Microsoft Entra ID ve veri konumu

Microsoft Entra Id, bulutta kimlik ve erişim verilerini depolayan ve yöneten bir Hizmet Olarak Kimlik (IDaaS) çözümüdür. Verileri kullanarak bulut hizmetlerine erişimi etkinleştirebilir ve yönetebilir, mobilite senaryolarına ulaşabilir ve kuruluşunuzun güvenliğini sağlayabilirsiniz. kiracısı olarak adlandırılan Microsoft Entra ID hizmetinin bir örneği, müşterinin sağladığı ve sahip olduğu yalıtılmış bir dizin nesnesi veri kümesidir.

Not

Microsoft Entra External ID, müşterilere yönelik uygulamalarınız ve müşteri dizini verileriniz için oluşturulan ayrı bir kiracıda verileri depolama ve yönetme seçeneği ve esnekliğine sahip bir müşteri kimliği ve erişim yönetimi (CIAM) çözümüdür. Bu kiracı dış kiracı olarak adlandırılır. Dış kiracı oluşturduğunuzda, veri depolama için coğrafi konumu (yönetici portalında "Ülke/Bölge" olarak gösterilir) seçebilirsiniz. Veri konumlarının ve bölge kullanılabilirliğinin, bu makalede belirtildiği gibi Microsoft Entra Id'ninkinden farklı olabileceğini unutmayın.

Ana Mağaza

Çekirdek Depo, her biri birden çok kiracı içeren ölçek birimlerinde depolanan kiracılardan oluşur. Microsoft Entra Core Store'daki güncelleme veya veri çekme işlemleri, kullanıcının güvenlik belirtecine dayanarak kiracı izolasyonu sağlayan tek bir kiracıyla bağlantılıdır. Ölçek birimleri bir coğrafi konuma atanır. Her coğrafi konum, verileri depolamak için iki veya daha fazla Azure bölgesi kullanır. Her Azure bölgesinde, Microsoft Entra mimarisi açıklandığı gibi dayanıklılık ve performans için fiziksel veri merkezlerinde bir ölçek birimi verisi çoğaltılır.

Core Store hakkında daha fazla bilgi için bkz. Microsoft Entra Core Store Ölçek Birimleri. Azure bölgeleri hakkında daha fazla bilgi için bkz. Azure coğrafyaları.

Microsoft Entra Id aşağıdaki bulutlarda kullanılabilir:

  • Herkese Açık
  • Çin (2)
  • ABD hükümeti (2)

(2) Şu anda dış kiracılar için kullanılamıyor.

Genel bulutta, kiracı oluşturma sırasında (örneğin, Office 365 veya Azure'a kaydolma veya Azure portalı aracılığıyla daha fazla Microsoft Entra örneği oluşturma) bir konum seçmeniz istenir (yönetici portalında "Ülke/Bölge" olarak gösterilir). Microsoft Entra Id, seçimi bir coğrafi konum ve içindeki tek bir ölçek birimiyle eşler. Kiracı konumu ayarlandıktan sonra değiştirilemez.

Kiracı oluşturma sırasında seçilen konum aşağıdaki coğrafi konumlardan biriyle eşlenir:

  • Avustralya (1)
  • Asya/Pasifik
  • Avrupa, Orta Doğu ve Afrika (EMEA)
  • Japonya (1)
  • Kuzey Amerika
  • Dünya

(1) Go-Local eklentisi olan dış kiracılar için kullanılabilir.

Microsoft Entra Id, Çekirdek Depolama verilerini kullanılabilirlik, performans, yerleşim veya coğrafi konuma göre diğer gereksinimlere göre işler. Microsoft Entra Id, aşağıdaki ölçütlere göre her kiracıyı ölçek birimi aracılığıyla veri merkezleri arasında çoğaltır:

  • Gecikme süresini azaltmak ve hızlı kullanıcı oturum açma süreleri sağlamak için kiracı konumundaki en yakın veri merkezlerinde depolanan Microsoft Entra Core Store verileri
  • Coğrafi olarak yalıtılmış veri merkezlerinde depolanan Microsoft Entra Core Store verileri, tek bir veri merkezinde meydana gelen beklenmedik ve yıkıcı olaylar sırasında kullanılabilirliği temin etmek için
  • Belirli müşteriler ve coğrafi konumlar için veri yerleşimi veya diğer gereksinimlerle uyumluluk

Microsoft Entra bulut çözümü modelleri

Altyapı, veri konumu ve operasyonel egemenliğe dayalı Microsoft Entra bulut çözümü modellerini görmek için aşağıdaki tabloyu kullanın.

