Kom igång med design av identitetsarkitektur

Identitets- och åtkomsthantering (IAM) är ett grundläggande element i molnarkitekturen. I lokala system upprättar interna nätverk säkerhetsgränser. Enbart i molnmiljöer räcker det inte med perimeternätverk och brandväggar för att hantera åtkomst till appar och data. I stället förlitar sig offentliga molnsystem på identitetslösningar för gränssäkerhet.

En identitetslösning styr åtkomsten till en organisations appar och data. Användare, enheter och program har identiteter. IAM-komponenter stöder autentisering och auktorisering av dessa identiteter. Autentisering styr vem eller vad som använder ett konto. Auktorisering styr vad en användare kan göra i program.

Azure tjänster för identitet

Azure tillhandahåller en rad olika tjänster för identitet:

• Microsoft Entra ID är den huvudsakliga molnbaserade identitets- och åtkomsthanteringstjänsten som tillhandahåller autentisering, principframtvingande och skydd för användare, enheter, appar och resurser.

• Microsoft Entra Domain Services gäller för hanterade domäntjänster.

• Microsoft Entra External ID gäller för kund- och partneridentitetsscenarier.

• Microsoft Entra privatåtkomst är för säker åtkomst till privata nätverk.

• Microsoft Entra internetåtkomst är till för säker internetåtkomst.

Architecture

Avbildningen innehåller två viktiga avsnitt: ett lokalt nätverk och ett virtuellt Azure-nätverk. Avsnittet lokalt nätverk innehåller en domänkontrollant, Microsoft Entra Connect Sync och en lokal klient. En pil pekar från domänkontrollanten till Microsoft Entra Connect Sync. En pil märkt synk pekar från Microsoft Entra Connect Sync till Microsoft Entra-klientorganisationen. En pil märkt med "begäranden från lokala användare" pekar från den lokala klienten till Microsoft Entra-klientorganisationen. En pil med etiketten ”begäranden från externa användare” pekar på Microsoft Entra-klientorganisationen. En pil pekar från Microsoft Entra klientorganisation till en lastbalanserare. Tre pilar pekar från lastbalanseraren till tre separata virtuella datorer i avsnittet Azure virtuella nätverk. En streckad linje med etiketten DDoS Protection omger avsnittet virtuellt Azure-nätverk. Det här avsnittet innehåller webbnivån, affärsnivån, datanivån och hanteringsundernätet. Alla tre nivåerna omfattar en nätverkssäkerhetsgrupp, en lastbalanserare och tre virtuella datorer. Hanteringsundernätet innehåller Azure Bastion.

Ladda ned en Visio-fil av den här arkitekturen.

Föregående diagram visar en typisk grundläggande identitetsimplementering eller baslinjeidentitetsimplementering. Verkliga lösningar som du kan skapa i Azure finns i Identitetsarkitekturer.

Utforska identitetsguider, arkitekturer och lösningsidéer

Artiklarna i det här avsnittet innehåller guider och fullt utvecklade arkitekturer som du kan distribuera i Azure och expandera till lösningar i produktionsklass. Lösningsidéer visar implementeringsmönster och möjligheter att tänka på när du planerar din poc-utveckling (Identity Proof-of-Concept). De här artiklarna kan hjälpa dig att bestämma hur du ska använda identitetstekniker i Azure.

Guider för identitet

Val av teknik. Följande artiklar hjälper dig att utvärdera och välja de bästa identitetsteknikerna för dina arbetsbelastningskrav:

• Jämför självhanterade Doménové služby Active Directory, Microsoft Entra ID och hanterade Microsoft Entra Domain Services: Jämför tre tjänster som ger åtkomst till en central identitet för att fastställa den bästa passformen för ditt scenario.

• Välj rätt autentiseringsmetod för din Microsoft Entra hybrididentitetslösning: Utvärdera autentiseringsalternativ, inklusive synkronisering av lösenordshash, direktautentisering och federation.

Multitenant-identitet

• Arkitekturöverväganden för identitet i en lösning med flera klienter: Förstå identitetskrav för lösningar med flera klienter, inklusive autentisering, auktorisering och klientisolering.

• Arkitekturmetoder för identitet i lösningar med flera klientorganisationer: Utforska implementeringsmetoder för identitet i lösningar med flera klientorganisationer, inklusive Microsoft Entra ID och externt ID.

Identitetsarkitekturer

Följande produktionsklara arkitekturer demonstrerar identitetslösningar från slutpunkt till slutpunkt som du kan distribuera och anpassa.

Hybrididentitet

• Integrera lokálna služba Active Directory domäner med Microsoft Entra ID: Metodtips för att integrera lokálna služba Active Directory domäner med Microsoft Entra ID för att tillhandahålla molnbaserad identitet Autentisering.

