Introdução ao design da arquitetura de identidade

O IAM (gerenciamento de identidade e acesso) é um elemento fundamental da arquitetura de nuvem. Em sistemas locais, redes internas estabelecem limites de segurança. Em ambientes de nuvem, redes de perímetro e firewalls, por si só, não são suficientes para gerenciar o acesso a aplicativos e dados. Em vez disso, os sistemas de nuvem pública dependem de soluções de identidade para segurança de limite.

Uma solução de identidade controla o acesso aos aplicativos e aos dados de uma organização. Os usuários, os dispositivos e os aplicativos têm identidades. Os componentes do IAM dão suporte à autenticação e autorização dessas identidades. A autenticação controla quem ou o que usa uma conta. A autorização controla o que um usuário pode fazer em aplicativos.

serviços de Azure para identidade

Azure fornece uma variedade de serviços para identidade:

• Microsoft Entra ID é o principal serviço de gerenciamento de acesso e identidade baseado em nuvem que fornece autenticação, imposição de política e proteção para usuários, dispositivos, aplicativos e recursos.

• Microsoft Entra Domain Services é para serviços de domínio gerenciado.

• ID externa do Microsoft Entra é para cenários de identidade de cliente e parceiro.

• Acesso privado do Microsoft Entra é para proteger o acesso à rede privada.

• Acesso à Internet do Microsoft Entra é para acesso seguro à Internet.

Architecture

A imagem contém duas seções principais: uma rede local e uma rede virtual do Azure. A seção de rede local inclui um controlador de domínio, o Microsoft Entra Connect Sync e um cliente local. Uma seta aponta do controlador de domínio para o Microsoft Entra Connect Sync. Uma seta rotulada como "sync" aponta do Microsoft Entra Connect Sync para o locatário do Microsoft Entra. Uma seta com o rótulo "solicitações de usuários locais" aponta do cliente local para o locatário do Microsoft Entra. Uma seta com o rótulo "solicitações de usuários externos" aponta para o locatário do Microsoft Entra. Uma seta aponta do locatário do Microsoft Entra para um balanceador de carga. Três setas apontam do balanceador de carga para três VMs (máquinas virtuais) separadas na seção Azure rede virtual. Uma linha pontilhada rotulada DDoS Protection inclui a seção de rede virtual do Azure. Esta seção inclui a camada da Web, a camada de negócios, a camada de dados e a sub-rede de gerenciamento. Todas as três camadas incluem um grupo de segurança de rede, um balanceador de carga e três VMs. A sub-rede de gerenciamento inclui Azure Bastion.

Carrege um arquivo Visio desta arquitetura.

O diagrama anterior demonstra uma implementação típica de identidade básica ou de linha de base. Para obter soluções reais que você pode criar em Azure, consulte arquiteturas de identidade.

Explorar guias de identidade, arquiteturas e ideias de solução

Os artigos nesta seção incluem guias e arquiteturas totalmente desenvolvidas que você pode implantar em Azure e expandir para soluções de nível de produção. As ideias de solução demonstram padrões de implementação e possibilidades a serem considerados à medida que você planeja o desenvolvimento da sua prova de conceito (POC) de identidade. Esses artigos podem ajudá-lo a decidir como usar tecnologias de identidade no Azure.

Guias de identidade

Opções de tecnologia. Os artigos a seguir ajudam você a avaliar e selecionar as melhores tecnologias de identidade para seus requisitos de carga de trabalho:

• Compare o Active Directory Domain Services autogerenciado, o Microsoft Entra ID e o Microsoft Entra Domain Services gerenciado: compare três serviços que fornecem acesso a uma identidade central para determinar a melhor opção para o seu cenário.

• Escolha o método de autenticação correto para sua solução de identidade híbrida Microsoft Entra: avalie as opções de autenticação, incluindo sincronização de hash de senha, autenticação de passagem e federação.

Identidade multilocatário

• Considerações de arquitetura para identidade em uma solução multilocatário: entenda os requisitos de identidade para soluções multilocatários, incluindo autenticação, autorização e isolamento de locatário.

• Abordagens arquitetônicas para identidade em soluções multilocatários: explore abordagens de implementação para identidade em soluções multilocatários, incluindo Microsoft Entra ID e ID externa.

Arquiteturas de identidade

As arquiteturas prontas para produção a seguir demonstram soluções de identidade de ponta a ponta que você pode implantar e personalizar.

Identidade híbrida

• Integrar domínios locais do Active Directory ao Microsoft Entra ID: práticas recomendadas para integrar domínios locais do Active Directory ao Microsoft Entra ID para fornecer autenticação de identidade baseada em nuvem.