Örnek Yerleşimler Veri yerleşimi operasyon personeli Bu modele bir kiracı yerleştirin
Kamusal coğrafi konum Avustralya (1), Kuzey Amerika, EMEA, Japonya (1), Asya/Pasifik Hareketsiz, hedef konumda. Sonraki bölümde listelenen bileşen hizmetine veya özelliğine göre özel durumlar Microsoft tarafından işletilmektedir. Microsoft veri merkezi personelinin bir arka plan denetimi geçirmesi gerekir. Kaydolma deneyiminde kiracıyı oluşturun. Veri yerleşimi için konumu seçin.
Herkese açık dünya çapında Dünya Tüm konumlar Microsoft tarafından işletilmektedir. Microsoft veri merkezi personelinin bir arka plan denetimi geçirmesi gerekir. Kiracı oluşturma resmi destek kanalı aracılığıyla kullanılabilir ve Microsoft'un takdirine bağlıdır.
Bağımsız veya ulusal bulutlar ABD hükümeti (2), Çin (2) Bekleyen, hedef konumda. Özel durum yok. Bir veri koruyucu (3) tarafından işletilmektedir. Personel, gereksinimlere göre taranmaktadır. Her ulusal bulut örneğinin bir kaydolma deneyimi vardır.

Tablo referansları:

  • Bu konumlar Go-Local eklentisi olan dış kiracılar için kullanılabilir.
  • (2) Bu konumlar şu anda dış kiracılar için kullanılamaz.
  • (3) Veri koruyucuları: ABD kamu bulutundaki veri merkezleri Microsoft tarafından işletilir. Çin'de Microsoft Entra ID, 21Vianet ile bir ortaklık aracılığıyla çalıştırılır.

Daha fazla bilgi edinin:

Microsoft Entra bileşenlerinde veri yerleşimi

Daha fazla bilgi edinin: Microsoft Entra ürününe genel bakış

Not

Exchange Online veya Skype Kurumsal gibi Microsoft Entra ID dışındaki diğer hizmetlerin hizmet verilerinin konumunu anlamak için ilgili hizmet belgelerine ve Güven Merkezibakın.

