Что такое архитектура Microsoft Entra?
Идентификатор Microsoft Entra позволяет безопасно управлять доступом к службам и ресурсам Azure для пользователей. Включенная с идентификатором Microsoft Entra ID — это полный набор возможностей управления удостоверениями. Сведения о функциях Microsoft Entra см. в разделе "Что такое идентификатор Microsoft Entra?
С помощью идентификатора Microsoft Entra можно создавать пользователей и группы и управлять ими, а также разрешать и запрещать доступ к корпоративным ресурсам. Дополнительные сведения об управлении удостоверениями см. в этой статье.
Архитектура Microsoft Entra
Географическая распределенная архитектура идентификатора Microsoft Entra объединяет обширные возможности мониторинга, автоматического перенаправления, отработки отказа и восстановления, которые обеспечивают доступность и производительность всей компании клиентам.
В этой статье рассматриваются следующие элементы архитектуры:
- Схема архитектуры службы
- Масштабируемость
- Постоянная доступность
- Центры обработки данных
Схема архитектуры службы
Наиболее распространенный способ создания доступной и удобной в использовании системы с большим количеством данных заключается в использовании независимых стандартных блоков или единиц масштабирования на уровне данных Azure AD. Для уровня данных Microsoft Entra единицы масштабирования называются секциями.
На уровне данных содержится несколько интерфейсных служб, обеспечивающих возможность чтения и записи. На следующей схеме показано, как компоненты секции с одним каталогом предоставляются в географически распределенных центрах обработки данных.
Компоненты архитектуры Microsoft Entra включают в себя основные реплика и вторичные реплика.
Первичная реплика
Первичная реплика принимает все операции записи раздела, к которому она относится. Перед возвращением успешного ответа вызывающей стороне все операции записи сразу же реплицируются на вторичную реплику в другом центре обработки данных, что обеспечивает геоизбыточную устойчивость этих операций.
Вторичные реплики
Все операции чтения в каталоге обрабатываются на вторичных репликах, расположенных в центрах обработки данных разных географических регионов. Данные реплицируются асинхронно, поэтому вы можете иметь большое количество вторичных реплик. Операции чтения в каталоге, такие как запросы на проверку подлинности, обрабатываются в центрах обработки данных, расположенных в непосредственной близости к заказчикам. Вторичные реплики отвечают за масштабируемость операций чтения.
Масштабируемость
Масштабируемость — это возможность расширения службы в соответствии с растущими требованиями к производительности. Изменение количества операций записи обеспечивается за счет секционирования, а операций чтения — за счет репликации данных из одного раздела на несколько вторичных реплик, распределенных по всему миру.
Запросы от приложений каталога направляются в ближайший центр обработки данных. Операции записи явным образом перенаправляются на первичную реплику, что позволяет обеспечить согласованность операций чтения и записи. Вторичные реплики значительно расширяют масштаб разделов, так как большую часть времени каталоги обрабатывают операции чтения.
Приложения каталога подключаются к ближайшим центрам обработки данных. Это повышает производительность и, следовательно, предоставляет возможности масштабирования. Так как разделы каталога могут иметь большое количество вторичных реплик, эти реплики можно размещать ближе к клиентам каталога. Только внутренние компоненты службы каталогов с большим количеством операций записи непосредственно используют активную первичную реплику.
Постоянная доступность
Доступность (или время непрерывной работы) определяет возможность системы работать без перебоя. Ключом к высокой доступности Идентификатора Microsoft Entra является то, что службы могут быстро перемещать трафик в нескольких географически распределенных центрах обработки данных. Каждый центр обработки данных является независимым, поэтому режимы сбоя практически не требуют корреляции. Благодаря этой разработке высокого уровня доступности идентификатор Microsoft Entra id не требует простоя для действий по обслуживанию.
Проектирование секций идентификатора Microsoft Entra упрощается по сравнению с корпоративным проектом AD с помощью единого главного дизайна, включающего тщательно управляемый и детерминированный первичный процесс реплика отработки отказа.
Отказоустойчивость
Чтобы обеспечить более высокую доступность системы, необходимо реализовать ее устойчивость к сбоям оборудования, сети и программного обеспечения. Для каждого раздела в каталоге назначена основная реплика с высоким уровнем доступности — первичная реплика. Эта реплика обрабатывает только операции записи на определенный раздел. Она постоянно находится под тщательным контролем, а в случае обнаружения сбоя операции записи немедленно перенаправляются на другую реплику (которая становится новой первичной репликой). Во время отработки отказа доступность для записи может быть потеряна на 1–2 минуты. Эта операция не влияет на доступность для чтения.
Операции чтения (которые численно превышают количество операций записи) направляются только на вторичные реплики. Так как вторичные реплики идемпотентные, потеря одной из них в определенном разделе легко возмещается за счет перенаправления операций чтения на другую реплику, расположенную обычно в том же центре обработки данных.