• Crie uma floresta de recursos do AD DS no Azure: crie um domínio do Active Directory separado no Azure no qual os domínios da sua floresta local do Active Directory confiam.

• Implantar o AD DS em uma rede virtual Azure: estender um domínio Active Directory local para Azure para fornecer serviços de autenticação distribuída.

• Estenda o AD FS local para Azure: estenda sua rede local para Azure e use Serviços de Federação do Active Directory (AD FS) (AD FS) para autenticação e autorização federadas.

Identidade multinuvem

• Microsoft Entra gerenciamento de identidade e gerenciamento de acesso para AWS: Implante as soluções de identidade e acesso do Microsoft Entra na AWS para fornecer gerenciamento centralizado de identidade e autenticação forte de logon único.

Ideias de solução de identidade

As ideias da solução de identidade a seguir demonstram padrões de implementação e possibilidades de explorar:

• Crie a primeira camada de defesa usando Azure serviços de segurança: use Azure serviços de segurança, incluindo serviços de identidade, como RBAC (controle de acesso baseado em função), MFA e Acesso Condicional, para criar uma camada de segurança fundamental para sua infraestrutura.

• Proteção multicamada para acesso à máquina virtual Azure: implemente o acesso just-in-time baseado em identidade para Azure VMs usando Microsoft Entra ID, Acesso Condicional e Privileged Identity Management.

Preparação organizacional

As organizações no início do processo de adoção da nuvem podem usar o Cloud Adoption Framework para Azure para acessar diretrizes comprovadas que aceleram a adoção da nuvem.

• Área de design de gerenciamento de identidade e acesso: avalie as opções para sua identidade e base de acesso, incluindo autenticação, autorização, separação de funções e sincronização de identidade híbrida com Microsoft Entra ID.

• Ofertas de cobrança do Azure e locatários do Microsoft Entra: Entenda como as ofertas de cobrança estão associadas a locatários do Microsoft Entra e como as assinaturas se relacionam com as estruturas de locatários.

• Organização de recursos: estabeleça padrões consistentes para nomenclatura, marcação, design de assinatura e hierarquia de grupo de gerenciamento para organizar a identidade e outros recursos implantados na nuvem.

Para ajudar a garantir a qualidade da sua solução de identidade no Azure, siga as diretrizes no Azure Well-Architected Framework. O Well-Architected Framework fornece diretrizes prescritivas para organizações que buscam excelência arquitetônica e descreve como projetar, provisionar e monitorar soluções de Azure com otimização de custo. Para obter diretrizes específicas de identidade, consulte estratégias de arquitetura para gerenciamento de identidade e acesso, que abrange autenticação, autorização, acesso condicional e gerenciamento de ciclo de vida de identidade em todos os cinco pilares da Estrutura Well-Architected.

Boas práticas

Siga estas práticas recomendadas para melhorar a segurança, a confiabilidade, o desempenho e a qualidade operacional das cargas de trabalho de identidade em Azure.

• Integrar domínios Active Directory local com Microsoft Entra ID: práticas recomendadas para integrar domínios Active Directory local com Microsoft Entra ID, incluindo diretrizes para acesso remoto do usuário, recursos de autoatendimento e ambientes híbridos sem VPN ou conectividade Azure ExpressRoute.

• Cinco etapas para proteger sua infraestrutura de identidade: uma lista de verificação para fortalecer a postura de segurança de identidade da sua organização com Microsoft Entra ID. Ele abrange a proteção de credenciais, redução da superfície de ataque, automação de resposta a ameaças, auditoria e habilitação de autoatendimento.

• Microsoft Entra guia de operações de segurança: diretrizes para monitorar e detectar ameaças de segurança ao seu ambiente de Microsoft Entra ID. Ele abrange linhas de base, contas, aplicativos, dispositivos e infraestrutura.

• Configure Microsoft Entra para aumentar a segurança: lista de verificação de configuração de segurança abrangente para Microsoft Entra ID. Ele é organizado por temas Confiança Zero, incluindo proteção de identidade, isolamento de locatário, proteção de rede e detecção de ameaças.

• Microsoft Entra planos de implantação: planos de implantação para os principais recursos de Microsoft Entra, incluindo autenticação multifator, Acesso Condicional, provisionamento de usuário, SSO contínuo e redefinição de senha de autoatendimento.

• Entenda os estágios de migração da autenticação de aplicativos do AD FS para o Microsoft Entra ID: diretrizes sobre como planejar e implementar uma migração em fases da autenticação de aplicativos do AD FS para Microsoft Entra ID.

