Che cos'è l'architettura Microsoft Entra?

Microsoft Entra consente di gestire in modo sicuro l'accesso degli utenti ai servizi e alle risorse. Una famiglia di funzionalità per la gestione delle identità e l'accesso alla rete è compresa in Microsoft Entra. Per informazioni sulle funzionalità di Microsoft Entra, vedere Che è Microsoft Entra?

Con Microsoft Entra è possibile creare e gestire utenti e gruppi e abilitare le autorizzazioni per consentire e negare l'accesso alle risorse aziendali. Per informazioni sulla gestione delle identità, vedere i concetti fondamentali della gestione delle identità.

architettura Microsoft Entra

Microsoft Entra ID combina funzionalità complete di monitoraggio, reindirizzamento automatizzato, failover e ripristino all'interno dell'architettura distribuita geograficamente per offrire disponibilità e prestazioni a livello aziendale.

In questo articolo vengono illustrati gli elementi dell'architettura seguenti:

• Progettazione dell'architettura del servizio
• Scalabilità
• Disponibilità continua:
• Datacenter

Progettazione dell'architettura del servizio

Il modo più comune per creare un sistema accessibile e utilizzabile con dati avanzati consiste nell'usare blocchi predefiniti o unità di scala indipendenti. Per il livello dati Microsoft Entra, le unità di scala vengono chiamate partitions.

Il livello dati ha diversi servizi front-end che forniscono funzionalità di lettura/scrittura. Il diagramma seguente illustra come i componenti di una partizione di directory singola vengono distribuiti in data center distribuiti geograficamente.

I componenti dell'architettura di Microsoft Entra includono una replica primaria e le repliche secondarie.

Replica primaria

La replica primaria riceve tutte le operazioni di scrittura per la partizione a cui appartiene. Qualsiasi operazione di scrittura viene immediatamente replicata in una replica secondaria in un data center diverso prima di restituire l'esito positivo al chiamante, garantendo la durabilità con ridondanza geografica delle scritture.

Repliche secondarie

Tutte le letture di directory vengono gestite dalle repliche secondarie, situate in data center distribuiti geograficamente. I dati vengono replicati in modo asincrono in molte repliche secondarie. Le operazioni di lettura delle directory, ad esempio le richieste di autenticazione, vengono gestite da data center vicini ai clienti. Le repliche secondarie sono responsabili della scalabilità delle operazioni di lettura.

Scalabilità

La scalabilità è la possibilità per un servizio di espandersi per poter soddisfare le crescenti richieste in termini di prestazioni. Microsoft Entra partiziona i dati per ottenere la scalabilità di scrittura. La scalabilità delle operazioni di lettura richiede la replica dei dati da una partizione a più repliche secondarie distribuite in tutto il mondo.

Le richieste provenienti dalle applicazioni directory vengono instradate al data center più vicino. Le operazioni di scrittura vengono reindirizzate in modo trasparente alla replica primaria per garantire la coerenza delle operazioni di lettura/scrittura. Le repliche secondarie estendono considerevolmente la scalabilità delle partizioni perché in genere le directory gestiscono per lo più operazioni di lettura.

Le applicazioni directory si connettono ai data center più vicini, Questa connessione migliora le prestazioni, rendendo possibile l'aumento del numero di istanze. Poiché una partizione di directory può avere più repliche secondarie, le repliche secondarie possono essere poste più vicino ai client delle directory. Solo i componenti del servizio directory interni che eseguono molte operazioni di scrittura indirizzano direttamente la replica primaria attiva.

Disponibilità continua:

La disponibilità (o tempo di attività) definisce la possibilità per un sistema di funzionare senza interruzioni. La chiave per la disponibilità elevata di Microsoft Entra ID è che i servizi possono spostare rapidamente il traffico tra più data center distribuiti geograficamente. Ogni data center è indipendente, ciò consente modalità di errore decorrelate. Grazie a questa progettazione a disponibilità elevata, Microsoft Entra ID non richiede tempi di inattività per le attività di manutenzione.

La progettazione della partizione di Microsoft Entra ID è semplificata rispetto alla progettazione di Active Directory aziendale, usando un'unica progettazione del server primario che include un processo di failover di replica primaria orchestrato e deterministico con attenzione.

Tolleranza di errore

Un sistema è più disponibile se può tollerare errori hardware, rete e software. Ogni partizione di directory ha una replica primaria a disponibilità elevata che gestisce tutte le operazioni di scrittura. Questa replica primaria viene monitorata continuamente e, se viene rilevato un errore, le operazioni di scrittura vengono spostate immediatamente in un'altra replica. Questa replica diventa la nuova replica primaria. Durante questo processo di failover, la disponibilità di scrittura può essere temporaneamente compromessa per 1 o 2 minuti, ma la disponibilità in lettura rimane invariata.

Le operazioni di lettura (che sono più numerose di quelle di scrittura di diversi ordini di grandezza) passano solo alle repliche secondarie. Poiché le repliche secondarie sono idempotenti, la perdita di una replica in una determinata partizione viene facilmente compensata indirizzando le operazioni di lettura a un'altra replica, in genere nello stesso data center.

Durabilità dei dati

Una scrittura viene confermata in modo permanente in almeno due datacenter prima del riconoscimento. Il sistema esegue prima il commit della scrittura nel database primario e quindi replica immediatamente la scrittura in almeno un altro data center. L'operazione di scrittura assicura che una possibile perdita irreversibile del data center che ospita la replica primaria non comporti una perdita di dati.

Microsoft Entra ID mantiene un obiettivo di tempo di ripristino (RTO) pari a zero per evitare la perdita di dati nei failover, tra cui:

• Rilascio di token e lettura delle directory
• Consentiti solo circa 5 minuti di RTO per le operazioni di scrittura nella directory.

