Qu'est-ce que l'architecture Microsoft Entra ?

Microsoft Entra vous permet de gérer en toute sécurité l’accès utilisateur aux services et aux ressources. Inclus avec Microsoft Entra est une famille de fonctionnalités de gestion des identités et d’accès réseau. Pour plus d’informations sur les fonctionnalités de Microsoft Entra, consultez Qu’est-ce que Microsoft Entra ?

Avec Microsoft Entra, vous pouvez créer et gérer des utilisateurs et des groupes, et activer des autorisations pour autoriser et refuser l’accès aux ressources d’entreprise. Pour plus d’informations sur la gestion des identités, consultez les principes fondamentaux de la gestion des identités.

Architecture de Microsoft Entra

Microsoft Entra ID combine des fonctionnalités de supervision, de réacheminement, de basculement et de récupération automatisées au sein de son architecture distribuée géographiquement pour fournir une disponibilité et des performances à l’échelle de l’entreprise

Les éléments d’architecture suivants sont traités dans cet article :

• Conception de l’architecture de service
• Extensibilité
• Disponibilité continue
• Centres de données

Conception de l’architecture de service

La méthode la plus courante pour créer un système riche en données, accessible et pratique, consiste à utiliser des éléments fondamentaux indépendants : des unités d'échelle. Au niveau des données Microsoft Entra, les unités d'échelle s'appellent des partitions.

Le niveau de données possède plusieurs services frontaux offrant une fonctionnalité de lecture-écriture. Le diagramme suivant montre comment les composants d'une partition à répertoire unique sont délivrés entre des centres de données géographiquement distribués.

Les composants de l'architecture Microsoft Entra incluent un réplica principal et des réplicas secondaires.

Réplica principal

Le réplica principal reçoit tous les écrits pour la partition à laquelle il appartient. Toute opération d'écriture est immédiatement répliquée vers un réplica secondaire dans un autre centre de données avant de renvoyer une notification de réussite à l'appelant, ce qui garantit la durabilité géo-redondante des écritures.

Réplicas secondaires

Toutes les lectures de répertoire sont effectuées à partir de réplicas secondaires, situés dans des centres de données répartis géographiquement. Les données sont répliquées de manière asynchrone entre un grand nombre de réplicas secondaires. Les lectures de répertoire, notamment les requêtes d’authentification, sont traitées à partir de centres de données proches des clients. Les réplicas secondaires sont responsables de l’évolutivité de lecture.

Extensibilité

L’évolutivité est la capacité d’un service à se développer pour répondre aux exigences croissantes en matière de performances. Microsoft Entra partitionne les données pour obtenir une scalabilité en écriture. L’évolutivité de lecture est obtenue en répliquant les données d’une partition vers plusieurs réplicas secondaires répartis dans le monde.

Les requêtes à partir d’applications d’annuaire sont routées vers le centre de données le plus proche. Les écritures sont redirigées en toute transparence vers le réplica principal pour assurer la cohérence en lecture-écriture. Les réplicas secondaires développent de manière significative l’échelle des partitions, car les répertoires traitent généralement les lectures.

Les applications de répertoire se connectent aux centres de données les plus proches. Cette connexion améliore les performances, et une montée en charge devient donc possible. Dans la mesure où une partition de répertoire peut avoir plusieurs réplicas secondaires, ces derniers peuvent être placés plus près des clients de répertoire. Seuls les composants de service de répertoire interne gourmands en écriture ciblent directement le réplica principal actif.

Disponibilité continue

La disponibilité (ou le temps d’activité) définit la capacité d’un système à s’exécuter sans interruption. La haute disponibilité de Microsoft Entra ID s'appuie sur le fait que les services peuvent transmettre rapidement le trafic entre plusieurs centres de données répartis géographiquement. Chaque centre de données est indépendant, ce qui active les modes d’échec corrélés. Grâce à cette conception à haute disponibilité, Microsoft Entra ID n'exige aucun temps d'arrêt pour les activités de maintenance.

La conception à partition de Microsoft Entra ID est simplifiée par rapport à celle de l'Active Directory d'entreprise, car elle utilise une architecture à serveur principal unique qui inclut un processus de basculement de réplica principal soigneusement orchestré et déterministe.

Tolérance de panne

Un système est plus disponible s'il est capable de tolérer des pannes de matériel, de logiciel et de réseau. Chaque partition de répertoire dispose d'un réplica principal hautement disponible qui gère toutes les opérations d'écriture. Ce réplica principal est surveillé en permanence et, si une défaillance est détectée, les opérations d'écriture sont immédiatement déplacées vers un autre réplica. Ce réplica en question devient le nouveau réplica principal. Pendant ce processus de basculement, la disponibilité de l’écriture peut être temporairement affectée pendant 1 à 2 minutes, mais la disponibilité de la lecture reste inchangée.

Les opérations de lecture (largement supérieures aux opérations d’écriture) s’effectuent uniquement dans les réplicas secondaires. Étant donné que les réplicas secondaires sont idempotents, la perte d’un réplica dans une partition donnée est facilement compensée en dirigeant les lectures vers un autre réplica, généralement situé dans le même centre de données.

