2learn

Корпоративная идентичность и Active Directory

Что это такое

Служба идентичности Azure — облачная версия каталога, который десятилетиями управляет входами в Windows. Он хранит пользователей, группы и машины и выдаёт токены, решающие, кто к какому ресурсу получит доступ. В Azure идентичность — не боковая функция, привинченная к инфраструктуре: это слой, на котором стоит вся остальная платформа, и причина, по которой многие предприятия выбирают Azure почти без сравнения.

Почему это важно

В большинстве организаций каталог — самая старая и самая авторитетная система из всех, что у них есть. Он уже знает каждого сотрудника, его членство в группах и его устройства, и уже связан со входом на ноутбук, почтой и сетевыми дисками. Облако, которое присоединяется к этому каталогу, переиспользует всё это: увольняющегося блокируют один раз, и доступ прекращается везде. Облако, которое не присоединяется, требует второго каталога, задания синхронизации и набора правил о том, какая система главнее. Эта постоянная стоимость куда больше разницы в ценах виртуальных машин, поэтому она обычно и решает вопрос.

Ключевые идеи

Тенант — граница доверия

Регистрация создаёт тенант: каталог плюс границу идентичности. Ресурсы, пользователи и политики живут внутри неё, а доступ снаружи требует явного разрешения в обе стороны. Понимание, что единица идентичности — тенант, а не подписка, и делает устройство многокомандных установок понятным.

тенант (один каталог)
  подписки:     production, staging, sandbox
  идентичности: общие для всех них

Разрешения несут группы, а не люди

Разрешения, привязанные к людям, дрейфуют и никогда не снимаются; разрешения, привязанные к группам, можно проверять и отзывать целиком. Дисциплина в том, чтобы у каждой группы была называемая цель, а доступ выдавался только группам. Когда человек меняет роль, вы меняете его членство в группе, и история изменений остаётся осмысленной.

Условный доступ — та часть, которую копируют другие облака

Поскольку каталог уже знает устройство и контекст входа, политика может требовать управляемое устройство, соответствующее состояние или второй фактор для конкретных приложений. Именно это превращает вопрос «верный ли пароль» в «правдоподобен ли этот вход для этого человека на этом устройстве». Это сильнейшее отличие Azure и причина изучать её модель идентичности, даже если вы пользуетесь другим провайдером.

Единый вход — здесь ценность накапливается

Подключение внешнего приложения к каталогу убирает один пароль, один сценарий сброса и один шаг при увольнении на каждое приложение. Умножьте это на число внутренних инструментов компании — и экономия измеряется часами поддержки, а не платой за лицензии. Каждое новое приложение, добавленное в каталог, делает уход из второго каталога всё дороже.

Это распространяется и на нагрузки вне Microsoft

Та же идентичность может стоять перед машинами Linux, кластерами Kubernetes и сторонними сервисами. Когда это так, выбор облачного провайдера и выбор поставщика идентичности становятся раздельными решениями, а слой идентичности переживает любую модную инфраструктуру.

Практика

Смоделируйте приём, перевод и увольнение

Опишите, что должно измениться в каталоге для каждого из трёх событий: новый сотрудник приходит, действующий меняет команду, сотрудник уходит. Для каждого события назовите все решения о доступе, которые каталог принимает сам.

Готово, когда: вы можете указать единственное действие, снимающее весь доступ уволенного, и это не список приложений.

Добавьте приложение в единый вход

Возьмите внутренний инструмент с собственным паролем и опишите, что изменилось бы, если бы он доверял каталогу.

Готово, когда: вы можете назвать работу по сбросу пароля и увольнению, которая исчезает, и одну новую зависимость, которую это вводит.

Частые ошибки

  • Назначение разрешений людям — никто не знает, что есть у человека, и ничто не снимается чисто; исправить: выдавайте доступ группам и управляйте членством.
  • Отдельный каталог для облачных ресурсов — второй источник истины придётся синхронизировать вечно; исправить: присоедините существующий каталог к тенанту.
  • Многофакторная аутентификация как вся политика — украденная сессия здорового аккаунта всё равно войдёт; исправить: добавьте условия по устройству и местоположению, а не только по самому входу.
  • Выбор провайдера по одной привычке — потребности нагрузки не рассматриваются; исправить: пусть идентичность определит точку входа, а нагрузку оценивайте по её собственным критериям.
  • Создание тенанта на команду — идентичности размножаются, а межкомандный доступ становится ручной выдачей; исправить: один тенант с несколькими подписками и доступом по группам.

Что читать дальше

Разобранные примеры

Файлы cookie аналитики ставятся только с вашего согласия. До вашего выбора ничего не загружается и никуда не отправляется.