Co to jest architektura firmy Microsoft Entra?

Identyfikator entra firmy Microsoft umożliwia bezpieczne zarządzanie dostępem do usług i zasobów platformy Azure dla użytkowników. Dołączony do identyfikatora Entra firmy Microsoft jest pełnym pakietem funkcji zarządzania tożsamościami. Aby uzyskać informacje na temat funkcji firmy Microsoft Entra, zobacz Co to jest identyfikator Entra firmy Microsoft?

Za pomocą identyfikatora Entra firmy Microsoft możesz tworzyć użytkowników i grupy oraz zarządzać nimi oraz włączać uprawnienia umożliwiające i odmawianie dostępu do zasobów przedsiębiorstwa. Aby uzyskać informacje dotyczące zarządzania tożsamościami, zobacz The fundamentals of Azure identity management (Podstawy zarządzania tożsamościami platformy Azure).

Architektura firmy Microsoft Entra

Geograficznie rozproszona architektura identyfikatora Entra firmy Microsoft łączy rozbudowane funkcje monitorowania, automatycznego przekierowywania, trybu failover i odzyskiwania w celu zapewnienia dostępności i wydajności w całej firmie.

W tym artykule omówione są następujące elementy architektury:

• Projekt architektury usługi
• Skalowalność
• Stała dostępność
• Centra danych

Projekt architektury usługi

Najczęstszym sposobem tworzenia dostępnego i użytecznego systemu bogatego w dane jest użycie niezależnych bloków konstrukcyjnych lub jednostek skalowania. W przypadku warstwy danych Entra firmy Microsoft jednostki skalowania są nazywane partycjami.

Warstwa danych ma kilka usług frontonu, które zapewniają możliwość odczytu i zapisu. Na poniższym diagramie pokazano, jak składniki partycji z jednym katalogiem są dostarczane w rozproszonych geograficznie centrach danych.

Składniki architektury Entra firmy Microsoft obejmują replikę podstawową i repliki pomocnicze.

Replika podstawowa

Replika podstawowa odbiera wszystkie operacje zapisu dla partycji, do której należy. Wszystkie operacje zapisu są natychmiast replikowane do repliki pomocniczej znajdującej się w innym centrum danych przed zwróceniem do obiektu wywołującego informacji o powodzeniu, co pozwala na zapewnienie nadmiarowej geograficznie trwałości zapisów.

Repliki pomocnicze

Wszystkie odczyty katalogów są obsługiwane z replik pomocniczych znajdujących się w geograficznie rozproszonych centrach danych. Dane są replikowane asynchronicznie w wielu replikach pomocniczych. Odczyty katalogów, takie jak żądania uwierzytelniania, są obsługiwane z centrów danych, które są blisko klientów. Repliki pomocnicze są odpowiedzialne za skalowalność odczytu.

Skalowalność

Skalowalność to możliwość rozszerzania działania usługi w związku z rosnącymi wymaganiami dotyczącymi wydajności. Skalowalność zapisu jest osiągana przez partycjonowanie danych. Skalowalność odczytu uzyskuje się przez replikację danych z jednej partycji do wielu replik pomocniczych rozproszonych na całym świecie.

Żądania z aplikacji katalogowych są kierowane do najbliższego centrum danych. Zapisy są w sposób niewidoczny dla użytkownika przekierowywane do repliki podstawowej w celu zapewnienia spójności odczytu i zapisu. Repliki pomocnicze znacznie rozszerzają skalę partycji, ponieważ katalogi zazwyczaj przez większość czasu obsługują operacje odczytu.

Aplikacje katalogów nawiązują połączenie z najbliższymi centrami danych. To połączenie zwiększa wydajność, a zatem skalowanie w górę jest możliwe. Ponieważ partycje katalogów mogą mieć wiele replik pomocniczych, repliki pomocnicze można umieścić bliżej klientów katalogu. Tylko wewnętrzne składniki usługi katalogu przeprowadzające wiele operacji odczytu bezpośrednio komunikują się z aktywną repliką podstawową.

