Wat is de Microsoft Entra-architectuur?
Met Microsoft Entra ID kunt u de toegang tot Azure-services en -resources voor uw gebruikers veilig beheren. Inbegrepen bij Microsoft Entra ID is een volledige suite met mogelijkheden voor identiteitsbeheer. Zie Wat is Microsoft Entra-id ?
Met Microsoft Entra-id kunt u gebruikers en groepen maken en beheren en machtigingen inschakelen om toegang tot bedrijfsresources toe te staan en te weigeren. Zie The fundamentals of Azure identity management (De grondbeginselen van Azure-identiteitsbeheer) voor meer informatie over identiteitsbeheer.
Architectuur van Microsoft Entra
De geografisch gedistribueerde architectuur van Microsoft Entra ID combineert uitgebreide bewaking, geautomatiseerde herrouting, failover en herstelmogelijkheden, die de beschikbaarheid en prestaties van het hele bedrijf aan klanten leveren.
In dit artikel worden de volgende elementen van de architectuur besproken:
- Servicearchitectuurontwerp
- Schaalbaarheid
- Continue beschikbaarheid
- Datacenters
Servicearchitectuurontwerp
De meest voorkomende manier om een toegankelijk en bruikbaar systeem met gegevens te bouwen, is via onafhankelijke bouwstenen of schaaleenheden. Voor de Microsoft Entra-gegevenslaag worden schaaleenheden partities genoemd.
De gegevenslaag heeft meerdere front-end-services die mogelijkheden bieden voor lezen/schrijven. In het volgende diagram ziet u hoe de onderdelen van een partitie met één map worden geleverd in geografisch gedistribueerde datacenters.
De onderdelen van de Microsoft Entra-architectuur omvatten een primaire replica en secundaire replica's.
Primaire replica
De primaire replica ontvangt alle schrijfbewerkingen voor de partitie waarbij deze hoort. Alle schrijfbewerkingen worden onmiddellijk gerepliceerd naar een secundaire replica in een ander datacenter, voordat de aanroeper een melding van slagen ontvangt. Op deze manier wordt de geografisch redundante duurzaamheid van schrijfbewerkingen verzekerd.
Secundaire replica's
Alle leesbewerkingen in een map worden afgehandeld vanuit secundaire replica's, die zich in datacentrums op verschillende fysieke locaties bevinden. Er zijn veel secundaire replica's, omdat gegevens asynchroon worden gerepliceerd. Leesbewerkingen in een map, zoals verificatieaanvragen, worden afgehandeld vanuit datacentrums in de buurt van klanten. De secundaire replica's zijn verantwoordelijk voor de schaalbaarheid van leesbewerkingen.
Schaalbaarheid
Schaalbaarheid is de mogelijkheid van een service om uit te breiden en zo te voldoen aan groeiende prestatievereisten. Schaalbaarheid van schrijfbewerkingen wordt bereikt door de gegevens te partitioneren. Schaalbaarheid van leesbewerkingen wordt bereikt door gegevens uit één partitie te repliceren naar meerdere secundaire replica's over de hele wereld.
Aanvragen van adreslijsttoepassingen worden doorgestuurd naar het dichtstbijzijnde datacenter. Schrijfbewerkingen worden transparant omgeleid naar de primaire replica voor lees-/schrijfconsistentie. Secundaire replica's breiden de schaal van partities aanzienlijk uit, omdat in de mappen doorgaans leesbewerkingen worden afgehandeld.
Directory-toepassingen maken verbinding met de dichtstbijzijnde datacenters. Door deze verbinding worden de prestaties verbeterd, wat uitschalen mogelijk maakt. Omdat een mappartitie meerdere secundaire replica's kan hebben, kunnen deze secundaire replica's dichter bij Directory-clients worden geplaatst. Alleen interne Directory-serviceonderdelen die veel schrijfbewerkingen afhandelen, zijn rechtstreeks gericht op de actieve primaire replica.
