Was ist die Microsoft Entra-Architektur?

Mit Microsoft Entra können Sie den Benutzerzugriff auf Dienste und Ressourcen sicher verwalten. In Microsoft Entra enthalten ist eine Familie von Identitätsverwaltungs- und Netzwerkzugriffsfunktionen. Informationen zu Microsoft Entra-Features finden Sie unter Was ist Microsoft Entra?

Mit Microsoft Entra können Sie Benutzer und Gruppen erstellen und verwalten und Berechtigungen aktivieren, um den Zugriff auf Unternehmensressourcen zuzulassen und zu verweigern. Informationen zur Identitätsverwaltung finden Sie in den Grundlagen der Identitätsverwaltung.

Microsoft Entra-Architektur

Microsoft Entra ID kombiniert umfangreiche Überwachungs-, automatisierte Umleitungs-, Failover- und Wiederherstellungsfunktionen innerhalb ihrer geografisch verteilten Architektur, um unternehmensweite Verfügbarkeit und Leistung zu bieten.

In diesem Artikel werden die folgenden Architekturelemente behandelt:

• Design der Dienstarchitektur
• Skalierbarkeit
• Fortlaufende Verfügbarkeit
• Rechenzentren

Design der Dienstarchitektur

Zum Erstellen eines zugänglichen und verwendbaren Systems mit umfassenden Daten werden am häufigsten unabhängige Bausteine oder Skalierungseinheiten verwendet. In der Microsoft Entra-Datenschicht werden Skalierungseinheiten als Partitionen bezeichnet.

Die Datenschicht verfügt über mehrere Front-End-Dienste, über die Lese-/Schreibfunktionen bereitgestellt werden. Das folgende Diagramm zeigt, wie die Komponenten einer Partition mit einem Verzeichnis in geografisch verteilten Datencentern bereitgestellt werden.

Die Komponenten der Microsoft Entra-Architektur enthalten ein primäres und sekundäre Replikate.

Primäres Replikat

Das primäre Replikat empfängt alle Schreibvorgänge für die Partition, zu der es gehört. Jeder Schreibvorgang wird sofort in ein sekundäres Replikat in einem anderen Rechenzentrum repliziert, bevor ein Erfolg an den Aufrufer zurückgegeben wird, wodurch die georedundante Haltbarkeit von Schreibvorgängen sichergestellt wird.

Sekundäre Replikate

Alle Lesevorgänge im Verzeichnis werden über sekundäre Replikate verarbeitet, die sich in geografisch verteilten Rechenzentren befinden. Daten werden asynchron über viele sekundäre Replikate repliziert. Lesevorgänge des Verzeichnisses (beispielsweise Authentifizierungsanforderungen) werden über Datencenter abgewickelt, die sich in der Nähe der Kunden befinden. Die sekundären Replikate sind für die Skalierbarkeit der Lesevorgänge zuständig.

Skalierbarkeit

Die Skalierbarkeit ist die Fähigkeit eines Diensts zur Erweiterung, um wachsende Anforderungen an die Leistung zu erfüllen. Microsoft Entra partitioniert Daten, um Schreibskalierbarkeit zu erzielen. Die Skalierbarkeit von Lesevorgängen wird erreicht, indem Daten von einer Partition auf mehreren sekundären Replikaten weltweit repliziert werden.

Anfragen von Verzeichnisanwendungen werden an das nächstgelegene Rechenzentrum weitergeleitet. Schreibvorgänge werden transparent an das primäre Replikat umgeleitet, um für eine Lese-/Schreibkonsistenz zu sorgen. Mit sekundären Replikaten wird die Skalierung von Partitionen erheblich erweitert, da von den Verzeichnissen größtenteils Lesevorgänge bereitgestellt werden.

Für Verzeichnisanwendungen wird eine Verbindung mit den Rechenzentren in der Nähe hergestellt. Diese Verbindung führt zu einer Verbesserung der Leistung, sodass eine horizontale Skalierung möglich ist. Da eine Verzeichnispartition über viele sekundäre Replikate verfügen kann, können sekundäre Replikate näher an den Verzeichnisclients angeordnet werden. Nur interne Verzeichnisdienstkomponenten, die sehr schreibintensiv sind, zielen direkt auf das aktive primäre Replikat ab.

