Che cos'è l'architettura di Microsoft Entra?

Microsoft Entra ID consente di gestire in modo sicuro l'accesso ai servizi e alle risorse di Azure per gli utenti. Inclusa con Microsoft Entra ID c’è una suite completa di funzionalità di gestione delle identità. Per informazioni sulle funzionalità di Microsoft Entra, vedere Che cos'è Microsoft Entra ID?

Con Microsoft Entra ID, è possibile creare e gestire utenti e gruppi e abilitare le autorizzazioni per consentire o negare l'accesso alle risorse aziendali. Per informazioni sulla gestione delle identità, vedere Nozioni fondamentali sulla gestione delle identità di Azure.

Architettura di Microsoft Entra

L'architettura distribuita geograficamente di Microsoft Entra ID combina funzionalità complete di monitoraggio, reindirizzamento automatizzato, failover e ripristino che offrono ai clienti disponibilità e prestazioni a livello di organizzazione.

In questo articolo vengono illustrati gli elementi dell'architettura seguenti:

• Progettazione dell'architettura del servizio
• Scalabilità
• Disponibilità continua:
• Data center

Progettazione dell'architettura del servizio

L'approccio più diffuso per la compilazione di un sistema accessibile, utilizzabile e ad alto contenuto di dati consiste nell'usare blocchi predefiniti o unità di scala indipendenti. Per il livello dati Microsoft Entra, le unità di scala vengono chiamate partizioni.

Il livello dati ha diversi servizi front-end che forniscono funzionalità di lettura/scrittura. Il diagramma seguente illustra come i componenti di una partizione di directory singola vengono distribuiti in data center distribuiti geograficamente.

I componenti dell'architettura di Microsoft Entra includono una replica primaria e una replica secondaria.

Replica primaria

La replica primaria riceve tutte le operazioni di scrittura per la partizione a cui appartiene. Ogni operazione di scrittura viene immediatamente replicata in una replica secondaria in un data center diverso prima di restituire un'operazione riuscita al chiamante, assicurando così la durabilità con ridondanza geografica delle operazioni di scrittura.

Repliche secondarie

Tutte le operazioni di lettura delle directory vengono gestite dalle repliche secondarie, che si trovano in data center situati fisicamente in aree geografiche diverse. Esistono molte repliche secondarie perché i dati vengono replicati in modo asincrono. Le operazioni di lettura delle directory, ad esempio le richieste di autenticazione, vengono gestite da data center vicini ai clienti. Le repliche secondarie sono responsabili della scalabilità delle operazioni di lettura.

Scalabilità

La scalabilità è la possibilità per un servizio di espandersi per poter soddisfare le crescenti richieste in termini di prestazioni. La scalabilità delle operazioni di scrittura richiede il partizionamento dei dati. La scalabilità delle operazioni di lettura richiede la replica dei dati da una partizione a più repliche secondarie distribuite in tutto il mondo.

Le richieste provenienti dalle applicazioni directory vengono instradate al data center più vicino. Le operazioni di scrittura vengono reindirizzate in modo trasparente alla replica primaria per garantire la coerenza delle operazioni di lettura/scrittura. Le repliche secondarie estendono considerevolmente la scalabilità delle partizioni perché in genere le directory gestiscono per lo più operazioni di lettura.

Le applicazioni directory si connettono ai data center più vicini, migliorando le prestazioni e rendendo possibile l'aumento del numero di istanze. Poiché una partizione di directory può avere più repliche secondarie, le repliche secondarie possono essere poste più vicino ai client delle directory. Solo i componenti del servizio directory interni con un numero elevato di operazioni di scrittura specificano come destinazione direttamente la replica primaria attiva.

Disponibilità continua:

La disponibilità (o tempo di attività) definisce la possibilità per un sistema di funzionare senza interruzioni. La disponibilità elevata di Microsoft Entra ID si basa sul fatto che i servizi possono spostare rapidamente il traffico tra più data center distribuiti geograficamente. Ogni data center è indipendente e ciò abilita le modalità di errore con annullamento della correlazione. Grazie a questa progettazione a disponibilità elevata, Microsoft Entra ID non richiede alcun tempo di inattività per le attività di manutenzione.

La progettazione delle partizioni di Microsoft Entra ID è più semplice rispetto alla progettazione aziendale di AD, in quanto viene usata una progettazione a master singolo che include un processo di failover della replica primaria deterministico orchestrato con attenzione.

Tolleranza di errore

Un sistema è più disponibile se è a tolleranza di errore di hardware, di rete e di software. Per ogni partizione nella directory, esiste una replica master a disponibilità elevata: la replica primaria. In questa replica vengono eseguite solo operazioni di scrittura nella partizione. Questa replica viene monitorata in modo continuo e attento e le operazioni di scrittura possono essere immediatamente spostate in un'altra replica, che diventa la nuova replica primaria, se viene rilevato un errore. Durante il failover, è possibile che si verifichi una perdita di disponibilità in scrittura, in genere per 1-2 minuti. La disponibilità in lettura non è invece interessata durante questo intervallo di tempo.

Le operazioni di lettura (che sono più numerose di quelle di scrittura di diversi ordini di grandezza) passano solo alle repliche secondarie. Poiché le repliche secondarie sono idempotenti, la perdita di una replica in una determinata partizione viene facilmente compensata indirizzando le operazioni di lettura a un'altra replica, in genere nello stesso data center.

