Wat is de Microsoft Entra-architectuur?

Met Microsoft Entra ID kunt u de toegang tot Azure-services en -resources voor uw gebruikers veilig beheren. Inbegrepen bij Microsoft Entra ID is een volledige suite met mogelijkheden voor identiteitsbeheer. Zie Wat is Microsoft Entra-id ?

Met Microsoft Entra-id kunt u gebruikers en groepen maken en beheren en machtigingen inschakelen om toegang tot bedrijfsresources toe te staan en te weigeren. Zie The fundamentals of Azure identity management (De grondbeginselen van Azure-identiteitsbeheer) voor meer informatie over identiteitsbeheer.

Architectuur van Microsoft Entra

De geografisch gedistribueerde architectuur van Microsoft Entra ID combineert uitgebreide bewaking, geautomatiseerde herrouting, failover en herstelmogelijkheden om bedrijfsbrede beschikbaarheid en prestaties te bieden.

In dit artikel worden de volgende elementen van de architectuur besproken:

• Servicearchitectuurontwerp
• Schaalbaarheid
• Continue beschikbaarheid
• Datacenters

Servicearchitectuurontwerp

De meest voorkomende manier om een toegankelijk en bruikbaar systeem te bouwen, is door gebruik te maken van onafhankelijke bouwstenen of schaaleenheden. Voor de Microsoft Entra-gegevenslaag worden schaaleenheden partities genoemd.

De gegevenslaag heeft meerdere front-end-services die mogelijkheden bieden voor lezen/schrijven. In het volgende diagram ziet u hoe de onderdelen van een partitie met één map worden geleverd in geografisch gedistribueerde datacenters.

De onderdelen van de Microsoft Entra-architectuur omvatten een primaire replica en secundaire replica's.

Primaire replica

De primaire replica ontvangt alle schrijfbewerkingen voor de partitie waarbij deze hoort. Alle schrijfbewerkingen worden onmiddellijk gerepliceerd naar een secundaire replica in een ander datacenter, voordat de aanroeper een melding van slagen ontvangt. Op deze manier wordt de geografisch redundante duurzaamheid van schrijfbewerkingen verzekerd.

Secundaire replica's

Alle leesbewerkingen van mappen worden uitgevoerd vanuit secundaire replica's, die zich bevinden in geografisch gedistribueerde datacenters. Gegevens worden asynchroon gerepliceerd op veel secundaire replica's. Leesbewerkingen in een map, zoals verificatieaanvragen, worden afgehandeld vanuit datacentrums in de buurt van klanten. De secundaire replica's zijn verantwoordelijk voor de schaalbaarheid van leesbewerkingen.

Schaalbaarheid

Schaalbaarheid is de mogelijkheid van een service om uit te breiden en zo te voldoen aan groeiende prestatievereisten. Schaalbaarheid van schrijfbewerkingen wordt bereikt door de gegevens te partitioneren. Schaalbaarheid van leesbewerkingen wordt bereikt door gegevens uit één partitie te repliceren naar meerdere secundaire replica's over de hele wereld.

Aanvragen van adreslijsttoepassingen worden doorgestuurd naar het dichtstbijzijnde datacenter. Schrijfbewerkingen worden transparant omgeleid naar de primaire replica voor lees-/schrijfconsistentie. Secundaire replica's breiden de schaal van partities aanzienlijk uit, omdat in de mappen doorgaans leesbewerkingen worden afgehandeld.

Directory-toepassingen maken verbinding met de dichtstbijzijnde datacenters. Door deze verbinding worden de prestaties verbeterd, wat uitschalen mogelijk maakt. Omdat een mappartitie meerdere secundaire replica's kan hebben, kunnen deze secundaire replica's dichter bij Directory-clients worden geplaatst. Alleen interne Directory-serviceonderdelen die veel schrijfbewerkingen afhandelen, zijn rechtstreeks gericht op de actieve primaire replica.

