Jaká je architektura Microsoft Entra?

Microsoft Entra umožňuje bezpečně spravovat přístup uživatelů ke službám a prostředkům. Součástí Microsoft Entra je řada možností správy identit a přístupu k síti. Informace o funkcích Microsoft Entra najdete v tématu Co je Microsoft Entra?

Pomocí Microsoft Entra můžete vytvářet a spravovat uživatele a skupiny a povolit oprávnění k povolení a odepření přístupu k podnikovým prostředkům. Informace o správě identit najdete v základech správy identit.

architektura Microsoft Entra

Microsoft Entra ID kombinuje rozsáhlé monitorování, automatizované přesměrování, převzetí při selhání a možnosti obnovení v rámci své geograficky distribuované architektury pro zajištění dostupnosti a výkonu v rámci celé společnosti.

Tento článek se zabývá následujícími prvky návrhu:

  • Návrh architektury služeb
  • Škálovatelnost
  • Nepřetržitá dostupnost
  • Datová centra

Návrh architektury služeb

Nejběžnějším způsobem, jak vytvořit přístupný a použitelný systém s bohatými daty, je použít nezávislé stavební bloky nebo jednotky škálování. U datové vrstvy Microsoft Entra se jednotky škálování nazývají partitions.

Datová vrstva obsahuje několik front-endových služeb, které poskytují funkce pro čtení a zápis. Následující diagram znázorňuje, jak se komponenty oddílu s jedním adresářem doručují v geograficky distribuovaných datacentrech.

Diagram znázorňující komponenty oddílu s jedním adresářem v architektuře Microsoft Entra

Komponenty architektury Microsoft Entra zahrnují primární repliku a sekundární repliky.

Primární replika

Primární replika přijímá všechny zápisy pro oddíl, k němuž patří. Všechny operace zápisu se okamžitě replikují do sekundární repliky v jiném datacentru před vrácením úspěchu volajícímu a zajišťují geograficky redundantní odolnost zápisů.

Sekundární repliky

Všechna čtení adresářů jsou obsluhována sekundárními replikami umístěnými v geograficky distribuovaných datových centrech. Data se replikují asynchronně napříč mnoha sekundárními replikami. Čtení adresářů, jako jsou žádosti o ověření, se zajišťují z datacenter, která jsou blízko zákazníků. Sekundární repliky zodpovídají za škálovatelnost čtení.

Škálovatelnost

Škálovatelnost je schopnost služby rozšířit se a plnit rostoucí požadavky na výkon. Microsoft Entra rozděluje data, aby se dosáhlo škálovatelnosti zápisu. Škálovatelnost čtení se zajišťuje replikací dat z jednoho oddílu do několika sekundárních replik distribuovaných po celém světě.

Požadavky z adresářových aplikací se směrují do nejbližšího datacentra. Zápisy se transparentně přesměrují na primární repliku, aby se zajistila konzistence čtení a zápisu. Sekundární repliky výrazně rozšiřují rozsah oddílů, protože adresáře obvykle většinu doby obsluhují čtení.

Aplikace adresáře se připojují k nejbližším datovým centrům. Toto připojení zlepšuje výkon, a proto je možné horizontální navýšení kapacity. Vzhledem k tomu, že oddíl adresáře může mít mnoho sekundárních replik, sekundární repliky mohou být umístěné blíž ke klientům adresáře. Jenom interní komponenty služby adresáře, které jsou náročné na zápis, přímo cílí na aktivní primární repliku.

Nepřetržitá dostupnost

Dostupnost (nebo doba provozuschopnosti) definuje schopnost systému pracovat bez přerušení. Klíčem k vysoké dostupnosti Microsoft Entra ID je, že služby můžou rychle přesouvat provoz napříč několika geograficky distribuovanými datovými centry. Každé datové centrum je nezávislé, což umožňuje nesouvisející režimy selhání. Díky tomuto návrhu vysoké dostupnosti Microsoft Entra ID nevyžaduje žádné výpadky pro aktivity údržby.

Návrh oddílů Microsoft Entra ID je zjednodušený ve srovnání s návrhem podnikové služby Active Directory díky použití návrhu jediného primárního serveru, který zahrnuje pečlivě řízený a deterministický proces selhání primární repliky.

Odolnost proti chybám

Systém je k dispozici, pokud dokáže tolerovat selhání hardwaru, sítě a softwaru. Každý oddíl adresáře má vysoce dostupnou primární repliku, která zpracovává všechny operace zápisu. Tato primární replika se průběžně monitoruje a pokud se zjistí selhání, operace zápisu se okamžitě přesunou na jinou repliku. Tato replika se stane novou primární. Během tohoto procesu převzetí služeb při selhání může být dostupnost zápisu dočasně ovlivněna po dobu 1 až 2 minut, ale dostupnost čtení zůstává nedotčená.

Operace čtení (jejichž počet mnohonásobně převyšuje počet zápisů) probíhají pouze na sekundárních replikách. Vzhledem k tomu, že sekundární repliky jsou idempotentní, ztráta libovolné repliky v daném oddílu se dá snadno vykompenzovat přesměrováním čtení do jiné repliky, obvykle ve stejném datovém centru.

Odolnost dat

Zápis je nezměnitelně potvrzen do alespoň dvou datacenter před potvrzením. Systém nejprve potvrdí zápis na primární server a pak okamžitě replikuje zápis do alespoň jednoho jiného datacentra. Tato akce zápisu zajistí, že potenciální katastrofická ztráta datacentra hostujícího primární datacentrum nezpůsobí ztrátu dat.