Устойчивость данных
До подтверждения операции записи она на длительное время фиксируется по крайней мере в двух центрах обработки данных. Сначала эта операция фиксируется на первичной реплике, а затем немедленно реплицируется хотя бы в один из дополнительных центров обработки данных. Данная операция записи гарантирует, что в случае необратимого сбоя в работе центра обработки данных, в котором расположена первичная реплика, данные не будут потеряны.
Идентификатор Microsoft Entra поддерживает нулевая цель времени восстановления (RTO), чтобы не потерять данные при отработках отказа. В том числе:
- выдача токенов и чтение каталога;
- RTO для операций записи в каталог на уровне 5 минут.
Центры обработки данных
Microsoft Entra реплика хранятся в центрах обработки данных, расположенных по всему миру. Дополнительные сведения см. в разделе Глобальная инфраструктура Azure.
Идентификатор Microsoft Entra работает в центрах обработки данных со следующими характеристиками:
- Службы проверки подлинности, Graph и другие службы AD находятся за службой шлюза. Шлюз управляет балансировкой нагрузки этих служб. При обнаружении неработоспособных серверов с использованием транзакционных проб работоспособности он автоматически выполняет отработку отказа. На основе проб работоспособности шлюз динамически направляет трафик в рабочие центры обработки данных.
- Для операций чтения каталог имеет вторичные реплики и соответствующие интерфейсные службы с конфигурацией "активный — активный", работающие в нескольких центрах обработки данных. Если обработка в центре обработки данных завершается сбоем, трафик автоматически направляется в другой центр обработки данных.
- Для операций записи каталог выполняет отработку отказа первичной реплики между несколькими центрами обработки данных в рамках планового (новая первичная реплика синхронизируется со старой) или экстренного процесса отработки отказа. Устойчивость данных достигается путем репликации всех фиксаций по крайней мере в два центра обработки данных.
Согласованность данных
Модель каталога обеспечивает окончательную согласованность данных. Одна из типичных проблем с распределенными асинхронно реплика системами заключается в том, что данные, возвращаемые из "конкретной" реплика, могут не быть актуальными.
Идентификатор Microsoft Entra обеспечивает согласованность операций чтения и записи для приложений, предназначенных для вторичной реплика путем маршрутизации записей в основной реплика и синхронно извлекая записи обратно в вторичный реплика.
Записи приложений с помощью API Microsoft Graph идентификатора Microsoft Entra абстрагируются от поддержания сходство с каталогом реплика для согласованности чтения и записи. Служба API Microsoft Graph поддерживает логический сеанс, который имеет сходство со вторичным реплика, используемым для операций чтения; сходство фиксируется в "маркере реплика", который кэширует службу с помощью распределенного кэша в дополнительном реплика центре обработки данных. Затем этот токен используется в последующих операциях в том же логическом сеансе. Чтобы продолжить использование одного логического сеанса, последующие запросы должны направляться в тот же центр обработки данных Microsoft Entra. Невозможно продолжить логический сеанс, если клиентские запросы каталога направляются в несколько центров обработки данных Microsoft Entra; Если это произойдет, клиент имеет несколько логических сеансов, имеющих независимые согласованности операций чтения и записи.
Примечание.
Операции записи немедленно реплицируются на вторичную реплику, для которой были выданы операции чтения логического сеанса.
Резервное копирование на уровне службы
Идентификатор Microsoft Entra реализует ежедневное резервное копирование данных каталога и может использовать эти резервные копии для восстановления данных, если возникла любая проблема со службой.
Каталог также реализует обратимые удаления вместо жестких удалений для выбранных типов объектов. Администратор клиента может отменить все случайные удаления этих объектов в течение 30 дней. Дополнительные сведения см. в разделе API для восстановления удаленных объектов.
Метрики и мониторы
Для выполнения службы с высоким уровнем доступности требуются метрики и возможности мониторинга мирового уровня. Идентификатор Microsoft Entra постоянно анализирует и сообщает метрики работоспособности ключевых служб и критерии успешности для каждой службы. Существует также непрерывная разработка и настройка метрик и мониторинга и оповещений для каждого сценария в каждой службе Microsoft Entra и во всех службах.
Если любая служба Microsoft Entra не работает должным образом, действие немедленно выполняется для восстановления функциональных возможностей как можно быстрее. Наиболее важным отслеживанием метрик Microsoft Entra ID является обнаружение и устранение проблем с динамическим сайтом для клиентов. Мы вложили много ресурсов в возможности мониторинга и создания оповещений, чтобы минимизировать время на обнаружение (менее 5 минут) и устранение (менее 30 минут) проблемы.
Защита операций
Использование операционных элементов управления, таких как многофакторная проверка подлинности для любой операции и аудит всех операций. Кроме того, мы используем JIT-систему повышения прав, чтобы предоставлять необходимый временный доступ к любой рабочей задаче по запросу на постоянной основе. Дополнительные сведения см. на странице Надежное облако.