Compartilhar via


O que é a arquitetura do Microsoft Entra?

O Microsoft Entra ID permite gerenciar com segurança o acesso aos serviços e recursos do Azure para seus usuários. O Microsoft Entra ID tem um conjunto completo de recursos de gerenciamento de identidade. Para obter mais informações sobre o Microsoft Entra ID, consulte O que é o Microsoft Entra ID?

Com o Microsoft Entra ID, você pode criar e gerenciar usuários e grupos e habilitar as permissões para permitir e negar acesso aos recursos da empresa. Para obter informações sobre o gerenciamento de identidade, confira Os fundamentos do gerenciamento de identidades do Azure.

Arquitetura do Microsoft Entra

A arquitetura geograficamente distribuída do Microsoft Entra ID combina amplo monitoramento, redirecionamento automatizado, failover e recursos de recuperação para fornecer disponibilidade e desempenho em toda a empresa.

Os seguintes elementos de arquitetura são abordados neste artigo:

  • Design de arquitetura de serviço
  • Escalabilidade
  • Disponibilidade contínua
  • Datacenters

Design de arquitetura de serviço

A maneira mais comum de criar um sistema acessível e utilizável, rico em dados, é usar blocos de construção independentes ou unidades de escala. Para a camada de dados do Microsoft Entra, as unidades de escala são chamadas de partições.

A camada de dados tem vários serviços de front-end que fornecem a capacidade de leitura/gravação. O diagrama a seguir mostra como os componentes de uma partição de diretório único são entregues em datacenters distribuídos geograficamente.

Diagrama mostrando os componentes de uma partição de diretório único na arquitetura do Microsoft Entra

Os componentes da arquitetura do Microsoft Entra incluem uma réplica principal e uma secundária.

Réplica primária

A réplica principal recebe todas as gravações para a partição à qual ela pertence. Qualquer operação de gravação é imediatamente replicada em uma réplica secundária em um datacenter diferente antes de retornar êxito para o chamador, garantindo assim a redundância geográfica com durabilidade das gravações.

Réplicas secundárias

Todas as leituras de diretório são atendidas a partir de réplicas secundárias, localizadas em datacenters geograficamente distribuídos. Os dados são replicados de forma assíncrona em muitas réplicas secundárias. As leituras de diretório, como solicitações de autenticação, são realizadas em datacenters próximos aos clientes. As réplicas secundárias são responsáveis pela escalabilidade de leitura.

Escalabilidade

A escalabilidade é a capacidade de expandir um serviço para atender às necessidades crescentes de desempenho. A escalabilidade de gravação é obtida por meio do particionamento de dados. A escalabilidade de leitura é obtida com a replicação de dados de uma partição para várias réplicas secundárias distribuídas em todo o mundo.

As solicitações de aplicativos de diretório são roteadas para o datacenter mais próximo. As gravações são redirecionadas de forma transparente para a réplica primária para fornecer consistência de leitura/gravação. Réplicas secundárias estendem significativamente a escalas de partições, porque os diretórios normalmente atendem a leituras na maioria das vezes.

Os aplicativos de diretório se conectam aos data centers mais próximos. Essa conexão melhora o desempenho e, portanto, a expansão é possível. Como uma partição de diretório pode ter várias réplicas secundárias, as réplicas secundárias podem ser colocadas mais perto dos clientes de diretório. Somente componentes de serviço internos que fazem uso intensivo de gravação direcionam a réplica principal ativa diretamente.

Disponibilidade contínua

A disponibilidade (ou tempo de atividade) define a capacidade de um sistema de funcionar sem interrupções. A chave para a alta disponibilidade do Microsoft Entra ID é que os serviços podem transferir rapidamente o tráfego entre vários datacenters distribuídos geograficamente. Cada datacenter é independente, o que permite modos de falha não correlacionados. Com esse design de alta disponibilidade, o Microsoft Entra ID não requer tempo de inatividade algum para atividades de manutenção.

O design de partição da ID do Microsoft Entra é simplificado em comparação com o design do Active Directory corporativo, usando um design de mestre único que inclui um processo de failover de réplica primária cuidadosamente orquestrado e determinístico.

Tolerância a falhas

Um sistema estará mais disponível se puder tolerar falhas de hardware, rede e software. Cada partição de diretório tem uma réplica primária altamente disponível que manipula todas as operações de gravação. Essa réplica primária é monitorada continuamente e, se uma falha for detectada, as operações de gravação serão imediatamente deslocadas para outra réplica. Essa réplica se torna a nova primária. Durante esse processo de failover, a disponibilidade de gravação pode ser temporariamente afetada por 1 a 2 minutos, mas a disponibilidade de leitura permanece não afetada.

Operações de leitura (que ultrapassam o número de gravações por várias ordens de magnitude) só vão para réplicas secundárias. Como as réplicas secundárias são idempotentes, a perda de qualquer réplica em determinada partição é compensada facilmente direcionando as leituras para outra réplica, normalmente no mesmo datacenter.