Durabilité des données

Avant d'être acceptée, une écriture doit être validée durablement sur au moins deux centres de données. Le système valide d’abord l’écriture sur le serveur principal, puis réplique immédiatement l’écriture dans au moins un autre centre de données. Grâce à cette action d’écriture, le risque de perte catastrophique du centre de données hébergeant le réplica principal n’entraîne pas de perte de données.

Microsoft Entra ID conserve un objectif de temps de récupération (RTO) zéro pour ne pas perdre de données sur les basculements, notamment :

• Émission de jeton et lectures de répertoire
• RTO de 5 minutes environ seulement possible pour les écritures de répertoire

Centres de données

Les réplicas de Microsoft Entra sont stockés dans des centres répartis dans le monde entier. Pour plus d’informations, consultez l’article Infrastructure globale Azure.

Microsoft Entra ID fonctionne dans des centres de données qui présentent les caractéristiques suivantes :

• L’authentification, Graph et d’autres services Microsoft Entra ID se trouvent derrière le service de passerelle. La passerelle gère l'équilibrage de charge. Le service bascule automatiquement si des serveurs identifiés comme défectueux par les sondes d'intégrité transactionnelles. En fonction de ces sondes d’intégrité, la passerelle achemine dynamiquement le trafic vers les centres de données sains.
• Pour les lectures, le répertoire possède des réplicas secondaires et des services frontaux correspondants dans une configuration en mode actif/actif opérant dans plusieurs centres de données. En cas de défaillance d’un centre de données, le trafic est automatiquement routé vers un autre centre de données.
• Pour les écritures, le répertoire bascule le réplica principal entre les centres de données par le biais des procédures de basculement planifié (le nouveau réplica principal est synchronisé avec l'ancien) ou d'urgence. La durabilité des données est obtenue en répliquant toute validation vers au moins deux centres de données.

Cohérence des données

Le modèle de répertoire est l’une des cohérences finales. Un problème classique avec les systèmes de réplication distribués asynchrones tient à la possibilité que les données renvoyées à partir d'un réplica « spécifique » ne sont peut-être pas à jour.

Microsoft Entra ID fournit une cohérence en lecture-écriture pour les applications qui ciblent un réplica secondaire en routant ses écritures vers le réplica principal et en extrayant simultanément les écritures sur le réplica secondaire.

Les écritures d'application utilisant l'API Microsoft Graph de Microsoft Entra ID n'ont pas à conserver des affinités avec le réplica de répertoire pour la cohérence en lecture-écriture. Le service d’API Microsoft Graph gère une session logique. La session a une affinité avec un réplica secondaire utilisé pour les lectures. L'affinité est capturée dans un « jeton de réplica » que le service met en cache à l'aide d'un cache distribué dans le centre de données du réplica secondaire. Ce jeton est ensuite utilisé pour les opérations suivantes dans la même session logique. Pour continuer à utiliser la même session logique, les demandes suivantes doivent être acheminées vers le même centre de données Microsoft Entra. Il n’est pas possible de poursuivre une session logique si les demandes du client d’annuaire sont acheminées vers plusieurs centres de données Microsoft Entra. Si les sessions sont fractionnées, le client a plusieurs sessions logiques qui ont des cohérences en lecture-écriture indépendantes.

Note

Les écritures sont immédiatement répliquées sur le réplica secondaire pour lequel les lectures de la session logique ont été émises.

Sauvegarde au niveau du service

Microsoft Entra ID implémente une sauvegarde quotidienne des données d’annuaire et peut utiliser ces sauvegardes pour restaurer des données en cas de problème à l’échelle du service.

Le répertoire implémente également des suppressions réversibles au lieu de suppressions définitives pour certains types d’objets. L’administrateur client peut annuler toute suppression accidentelle de ces objets dans les 30 jours. Pour plus d’informations, consultez l’API pour restaurer des objets supprimés.

Métriques et supervision

L’exécution d’un service haute disponibilité requiert des mesures et des capacités d’analyse hautes performances. Microsoft Entra ID analyse et signale en permanence les mesures d'intégrité des services et les critères de réussite clés pour chacun de ses services. Nous développons et affinons en permanence les mesures, surveillant et alertant pour chaque scénario au sein de chaque service Microsoft Entra, ainsi que sur tous les autres services.

Si un quelconque service Microsoft Entra ne fonctionne pas comme prévu, des mesures immédiates sont prises pour procéder à sa restauration dans les plus brefs délais. La mesure la plus importante suivie par Microsoft Entra ID est la vitesse de détection et de migration des problèmes rencontrés par les clients. Nous investissons énormément dans la surveillance et les alertes pour réduire le délai de détection (TTD) (Objectif : <5 minutes), ainsi que dans la disponibilité opérationnelle pour réduire le temps de résolution (TTM) (Objectif : <30 minutes).

Opérations sécurisées

Microsoft Entra ID utilise des contrôles opérationnels tels que l'authentification multifacteur pour toute opération et l'audit de toutes les opérations. En outre, Microsoft Entra ID utilise en permanence un système d'élévation juste-à-temps pour accorder l'accès temporaire nécessaire à toute tâche opérationnelle à la demande. Pour plus d'informations, consultez Faites confiance à votre cloud.

Étapes suivantes

Pour en savoir plus sur le développement avec Microsoft Entra, consultez le guide du développeur Microsoft Entra.