Qual é a arquitetura Microsoft Entra?

Microsoft Entra permite gerenciar com segurança o acesso do usuário a serviços e recursos. Incluído com Microsoft Entra é uma família de recursos de gerenciamento de identidades e acesso à rede. Para obter informações sobre Microsoft Entra recursos, consulte O que é Microsoft Entra?

Com Microsoft Entra, você pode criar e gerenciar usuários e grupos e habilitar permissões para permitir e negar o acesso aos recursos corporativos. Para obter informações sobre o gerenciamento de identidades, consulte os conceitos básicos do gerenciamento de identidades.

arquitetura Microsoft Entra

Microsoft Entra ID combina recursos extensivos de monitoramento, redirecionamento automatizado, failover e recuperação em sua arquitetura geograficamente distribuída para fornecer disponibilidade e desempenho em toda a empresa.

Os seguintes elementos de arquitetura são abordados neste artigo:

• Design de arquitetura de serviço
• Escalabilidade
• Disponibilidade contínua
• Datacenters

Design de arquitetura de serviço

A maneira mais comum de criar um sistema acessível e utilizável, rico em dados, é usar blocos de construção independentes ou unidades de escala. Para a camada de dados Microsoft Entra, as unidades de escala são chamadas partitions.

A camada de dados tem vários serviços de front-end que fornecem a capacidade de leitura/gravação. O diagrama a seguir mostra como os componentes de uma partição de diretório único são entregues em datacenters distribuídos geograficamente.

Os componentes da arquitetura Microsoft Entra incluem uma réplica primária e réplicas secundárias.

Réplica primária

A réplica principal recebe todas as gravações da partição a que pertence. Qualquer operação de gravação é imediatamente replicada para uma réplica secundária em um data center diferente antes de retornar o sucesso para o chamador, garantindo a durabilidade geo-redundante das gravações.

Réplicas secundárias

Todas as leituras de diretório são atendidas a partir de réplicas secundárias, localizadas em datacenters geograficamente distribuídos. Os dados são replicados de forma assíncrona em muitas réplicas secundárias. As leituras de diretório, como solicitações de autenticação, são realizadas em datacenters próximos aos clientes. As réplicas secundárias são responsáveis pela escalabilidade de leitura.

Escalabilidade

A escalabilidade é a capacidade de expandir um serviço para atender às necessidades crescentes de desempenho. Microsoft Entra particiona dados para alcançar a escalabilidade de gravação. A escalabilidade de leitura é obtida com a replicação de dados de uma partição para várias réplicas secundárias distribuídas em todo o mundo.

As solicitações de aplicativos de diretório são roteadas para o datacenter mais próximo. As gravações são redirecionadas de forma transparente para a réplica primária para fornecer consistência de leitura/gravação. Réplicas secundárias estendem significativamente a escalas de partições, porque os diretórios normalmente atendem a leituras na maioria das vezes.

Os aplicativos de diretório se conectam aos data centers mais próximos. Essa conexão melhora o desempenho e, portanto, a expansão é possível. Como uma partição de diretório pode ter várias réplicas secundárias, as réplicas secundárias podem ser colocadas mais perto dos clientes de diretório. Somente componentes de serviço internos que fazem uso intensivo de gravação direcionam a réplica principal ativa diretamente.

Disponibilidade contínua

A disponibilidade (ou tempo de atividade) define a capacidade de um sistema de funcionar sem interrupções. A chave para a alta disponibilidade do Microsoft Entra ID é que os serviços podem deslocar rapidamente o tráfego entre vários datacenters distribuídos geograficamente. Cada datacenter é independente, o que permite modos de falha descorrelacionados. Por meio desse design de alta disponibilidade, Microsoft Entra ID não requer tempo de inatividade para atividades de manutenção.

O design da partição do Microsoft Entra ID é simplificado em comparação com o design do Active Directory corporativo, usando um design de servidor primário único que inclui um processo de failover de réplica primária cuidadosamente orquestrado e determinístico.

Tolerância a falhas

Um sistema estará mais disponível se puder tolerar falhas de hardware, rede e software. Cada partição de diretório possui uma réplica primária com alta disponibilidade que realiza todas as operações de gravação. Essa réplica primária é monitorada continuamente e, se uma falha for detectada, as operações de gravação serão imediatamente deslocadas para outra réplica. Essa réplica se torna a nova primária. Durante esse processo de failover, a disponibilidade de gravação pode ser temporariamente afetada por 1 a 2 minutos, mas a disponibilidade de leitura permanece não afetada.

Operações de leitura (que ultrapassam o número de gravações por várias ordens de magnitude) só vão para réplicas secundárias. Como as réplicas secundárias são idempotentes, a perda de qualquer réplica em determinada partição é compensada facilmente direcionando as leituras para outra réplica, normalmente no mesmo datacenter.

Durabilidade dos dados

Uma gravação é confirmada de forma duradoura em pelo menos dois centros de dados antes da confirmação. O sistema primeiro confirma a gravação no primário e, em seguida, replica imediatamente a gravação em pelo menos um outro datacenter. Essa ação de gravação garante que uma possível perda catastrófica do datacenter que hospeda o servidor principal não resulte em perda de dados.

Microsoft Entra ID mantém um objetivo de tempo de recuperação (RTO) de zero para não perder dados em failovers, incluindo:

• Emissão de tokens e leituras de diretórios
• Permitindo apenas cerca de 5 minutos de RTO para gravações de diretório

Datacenters

Microsoft Entra réplicas são armazenadas em datacenters localizados em todo o mundo. Para obter mais informações, consulte infraestrutura global do Azure.

