Co je architektura Microsoft Entra?
Microsoft Entra ID umožňuje bezpečně spravovat přístup ke službám a prostředkům Azure pro vaše uživatele. Součástí Microsoft Entra ID je úplná sada možností správy identit. Informace o funkcích Microsoft Entra naleznete v tématu Co je Microsoft Entra ID?
Pomocí Microsoft Entra ID můžete vytvářet a spravovat uživatele a skupiny a povolit oprávnění povolit a odepřít přístup k podnikovým prostředkům. Informace o správě identit najdete v tématu věnovaném základům správy identit Azure.
Architektura Microsoft Entra
Geograficky distribuovaná architektura Microsoft Entra ID kombinuje rozsáhlé monitorování, automatizované přesměrování, převzetí služeb při selhání a možnosti obnovení, které zákazníkům poskytují dostupnost a výkon celé společnosti.
Tento článek se zabývá následujícími prvky návrhu:
- Návrh architektury služeb
- Škálovatelnost
- Nepřetržitá dostupnost
- Datová centra
Návrh architektury služeb
Nejběžnější způsob, jak vytvořit přístupný a použitelný systém s bohatými daty, je prostřednictvím nezávislých stavebních bloků nebo jednotek škálování. Pro datovou vrstvu Microsoft Entra se jednotky škálování nazývají oddíly.
Datová vrstva obsahuje několik front-endových služeb, které poskytují funkce pro čtení a zápis. Následující diagram znázorňuje, jak se komponenty oddílu s jedním adresářem doručují v geograficky distribuovaných datacentrech.
Součástí architektury Microsoft Entra je primární replika a sekundární repliky.
Primární replika
Primární replika obdrží všechny zápisy pro oddíl, do kterého patří. Všechny operace zápisu se okamžitě replikují do sekundární repliky v jiném datovém centru. Teprve potom se volající informuje o úspěchu, aby se zajistila geograficky redundantní odolnost zápisů.
Sekundární repliky
Všechna čtení adresáře se obsluhují ze sekundárních replik, které jsou v datacentrech fyzicky umístěných v různých geografických oblastech. Protože data se replikují asynchronně, existuje mnoho sekundárních replik. Čtení adresářů, jako jsou žádosti o ověření, se obsluhují z datacenter, která jsou blízko zákazníků. Sekundární repliky zodpovídají za škálovatelnost čtení.
Škálovatelnost
Škálovatelnost je schopnost služby rozšířit se a plnit rostoucí požadavky na výkon. Škálovatelnosti zápisu se dosahuje dělením dat. Škálovatelnost čtení se zajišťuje replikací dat z jednoho oddílu do několika sekundárních replik distribuovaných po celém světě.
Požadavky z adresářových aplikací se směrují do nejbližšího datacentra. Zápisy se transparentně přesměrují na primární repliku, aby se zajistila konzistence čtení a zápisu. Sekundární repliky výrazně rozšiřují rozsah oddílů, protože adresáře obvykle většinu doby obsluhují čtení.
Aplikace adresáře se připojují k nejbližším datovým centrům. Toto připojení zlepšuje výkon, a proto je možné horizontální navýšení kapacity. Vzhledem k tomu, že oddíl adresáře může mít mnoho sekundárních replik, sekundární repliky mohou být umístěné blíž ke klientům adresáře. Jenom interní komponenty služby adresáře, které jsou náročné na zápis, přímo cílí na aktivní primární repliku.
Nepřetržitá dostupnost
Dostupnost (nebo doba provozuschopnosti) definuje schopnost systému pracovat bez přerušení. Klíčem k vysoké dostupnosti Microsoft Entra ID je, že služby můžou rychle přesouvat provoz napříč několika geograficky distribuovanými datovými centry. Každé datové centrum je nezávislé, což umožňuje režimy selhání, které korelují. Díky tomuto návrhu vysoké dostupnosti nevyžaduje ID Microsoft Entra žádné výpadky pro aktivity údržby.
Návrh oddílů Microsoft Entra ID je ve srovnání s návrhem podnikové služby AD zjednodušený pomocí návrhu s jedním hlavním serverem, který zahrnuje pečlivě orchestrovaný a deterministický proces převzetí služeb při selhání primární repliky.
Odolnost proti chybám
Systém je dostupnější, pokud je odolný vůči selháním hardwaru, sítě a softwaru. Pro každý oddíl v adresáři existuje hlavní replika s vysokou dostupností: primární replika. V této replice se provádějí jenom zápisy do oddílu. Tato replika se průběžně a pečlivě monitoruje a pokud se zjistí selhání, zápisy je možné okamžitě přesunout do jiné repliky (která se stane novou primární replikou). Během převzetí služeb při selhání může dojít ke ztrátě dostupnosti zápisu, obvykle na 1 až 2 minuty. Dostupnost čtení není během této doby ovlivněna.
Operace čtení (jejichž počet mnohonásobně převyšuje počet zápisů) jdou jenom do sekundárních replik. Vzhledem k tomu, že sekundární repliky jsou idempotentní, ztráta libovolné repliky v daném oddílu se dá snadno vykompenzovat přesměrováním čtení do jiné repliky, obvykle ve stejném datovém centru.