• Skapa en AD DS-resursskog i Azure: Skapa en separat služba Active Directory domän i Azure som är betrodd av domäner i din lokálna služba Active Directory skog.

• Distribuera AD DS i ett Azure virtuellt nätverk: Utöka en lokálna služba Active Directory domän till Azure för att tillhandahålla distribuerade autentiseringstjänster.

• Utöka lokal AD FS till Azure: Utöka ditt lokala nätverk till att Azure och använda Active Directory Federation Services (ADFS) (AD FS) för federerad autentisering och auktorisering.

Identitet mellan moln

• Microsoft Entra identitetshantering och åtkomsthantering för AWS: Distribuera Microsoft Entra identitets- och åtkomstlösningar för AWS för att tillhandahålla centraliserad identitetshantering och stark autentisering med enkel inloggning.

Idéer för identitetslösning

Följande identitetslösningsidéer visar implementeringsmönster och möjligheter att utforska:

• Skapa det första försvarsskiktet med hjälp av Azure säkerhetstjänster: Använd Azure säkerhetstjänster, inklusive identitetstjänster som rollbaserad åtkomstkontroll (RBAC), MFA och villkorsstyrd åtkomst, för att skapa ett grundläggande säkerhetslager för din infrastruktur.

• Skiktat skydd för åtkomst till virtuella Azure-datorer: Implementera identitetsbaserad just-in-time-åtkomst till virtuella Azure-datorer med hjälp av Microsoft Entra ID, villkorlig åtkomst och Privileged Identity Management.

Organisationsberedskap

Organisationer i början av molnimplementeringsprocessen kan använda Cloud Adoption Framework för Azure för att få tillgång till beprövad vägledning som påskyndar molnimplementeringen.

• Designområde för identitets- och åtkomsthantering: Utvärdera alternativ för din identitets- och åtkomstgrund, inklusive autentisering, auktorisering, uppdelning av uppgifter och hybrididentitetssynkronisering med Microsoft Entra ID.

• Azure faktureringserbjudanden och Microsoft Entra klienter: Förstå hur faktureringserbjudanden associeras med Microsoft Entra klienter och hur prenumerationer relaterar till klientstrukturer.

• Resursorganisation: Upprätta konsekventa mönster för namngivning, taggning, prenumerationsdesign och hanteringsgruppshierarki för att organisera identiteter och andra resurser som distribueras till molnet.

Följ riktlinjerna i Azure Well-Architected Framework för att säkerställa kvaliteten på din identitetslösning på Azure. Well-Architected Framework ger vägledning för organisationer som söker arkitekturkvalitet och beskriver hur man utformar, etablerar och övervakar kostnadsoptimerade Azure-lösningar. För identitetsspecifik vägledning, se Arkitekturstrategier för identitets- och åtkomsthantering, som omfattar autentisering, auktorisering, villkorlig åtkomst och livscykelhantering för identiteter i alla fem Well-Architected Framework-pelare.

Metodtips

Följ dessa metodtips för att förbättra säkerheten, tillförlitligheten, prestandan och driftkvaliteten för dina identitetsarbetsbelastningar på Azure.

• Integrera lokálna služba Active Directory domäner med Microsoft Entra ID: Metodtips för integrering av lokálna služba Active Directory domäner med Microsoft Entra ID, inklusive vägledning för fjärranvändaråtkomst, självbetjäningsfunktioner och hybridmiljöer utan VPN eller Azure ExpressRoute anslutning.

• Fem steg för att skydda din identitetsinfrastruktur: En checklista för att stärka organisationens identitetssäkerhetsstatus med Microsoft Entra ID. Den omfattar härdning av autentiseringsuppgifter, minskning av attackytan, automatisering av hothantering, granskning och självbetjäningsaktivering.

• Microsoft Entra säkerhetsåtgärdsguide: Vägledning för övervakning och identifiering av säkerhetshot mot din Microsoft Entra ID miljö. Den omfattar baslinjer, konton, program, enheter och infrastruktur.

• Konfigurera Microsoft Entra för ökad säkerhet: Omfattande checklista för säkerhetskonfiguration för Microsoft Entra ID. Den organiseras av Nulová dôvera (Zero Trust) teman, inklusive identitetsskydd, klientisolering, nätverksskydd och hotidentifiering.

• Microsoft Entra distributionsplaner: Distributionsplaner för viktiga Microsoft Entra funktioner, inklusive multifaktorautentisering, villkorsstyrd åtkomst, användaretablering, sömlös enkel inloggning och lösenordsåterställning via självbetjäning.

• Förstå stegen för att migrera programautentisering från AD FS till Microsoft Entra ID: Vägledning för planering och implementering av en stegvis migrering av programautentisering från AD FS till Microsoft Entra ID.