Datacenter

Le repliche di Microsoft Entra sono archiviati nei centri dati situati in tutto il mondo. Per ulteriori informazioni, vedere l'infrastruttura globale di Azure.

Microsoft Entra ID opera tra data center con le caratteristiche seguenti:

• L'autenticazione, Graph e altri servizi di Microsoft Entra ID si trovano dietro il servizio Gateway. Il gateway gestisce il bilanciamento del carico. Il servizio esegue automaticamente il failover di tutti i server ritenuti non integri dalle sonde di salute transazionali. Sulla base di queste sonde di integrità, il gateway instrada dinamicamente il traffico ai data center funzionanti.
• Per le operazioni di lettura, la directory dispone di repliche secondarie e relativi servizi di front-end in una configurazione attiva-attiva, operanti in più datacenter. Se un data center non riesce, il traffico viene indirizzato automaticamente a un data center diverso.
• Quando scrive, la directory esegue il failover della replica primaria tra i data center durante una pianificazione (in cui la nuova replica primaria è sincronizzata con quella precedente) o in caso di procedure di failover di emergenza. La durabilità dei dati si ottiene replicando i commit in almeno due data center.

Coerenza dei dati

Il modello di directory è un modello di consistenza eventuale. Un problema tipico dei sistemi distribuiti che eseguono la replica asincrona è che i dati restituiti da una "particolare" replica potrebbero non essere aggiornati.

Microsoft Entra ID fornisce coerenza in lettura/scrittura per le applicazioni destinate a una replica secondaria, instradando le scritture verso la replica primaria e recuperando sincronicamente le scritture verso la replica secondaria.

Le scritture delle applicazioni che utilizzano l'API Microsoft Graph di Microsoft Entra ID sono astratte dalla necessità di mantenere l'affinità a una replica di directory per garantire la coerenza in lettura e scrittura. Il servizio Microsoft API Graph gestisce una sessione logica. La sessione è associata a una replica secondaria impiegata per le operazioni di lettura. L'affinità viene acquisita in un "token di replica" memorizzato nella cache del servizio usando una cache distribuita nel data center di replica secondaria. Questo token viene quindi usato per le operazioni successive nella stessa sessione logica. Per continuare a usare la stessa sessione logica, è necessario instradare le richieste successive allo stesso data center di Microsoft Entra. Non è possibile continuare una sessione logica se le richieste client della directory vengono instradate a più data center Microsoft Entra. Se le sessioni vengono suddivise, il client dispone di più sessioni logiche con coerenza di lettura/scrittura indipendente.

Nota

Le operazioni di scrittura vengono immediatamente replicate alla replica secondaria a cui sono stati indirizzati i comandi di lettura della sessione logica.

Per le richieste application-only, Microsoft Entra ID non fornisce la coerenza della sessione. La coerenza della sessione è supportata solo per le richieste delegate (flusso di token applicazione+utente).

Backup a livello di servizio

Microsoft Entra ID implementa il backup giornaliero dei dati della directory e può usare questi backup per ripristinare i dati in caso di problemi a livello di servizio.

La directory implementa anche eliminazioni logiche anziché eliminazioni definitive per i tipi di oggetto selezionati. L'amministratore tenant può annullare eventuali eliminazioni accidentali di questi oggetti entro 30 giorni. Per altre informazioni, vedere l'API per ripristinare gli oggetti eliminati.

Metriche e monitoraggio

L'esecuzione di un servizio a disponibilità elevata richiede funzionalità di monitoraggio e metriche di alto livello. Microsoft Entra ID analizza continuamente e segnala le metriche chiave dell'integrità del servizio e i criteri di successo per ognuno dei servizi. È anche disponibile lo sviluppo continuo e l'ottimizzazione delle metriche, del monitoraggio e degli avvisi per ogni scenario, all'interno di ogni servizio Microsoft Entra e in tutti i servizi.

Se un servizio Microsoft Entra non funziona come previsto, viene eseguita un'azione immediata per ripristinare le funzionalità il più rapidamente possibile. La metrica più importante Microsoft Entra ID tiene traccia della velocità di rilevamento e migrazione dei problemi dei clienti. Microsoft investe molto nel monitoraggio e negli avvisi per minimizzare il tempo di rilevamento (TTD) (obiettivo: <5 minuti) e la prontezza operativa per minimizzare il tempo di mitigazione (TTM) (obiettivo: <30 minuti).

Operazioni sicure

Microsoft Entra ID usa controlli operativi come l'autenticazione a più fattori per qualsiasi operazione e controllo di tutte le operazioni. Inoltre, utilizza un sistema di elevazione "just-in-time" per concedere l'accesso temporaneo necessario per qualsiasi attività operativa su richiesta su base continua. Per altre informazioni, vedere Il cloud attendibile.

Passaggi successivi

Per altre informazioni sulla distribuzione e la creazione di resilienza con Microsoft Entra, vedere:

• Microsoft Entra piani di distribuzione: linee guida dettagliate per la distribuzione per l'autenticazione, le app, i dispositivi e gli scenari ibridi
• Creare resilienza nell'architettura ibrida : diagrammi di architettura per PHS, PTA e federazione, con indicazioni sulla resilienza
• Creazione di resilienza nella gestione delle identità e degli accessi : modelli di resilienza per l'infrastruttura e le applicazioni IAM
• Architettura di gestione dell’identità e degli accessi in Azure — architetture di riferimento e linee guida per la progettazione

Per altre informazioni sullo sviluppo con Microsoft Entra, vedere la guida per sviluppatori Microsoft Entra.