Microsoft Entra bileşenleri ve veri depolama konumu

Microsoft Entra bileşeni Açıklama Veri depolama konumu
Microsoft Entra kimlik doğrulama hizmeti Bu hizmet durumsuz. Kimlik doğrulaması verileri Microsoft Entra Core Store'dadır. Dizin verileri yok. Microsoft Entra Kimlik Doğrulama Hizmeti, Azure Depolama'da ve hizmet örneğinin çalıştığı veri merkezinde kayıt verileri oluşturur. Kullanıcılar Microsoft Entra Kimliğini kullanarak kimlik doğrulaması yapmaya çalıştığında, microsoft Entra mantıksal bölgesinin parçası olan coğrafi olarak en yakın veri merkezinde bulunan bir örneğe yönlendirilir. Coğrafi konumda
Microsoft Entra kimlik ve Erişim Yönetimi (IAM) Hizmetleri Kullanıcı ve yönetim deneyimleri: Microsoft Entra yönetim deneyimi durum bilgisi taşımayan ve dizin verisi içermeyen bir deneyimdir. Azure Tabloları depolama alanında depolanan günlük ve kullanım verilerini oluşturur. Kullanıcı deneyimi, Azure portalı gibidir.
Kimlik yönetimi iş mantığı ve raporlama hizmetleri: Bu hizmetler, gruplar ve kullanıcılar için yerel olarak önbelleğe alınmış veri depolama alanına sahiptir. Azure Tables depolama, Azure SQL ve Microsoft Elastic Search raporlama hizmetlerine giden günlük ve kullanım verileri hizmetler tarafından oluşturulur.		 Coğrafi konumda
Microsoft Entra çok faktörlü kimlik doğrulaması Çok faktörlü kimlik doğrulama işlemleri veri depolama ve saklama hakkında ayrıntılı bilgi için bkz . Microsoft Entra çok faktörlü kimlik doğrulaması için veri yerleşimi ve müşteri verileri. Microsoft Entra çok faktörlü kimlik doğrulaması, Kullanıcı Asıl Adı (UPN), sesli arama telefon numaraları ve SMS sınamalarını günlüğe kaydeder. Mobil uygulama modlarına yönelik zorluklar için hizmet, UPN'yi ve benzersiz bir cihaz belirtecini günlüğe kaydeder. Kuzey Amerika ve/veya coğrafi konumda
Microsoft Entra Domain Hizmetleri Microsoft Entra Domain Services'ın bölgelere göre kullanılabilir ürünlerde yayımlandığı bölgelere bakın. Hizmet, Azure Tablolarında sistem meta verilerini genel olarak barındırıyor ve kişisel veri içermiyor. Coğrafi konumda
Microsoft Entra Connect Sağlık Microsoft Entra Connect Health, Azure Tablo depolama ve blob depolama alanında uyarılar ve raporlar oluşturur. Coğrafi konumda
Microsoft Entra dinamik üyelik grupları, Microsoft Entra self servis grup yönetimi Azure Tablolar depolama alanı, dinamik üyelik grupları için kural tanımlarını barındırıyor. Coğrafi konumda
Microsoft Entra uygulama ara sunucusu Microsoft Entra uygulama ara sunucusu Azure SQL'de kiracı, bağlayıcı makineleri ve yapılandırma verileri hakkındaki meta verileri depolar. Coğrafi konumda
Microsoft Entra Connect'te Microsoft Entra parola geri yazma İlk yapılandırma sırasında Microsoft Entra Connect, Rivest–Shamir–Adleman (RSA) şifreleme sistemini kullanarak asimetrik bir anahtar bölmesi oluşturur. Ardından ortak anahtarı, iki işlem gerçekleştiren self servis parola sıfırlama (SSPR) bulut hizmetine gönderir:

1. Microsoft Entra Connect şirket içi hizmetinin SSPR hizmeti
2 ile güvenli bir şekilde iletişim kurabilmesi için iki Azure Service Bus geçidi oluşturur. Gelişmiş Şifreleme Standardı (AES) anahtarı, K1

respons içinde, Azure Service Bus geçiş konumları, ilgili dinleyici anahtarları ve AES anahtarının (K1) bir kopyası Microsoft Entra Connect'e iletilir. SSPR ve Microsoft Entra Connect arasındaki gelecekteki iletişimler yeni ServiceBus kanalı üzerinden gerçekleşir ve SSL kullanılarak şifrelenir.
İşlem sırasında gönderilen yeni parola sıfırlamaları, ekleme sırasında istemci tarafından oluşturulan RSA ortak anahtarıyla şifrelenir. Microsoft Entra Connect makinesindeki özel anahtar, işlem hattı alt sistemlerinin düz metin parolasına erişmesini engelleyen şifrelerini çözer.
AES anahtarı, iç ServiceBus kanalına tam erişimle bile kötü amaçlı ServiceBus saldırganlarının yükü kurcalamasını önleyen ileti yükünü (şifrelenmiş parolalar, daha fazla veri ve meta veri) şifreler.
Parola geri yazma için Microsoft Entra Connect'in anahtarlar ve verilere ihtiyacı vardır:

- Şifre sıfırlama yükünü veya SSPR hizmetinden Microsoft Entra Connect'e gönderilen değiştirme isteklerini ServiceBus işlem hattı üzerinden şifreleyen AES anahtarı (K1)
- Sıfırlama veya değiştirme istekleri yüklerinde parolaların şifresini çözen asimetrik anahtar çiftinden özel anahtar
- ServiceBus dinleyici anahtarları