Fortlaufende Verfügbarkeit

Anhand der Verfügbarkeit (bzw. Betriebszeit) wird definiert, inwiefern ein System ohne Unterbrechungen betrieben werden kann. Der Schlüssel zur Hochverfügbarkeit von Microsoft Entra ID liegt in der Tatsache, dass die Dienste Datenverkehr schnell in mehrere geografisch verteilte Datencenter verlagern können. Jedes Rechenzentrum ist unabhängig, wodurch dekorrelierte Fehlermodi aktiviert werden. Durch dieses Hochverfügbarkeitsdesign macht Microsoft Entra ID keine Ausfallzeiten für Wartungsarbeiten erforderlich.

Der Partitionierungsentwurf von Microsoft Entra ID ist im Vergleich zum Active Directory-Entwurf vereinfacht, wobei eine einzelne primäre Serverarchitektur verwendet wird, die einen sorgfältig koordinierten und deterministischen primären Replikat-Failover-Prozess enthält.

Fehlertoleranz

Ein System weist eine höhere Verfügbarkeit auf, wenn es gegenüber Hardware-, Netzwerk- und Softwareausfällen tolerant ist. Jede Verzeichnispartition verfügt über ein hoch verfügbares primäres Replikat, das alle Schreibvorgänge verarbeitet. Dieses primäre Replikat wird kontinuierlich überwacht. Wenn ein Fehler erkannt wird, werden Schreibvorgänge sofort in ein anderes Replikat verschoben. Dieses Replikat wird zum neuen primären Replikat. Während dieses Failoverprozesses kann die Verfügbarkeit von Schreibvorgängen für 1 bis 2 Minuten vorübergehend beeinträchtigt werden, die Verfügbarkeit von Lesevorgängen bleibt jedoch unberührt.

Für Lesevorgänge (deren Zahl die Schreibvorgänge weit übersteigt) werden nur sekundäre Replikate verwendet. Da sekundäre Replikate idempotent sind, kann der Verlust eines Replikats auf einer Partition leicht kompensiert werden, indem die Lesevorgänge auf ein anderes Replikat verlagert werden (normalerweise in demselben Rechenzentrum).

Dauerhaftigkeit von Daten

Ein Schreibvorgang wird verbindlich an mindestens zwei Rechenzentren übermittelt, bevor eine Bestätigung erfolgt. Das System führt zuerst den Schreibvorgang auf dem primären System durch und repliziert diesen dann sofort auf mindestens ein anderes Rechenzentrum. Diese Schreibaktion stellt sicher, dass ein potenzieller katastrophaler Verlust des Rechenzentrums, das die primäre Datenbank hostet, nicht zu Datenverlust führt.

Die Microsoft Entra-ID verwaltet ein Null-Wiederherstellungszeitziel (RTO), um keine Daten zu Failovern zu verlieren, einschließlich:

• Tokenausstellung und Verzeichnislesevorgänge
• Nur RTO-Wert von 5 Minuten für Verzeichnisschreibvorgänge

Rechenzentren

Die Replikate von Microsoft Entra ID werden in Rechenzentren gespeichert, die weltweit verteilt sind. Weitere Informationen finden Sie unter Globale Azure-Infrastruktur.

Microsoft Entra ID wird in Datencentern mit folgenden Merkmalen betrieben:

• Authentifizierung, Graph und andere Microsoft Entra ID-Dienste befinden sich hinter dem Gatewaydienst. Das Gateway verwaltet den Lastenausgleich. Der Dienst schlägt automatisch über alle Server fehl, die durch Transaktionsintegritätssonden nicht einwandfrei gefunden wurden. Basierend auf diesen Integritätstests wird Datenverkehr vom Gateway dynamisch an fehlerfreie Datencenter weitergeleitet.
• Für Lesevorgänge verfügt das Verzeichnis über sekundäre Replikate und entsprechende Front-End-Dienste in einer Aktiv/Aktiv-Konfiguration, die in mehreren Datencentern betrieben werden. Wenn ein Rechenzentrum ausfällt, wird der Datenverkehr automatisch an ein anderes Rechenzentrum weitergeleitet.
• Bei Schreibvorgängen schlägt das Verzeichnis über das primäre Replikat über geplante Rechenzentren hinweg fehl (neue primäre wird mit alten primären synchronisiert) oder Notfallfailoverprozeduren. Die Dauerhaftigkeit der Daten wird erreicht, indem ein Commit in mindestens zwei Datencentern repliziert wird.

Datenkonsistenz

Das Verzeichnismodell lautet „Letztliche Konsistenz“. Ein typisches Problem mit verteilten Systemen mit asynchroner Replikation ist, dass die Daten, die von einem „bestimmten“ Replikat zurückgegeben werden, unter Umständen nicht aktuell sind.