Continue beschikbaarheid
Beschikbaarheid (of bedrijfstijd) definieert de mogelijkheid van een systeem om ononderbroken actief te zijn. De sleutel tot de hoge beschikbaarheid van Microsoft Entra ID is dat de services snel verkeer kunnen verplaatsen naar meerdere geografisch gedistribueerde datacenters. Elk datacentrum is onafhankelijk. Dit maakt het gebruik van gedecorreleerde foutmodi mogelijk. Via dit ontwerp voor hoge beschikbaarheid vereist Microsoft Entra ID geen downtime voor onderhoudsactiviteiten.
Het partitieontwerp van Microsoft Entra ID wordt vereenvoudigd vergeleken met het ENTERPRISE AD-ontwerp, met behulp van een ontwerp met één master dat een zorgvuldig ingedeeld en deterministisch failoverproces voor primaire replica's omvat.
Fouttolerantie
Een systeem is beschikbaarder als het tolerant is voor fouten in hardware, software en het netwerk. Voor elke mappartitie bestaat een maximaal beschikbare hoofdreplica: de primaire replica. Op deze replica worden alleen schrijfbewerkingen naar de partitie uitgevoerd. Deze replica wordt voortdurend en nauwlettend gecontroleerd. Indien er een fout wordt gedetecteerd, kunnen schrijfbewerkingen onmiddellijk worden verplaatst naar een andere replica (die dan de nieuwe primaire replica wordt). Tijdens de failover kan er een verlies van schrijfbeschikbaarheid optreden. Dit duurt meestal maar 1-2 minuten. De beschikbaarheid van leesbewerkingen wordt gedurende deze tijd niet beïnvloed.
Leesbewerkingen (die vele malen vaker voorkomen dan schrijfbewerkingen) worden alleen opgeslagen in secundaire replica's. Aangezien secundaire replica's idempotent zijn, kan het verlies van een van de replica's in een bepaalde partitie eenvoudig worden gecompenseerd door de leesbewerkingen naar een andere replica te leiden. Meestal is dit dan een replica in hetzelfde datacenter.
Duurzaamheid van gegevens
Een schrijfbewerking wordt definitief doorgevoerd in ten minste twee datacentrums vóórdat deze wordt bevestigd. Dit gebeurt door de schrijfbewerking eerst door te voeren op de primaire replica en vervolgens onmiddellijk naar ten minste één ander datacentrum te repliceren. Deze schrijfactie zorgt ervoor dat een potentieel catastrofaal verlies van het datacenter dat als host fungeert voor het primaire datacenter, geen gegevensverlies tot gevolg heeft.
Microsoft Entra ID onderhoudt een nul RTO (Recovery Time Objective) om geen gegevens over failovers te verliezen. Dit zijn onder andere de nieuwe mogelijkheden:
- Tokenuitgifte en mapleesbewerkingen
- Slechts 5 minuten RTO toestaan voor schrijfbewerkingen in mappen
Datacenters
Microsoft Entra-replica's worden opgeslagen in datacenters over de hele wereld. Zie Globale Azure-infrastructuur voor meer informatie.
Microsoft Entra ID werkt in datacenters met de volgende kenmerken:
- De gatewayservice omvat verificatie, Graph en andere AD-services. De taakverdeling van deze services wordt via de gateway beheerd. Als er via transactionele tests beschadigde servers worden gedetecteerd, wordt er automatisch een failover uitgevoerd. Op basis van deze tests wordt het verkeer dynamisch via de gateway naar de goede datacentrums geleid.
- Voor leesbewerkingen beschikt de map over secundaire replica's en bijbehorende front-end-services in een actief-actief-configuratie die in meerdere datacentrums actief is. Als een datacenter uitvalt, wordt verkeer automatisch doorgestuurd naar een ander datacenter.
- Voor schrijfbewerkingen voert de map een failover uit van de primaire replica in datacenters via geplande (nieuwe primaire wordt gesynchroniseerd met oude primaire) of procedures voor failover in noodgevallen. Duurzaamheid van gegevens wordt bereikt door een willekeurige doorvoering te repliceren naar minstens twee datacentrums.
