerinin nasıl alınıp analiz edileceğini öğrenmeye zaman ayırırsanız, bu, otomatikleştirilmesi oldukça kolay bir alandır. Grup tabanlı lisanslama gibi teknikler, kuruluşların lisans atamalarını otomatikleştirmesine yardımcı olur ve Microsoft Graph PowerShell SDK, herhangi bir üçüncü taraf yazılımı satın almadan lisans atamalarını yakından takip etmek için gereken tüm cmdlet'leri içerir.

Geçişin yapılması

Bazen şirket içi Active Directory dağıtımlarını çalıştıran kişiler, kuruluşları buluta geçtiğinde geleceklerini merak ederler. Yapacak işleri olacak mı? Görevleri devam edecek mi? Sonunda ne yapacaklar?

Benim bakış açım şu ki, eğer bu durumdaysanız yapacak iş bulmakta sorun yaşamazsınız. Geçişin anlaşılması işlerin ilerlemesini başlatır ve ardından bilgilerin Active Directory'den Entra ID'ye devam eden senkronizasyonu gelir. Bu tek yönlü bir yol olabilir veya belki de Active Directory kayıt dizini olarak kalacaktır. Her iki durumda da, her şeyin sorunsuz çalıştığından ve çitin her iki tarafındaki kullanıcıların dizine eşit erişime sahip olduğundan emin olmak için yapılması gereken işler var.

Geçişi yaptığınızda daha da fazla fırsat ortaya çıkar. Bir Active Directory yöneticisinin işi genellikle sunucu yönetimi gibi birçok bloke etme ve ele alma (ve son derece önemli) aktiviteyi içerir. Bu, kuruluşun Entra ID platformundan yararlanma olanaklarını keşfetmesine zaman kazandırmak amacıyla bulutta kayboluyor. Bu iyi bir şey çünkü yöneticiler destek personeli olmaktan çıkıp kiracıyı ve gizli bilgileri korumak için gelişmiş güvenlik gibi alanlara (hassas SharePoint Online sitelerini işaretlemek için kimlik doğrulama bağlamını kullanmak gibi) geçiş yapıyor. Yukarıda belirtildiği gibi, bir Microsoft 365 kiracısında lisans kullanım maliyetini yönetmek, yetenekli idari personele sahip olmanın avantajlarını kanıtlamanın iyi bir yoludur. Kısacası işinizden mahrum kalmayacaksınız.

Entra ID bir platformdur

Entra ID'yi Active Directory'nin bulut tabanlı bir sürümüyle eşitlemek tamamen aptalca. Entra ID, Active Directory'nin şimdiye kadar olduğundan ve olabileceğinden çok daha fazlası bir platformdur. Ama bu sorun değil. İki ürün farklı amaçlara ve farklı bilgi işlem biçimlerine hizmet eder. Önemli olan Entra ID'nin farklı yönleri hakkında bilgi edinmeye devam etmektir, böylece kuruluşunuzun ortaya çıkan yeni özelliklerden ve işlevlerden yararlanabilmesi sağlanır. Son birkaç yılın deneyimine dayanarak bu çalışmanın sürekli ve sürekli olacağını söyleyebiliriz. İyi şanlar!