Continue beschikbaarheid

Beschikbaarheid (of bedrijfstijd) definieert de mogelijkheid van een systeem om ononderbroken actief te zijn. De sleutel tot de hoge beschikbaarheid van Microsoft Entra ID is dat de services snel verkeer kunnen verplaatsen naar meerdere geografisch gedistribueerde datacenters. Elk datacentrum is onafhankelijk. Dit maakt het gebruik van gedecorreleerde foutmodi mogelijk. Via dit ontwerp voor hoge beschikbaarheid vereist Microsoft Entra ID geen downtime voor onderhoudsactiviteiten.

Het partitieontwerp van Microsoft Entra ID wordt vereenvoudigd vergeleken met het Active Directory-ontwerp van het bedrijf, met behulp van een ontwerp met één master dat een zorgvuldig ingedeeld en deterministisch failoverproces voor primaire replica's bevat.

Fouttolerantie

Een systeem is meer beschikbaar als het hardware-, netwerk- en softwarefouten kan tolereren. Elke mappartitie heeft een maximaal beschikbare primaire replica die alle schrijfbewerkingen verwerkt. Deze primaire replica wordt continu bewaakt en als er een fout wordt gedetecteerd, worden schrijfbewerkingen onmiddellijk naar een andere replica verplaatst. Deze replica wordt de nieuwe primaire replica. Tijdens dit failoverproces kan de beschikbaarheid van schrijfbewerkingen tijdelijk gedurende 1-2 minuten worden beïnvloed, maar de leesbeschikbaarheid blijft ongewijzigd.

Leesbewerkingen (die vele malen vaker voorkomen dan schrijfbewerkingen) worden alleen opgeslagen in secundaire replica's. Aangezien secundaire replica's idempotent zijn, kan het verlies van een van de replica's in een bepaalde partitie eenvoudig worden gecompenseerd door de leesbewerkingen naar een andere replica te leiden. Meestal is dit dan een replica in hetzelfde datacenter.

Duurzaamheid van gegevens

Een schrijfbewerking wordt definitief doorgevoerd in ten minste twee datacentrums vóórdat deze wordt bevestigd. Dit gebeurt door de schrijfbewerking eerst door te voeren op de primaire replica en vervolgens onmiddellijk naar ten minste één ander datacentrum te repliceren. Deze schrijfactie zorgt ervoor dat een potentieel catastrofaal verlies van het datacenter dat als host fungeert voor het primaire datacenter, geen gegevensverlies tot gevolg heeft.

Microsoft Entra ID onderhoudt een nul RTO (Recovery Time Objective) om geen gegevens over failovers te verliezen. Dit zijn onder andere de nieuwe mogelijkheden:

• Tokenuitgifte en mapleesbewerkingen
• Slechts 5 minuten RTO toestaan voor schrijfbewerkingen in mappen

Datacenters

Microsoft Entra-replica's worden opgeslagen in datacenters over de hele wereld. Zie Globale Azure-infrastructuur voor meer informatie.

Microsoft Entra ID werkt in datacenters met de volgende kenmerken:

• Verificatie, Graph en andere Entra ID-services bevinden zich achter de gatewayservice. De gateway beheert taakverdeling. De service voert automatisch een failover uit van servers die beschadigd zijn door transactionele statustests. Op basis van deze tests wordt het verkeer dynamisch via de gateway naar de goede datacentrums geleid.
• Voor leesbewerkingen beschikt de map over secundaire replica's en bijbehorende front-end-services in een actief-actief-configuratie die in meerdere datacentrums actief is. Als een datacenter uitvalt, wordt verkeer automatisch doorgestuurd naar een ander datacenter.
• Voor schrijfbewerkingen voert de map een failover uit van de primaire replica in datacenters via geplande (nieuwe primaire wordt gesynchroniseerd met oude primaire) of procedures voor failover in noodgevallen. Duurzaamheid van gegevens wordt bereikt door een willekeurige doorvoering te repliceren naar minstens twee datacentrums.

