Поделиться через

Что такое архитектура Microsoft Entra?

  • Статья

Идентификатор Microsoft Entra позволяет безопасно управлять доступом к службам и ресурсам Azure для пользователей. Включенная с идентификатором Microsoft Entra ID — это полный набор возможностей управления удостоверениями. Сведения о функциях Microsoft Entra см. в разделе "Что такое идентификатор Microsoft Entra?

С помощью идентификатора Microsoft Entra можно создавать пользователей и группы и управлять ими, а также разрешать и запрещать доступ к корпоративным ресурсам. Дополнительные сведения об управлении удостоверениями см. в этой статье.

Архитектура Microsoft Entra

Распределенная архитектура Microsoft Entra ID объединяет широкие возможности мониторинга, автоматического перенаправления, отработки отказа и восстановления для обеспечения доступности и производительности всей компании.

В этой статье рассматриваются следующие элементы архитектуры:

  • Схема архитектуры службы
  • Масштабируемость
  • Постоянная доступность
  • Центры обработки данных

Схема архитектуры службы

Наиболее распространенным способом создания доступной и удобной системы является использование независимых стандартных блоков или единиц масштабирования. Для уровня данных Microsoft Entra единицы масштабирования называются секциями.

На уровне данных содержится несколько интерфейсных служб, обеспечивающих возможность чтения и записи. На следующей схеме показано, как компоненты секции с одним каталогом предоставляются в географически распределенных центрах обработки данных.

Схема компонентов секции с одним каталогом в архитектуре Microsoft Entra

Компоненты архитектуры Microsoft Entra включают первичную реплику и вторичные реплики.

Первичная реплика

Первичная реплика принимает все операции записи раздела, к которому она относится. Перед возвращением успешного ответа вызывающей стороне все операции записи сразу же реплицируются на вторичную реплику в другом центре обработки данных, что обеспечивает геоизбыточную устойчивость этих операций.

Вторичные реплики

Все операции чтения каталога обслуживаются из вторичных реплик, расположенных в географически распределенных центрах обработки данных. Данные реплицируются асинхронно во многих вторичных репликах. Операции чтения в каталоге, такие как запросы на проверку подлинности, обрабатываются в центрах обработки данных, расположенных в непосредственной близости к заказчикам. Вторичные реплики отвечают за масштабируемость операций чтения.

Масштабируемость

Масштабируемость — это возможность расширения службы в соответствии с растущими требованиями к производительности. Изменение количества операций записи обеспечивается за счет секционирования, а операций чтения — за счет репликации данных из одного раздела на несколько вторичных реплик, распределенных по всему миру.

Запросы от приложений каталога направляются в ближайший центр обработки данных. Операции записи явным образом перенаправляются на первичную реплику, что позволяет обеспечить согласованность операций чтения и записи. Вторичные реплики значительно расширяют масштаб разделов, так как большую часть времени каталоги обрабатывают операции чтения.

Приложения каталога подключаются к ближайшим центрам обработки данных. Это повышает производительность и, следовательно, предоставляет возможности масштабирования. Так как разделы каталога могут иметь большое количество вторичных реплик, эти реплики можно размещать ближе к клиентам каталога. Только внутренние компоненты службы каталогов с большим количеством операций записи непосредственно используют активную первичную реплику.

Постоянная доступность

Доступность (или время непрерывной работы) определяет возможность системы работать без перебоя. Ключом к высокой доступности Идентификатора Microsoft Entra является то, что службы могут быстро перемещать трафик в нескольких географически распределенных центрах обработки данных. Каждый центр обработки данных является независимым, поэтому режимы сбоя практически не требуют корреляции. Благодаря этой разработке высокого уровня доступности идентификатор Microsoft Entra id не требует простоя для действий по обслуживанию.

Проектирование секций идентификатора Microsoft Entra упрощается по сравнению с проектом корпоративного Active Directory с помощью единого главного дизайна, включающего тщательно управляемый и детерминированный процесс отработки отказа первичной реплики.

Отказоустойчивость

Система более доступна, если она может терпеть аппаратные, сетевые и программные сбои. Каждая секция каталога имеет высокодоступную первичную реплику, которая обрабатывает все операции записи. Эта первичная реплика постоянно отслеживается, и при обнаружении сбоя операции записи немедленно перемещаются на другую реплику. Эта реплика становится новой первичной. Во время этого процесса отработки отказа доступность записи может временно повлиять на 1–2 минуты, но доступность чтения остается небезопасной.

Операции чтения (которые численно превышают количество операций записи) направляются только на вторичные реплики. Так как вторичные реплики идемпотентные, потеря одной из них в определенном разделе легко возмещается за счет перенаправления операций чтения на другую реплику, расположенную обычно в том же центре обработки данных.

Устойчивость данных

До подтверждения операции записи она на длительное время фиксируется по крайней мере в двух центрах обработки данных. Сначала эта операция фиксируется на первичной реплике, а затем немедленно реплицируется хотя бы в один из дополнительных центров обработки данных. Данная операция записи гарантирует, что в случае необратимого сбоя в работе центра обработки данных, в котором расположена первичная реплика, данные не будут потеряны.