Microsoft Entra ID bietet Lese-/Schreibkonsistenz für Anwendungen, die auf ein sekundäres Replikat abzielen, indem die zugehörigen Schreibvorgänge an das primäre Replikat weitergeleitet und synchron dazu die Schreibvorgänge zurück auf das sekundäre Replikat verschoben werden.

Mithilfe der Microsoft Graph-API von Microsoft Entra ID ausgeführte Anwendungsschreibvorgänge werden in Bezug auf die Beibehaltung der Affinität mit einem Verzeichnisreplikat für Schreib-/Lesekonsistenz abstrahiert. Der Microsoft Graph-API-Dienst verwaltet eine logische Sitzung. Die Sitzung hat Affinität zu einem sekundären Replikat, das für Lesevorgänge verwendet wird. Affinität wird in einem "Replikattoken" erfasst, das der Dienst mithilfe eines verteilten Caches im sekundären Replikatdatencenter zwischenspeichert. Dieses Token wird dann für nachfolgende Vorgänge in derselben logischen Sitzung verwendet. Um weiterhin dieselbe logische Sitzung zu verwenden, müssen nachfolgende Anforderungen an das gleiche Microsoft Entra-Datencenter geroutet werden. Es ist nicht möglich, eine logische Sitzung fortzusetzen, wenn die Verzeichnisclientanforderungen an mehrere Microsoft Entra-Rechenzentren weitergeleitet werden. Wenn Sitzungen geteilt werden, verfügt der Client über mehrere logische Sitzungen mit unabhängigen Lese-/Schreibzugriffskonsistenzen.

Hinweis

Schreibvorgänge werden sofort auf dem sekundären Replikat repliziert, für das die Lesevorgänge der logischen Sitzung ausgestellt wurden.

Sicherung auf Dienstebene

Microsoft Entra ID implementiert tägliche Sicherung von Verzeichnisdaten und kann diese Sicherungen verwenden, um Daten wiederherzustellen, wenn ein dienstweites Problem besteht.

Das Verzeichnis implementiert ebenfalls vorläufige Löschvorgänge anstelle von endgültigen Löschvorgängen für ausgewählte Objekttypen. Der Mandantenadministrator kann alle versehentlichen Löschungen dieser Objekte innerhalb von 30 Tagen rückgängig machen. Weitere Informationen finden Sie unter API zum Wiederherstellen gelöschter Objekte.

Metriken und Überwachungen

Zum Ausführen eines Hochverfügbarkeitsdiensts sind professionelle Metriken und Überwachungsfunktionen erforderlich. Microsoft Entra ID führt eine fortlaufende Analyse durch und meldet wichtige Metriken zur Dienstintegrität und Erfolgskriterien für die einzelnen Dienste. Außerdem erfolgt eine fortlaufende Entwicklung und Optimierung von Metriken mit Überwachung und Warnungsbereitstellung für jedes Szenario in jedem Microsoft Entra-Dienst und übergreifend für alle Dienste.

Falls ein Microsoft Entra-Dienst nicht wie erwartet funktioniert, werden sofort Maßnahmen ergriffen, um die Funktionalität so schnell wie möglich wiederherzustellen. Die wichtigste Metrik, die von Microsoft Entra ID verfolgt wird, ist die Geschwindigkeit der Erkennung und Migration von Kundenproblemen. Wir investieren in umfassend in Überwachung und Warnungen, um die Erkennungsdauer zu verringern (Ziel: < 5 Minuten), und in die Betriebsbereitschaft, um die Lösungsdauer zu verringern (Ziel: < 30 Minuten).

Sichere Vorgänge

Microsoft Entra ID verwendet Kontrolleinrichtungen für den Betrieb, z. B. Multi-Faktor-Authentifizierung für alle Vorgänge, und außerdem werden für alle Vorgänge Überprüfungen durchgeführt. Darüber hinaus wird ein Just-In-Time-System zur Erhöhung von Rechten eingesetzt, um den benötigten temporären Zugriff für alle betrieblichen Aufgaben fortlaufend je nach Bedarf gewähren zu können. Weitere Informationen finden Sie unter Die vertrauenswürdige Cloud.

Nächste Schritte

Weitere Informationen zum Entwickeln mit Microsoft Entra finden Sie im Entwicklerhandbuch für Microsoft Entra.