AES anahtarı (K1) ve asimetrik anahtar çifti, belirli ekleme veya çıkarma yapılandırma olayları sırasında değiştirebileceğiniz bir süre olan en az 180 günde bir yenilenir. Müşteri, hizmet ve bakım sırasında bileşen yükseltmesi sırasında oluşabilecek parola geri yazma özelliğini devre dışı bırakır ve yeniden etkinleştirir.
Microsoft Entra Connect veritabanında depolanan geri yazma anahtarları ve veriler, veri koruma uygulaması programlama arabirimleri (DPAPI) (CALG_AES_256) tarafından şifrelenir. Sonuç, ADSync şirket içi hizmet hesabı bağlamında Windows Kimlik Bilgileri Kasası'nda depolanan ana ADSync şifreleme anahtarıdır. Hizmet hesabının parolası değiştikçe Windows Credential Vault otomatik gizli dizi yeniden şifrelemesi sağlar. Hizmet hesabı parolasını sıfırlamak, hizmet hesabı ile ilgili olarak Windows Kimlik Bilgileri Kasası'ndaki gizli bilgilerin geçersiz hale gelmesine neden olur. Yeni bir hizmet hesabında el ile yapılan değişiklikler saklanan gizli bilgileri geçersiz kılabilir.
Varsayılan olarak, ADSync hizmeti bir sanal hizmet hesabı bağlamında çalışır. Hesap, yükleme sırasında en az ayrıcalık ilkesini taşıyan bir etki alanı servis hesabına, yönetilen bir servis hesabına (Microsoft hesabı) veya grup tarafından yönetilen bir servis hesabına (gMSA) özelleştirilebilir. Sanal ve yönetilen hizmet hesaplarının otomatik parola yenileme işlemi olsa da, müşteriler özel olarak sağlanan etki alanı hesabı için parola yenilemeyi yönetir. Belirtildiği gibi, parolayı sıfırlamak depolanan gizli bilgilerin kaybına neden olur.		 Coğrafi konumda
Microsoft Entra Cihaz Kayıt Hizmeti Microsoft Entra Cihaz Kayıt Hizmeti, dizinde cihaz durumu Koşullu Erişim ve mobil cihaz yönetimi gibi senaryoları etkinleştiren bilgisayar ve cihaz yaşam döngüsü yönetimine sahiptir. Coğrafi konumda
Microsoft Entra sağlama Microsoft Entra sağlama, hizmet olarak yazılım (SaaS) uygulamaları gibi sistemlerde kullanıcıları oluşturur, kaldırır ve güncelleştirir. Microsoft Entra ID ve yerel Microsoft Windows Server Active Directory'de kullanıcı oluşturmayı, Workday gibi bulut İK kaynaklarından yönetir. Hizmet, yapılandırmasını, sakladığı kullanıcı dizini için grup üyeliği verilerini depolayan bir Azure Cosmos DB örneğinde depolar. Azure Cosmos DB, Microsoft Entra bulut çözümü modeline göre verileri yalıtarak, kiracıyla aynı bölgede bulunan birden fazla veri merkezine veritabanını çoğaltır. Çoğaltma, yüksek kullanılabilirlik ve birden çok okuma ve yazma uç noktası oluşturur. Azure Cosmos DB,veritabanı bilgilerinde şifrelemeye sahiptir ve şifreleme anahtarları Microsoft'un gizli dizi depolama alanında depolanır. Coğrafi konumda
Microsoft Entra B2B (işletmeler arası) işbirliği Microsoft Entra B2B işbirliğinde dizin verileri yoktur. B2B ilişkisindeki kullanıcılar ve diğer dizin nesneleri başka bir kiracıyla ilişkilendirildiğinde, kullanıcı verilerinin diğer kiracılarda kopyalanması, veri yerleşimi konusunda etkiler yaratabilir. Coğrafi konumda