Gegevensconsistentie

Het mapmodel wordt gekenmerkt door uiteindelijke consistentie. Een typisch probleem met gedistribueerde asynchrone replicatiesystemen is dat de gegevens die worden geretourneerd van een 'bepaalde' replica mogelijk niet up-to-date zijn.

Microsoft Entra ID biedt lees-/schrijfconsistentie voor toepassingen die gericht zijn op een secundaire replica door de schrijfbewerkingen naar de primaire replica te routeren en de schrijfbewerkingen synchroon terug te halen naar de secundaire replica.

Schrijfbewerkingen van toepassingen met behulp van de Microsoft Graph API van Microsoft Entra-id worden geabstraheerd van het onderhouden van affiniteit naar een directoryreplica voor lees-/schrijfconsistentie. De Microsoft Graph API-service onderhoudt een logische sessie, die affiniteit heeft met een secundaire replica die wordt gebruikt voor leesbewerkingen; affiniteit wordt vastgelegd in een replicatoken dat door de service wordt opgeslagen in de cache met behulp van een gedistribueerde cache in het secundaire replicacentrum. Dit token wordt vervolgens gebruikt voor verdere bewerkingen in dezelfde logische sessie. Als u dezelfde logische sessie wilt blijven gebruiken, moeten volgende aanvragen worden gerouteerd naar hetzelfde Microsoft Entra-datacenter. Het is niet mogelijk om een logische sessie voort te zetten als de aanvragen van de directoryclient worden doorgestuurd naar meerdere Microsoft Entra-datacenters; als dit gebeurt, heeft de client meerdere logische sessies met onafhankelijke lees-/schrijf-consistenties.

Notitie

Schrijfbewerkingen worden onmiddellijk gerepliceerd naar de secundaire replica waarop de leesbewerkingen van de logische sessie zijn weggeschreven.

Back-up op serviceniveau

Microsoft Entra ID implementeert dagelijkse back-up van mapgegevens en kan deze back-ups gebruiken om gegevens te herstellen als er een probleem is met de hele service.

De map voert ook voorlopig verwijderen in plaats van definitief verwijderen voor geselecteerde objecttypen uit. De tenantbeheerder kan alle onbedoelde verwijderingen van deze objecten binnen 30 dagen ongedaan maken. Zie de API om verwijderde objecten te herstellen voor meer informatie.

Metrische gegevens en controles

Voor het uitvoeren van een service met een hoge beschikbaarheid zijn uitstekende mogelijkheden voor metrische gegevens en controle vereist. Microsoft Entra ID analyseert en rapporteert voortdurend belangrijke metrische gegevens over de servicestatus en succescriteria voor elk van de services. Er is ook continue ontwikkeling en afstemming van metrische gegevens, bewaking en waarschuwingen voor elk scenario, binnen elke Microsoft Entra-service en in alle services.

Als een Microsoft Entra-service niet werkt zoals verwacht, wordt onmiddellijk actie ondernomen om de functionaliteit zo snel mogelijk te herstellen. De belangrijkste metrische gegevens die Microsoft Entra ID-tracks zijn, is de snelheid waarmee livesiteproblemen worden gedetecteerd en beperkt voor klanten. We investeren sterk in bewaking en waarschuwingen om de tijd voor detectie (TTD) (doel: <5 minuten) en operationele gereedheid te minimaliseren om de tijd te beperken (TTM) (Doel: <30 minuten).

Veilige bewerkingen

Microsoft Entra ID maakt gebruik van operationele besturingselementen, zoals meervoudige verificatie voor elke bewerking en controle van alle bewerkingen. Daarnaast maakt het gebruik van een Just-In-Time-uitbreidingssysteem om voortdurend de benodigde tijdelijke toegang te verlenen voor elke operationele taak op aanvraag. Zie De vertrouwde cloud voor meer informatie.

Volgende stappen

Zie de ontwikkelaarshandleiding van Microsoft Entra voor meer informatie over het ontwikkelen met Microsoft Entra.