Durabilidade dos dados

Uma gravação é confirmada de forma durável em pelo menos dois datacenters antes de ser reconhecida. Isso acontece primeiro por meio da confirmação da gravação no primário e, em seguida, replicando imediatamente a gravação para pelo menos um outro datacenter. Essa ação de gravação garante que uma possível perda catastrófica do datacenter que hospeda o primário não resulte em perda de dados.

O Microsoft Entra ID mantém um Objetivo de Tempo de Recuperação (RTO) zero para não perder dados em failovers. Isso inclui:

  • Edição de tokens e leituras de diretórios
  • Permitindo apenas cerca de 5 minutos de RTO para gravações de diretório

Datacenters

As réplicas do Microsoft Entra são armazenadas em data centers no mundo todo. Para saber mais, confira Infraestrutura global do Azure.

O Microsoft Entra ID opera entre datacenters com as seguintes características:

  • A autenticação, o Graph e outros serviços de ID do Entra residem por trás do serviço de Gateway. O Gateway gerencia o balanceamento de carga. O serviço fará failover automaticamente de todos os servidores encontrados não íntegros por investigações de integridade transacional. Com base nessas investigações de integridade, o Gateway roteia dinamicamente o tráfego para os datacenters íntegros.
  • Para leituras, o diretório tem réplicas secundárias e serviços de front-end correspondentes em uma configuração ativo-ativo operando em vários datacenters. Se um datacenter falhar, o tráfego será roteado automaticamente para um datacenter diferente.
  • Para gravações, o diretório apresentará failover na réplica primária entre datacenters por meio de procedimentos planejados (o novo primário é sincronizado com o primário antigo) ou de failover de emergência. A durabilidade dos dados é obtida por meio da replicação de qualquer confirmação para pelo menos dois datacenters.

Consistência de dados

O modelo de diretório é uma das consistências eventuais. Um problema típico com sistemas distribuídos de replicação assíncrona é que os dados retornados de uma réplica "específica" podem não estar atualizados.

O Microsoft Entra oferece consistência de leitura e gravação para aplicativos destinados a uma réplica secundária roteando suas gravações para a réplica principal e incluindo as gravações de forma síncrona novamente na réplica secundária.

As gravações de aplicativo usando a API do Microsoft Graph do Microsoft Entra ID são abstraídas da manutenção da afinidade com uma réplica de diretório para consistência de leitura e gravação. O serviço Microsoft Graph API mantém uma sessão lógica, que tem afinidade com uma réplica secundária usada para leituras; a afinidade é capturada em um "token de réplica" que o serviço armazena em cache usando um cache distribuído no datacenter de réplica secundária. Esse token é usado para operações subsequentes na mesma sessão lógica. Para continuar usando a mesma sessão lógica, as solicitações subsequentes devem ser roteadas para o mesmo datacenter do Microsoft Entra. Não será possível continuar uma sessão lógica se as solicitações do cliente de diretório estiverem sendo roteadas para vários datacenters do Microsoft Entra. Se isso acontecer, o cliente terá várias sessões lógicas que possuem consistência de leitura/gravação independente.

Observação

As gravações são replicadas imediatamente para a réplica secundária para a qual foram emitidas leituras lógicas da sessão.

Backup de nível de serviço

O Microsoft Entra ID implementa o backup diário de dados de diretório e pode usar esses backups para restaurar dados se houver qualquer problema de serviço.

O diretório também implementa exclusões reversível, em vez de exclusões rígidas para os tipos de objeto selecionados. O administrador de locatários pode desfazer qualquer exclusão acidental desses objetos dentro de 30 dias. Para obter mais informações, confira a API para restaurar objetos excluídos.

Métricas e monitores

Executar um serviço de alta disponibilidade requer métricas de classe mundial e recursos de monitoramento. O Microsoft Entra ID analisa e relata continuamente critérios de sucesso e métricas de integridade de serviço principais para cada um de seus serviços. Há também desenvolvimento contínuo e ajuste de métricas, monitoramento e alertas para cada cenário, em cada serviço do Microsoft Entra e em todos os serviços.

Se qualquer serviço do Microsoft Entra não estiver funcionando conforme o esperado, medidas imediatas serão tomadas para restaurar a funcionalidade o mais rápido possível. A métrica mais importante das faixas de ID do Microsoft Entra é a velocidade com que os problemas de site ao vivo são detectados e mitigados para os clientes. Investimos pesado em monitoramento e alertas para minimizar o tempo para detectar (TTD) (Destino: <5 minutos) e preparação operacional para minimizar o tempo para atenuar (TTM) (Destino: <30 minutos).

Operações seguras

A Microsoft Entra ID usa controles operacionais, como autenticação multifator para qualquer operação e auditoria de todas as operações. Além disso, ele usa um sistema de elevação just-in-time para conceder acesso temporário necessário para qualquer tarefa operacional sob demanda continuamente. Para obter mais informações, confira A nuvem confiável.

Próximas etapas

Para saber mais sobre como desenvolver com o Microsoft Entra, consulte o guia do desenvolvedor do Microsoft Entra.