Microsoft Entra ID opera entre datacenters com as seguintes características:

• A autenticação, o Graph e outros serviços do Microsoft Entra ID residem por trás do serviço Gateway. O Gateway gerencia o balanceamento de carga. O serviço faz o failover automático de todos os servidores considerados não íntegros pelas investigações de integridade transacional. Com base nessas investigações de integridade, o Gateway roteia dinamicamente o tráfego para os datacenters íntegros.
• Para leituras, o diretório tem réplicas secundárias e serviços de front-end correspondentes em uma configuração ativo-ativo operando em vários datacenters. Se um datacenter falhar, o tráfego será roteado automaticamente para um datacenter diferente.
• Para gravações, o diretório faz o failover da réplica primária entre os datacenters por meio de procedimentos de failover planejados (o novo primário é sincronizado com o primário antigo) ou de emergência. A durabilidade dos dados é obtida por meio da replicação de qualquer confirmação para pelo menos dois datacenters.

Consistência de dados

O modelo de diretório é de consistência eventual. Um problema típico com sistemas distribuídos de replicação assíncrona é que os dados retornados de uma réplica "específica" podem não estar atualizados.

O Microsoft Entra oferece consistência de leitura e gravação para aplicativos destinados a uma réplica secundária roteando suas gravações para a réplica principal e incluindo as gravações de forma síncrona novamente na réplica secundária.

As gravações de aplicativo usando a API do Microsoft Graph do Microsoft Entra ID são abstraídas da manutenção da afinidade com uma réplica de diretório para consistência de leitura e gravação. O serviço microsoft API do Graph mantém uma sessão lógica. A sessão tem afinidade com uma réplica secundária usada para leituras. A afinidade é capturada em um "token de réplica" que o serviço armazena em cache usando um cache distribuído no data center da réplica secundária. Esse token é usado para operações subsequentes na mesma sessão lógica. Para continuar usando a mesma sessão lógica, as solicitações subsequentes devem ser roteadas para o mesmo datacenter da Microsoft Entra. Não é possível continuar uma sessão lógica se as solicitações do cliente de serviços de diretório estiverem sendo roteadas para vários datacenters Microsoft Entra. Se as sessões forem divididas, o cliente terá várias sessões lógicas que têm consistências independentes de leitura/gravação.

Observação

As gravações são replicadas imediatamente para a réplica secundária para a qual foram emitidas leituras lógicas da sessão.

Para solicitações apenas de aplicação, o Microsoft Entra ID não fornece consistência de sessão. A consistência da sessão é suportada apenas para solicitações delegadas (fluxo de token de aplicativo+usuário). Para obter orientações sobre como criar aplicativos que levem em conta os atrasos de replicação, consulte Projetando para consistência eventual para Microsoft Entra.

Backup de nível de serviço

Microsoft Entra ID implementa o backup diário de dados de diretório e pode usar esses backups para restaurar dados se houver algum problema em todo o serviço.

O diretório também implementa exclusões lógicas, em vez de exclusões físicas, para os tipos de objeto selecionados. O administrador de locatários pode desfazer qualquer exclusão acidental desses objetos dentro de 30 dias. Para obter mais informações, confira a API para restaurar objetos excluídos.

Métricas e monitores

Executar um serviço de alta disponibilidade requer métricas de classe mundial e recursos de monitoramento. Microsoft Entra ID analisa e relata continuamente as principais métricas de integridade do serviço e critérios de êxito para cada um de seus serviços. Há também desenvolvimento contínuo e ajuste de métricas, monitoramento e alertas para cada cenário, dentro de cada serviço Microsoft Entra e em todos os serviços.

Se qualquer serviço Microsoft Entra não estiver funcionando conforme o esperado, medidas imediatas serão tomadas para restaurar a funcionalidade o mais rápido possível. A métrica mais importante que o Microsoft Entra ID acompanha é a velocidade de detecção e migração de problemas dos clientes. Investimos pesado em monitoramento e alertas para minimizar o tempo para detectar (TTD) (Destino: <5 minutos) e preparação operacional para minimizar o tempo para atenuar (TTM) (Destino: <30 minutos).

Operações seguras

Microsoft Entra ID usa controles operacionais, como autenticação multifator para qualquer operação e auditoria de todas as operações. Além disso, ele usa um sistema de elevação just-in-time para conceder o acesso temporário necessário para qualquer tarefa operacional sob demanda em uma base contínua. Para obter mais informações, confira A nuvem confiável.

Próximas etapas

Para saber mais sobre como implantar e criar resiliência com Microsoft Entra, confira:

• Microsoft Entra planos de implantação — diretrizes de implantação passo a passo para autenticação, aplicativos, dispositivos e cenários híbridos
• Criar resiliência em sua arquitetura híbrida – diagramas de arquitetura para PHS, PTA e Federação, com diretrizes de resiliência
• Criando resiliência no gerenciamento de identidade e acesso – padrões de resiliência para aplicativos e infraestrutura do IAM
• Arquitetura de gerenciamento de identidade e acesso no Azure — arquiteturas de referência e orientações de design

Para saber mais sobre como desenvolver com Microsoft Entra, consulte o Microsoft Entra guia do desenvolvedor.