Che cos'è l'architettura di Microsoft Entra?

Microsoft Entra ID consente di gestire in modo sicuro l'accesso degli utenti ai servizi e alle risorse di Azure. Inclusa con Microsoft Entra ID c’è una suite completa di funzionalità di gestione delle identità. Per informazioni sulle funzionalità di Microsoft Entra, vedere Che cos'è Microsoft Entra ID?

Con Microsoft Entra ID, è possibile creare e gestire utenti e gruppi e abilitare le autorizzazioni per consentire o negare l'accesso alle risorse aziendali. Per informazioni sulla gestione delle identità, vedere Nozioni fondamentali sulla gestione delle identità di Azure.

Architettura di Microsoft Entra

Microsoft Entra ID combina funzionalità complete di monitoraggio, reindirizzamento automatizzato, failover e ripristino all'interno dell'architettura geograficamente distribuita per offrire disponibilità e prestazioni a livello aziendale

In questo articolo vengono illustrati gli elementi dell'architettura seguenti:

• Progettazione dell'architettura del servizio
• Scalabilità
• Disponibilità continua:
• Data center

Progettazione dell'architettura del servizio

Il modo più comune per creare un sistema accessibile e utilizzabile con dati avanzati consiste nell'usare blocchi predefiniti o unità di scala indipendenti. Per il livello dati Microsoft Entra, le unità di scala vengono chiamate partizioni.

Il livello dati ha diversi servizi front-end che forniscono funzionalità di lettura/scrittura. Il diagramma seguente illustra come i componenti di una partizione di directory singola vengono distribuiti in data center distribuiti geograficamente.

I componenti dell'architettura di Microsoft Entra includono una replica primaria e una replica secondaria.

Replica primaria

La replica primaria riceve tutte le operazioni di scrittura per la partizione a cui appartiene. Qualsiasi operazione di scrittura viene immediatamente replicata in una replica secondaria in un data center diverso prima di restituire l'esito positivo al chiamante, garantendo la durabilità con ridondanza geografica delle scritture.

Repliche secondarie

Tutte le letture di directory vengono gestite dalle repliche secondarie, situate in data center distribuiti geograficamente. I dati vengono replicati in modo asincrono in molte repliche secondarie. Le operazioni di lettura delle directory, ad esempio le richieste di autenticazione, vengono gestite da data center vicini ai clienti. Le repliche secondarie sono responsabili della scalabilità delle operazioni di lettura.

Scalabilità

La scalabilità è la possibilità per un servizio di espandersi per poter soddisfare le crescenti richieste in termini di prestazioni. Microsoft Entra partiziona i dati per migliorare la scalabilità delle operazioni di scrittura. La scalabilità delle operazioni di lettura richiede la replica dei dati da una partizione a più repliche secondarie distribuite in tutto il mondo.

Le richieste provenienti dalle applicazioni directory vengono instradate al data center più vicino. Le operazioni di scrittura vengono reindirizzate in modo trasparente alla replica primaria per garantire la coerenza delle operazioni di lettura/scrittura. Le repliche secondarie estendono considerevolmente la scalabilità delle partizioni perché in genere le directory gestiscono per lo più operazioni di lettura.

Le applicazioni directory si connettono ai data center più vicini, migliorando le prestazioni e rendendo possibile l'aumento del numero di istanze. Poiché una partizione di directory può avere più repliche secondarie, le repliche secondarie possono essere poste più vicino ai client delle directory. Solo i componenti del servizio directory interni con un numero elevato di operazioni di scrittura specificano come destinazione direttamente la replica primaria attiva.

Disponibilità continua:

La disponibilità (o tempo di attività) definisce la possibilità per un sistema di funzionare senza interruzioni. La disponibilità elevata di Microsoft Entra ID si basa sul fatto che i servizi possono spostare rapidamente il traffico tra più data center distribuiti geograficamente. Ogni data center è indipendente, ciò consente modalità di errore decorrelate. Grazie a questa progettazione a disponibilità elevata, Microsoft Entra ID non richiede alcun tempo di inattività per le attività di manutenzione.

La progettazione della partizione di Microsoft Entra ID è semplificata rispetto alla progettazione aziendale di Active Directory, utilizzando un design di server primario unico che include un processo di failover di replica primaria attentamente orchestrato e deterministico.

Tolleranza di errore

Un sistema è più disponibile se può tollerare errori hardware, rete e software. Ogni partizione di directory ha una replica primaria a disponibilità elevata che gestisce tutte le operazioni di scrittura. Questa replica primaria viene monitorata continuamente e, se viene rilevato un errore, le operazioni di scrittura vengono spostate immediatamente in un'altra replica. Questa replica diventa la nuova replica primaria. Durante questo processo di failover, la disponibilità di scrittura può essere temporaneamente compromessa per 1 o 2 minuti, ma la disponibilità in lettura rimane invariata.

Le operazioni di lettura (che sono più numerose di quelle di scrittura di diversi ordini di grandezza) passano solo alle repliche secondarie. Poiché le repliche secondarie sono idempotenti, la perdita di una replica in una determinata partizione viene facilmente compensata indirizzando le operazioni di lettura a un'altra replica, in genere nello stesso data center.