• Planera programmigrering till Microsoft Entra ID: Översikt över migreringsprocessen i fyra faser för att flytta programautentisering från AD FS till Microsoft Entra ID, inklusive projektplanering och kommunikation mellan intressenter.

• Resurser för att migrera program till Microsoft Entra ID: Samling resurser, inklusive migreringsspelböcker, beredskapsskript och distributionsplaner, för att migrera programåtkomst och autentisering till Microsoft Entra ID.

Håll dig uppdaterad med identitet

Azure identitetstjänster utvecklas för att hantera moderna datautmaningar. Håll dig informerad om de senaste uppdateringarna och funktionerna.

Information om hur du håller dig uppdaterad med viktiga identitetstjänster finns i följande artiklar:

• Microsoft Entra-nyheter och meddelanden: Håll dig uppdaterad om den senaste utvecklingen inom Microsoft Entras produktfamilj, inklusive nya funktioner, meddelanden om planerade ändringar och utfasningar.

• Azure uppdateringar: En översikt som visar nya viktiga funktioner, uppdateringar och meddelanden för Azure identitetstjänster.

Andra resurser

Följande resurser kan hjälpa dig att upptäcka mer om Azure identitetstjänster.

Microsoft Entra ID i utbildningsmiljöer

Dessa resurser ger vägledning för att utforma och distribuera Microsoft Entra ID i utbildningsinstitutioner. De omfattar klientarkitektur, identitetsstyrning och hantering av autentiseringsuppgifter för studenter och lärare.

• Introduktion till Microsoft Entra klienter: Lär dig mer om Microsoft Entra klienter i utbildningsmiljöer, inklusive skapande av klientorganisationer, identitetssäkerhetsgränser, katalogobjekt och administration.

• Utforma en arkitektur för flera klientorganisationer för stora institutioner: Designprinciper och vägledning för utbildningsorganisationer som har fler än 1 miljon användare och som behöver en arkitektur med flera klientorganisationer Microsoft Entra.

• Designa klientkonfiguration: Konfigurera säkerhets- och åtkomstprinciper för Microsoft Entra klienter, inklusive externa identiteter, villkorsstyrd åtkomst, enhetshantering och självbetjäningsalternativ.

• Utforma strategier för autentisering och autentiseringsuppgifter: Autentiseringsmetoder och hantering av autentiseringsuppgifter för utbildningsorganisationer, inklusive lösenordslös autentisering, SSPR och MFA för studenter och lärare.

• Utforma en kontostrategi: Planera strategier för att skapa molnkonton och hybridkonton för stora utbildningsinstitutioner, inklusive etablering med Microsoft Entra Connect och School Data Sync.

• Designidentitetsstyrning: Identitetslivscykelhantering, berättigandehantering, åtkomstgranskningar och Privileged Identity Management för utbildningsorganisationer.

• lösningsguide för Microsoft Education: Distributionsvägledning för Microsoft 365 Education. Den omfattar klientkonfiguration, identitet, program, säkerhet och enhetshantering på licensnivåerna A1, A3 och A5.

Amazon Web Services (AWS) eller Google Cloud-proffs

För att hjälpa dig att komma igång snabbt jämför följande artiklar Azure identitetsalternativ med andra molntjänster och ger migreringsvägledning:

Jämförelse av tjänster

• Jämför lösningar för AWS och Azure identitetshantering: En omfattande jämförelse av AWS- och Azure identitetstjänster, inklusive kärnidentitet, autentisering och åtkomstkontroll, identitetsstyrning, privilegierad åtkomsthantering, hybrididentitet och programautentisering.

• Microsoft Entra identitetshantering och åtkomsthantering för AWS: Detaljerad vägledning för att distribuera Microsoft Entra identitets- och åtkomstlösningar för AWS, inklusive integrering av enkel inloggning, rollmappning, villkorsstyrd åtkomst och Privileged Identity Management.

• Jämförelse mellan Google Cloud och Azure tjänster – Säkerhet och identitet: En jämförelse av Google Cloud och Azure säkerhets- och identitetstjänster, inklusive autentisering, auktorisering, kryptering och hotidentifiering.

Vägledning för migrering

Om du migrerar från en annan molnplattform kan du läsa följande artiklar:

• Migrera säkerhetstjänster från AWS till Azure: Vägledning för att migrera AWS-säkerhetstjänster till Azure, inklusive SIEM-migrering till Microsoft Sentinel och kundidentitetsmigrering till Microsoft Entra External ID.

• Planera arbetsbelastningsmigreringen från AWS till Azure: Innehåller vägledning om hur du planerar identitetshantering under migreringen, inklusive mappning av AWS IAM-roller till Microsoft Entra ID roller, hanterade identiteter och tjänstens huvudnamn.