Stała dostępność

Dostępność (lub czas dostępności) definiuje możliwość wykonywania przez system nieprzerwanej pracy. Kluczem do wysokiej dostępności identyfikatora Entra firmy Microsoft jest to, że usługi mogą szybko przenosić ruch między wieloma geograficznie rozproszonymi centrami danych. Każde centrum danych jest niezależne, co umożliwia derelowanie trybów awarii. Dzięki temu projektowi wysokiej dostępności identyfikator entra firmy Microsoft nie wymaga przestoju w przypadku działań konserwacyjnych.

Projekt partycji identyfikatora Entra firmy Microsoft jest uproszczony w porównaniu z projektem usługi Active Directory przedsiębiorstwa przy użyciu jednego wzorca, który zawiera starannie zorganizowany i deterministyczny proces pracy w trybie failover repliki podstawowej.

Odporność na uszkodzenia

System jest bardziej dostępny, jeśli może tolerować awarie sprzętu, sieci i oprogramowania. Każda partycja katalogu ma replikę podstawową o wysokiej dostępności, która obsługuje wszystkie operacje zapisu. Ta replika podstawowa jest stale monitorowana, a jeśli zostanie wykryta awaria, operacje zapisu są natychmiast przesuwane do innej repliki. Ta replika staje się nową repliką podstawową. W trakcie tego procesu trybu failover dostępność zapisu może być tymczasowo naruszona przez 1–2 minuty, ale dostępność odczytu pozostaje nienaruszona.

Operacje odczytu (których liczba jest wiele rzędów wielkości większa od operacji zapisu) odbywają się tylko za pośrednictwem replik pomocniczych. Ponieważ repliki pomocnicze są idempotentne, utrata dowolnej repliki w danej partycji jest łatwo kompensowana przez przełączenie operacji odczytu do innej repliki, która zwykle znajduje się w tym samym centrum danych.

Trwałość danych

Zapis jest trwale zatwierdzony w co najmniej dwóch centrach danych przed jego potwierdzeniem. Dzieje się tak, najpierw zatwierdzając zapis na serwerze podstawowym, a następnie natychmiast replikując zapis do co najmniej jednego innego centrum danych. Ta akcja zapisu gwarantuje, że potencjalna katastrofalna utrata centrum danych hostujące serwer podstawowy nie powoduje utraty danych.

Identyfikator entra firmy Microsoft utrzymuje zerowy cel czasu odzyskiwania (RTO), aby nie utracić danych w trybie failover. Obejmuje to:

• Wystawianie tokenów i odczyty katalogu
• Zezwalanie na zapisy w katalogu tylko około 5 minut czasu odzyskiwania

Centra danych

Repliki firmy Microsoft Entra są przechowywane w centrach danych znajdujących się na całym świecie. Aby uzyskać więcej informacji, zobacz Globalna infrastruktura platformy Azure.

Identyfikator Entra firmy Microsoft działa w centrach danych o następujących cechach:

• Uwierzytelnianie, program Graph i inne usługi Entra ID znajdują się za usługą bramy. Brama zarządza równoważeniem obciążenia. Usługa automatycznie przejdzie w tryb failover wszystkich serwerów znalezionych w złej kondycji przez transakcyjne sondy kondycji. Na podstawie tych sond kondycji brama dynamicznie kieruje ruch do centrów danych w dobrej kondycji.
• W przypadku operacji odczytu katalog ma repliki pomocnicze i odpowiednie usługi frontonu w konfiguracji aktywne-aktywne działającej w wielu centrach danych. W przypadku awarii centrum danych ruch jest automatycznie kierowany do innego centrum danych.
• W przypadku operacji zapisu katalog przejdzie w tryb failover repliki podstawowej między centrami danych za pośrednictwem planowanego (nowa baza podstawowa jest synchronizowana ze starym podstawowym) lub procedur trybu failover awaryjnego. Trwałość danych jest osiągana przez replikowanie dowolnego zatwierdzenia do co najmniej dwóch centrów danych.