Durabilità dei dati

Il commit durevole delle operazioni di scrittura viene eseguito in almeno due data center prima che ne venga accertata la ricezione. A questo scopo, viene prima eseguito il commit dell'operazione di scrittura nella replica primaria e immediatamente dopo l'operazione di scrittura viene replicata in almeno un altro data center. L'operazione di scrittura assicura che una possibile perdita irreversibile del data center che ospita la replica primaria non comporti una perdita di dati.

Microsoft Entra ID ha un Obiettivo tempo di ripristino pari a zero per non perdere dati sui failover. Valuta gli ambiti seguenti:

• Rilascio di token e operazioni di lettura directory
• Solo circa 5 minuti obiettivo tempo di ripristino concessi per le operazioni di scrittura nella directory

Data center

Le repliche di Microsoft Entra vengono archiviate in data center situati in tutto il mondo. Per altre informazioni, vedere Infrastruttura globale di Azure.

Microsoft Entra ID opera in tutti i data center con le caratteristiche seguenti:

• Autenticazione, Graph e gli altri servizi di AD si trovano dietro il servizio gateway. Il gateway gestisce il bilanciamento del carico di questi servizi. Verrà eseguito il failover automatico se viene rilevato che server non integri usano probe di integrità transazionali. In base a questi probe di integrità, il gateway instrada in modo dinamico il traffico ai data center integri.
• Per le operazioni di lettura, la directory ha repliche secondarie e servizi front-end corrispondenti in una configurazione attiva-attiva che operano in più data center. Se un data center non riesce, il traffico viene indirizzato automaticamente a un data center diverso.
• Per le operazioni di scrittura, la directory eseguirà il failover della replica primaria nei data center tramite procedure di failover pianificate (la nuova replica primaria viene sincronizzata con quella precedente) o di emergenza. La durabilità dei dati si ottiene replicando i commit in almeno due data center.

Coerenza dei dati

Il modello della directory si basa sulla coerenza finale. Un problema tipico dei sistemi distribuiti che eseguono la replica asincrona è che i dati restituiti da una "particolare" replica potrebbero non essere aggiornati.

Microsoft Entra ID offre la coerenza in lettura/scrittura per le applicazioni che specificano come destinazione una replica secondaria instradandone le operazioni di scrittura alla replica primaria ed effettuando di nuovo il pull sincrono delle operazioni di scrittura alla replica secondaria.

Per le operazioni di scrittura delle applicazioni che usano l'API Microsoft Graph di Microsoft Entra ID non è necessario mantenere l'affinità con la replica di una directory per la coerenza in lettura/scrittura. Il servizio API Microsoft Graph gestisce una sessione logica, con affinità con una replica secondaria usata per le letture; l'affinità viene acquisita in un "token di replica" memorizzato nella cache del servizio usando una cache distribuita nel data center di replica secondaria. Questo token viene quindi usato per le operazioni successive nella stessa sessione logica. Per continuare a usare la stessa sessione logica, è necessario instradare le richieste successive allo stesso data center di Microsoft Entra. Non è possibile continuare una sessione logica se le richieste client della directory vengono instradate a più data center di Microsoft Entra; se ciò accade, il client ha più sessioni logiche con coerenza di lettura/scrittura indipendenti.

Nota

Le operazioni di scrittura vengono immediatamente replicate nella replica secondaria in cui sono state rilasciate le operazioni di lettura della sessione logica.

Backup a livello di servizio

Microsoft Entra ID implementa il backup giornaliero dei dati della directory e può usare questi backup per ripristinare i dati in caso di problemi a livello di servizio.

La directory implementa anche eliminazioni software anziché eliminazioni hard per i tipi di oggetto selezionati. L'amministratore tenant può annullare eventuali eliminazioni accidentali di questi oggetti entro 30 giorni. Per altre informazioni, vedere l'API per ripristinare gli oggetti eliminati.

Metriche e monitoraggio

L'esecuzione di un servizio a disponibilità elevata richiede funzionalità di monitoraggio e metriche di alto livello. Microsoft Entra ID analizza e segnala ininterrottamente le principali metriche sull'integrità del servizio e i criteri di successo per ogni servizio. Vengono continuamente sviluppate e ottimizzate metriche e funzionalità di monitoraggio e avviso per ogni scenario, in ogni singolo servizio di Microsoft Entra e nell'insieme di tutti i servizi.

Se un servizio di Microsoft Entra non funziona come previsto, vengono immediatamente eseguite operazioni per ripristinare la funzionalità il prima possibile. La metrica più importante di cui Microsoft Entra ID tiene traccia è la velocità con cui è possibile rilevare e attenuare un problema relativo a siti live per i clienti. Vengono effettuati considerevoli investimenti nelle funzionalità di monitoraggio e avviso per ridurre al minimo i tempi di rilevamento (obiettivo per il tempo di rilevamento: <5 minuti) e nella conformità operativa per ridurre al minimo i tempi di attenuazione (obiettivo per il tempo di attenuazione: <30 minuti).

Operazioni sicure

Uso di controlli operativi, ad esempio l'autenticazione a più fattori per qualsiasi operazione, e controllo di tutte le operazioni. Viene anche usato un sistema di elevazione JIT per concedere l'accesso temporaneo necessario per eventuali attività operative su richiesta su base regolare. Per altre informazioni, vedere Il cloud attendibile.

Passaggi successivi

Guida per gli sviluppatori di Microsoft Entra