Идентификатор Microsoft Entra поддерживает нулевая цель времени восстановления (RTO), чтобы не потерять данные при отработках отказа. Сюда входит следующее:

  • выдача токенов и чтение каталога;
  • RTO для операций записи в каталог на уровне 5 минут.

Центры обработки данных

Реплики Microsoft Entra хранятся в центрах обработки данных, расположенных по всему миру. Дополнительные сведения см. в разделе Глобальная инфраструктура Azure.

Идентификатор Microsoft Entra работает в центрах обработки данных со следующими характеристиками:

  • Проверка подлинности, Graph и другие службы идентификаторов Записей находятся за службой шлюза. Шлюз управляет балансировкой нагрузки. Служба автоматически отработка отказа всех серверов, обнаруженных неработоспособными с помощью проб работоспособности транзакций. На основе проб работоспособности шлюз динамически направляет трафик в рабочие центры обработки данных.
  • Для операций чтения каталог имеет вторичные реплики и соответствующие интерфейсные службы с конфигурацией "активный — активный", работающие в нескольких центрах обработки данных. Если обработка в центре обработки данных завершается сбоем, трафик автоматически направляется в другой центр обработки данных.
  • Для операций записи каталог выполняет отработку отказа первичной реплики между несколькими центрами обработки данных в рамках планового (новая первичная реплика синхронизируется со старой) или экстренного процесса отработки отказа. Устойчивость данных достигается путем репликации всех фиксаций по крайней мере в два центра обработки данных.

Согласованность данных

Модель каталога обеспечивает окончательную согласованность данных. Одна из типичных проблем с распределенной асинхронной репликацией систем заключается в том, что данные, возвращаемые из "конкретной" реплики, могут не быть актуальными.

Идентификатор Microsoft Entra обеспечивает согласованность операций чтения и записи для приложений, предназначенных для вторичной реплики, путем маршрутизации записей в первичную реплику и синхронно извлекая записи обратно в вторичную реплику.

Записи приложений с помощью API Microsoft Graph идентификатора Microsoft Entra абстрагируются от поддержания сходство с репликой каталога для согласованности чтения и записи. Служба API Microsoft Graph поддерживает логический сеанс, который имеет сходство с вторичной репликой, используемой для чтения; сходство фиксируется в "маркере реплики", который кэширует служба с помощью распределенного кэша в центре обработки данных вторичной реплики. Затем этот токен используется в последующих операциях в том же логическом сеансе. Чтобы продолжить использование одного логического сеанса, последующие запросы должны направляться в тот же центр обработки данных Microsoft Entra. Невозможно продолжить логический сеанс, если клиентские запросы каталога направляются в несколько центров обработки данных Microsoft Entra; Если это произойдет, клиент имеет несколько логических сеансов, имеющих независимые согласованности операций чтения и записи.

Примечание.

Операции записи немедленно реплицируются на вторичную реплику, для которой были выданы операции чтения логического сеанса.

Резервное копирование на уровне службы

Идентификатор Microsoft Entra реализует ежедневное резервное копирование данных каталога и может использовать эти резервные копии для восстановления данных, если возникла любая проблема со службой.

Каталог также реализует обратимые удаления вместо жестких удалений для выбранных типов объектов. Администратор клиента может отменить все случайные удаления этих объектов в течение 30 дней. Дополнительные сведения см. в разделе API для восстановления удаленных объектов.

Метрики и мониторы

Для выполнения службы с высоким уровнем доступности требуются метрики и возможности мониторинга мирового уровня. Идентификатор Microsoft Entra постоянно анализирует и сообщает метрики работоспособности ключевых служб и критерии успешности для каждой службы. Существует также непрерывная разработка и настройка метрик, мониторинга и оповещений для каждого сценария в каждой службе Microsoft Entra и во всех службах.

Если любая служба Microsoft Entra не работает должным образом, немедленное действие выполняется для восстановления функциональных возможностей как можно быстрее. Наиболее важным отслеживанием метрик Microsoft Entra ID является скорость обнаружения и устранения проблем с динамическим сайтом для клиентов. Мы в значительной степени инвестируем в мониторинг и оповещения, чтобы свести к минимуму время для обнаружения (TTD) (целевой: 5 минут) и готовности к работе, чтобы свести к минимуму время для устранения (TTM) (цель: <<30 минут).

Защита операций

Идентификатор Microsoft Entra использует операционные элементы управления, такие как многофакторная проверка подлинности для любой операции и аудит всех операций. Кроме того, она использует JIT-систему повышения прав для предоставления необходимого временного доступа для любой операционной задачи по требованию на постоянной основе. Дополнительные сведения см. на странице Надежное облако.

Следующие шаги

Дополнительные сведения о разработке с помощью Microsoft Entra см. в руководстве разработчика Microsoft Entra.