Arquitetura de identidade do Azure Stack Hub

  • Artigo

Ao escolher um provedor de identidade para usar com o Azure Stack Hub, você deve entender as diferenças importantes entre as opções de ID de Microsoft Entra e Serviços de Federação do Active Directory (AD FS) (AD FS).

Funcionalidades e limitações

O provedor de identidade que você escolher pode limitar suas opções, incluindo suporte para multilocação.

Funcionalidade ou cenário Microsoft Entra ID AD FS
Conectado à Internet Sim Opcional
Suporte para multilocação Yes No
Oferecer itens no Marketplace Yes Sim (requer o uso da ferramenta de Sindicalização do Marketplace offline )
Suporte para ADAL (Biblioteca de Autenticação do Active Directory) Sim Sim
Suporte para ferramentas como CLI do Azure, Visual Studio e PowerShell Sim Yes
Criar entidades de serviço por meio do portal do Azure Yes No
Criar entidades de serviço com certificados Yes Yes
Criar entidades de serviço com segredos (chaves) Yes Yes
Os aplicativos podem usar o serviço Graph Yes No
Os aplicativos podem usar o provedor de identidade para entrar Sim Sim (requer que os aplicativos sejam federados nas instâncias de AD FS locais)
Identidades gerenciadas No Não

Topologias

As seções a seguir discutem as diferentes topologias de identidade que você pode usar.

Microsoft Entra ID: topologia de locatário único

Por padrão, quando você instala o Azure Stack Hub e usa Microsoft Entra ID, o Azure Stack Hub usa uma topologia de locatário único.

Uma topologia de locatário único é útil quando:

  • Todos os usuários fazem parte do mesmo locatário.
  • Um provedor de serviços hospeda uma instância do Azure Stack Hub para uma organização.

Topologia de locatário único do Azure Stack Hub com Microsoft Entra ID

Essa topologia apresenta as seguintes características:

  • O Azure Stack Hub registra todos os aplicativos e serviços no mesmo Microsoft Entra diretório de locatário.
  • O Azure Stack Hub autentica apenas os usuários e aplicativos desse diretório, incluindo tokens.
  • As identidades para administradores (operadores de nuvem) e usuários de locatário estão no mesmo locatário de diretório.
  • Para permitir que um usuário de outro diretório acesse esse ambiente do Azure Stack Hub, você deve convidar o usuário como convidado para o diretório do locatário.

Microsoft Entra ID: topologia multilocatário

Os operadores de nuvem podem configurar o Azure Stack Hub para permitir o acesso a aplicativos por locatários de uma ou mais organizações. Os usuários acessam aplicativos por meio do portal de usuário do Azure Stack Hub. Nessa configuração, o portal do administrador (usado pelo operador de nuvem) está limitado aos usuários de um único diretório.

Uma topologia multilocatário é útil quando:

  • Um provedor de serviços deseja permitir que os usuários de várias organizações acessem o Azure Stack Hub.

Topologia multilocatário do Azure Stack Hub com Microsoft Entra ID

Essa topologia apresenta as seguintes características:

  • O acesso aos recursos deve ser feito com base na organização.
  • Os usuários de uma organização não devem ser capazes de conceder acesso a recursos para usuários que estão fora de sua organização.
  • As identidades para administradores (operadores de nuvem) podem estar em um locatário de diretório separado das identidades para usuários. Essa separação fornece isolamento de conta no nível do provedor de identidade.

AD FS

A topologia de AD FS é necessária quando qualquer uma das seguintes condições é verdadeira:

  • O Azure Stack Hub não se conecta à Internet.
  • O Azure Stack Hub pode se conectar à Internet, mas você opta por usar o AD FS como provedor de identidade.

Topologia do Azure Stack Hub usando o AD FS

Essa topologia apresenta as seguintes características:

  • Para dar suporte ao uso dessa topologia em produção, você deve integrar a instância de AD FS do Azure Stack Hub interno a uma instância existente de AD FS com suporte do Active Directory, por meio de uma confiança de federação.

  • Você pode integrar o serviço de Graph no Azure Stack Hub com a sua instância existente do Active Directory. Você também pode usar o serviço de API do Graph baseado em OData que dá suporte a APIs que são consistentes com a API do Graph do Azure AD.

    Para interagir com sua instância do Active Directory, o API do Graph requer uma credencial de usuário com permissão somente leitura para sua instância do Active Directory e acessa:

    • A instância interna do AD FS.
    • Suas instâncias do AD FS e do Active Directory, que devem ser baseadas em Windows Server 2012 ou posterior.

    Entre a sua instância do Active Directory e a instância de AD FS interna, as interações não estão restritas ao OpenID Connect e podem usar qualquer protocolo com suporte mútuo.

    • As contas de usuário são criadas e gerenciadas na sua instância do Active Directory local.
    • As entidades de serviço e os registros para aplicativos são gerenciados na instância interna do Active Directory.

Próximas etapas