Gegevensconsistentie
Het mapmodel wordt gekenmerkt door uiteindelijke consistentie. Een typisch probleem met gedistribueerde asynchrone replicatiesystemen is dat de gegevens die worden geretourneerd van een 'bepaalde' replica mogelijk niet up-to-date zijn.
Microsoft Entra ID biedt lees-/schrijfconsistentie voor toepassingen die gericht zijn op een secundaire replica door de schrijfbewerkingen naar de primaire replica te routeren en de schrijfbewerkingen synchroon terug te halen naar de secundaire replica.
Schrijfbewerkingen van toepassingen met behulp van de Microsoft Graph API van Microsoft Entra-id worden geabstraheerd van het onderhouden van affiniteit naar een directoryreplica voor lees-/schrijfconsistentie. De Microsoft Graph API-service onderhoudt een logische sessie, die affiniteit heeft met een secundaire replica die wordt gebruikt voor leesbewerkingen; affiniteit wordt vastgelegd in een replicatoken dat door de service wordt opgeslagen in de cache met behulp van een gedistribueerde cache in het secundaire replicacentrum. Dit token wordt vervolgens gebruikt voor verdere bewerkingen in dezelfde logische sessie. Als u dezelfde logische sessie wilt blijven gebruiken, moeten volgende aanvragen worden gerouteerd naar hetzelfde Microsoft Entra-datacenter. Het is niet mogelijk om een logische sessie voort te zetten als de aanvragen van de directoryclient worden doorgestuurd naar meerdere Microsoft Entra-datacenters; als dit gebeurt, heeft de client meerdere logische sessies met onafhankelijke lees-/schrijf-consistenties.
Notitie
Schrijfbewerkingen worden onmiddellijk gerepliceerd naar de secundaire replica waarop de leesbewerkingen van de logische sessie zijn weggeschreven.
Back-up op serviceniveau
Microsoft Entra ID implementeert dagelijkse back-up van mapgegevens en kan deze back-ups gebruiken om gegevens te herstellen als er een probleem is met de hele service.
De map voert ook voorlopig verwijderen in plaats van definitief verwijderen voor geselecteerde objecttypen uit. De tenantbeheerder kan alle onbedoelde verwijderingen van deze objecten binnen 30 dagen ongedaan maken. Zie de API om verwijderde objecten te herstellen voor meer informatie.
Metrische gegevens en controles
Voor het uitvoeren van een service met een hoge beschikbaarheid zijn uitstekende mogelijkheden voor metrische gegevens en controle vereist. Microsoft Entra ID analyseert en rapporteert voortdurend belangrijke metrische gegevens over de servicestatus en succescriteria voor elk van de services. Er is ook continue ontwikkeling en afstemming van metrische gegevens en bewaking en waarschuwingen voor elk scenario, binnen elke Microsoft Entra-service en voor alle services.
Als een Microsoft Entra-service niet werkt zoals verwacht, wordt onmiddellijk actie ondernomen om de functionaliteit zo snel mogelijk te herstellen. De belangrijkste metrische gegevens die Microsoft Entra ID bijhoudt, is hoe snel livesiteproblemen kunnen worden gedetecteerd en beperkt voor klanten. We investeren veel in controle en waarschuwingen om de detectietijd (TTD-doel: < 5 minuten) te minimaliseren en in operationele paraatheid om de hersteltijd (TTM-doel: < 30 minuten) zo kort mogelijk te houden.
Veilige bewerkingen
Operationele besturingselementen gebruiken, zoals meervoudige verificatie voor elke bewerking en controle van alle bewerkingen. Daarnaast het gebruik van een Just-in-time-elevationsysteem om de benodigde tijdelijke toegang te verlenen voor alle operationele taken op aanvraag die momenteel worden uitgevoerd. Zie De vertrouwde cloud voor meer informatie.