Odolnost dat
Zápis se před potvrzením trvale potvrdí alespoň do dvou datacenter. K tomu dochází tak, že nejprve potvrdíte zápis na primárním serveru a pak okamžitě replikuje zápis do alespoň jednoho jiného datacentra. Tato akce zápisu zajistí, že potenciální katastrofická ztráta datacentra hostujícího primární datacentrum nezpůsobí ztrátu dat.
Microsoft Entra ID udržuje nulový cíl doby obnovení (RTO), aby nepřišla o data při převzetí služeb při selhání. Sem patří:
- Vystavování tokenů a čtení adresáře
- Povolení pouze 5 minut RTO pro zápisy adresářů
Datová centra
Repliky Microsoft Entra se ukládají v datacentrech umístěných po celém světě. Další informace najdete v tématu Globální infrastruktura Azure.
Microsoft Entra ID funguje napříč datovými centry s následujícími vlastnostmi:
- Ověřování, Graph a další služby AD se nacházejí za službou Gateway. Gateway spravuje vyrovnávání zatížení těchto služeb. Automaticky převezme služby při selhání, pokud se zjistí všechny servery, které nejsou v pořádku, pomocí transakčních sond stavu. Na základě těchto sond stavu brána dynamicky směruje provoz do datacenter, která jsou v pořádku.
- Pro čtení má adresář sekundární repliky a odpovídající front-endové služby v konfiguraci aktivní-aktivní provoz v několika datacentrech. Pokud datacentrum selže, provoz se automaticky směruje do jiného datacentra.
- V případě zápisů převezme adresář služby při selhání primární repliky napříč datovými centry prostřednictvím plánovaného (nového primárního serveru se synchronizuje se starým primárním) nebo postupů pro nouzové převzetí služeb při selhání. Stálost dat se dosahuje replikací jakéhokoli potvrzení do alespoň dvou datacenter.
Konzistence dat
Adresářový model je jedním z konečných konzistence. Jedním z typických problémů s distribuovanými asynchronně replikovanými systémy je, že data vrácená z "konkrétní" repliky nemusí být aktuální.
Microsoft Entra ID poskytuje konzistenci čtení a zápisu pro aplikace, které cílí na sekundární repliku, směrováním jeho zápisů na primární repliku a synchronním vyžádáním zápisů zpět do sekundární repliky.
Zápisy aplikací pomocí rozhraní Microsoft Graph API id Microsoft Entra se abstrahují od zachování spřažení s replikou adresáře pro konzistenci čtení i zápisu. Služba Microsoft Graph API udržuje logickou relaci, která má spřažení se sekundární replikou používanou pro čtení; spřažení je zachyceno v "tokenu repliky", který služba ukládá do mezipaměti pomocí distribuované mezipaměti v datacentru sekundární repliky. Tento token se potom využívá pro následné operace ve stejné logické relaci. Pokud chcete dál používat stejnou logickou relaci, musí být následné požadavky směrovány do stejného datacentra Microsoft Entra. Pokud se požadavky klientů adresáře směrují do více datacenter Microsoft Entra, není možné pokračovat v logické relaci; pokud k tomu dojde, klient má více logických relací, které mají nezávislé konzistence čtení a zápisu.
Poznámka:
Zápisy se okamžitě replikují do sekundární repliky, pro kterou byla provedena čtení logické relace.
Zálohování na úrovni služby
Microsoft Entra ID implementuje denní zálohování dat adresáře a může tyto zálohy použít k obnovení dat, pokud dojde k nějakému problému v celé službě.
Adresář také implementuje obnovitelné odstranění místo pevných odstranění pro vybrané typy objektů. Správce tenanta může všechny náhodné odstranění těchto objektů vrátit zpět do 30 dnů. Další informace najdete v rozhraní API pro obnovení odstraněných objektů.
Metriky a monitorování
Spouštění služby s vysokou dostupností vyžaduje špičkové metriky a možnosti monitorování. Microsoft Entra ID průběžně analyzuje a hlásí klíčové metriky stavu služby a kritéria úspěchu pro každou z jejích služeb. Existuje také průběžný vývoj a ladění metrik a monitorování a upozorňování pro každý scénář v rámci každé služby Microsoft Entra a napříč všemi službami.
Pokud nějaká služba Microsoft Entra nefunguje podle očekávání, okamžitě se provede akce, která obnoví funkce co nejrychleji. Nejdůležitější metrika Microsoft Entra ID sleduje, jak rychle je možné zjistit a zmírnit problémy s živými weby pro zákazníky. Výrazně investujeme do monitorování a upozornění, abychom minimalizovali čas detekce (cíl TTD: <5 minut) a provozní připravenost pro minimalizaci času pro zmírnění (cíl TTM: <30 minut).
Bezpečný provoz
Použití provozních ovládacích prvků, jako je vícefaktorové ověřování pro libovolnou operaci a auditování všech operací. Kromě toho pomocí systému zvýšení oprávnění za běhu udělte nezbytný dočasný přístup pro všechny provozní úlohy na vyžádání průběžně. Další informace najdete v tématu Důvěryhodný cloud.