Microsoft Entra Kimlik Koruması Microsoft Entra Kimlik Koruması, anormal oturum açma bilgilerini algılayan makine öğrenmesi sistemlerini beslemek için şirket ve sektör kaynaklarından gelen birden çok sinyalle gerçek zamanlı kullanıcı oturum açma verilerini kullanır. Kişisel veriler, makine öğrenmesi sistemine geçirilmeden önce gerçek zamanlı oturum açma verilerinden temizlenmiş olur. Kalan oturum açma verileri riskli olabilecek kullanıcı adlarını ve oturum açma bilgilerini tanımlar. Analizden sonra veriler Microsoft raporlama sistemlerine gider. Riskli oturum açma bilgileri ve kullanıcı adları, Yöneticiler için raporlamada görünür. Coğrafi konumda
Azure kaynakları için yönetilen kimlikler Yönetilen kimlik sistemlerine sahip Azure kaynakları için yönetilen kimlikler, kimlik bilgilerini depolamadan Azure hizmetlerinde kimlik doğrulaması yapabilir. Kullanıcı adı ve parola kullanmak yerine, yönetilen kimlikler sertifikalarla Azure hizmetlerinde kimlik doğrulaması yapar. Hizmet, ABD Doğu bölgesindeki Azure Cosmos DB'de verdiği sertifikaları yazar ve gerektiğinde başka bir bölgeye aktarılır. Azure Cosmos DB coğrafi yedekliliği, küresel veri çoğaltması yoluyla gerçekleşir. Veritabanı çoğaltması, Microsoft Entra tarafından yönetilen kimliklerin çalıştığı her bölgeye salt okunur bir kopya yerleştirir. Daha fazla bilgi edinmek için bkz . Diğer hizmetlere erişmek için yönetilen kimlikleri kullanabilen Azure hizmetleri. Microsoft, her Azure Cosmos DB örneğini bir Microsoft Entra bulut çözümü modelinde yalıtıyor.
Sanal makine (VM) konağı gibi kaynak sağlayıcısı, diğer Azure hizmetleriyle birlikte kimlik doğrulaması ve kimlik akışları için sertifikayı depolar. Hizmet, Azure Cosmos DB'ye erişmek için ana anahtarını bir veri merkezi gizli dizi yönetimi hizmetinde depolar. Azure Key Vault ana şifreleme anahtarlarını depolar.		 Coğrafi konumda
Microsoft Entra Yedekleme ve Kurtarma anlık görüntüleri Microsoft, microsoft tarafından yönetilen Azure depolama alanında depolanan ve kiracıyla aynı bölgedeki birden çok veri merkezine çoğaltılan belirli dizin verilerinin anlık görüntülerini düzenli aralıklarla otomatik olarak alır. Çoğaltma, yüksek kullanılabilirlik ve birden çok okuma ve yazma uç noktası oluşturur. Anlık görüntüler, Microsoft tarafından yönetilen anahtarlar kullanılarak AES-256 şifreleme algoritması kullanılarak şifrelenir. Microsoft Entra Yedekleme ve Kurtarma tarafından oluşturulan anlık görüntüleri silmek veya değiştirmek için microsoft Entra izinleri veya rolleri kullanılamaz. Coğrafi konumda

Go-Local eklentisi

Go-Local eklentisi, Microsoft Entra Dış Kimliği'nde yer alan ve bazı müşterilerin verilerini ülke veya bölge gibi seçili bir coğrafi konumda depolayan bazı hizmetleri yapılandırmasına olanak tanıyan bir özelliktir. Bu özellik, kurumsal ilkeleri ve uyumluluk gereksinimlerini karşılamanın bir yoludur. Dış kiracı oluştururken veri depolama için ülkeyi veya bölgeyi seçersiniz.

Go-Local eklentisi ücretli bir eklentidir ancak isteğe bağlıdır. Kullanmayı seçerseniz, Microsoft Entra External ID Basic'inize ek olarak ek ücret ödersiniz. Daha fazla bilgi için bkz. Microsoft Entra Dış Kimlik fiyatlandırması.

Şu anda aşağıdaki ülkeler/bölgeler yerel veri ikamet seçeneğine sahiptir:

  • Avustralya
  • Japonya

Microsoft Cloud tekliflerindeki veri yerleşimi hakkında daha fazla bilgi için aşağıdaki makalelere bakın:

Sonraki adımlar

  • Last updated on