Durabilità dei dati

Una scrittura viene confermata in modo permanente in almeno due datacenter prima del riconoscimento. Il sistema esegue prima il commit della scrittura nel database primario e quindi replica immediatamente la scrittura in almeno un altro data center. L'operazione di scrittura assicura che una possibile perdita irreversibile del data center che ospita la replica primaria non comporti una perdita di dati.

Microsoft Entra ID mantiene un RTO (Recovery Time Objective) zero per non perdere i dati nei failover, tra cui:

• Rilascio di token e operazioni di lettura directory
• Solo circa 5 minuti obiettivo tempo di ripristino concessi per le operazioni di scrittura nella directory

Data center

Le repliche di Microsoft Entra vengono archiviate in data center situati in tutto il mondo. Per altre informazioni, vedere Infrastruttura globale di Azure.

Microsoft Entra ID opera in tutti i data center con le caratteristiche seguenti:

• L'autenticazione, Graph e altri servizi di Microsoft Entra ID risiedono dietro il servizio Gateway. Il gateway gestisce il bilanciamento del carico. Il servizio esegue automaticamente il failover di tutti i server ritenuti non integri dalle sonde di salute transazionali. In base a questi probe di integrità, il gateway instrada in modo dinamico il traffico ai data center integri.
• Per le operazioni di lettura, la directory ha repliche secondarie e servizi front-end corrispondenti in una configurazione attiva-attiva che operano in più data center. Se un data center non riesce, il traffico viene indirizzato automaticamente a un data center diverso.
• Quando scrive, la directory esegue il failover della replica primaria tra i data center durante una pianificazione (in cui la nuova replica primaria è sincronizzata con quella precedente) o in caso di procedure di failover di emergenza. La durabilità dei dati si ottiene replicando i commit in almeno due data center.

Coerenza dei dati

Il modello della directory si basa sulla coerenza finale. Un problema tipico dei sistemi distribuiti che eseguono la replica asincrona è che i dati restituiti da una "particolare" replica potrebbero non essere aggiornati.

Microsoft Entra ID offre la coerenza in lettura/scrittura per le applicazioni che specificano come destinazione una replica secondaria instradandone le operazioni di scrittura alla replica primaria ed effettuando di nuovo il pull sincrono delle operazioni di scrittura alla replica secondaria.

Per le operazioni di scrittura delle applicazioni che usano l'API Microsoft Graph di Microsoft Entra ID non è necessario mantenere l'affinità con la replica di una directory per la coerenza in lettura/scrittura. Il servizio API Microsoft Graph gestisce una sessione logica. La sessione è associata a una replica secondaria impiegata per le operazioni di lettura. L'affinità viene acquisita in un "token di replica" memorizzato nella cache del servizio usando una cache distribuita nel data center di replica secondaria. Questo token viene quindi usato per le operazioni successive nella stessa sessione logica. Per continuare a usare la stessa sessione logica, è necessario instradare le richieste successive allo stesso data center di Microsoft Entra. Non è possibile continuare una sessione logica se le richieste client della directory vengono instradate a più data center di Microsoft Entra. Se le sessioni vengono suddivise, il client dispone di più sessioni logiche con coerenza di lettura/scrittura indipendente.

Nota

Le operazioni di scrittura vengono immediatamente replicate nella replica secondaria in cui sono state rilasciate le operazioni di lettura della sessione logica.

Backup a livello di servizio

Microsoft Entra ID implementa il backup giornaliero dei dati della directory e può usare questi backup per ripristinare i dati in caso di problemi a livello di servizio.

La directory implementa anche eliminazioni software anziché eliminazioni hard per i tipi di oggetto selezionati. L'amministratore tenant può annullare eventuali eliminazioni accidentali di questi oggetti entro 30 giorni. Per altre informazioni, vedere l'API per ripristinare gli oggetti eliminati.

Metriche e monitoraggio

L'esecuzione di un servizio a disponibilità elevata richiede funzionalità di monitoraggio e metriche di alto livello. Microsoft Entra ID analizza e segnala ininterrottamente le principali metriche sull'integrità del servizio e i criteri di successo per ogni servizio. È inoltre disponibile lo sviluppo continuo e l'ottimizzazione delle metriche, del monitoraggio e degli avvisi per ogni scenario, all'interno di ogni servizio Microsoft Entra e in tutti i servizi.

Se un servizio Microsoft Entra non funziona come previsto, viene eseguita un'azione immediata per ripristinare le funzionalità il più rapidamente possibile. La metrica più importante tracciata da Microsoft Entra ID è la velocità di rilevamento e migrazione dei problemi dei clienti. Microsoft investe molto nel monitoraggio e negli avvisi per ridurre al minimo il tempo necessario per rilevare (TTD) (obiettivo: <5 minuti) e la preparazione operativa per ridurre al minimo il tempo necessario per ridurre il tempo (TTM) (obiettivo: <30 minuti).

Operazioni sicure

Microsoft Entra ID usa controlli operativi come l'autenticazione a più fattori per qualsiasi operazione e controllo di tutte le operazioni. Inoltre, usa un sistema di elevazione just-in-time per concedere l'accesso temporaneo necessario per qualsiasi attività operativa su richiesta in modo continuativo. Per altre informazioni, vedere Il cloud attendibile.

Passaggi successivi

Per altre informazioni sullo sviluppo con Microsoft Entra, vedere la guida per gli sviluppatori di Microsoft Entra.