Microsoft Entra ID udržuje nulovou hodnotu Plánovaná doba obnovení (RTO) aby nepřišla o data o převzetí služeb při selhání, včetně:

  • Vystavování tokenů a čtení adresáře
  • Povoleno je omezení RTO na přibližně 5 minut pro zápisy do adresáře.

Datová centra

Microsoft Entra repliky se ukládají v datacentrech umístěných po celém světě. Další informace najdete v tématu Azure globální infrastruktura.

Microsoft Entra ID funguje napříč datovými centry s následujícími vlastnostmi:

  • Ověřování, Graph a další služby Microsoft Entra ID se nacházejí za službou Gateway. Brána spravuje rovnováhu zatížení. Služba automaticky přepne nefunkční servery, které byly odhaleny transakčními zdravotními sondami. Na základě těchto sond stavu brána dynamicky směruje provoz do datacenter, která jsou v pořádku.
  • Pro čtení má adresář sekundární repliky a odpovídající front-end služby v konfiguraci aktivní-aktivní v několika datacentrech. Pokud datacentrum selže, provoz se automaticky směruje do jiného datacentra.
  • Pro zápisyadresář přepne z primární repliky mezi datovými centry prostřednictvím plánovaného (nový primární server je synchronizován se starým) nebo nouzového přechodu. Trvanlivost dat se dosahuje replikací každého zápisu do alespoň dvou datacenter.

Konzistence dat

Model adresáře je modelem eventuální konzistence. Jedním z typických problémů s distribuovanými asynchronně replikovanými systémy je, že data vrácená z "konkrétní" repliky nemusí být aktuální.

Microsoft Entra ID poskytuje konzistenci čtení a zápisu pro aplikace, které cílí na sekundární repliku, směrováním zápisů na primární repliku a synchronním vyžádáním zápisů zpět na sekundární repliku.

Zápisy aplikací využívající Microsoft Graph API Microsoft Entra ID jsou abstrahovány od zachování spřažení s replikou adresáře pro konzistenci čtení a zápisu. Služba Microsoft Graph API udržuje logickou relaci. Relace má afinitu k sekundární replikou, která se používá pro čtení. Afinit je zachycen v tokenu repliky, který služba ukládá do mezipaměti v sekundárním datovém centru repliky. Tento token se potom využívá pro následné operace ve stejné logické relaci. Pokud chcete dál používat stejnou logickou relaci, musí být následné požadavky směrovány do stejného Microsoft Entra datacentra. Pokud jsou žádosti klientů adresáře směrovány do více datových center Microsoft Entra, není možné v logické relaci pokračovat. Pokud jsou relace rozdělené, klient má více logických relací, které mají nezávislé konzistence čtení i zápisu.

Poznámka:

Zápisy se okamžitě replikují do sekundární repliky, pro kterou byla provedena čtení logické relace.

U požadavků pouze pro aplikace není v Microsoft Entra ID zajištěna konzistence relace. Konzistence relace je podporována pouze pro delegovaná žádost (tok tokenu aplikace + uživatele). Pokyny k vytváření aplikací, které zohledňují zpoždění replikace, najdete v tématu Navrhování pro eventualitu konzistence ve službě Microsoft Entra.

Zálohování na úrovni služby

Microsoft Entra ID implementuje každodenní zálohování dat adresáře a může tyto zálohy použít k obnovení dat, pokud dojde k nějakému problému v celé službě.

Adresář také implementuje měkké odstranění místo definitivního odstranění pro vybrané typy objektů. Správce tenanta může jakékoli náhodné odstranění těchto objektů vrátit zpět do 30 dnů. Další informace najdete v rozhraní API pro obnovení odstraněných objektů.

Metriky a monitorování

Spouštění služby s vysokou dostupností vyžaduje špičkové metriky a možnosti monitorování. Microsoft Entra ID průběžně analyzuje a hlásí klíčové metriky stavu služby a kritéria úspěchu pro každou z jejích služeb. Existuje také průběžný vývoj a ladění metrik, monitorování a upozorňování pro každý scénář v rámci každé služby Microsoft Entra a napříč všemi službami.

Pokud některá služba Microsoft Entra nefunguje podle očekávání, okamžitá akce se provede, aby se co nejrychleji obnovily funkce. Nejdůležitější metrika, Microsoft Entra ID sleduje, je rychlost detekce a migrace problémů zákazníků. Výrazně investujeme do monitorování a upozornění, abychom minimalizovali čas detekce (TTD) (cíl: <5 minut) a provozní připravenost pro minimalizaci času pro zmírnění (TTM) (cíl: <30 minut).

Bezpečný provoz

Microsoft Entra ID používá provozní ovládací prvky, jako je vícefaktorové ověřování pro všechny operace a auditování všech operací. Kromě toho používá systém zvýšení oprávnění v reálném čase k udělení nezbytného dočasného přístupu pro všechny provozní úkoly na vyžádání průběžně. Další informace najdete v tématu Důvěryhodný cloud.

Další kroky

Další informace o nasazování a sestavování odolnosti pomocí Microsoft Entra najdete tady:

Další informace o vývoji pomocí Microsoft Entra najdete v příručce pro vývojáře Microsoft Entra.

  • Last updated on