Compartilhar via

Implementar uma abordagem com foco em nuvem

  • Artigo

Esta é uma fase orientada principalmente por processos e políticas para interromper ou limitar ao máximo a adição de novas dependências ao Active Directory e para implementar uma abordagem com foco em nuvem para novas demandas de soluções de TI.

No momento, é fundamental identificar os processos internos que levariam à adição de novas dependências no Active Directory. Por exemplo, a maioria das organizações teria um processo de gerenciamento de alterações a ser seguido antes da implementação de novos cenários, recursos e soluções. É altamente recomendável garantir que esses processos de aprovação de alterações sejam atualizados para:

  • Incluir uma etapa para avaliar se a alteração proposta adicionaria novas dependências ao Active Directory.
  • Solicite a avaliação de alternativas do Microsoft Entra quando possível.

Usuários e grupos

É possível enriquecer os atributos do usuário no Microsoft Entra ID para disponibilizar mais deles para inclusão. Veja os seguintes exemplos de cenários comuns que exigem atributos de usuário avançados:

  • Provisionamento de aplicativo: a fonte de dados do provisionamento de aplicativo é o Microsoft Entra ID, e os atributos de usuário necessários devem estar presentes.

  • Autorização do aplicativo: um token emitido pelo Microsoft Entra ID pode incluir declarações geradas por atributos de usuário para que os aplicativos possam tomar decisões de autorização com base nas declarações no token. Também pode conter atributos provenientes de fontes de dados externas por meio de um provedor de declarações personalizado.

  • Preenchimento e manutenção de associações de grupo: grupos de associação dinâmica permitem o preenchimento dinâmico de grupos com base em atributos de usuário, como informações de departamento.

Esses dois links fornecem orientação sobre como fazer alterações no esquema:

Esses links fornecem mais informações sobre esse tópico, mas não tratam especificamente da alteração do esquema:

Esses links fornecem mais informações sobre grupos:

Neste estágio, você e sua equipe podem se sentir obrigados a alterar o provisionamento de funcionários atual para usar contas somente na nuvem. O esforço é significativo, mas não agrega valor comercial suficiente. Recomendamos planejar essa transição em uma fase diferente da transformação.

Dispositivos

Tradicionalmente, as estações de trabalho cliente são ingressadas no Active Directory e gerenciadas por meio de GPOs (Objetos de Política de Grupo) ou soluções de gerenciamento de dispositivo, como o Microsoft Configuration Manager. As equipes estabelecerão novas políticas e processos para impedir que as estações de trabalho recém-implantadas sejam ingressadas no domínio. Os pontos-chave incluem o seguinte:

  • Autorize o ingresso no Microsoft Entra para novas estações de trabalho cliente do Windows para que "não haja mais ingresso no domínio".

  • Gerencie as estações de trabalho na nuvem usando soluções de UEM (gerenciamento unificado de pontos de extremidade), como o Intune.

O Windows Autopilot pode ajudar a estabelecer uma integração simplificada e o provisionamento de dispositivos, que pode aplicar essas diretivas.

A Solução de Senha de Administrador Local (LAPS) do Windows permite que uma solução que prioriza a nuvem gerencie as senhas das contas de administrador locais.

Para obter mais informações, confira Saiba mais sobre os pontos de extremidade nativos de nuvem.

Aplicativos

Tradicionalmente, os servidores de aplicativos normalmente são ingressados em um domínio local do Active Directory, para que possam usar a Autenticação Integrada do Windows (Kerberos ou NTLM), as consultas de diretório por meio do LDAP e o gerenciamento de servidor por meio do GPO ou do Microsoft Configuration Manager.

A organização tem um processo para avaliar as alternativas do Microsoft Entra, ao considerar novos serviços, aplicativos ou infraestruturas. As diretivas de uma abordagem com foco em nuvem para os aplicativos devem ser as seguintes. (Novos aplicativos locais ou aplicativos herdados devem ser uma rara exceção, quando não houver alternativas modernas.)

  • Forneça uma recomendação para alterar a política de compras e a política de desenvolvimento de aplicativos para exigir protocolos modernos (OIDC/OAuth2 e SAML) e autenticar usando o Microsoft Entra ID. Os novos aplicativos também devem dar suporte ao provisionamento de aplicativos do Microsoft Entra e não devem ter dependências nas consultas LDAP. As exceções requerem revisão e aprovação explícitas.

    Importante

    Dependendo das demandas previstas dos aplicativos que exigem protocolos herdados, você pode optar por implantar o Microsoft Entra Domain Services, quando as alternativas mais atuais não derem certo.

  • Forneça uma recomendação para criar uma política para priorizar o uso de alternativas nativas de nuvem. A política deve limitar a implantação de novos servidores de aplicativos no domínio. Os cenários nativos de nuvem comuns para substituir servidores ingressados no Active Directory incluem:

Próximas etapas