Spójność danych

Model katalogu jest jednym z ewentualnych składowych. Jednym z typowych problemów z rozproszonym asynchronicznym replikowaniem systemów jest to, że dane zwrócone z repliki "konkretnej" mogą nie być aktualne.

Identyfikator Entra firmy Microsoft zapewnia spójność odczytu i zapisu dla aplikacji przeznaczonych dla repliki pomocniczej przez routing jego zapisów do repliki podstawowej i synchronicznie ściągając zapisy z powrotem do repliki pomocniczej.

Zapisy aplikacji przy użyciu interfejsu API programu Microsoft Graph identyfikatora Entra id są abstrahowane od utrzymania koligacji do repliki katalogów na potrzeby spójności odczytu i zapisu. Usługa interfejsu API programu Microsoft Graph obsługuje sesję logiczną, która ma koligację z repliką pomocniczą używaną do odczytu; koligacja jest przechwytywana w "tokenie repliki", który usługa buforuje przy użyciu rozproszonej pamięci podręcznej w pomocniczym centrum danych repliki. Token ten jest następnie używany na potrzeby kolejnych operacji w ramach tej samej sesji logicznej. Aby kontynuować korzystanie z tej samej sesji logicznej, kolejne żądania muszą być kierowane do tego samego centrum danych firmy Microsoft Entra. Nie można kontynuować sesji logicznej, jeśli żądania klienta katalogu są kierowane do wielu centrów danych firmy Microsoft Entra; Jeśli tak się stanie, klient ma wiele sesji logicznych, które mają niezależne składowe odczytu i zapisu.

Uwaga

Operacje zapisu są natychmiast replikowane do repliki pomocniczej, dla której zostały utworzone operacje odczytu sesji logicznej.

Kopia zapasowa na poziomie usługi

Identyfikator Entra firmy Microsoft implementuje codzienną kopię zapasową danych katalogu i może używać tych kopii zapasowych do przywracania danych, jeśli występuje jakikolwiek problem dotyczący całej usługi.

Katalog implementuje również usuwanie nietrwałe zamiast usuwania twardego dla wybranych typów obiektów. Administrator dzierżawy może cofnąć wszelkie przypadkowe usunięcia tych obiektów w ciągu 30 dni. Aby uzyskać więcej informacji, zobacz interfejs API umożliwiający przywracanie usuniętych obiektów.

Metryki i monitory

Uruchamianie usługi o wysokiej dostępności wymaga światowej klasy metryk i możliwości monitorowania. Microsoft Entra ID stale analizuje i raportuje kluczowe metryki kondycji usługi i kryteria sukcesu dla każdej z jego usług. Istnieje również ciągłe opracowywanie i dostrajanie metryk, monitorowania i alertów dla każdego scenariusza w ramach każdej usługi Microsoft Entra i we wszystkich usługach.

Jeśli jakakolwiek usługa Microsoft Entra nie działa zgodnie z oczekiwaniami, natychmiastowe działanie jest podejmowane w celu jak najszybszego przywrócenia funkcji. Najważniejszą metryczką metryki Microsoft Entra ID jest szybkość wykrywania i eliminowania problemów z witryną na żywo dla klientów. Intensywnie inwestujemy w monitorowanie i alerty, aby zminimalizować czas wykrywania (TTD) (cel: <5 minut) i gotowość operacyjną w celu zminimalizowania czasu ograniczenia (TTM) (cel: <30 minut).

Zabezpieczanie operacji

Microsoft Entra ID używa kontrolek operacyjnych, takich jak uwierzytelnianie wieloskładnikowe dla każdej operacji i inspekcji wszystkich operacji. Ponadto używa systemu podniesienia uprawnień just in time w celu udzielenia niezbędnego tymczasowego dostępu do dowolnego operacyjnego zadania na żądanie w sposób ciągły. Aby uzyskać więcej informacji, zobacz Zaufana chmura.

Następne kroki

Aby dowiedzieć się więcej na temat opracowywania w usłudze Microsoft Entra, zobacz przewodnik dewelopera firmy Microsoft Entra.