• Planejar a migração de aplicativos para Microsoft Entra ID: visão geral do processo de migração de quatro fases para mover a autenticação de aplicativos do AD FS para Microsoft Entra ID, incluindo planejamento de projetos e comunicação de stakeholders.

• Recursos para migrar aplicativos para Microsoft Entra ID: coleção de recursos, incluindo guias estratégicos de migração, scripts de preparação e planos de implantação, para ajudar a migrar o acesso e a autenticação do aplicativo para Microsoft Entra ID.

Mantenha-se atualizado sobre a identidade

Azure serviços de identidade evoluem para enfrentar os desafios de dados modernos. Mantenha-se informado sobre as atualizações e os recursos mais recentes.

Para se manter atualizado com os principais serviços de identidade, consulte os seguintes artigos:

• Lançamentos e anúncios do Microsoft Entra: Mantenha-se atualizado com os desenvolvimentos recentes em toda a linha de produtos Microsoft Entra, incluindo novos recursos, anúncios de mudanças planejadas e descontinuações.

• Atualizações do Azure: um roteiro que mostra os principais novos recursos, atualizações e anúncios dos serviços de identidade do Azure.

Outros recursos

Os recursos a seguir podem ajudá-lo a descobrir mais sobre Azure serviços de identidade.

Microsoft Entra ID em ambientes educacionais

Esses recursos fornecem diretrizes para criar e implantar Microsoft Entra ID em instituições de ensino. Elas abrangem arquitetura de locatário, governança de identidade e gerenciamento de credenciais para alunos e docentes.

• Introdução aos locatários do Microsoft Entra: Saiba mais sobre os locatários do Microsoft Entra em ambientes educacionais, incluindo a criação de locatários, limites de segurança para identidades, objetos de diretório e administração.

• Crie uma arquitetura multilocatário para grandes instituições: crie princípios e diretrizes para organizações educacionais que tenham mais de 1 milhão de usuários e precisem de uma arquitetura multilocatário Microsoft Entra.

• Projetar a configuração do locatário: configure políticas de segurança e acesso entre locatários do Microsoft Entra, incluindo identidades externas, Acesso Condicional, gerenciamento de dispositivos e opções de autoatendimento.

• Criar estratégias de autenticação e credencial: métodos de autenticação e gerenciamento de credenciais para organizações educacionais, incluindo autenticação sem senha, SSPR e MFA para alunos e docentes.

• Crie uma estratégia de conta: planeje estratégias de criação de conta híbrida e somente na nuvem para grandes instituições de ensino, incluindo provisionamento com Microsoft Entra Connect e School Sincronização de Dados.

• Projetar a governança de identidades: gerenciamento do ciclo de vida das identidades, gerenciamento de direitos de acesso, revisões de acesso e Privileged Identity Management para organizações educacionais.

• Guia da Solução Microsoft Educação: Diretrizes de implantação para Microsoft 365 Education. Ele abrange a configuração do locatário, identidade, aplicativos, segurança e gerenciamento de dispositivos em camadas de licença A1, A3 e A5.

Profissionais do Amazon Web Services (AWS) ou do Google Cloud

Para ajudá-lo a começar rapidamente, os seguintes artigos comparam Azure opções de identidade com outros serviços de nuvem e fornecem diretrizes de migração:

Comparação de serviço

• Comparar soluções de gerenciamento de identidade do AWS e Azure: uma comparação abrangente dos serviços de identidade do AWS e Azure, incluindo identidade principal, autenticação e controle de acesso, governança de identidade, gerenciamento de acesso privilegiado, identidade híbrida e autenticação de aplicativo.

• Microsoft Entra gerenciamento de acesso e gerenciamento de identidades para AWS: diretrizes detalhadas para implantar soluções de identidade e acesso Microsoft Entra para a AWS, incluindo integração de SSO, mapeamento de função, Acesso Condicional e Privileged Identity Management.

• Comparação de serviços do Google Cloud para Azure — Segurança e identidade: uma comparação do Google Cloud e Azure serviços de segurança e identidade, incluindo autenticação, autorização, criptografia e detecção de ameaças.

Diretrizes de migração

Se você estiver migrando de outra plataforma de nuvem, consulte os seguintes artigos:

• Migrar serviços de segurança do AWS para Azure: diretrizes para migrar serviços de segurança do AWS para Azure, incluindo migração do SIEM para Microsoft Sentinel e migração de identidade do cliente para ID externa do Microsoft Entra.

• Planeje sua migração de carga de trabalho da AWS para Azure: inclui diretrizes sobre como planejar o gerenciamento de identidade durante a migração, incluindo o mapeamento de funções de IAM do AWS para funções Microsoft Entra ID, identidades gerenciadas e entidades de serviço.