Vad är Microsoft Entra-arkitekturen?

Med Microsoft Entra-ID kan du hantera användaråtkomst till Azure-tjänster och resurser på ett säkert sätt. Ingår i Microsoft Entra ID är en fullständig uppsättning funktioner för identitetshantering. Information om Microsoft Entra-funktioner finns i Vad är Microsoft Entra-ID?

Med Microsoft Entra-ID kan du skapa och hantera användare och grupper och aktivera behörigheter för att tillåta och neka åtkomst till företagsresurser. Information om identitetshantering finns i The fundamentals of Azure identity management (Grunderna om Azure-identitetshantering).

Microsoft Entra-arkitektur

Microsoft Entra-ID kombinerar omfattande funktioner för övervakning, automatisk omdistribution, redundans och återställning i sin geografiskt distribuerade arkitektur för att ge företagsomfattande tillgänglighet och prestanda

Följande arkitekturelement beskrivs i den här artikeln:

• Tjänstarkitekturens design
• Skalbarhet
• Kontinuerlig tillgänglighet
• Datacenter

Tjänstarkitekturens design

Det vanligaste sättet att skapa ett tillgängligt och användbart datarikt system är att använda oberoende byggstenar eller skalningsenheter. För Microsoft Entra-datanivån kallas skalningsenheter för partitioner.

Datanivån har flera frontend-tjänster som tillhandahåller läs-och skrivfunktioner. Följande diagram visar hur komponenterna i en partition med en enda katalog levereras i geografiskt distribuerade datacenter.

Komponenterna i Microsoft Entra-arkitekturen innehåller en primär replik och sekundära repliker.

Primär replik

Den primära repliken tar emot alla skrivningar för den partition som den tillhör. Alla skrivåtgärder replikeras omedelbart till en sekundärkopi i ett annat datacenter innan ett framgångsmeddelande returneras till anroparen, vilket säkerställer geo-redundant tillförlitlighet för skrivningarna.

Sekundära repliker

Alla katalogläsningar hanteras från sekundära repliker som finns i geografiskt distribuerade datacenter. Data replikeras asynkront över många sekundära repliker. Katalogläsningar, till exempel autentiseringsbegäranden, hanteras från datacenter som ligger nära kunderna. De sekundära replikerna ansvarar för läsningarnas skalbarhet.

Skalbarhet

Skalbarhet syftar på en tjänsts förmåga att skala upp för att möta ökade krav på prestanda. Microsoft Entra delar upp data för att uppnå skalbarhet vid skrivning. Skalbarhet för läsningar uppnås genom att data replikeras från en partition till flera sekundära repliker runtom i världen.

Begäranden från katalogprogram dirigeras till närmaste datacenter. Skrivningar omdirigeras transparent till den primära repliken för att tillhandahålla konsekventa läsningar och skrivningar. Sekundära repliker utökar avsevärt partitionernas skalning eftersom katalogerna normalt hanterar läsningar större delen av tiden.

Katalogprogram ansluter till de närmaste datacentren. Den här anslutningen förbättrar prestandan och därför är det möjligt att skala ut. Eftersom en katalogpartition kan ha många sekundära repliker, kan sekundära repliker placeras närmare katalogklienterna. Endast interna katalogtjänstkomponenter som är skrivningsintensiva riktar sig direkt till den aktiva primära repliken.

Kontinuerlig tillgänglighet

Tillgängligheten (eller drifttiden) syftar på ett systems möjlighet att köra kontinuerligt. Nyckeln till Microsoft Entra-ID:ts höga tillgänglighet är att tjänsterna snabbt kan flytta trafik över flera geografiskt distribuerade datacenter. Varje datacenter är oberoende, vilket möjliggör decorrelerade felmodeller. Med den här designen för hög tillgänglighet kräver Microsoft Entra-ID ingen stilleståndstid för underhållsaktiviteter.

Partitionsdesignen för Microsoft Entra-ID förenklas jämfört med företagets Active Directory-design med hjälp av en enda primär serverdesign som innehåller en noggrant orkestrerad och deterministisk primär replikredundans.

Feltolerans

Ett system är mer tillgängligt om det kan tolerera maskinvaru-, nätverks- och programvarufel. Varje katalogpartition har en primär replik med hög tillgänglighet som hanterar alla skrivåtgärder. Den här primära repliken övervakas kontinuerligt och om ett fel identifieras flyttas skrivåtgärder omedelbart till en annan replik. Den här repliken blir den nya primära. Under den här redundansväxlingsprocessen kan skrivtillgängligheten tillfälligt påverkas i 1–2 minuter, men lästillgängligheten påverkas inte.

Läsåtgärder (som är avsevärt många fler än skrivåtgärderna) skickas endast till sekundära repliker. Eftersom sekundära repliker är idempotenta kompenseras förlusten av en replik i en viss partition enkelt genom att läsningarna dirigeras till en annan replik, vanligtvis i samma datacenter.

Datahållbarhet

En skrivoperation är beständigt lagrad i minst två datacenter före bekräftelse. Systemet skriver först in förändringarna på den primära servern och replikerar sedan omedelbart skrivningen till minst ett annat datacenter. Den här skrivåtgärden säkerställer att en potentiell oåterkallelig förlust av det datacenter som är värd för den primära inte resulterar i dataförlust.

Microsoft Entra ID har noll mål för återställningstid (RTO) att inte förlora data om redundansväxlingar, inklusive:

• Tokenutfärding och katalogläsningar
• Tillåter endast cirka 5 minuters RTO för katalogskrivningar

Datacenter

Microsoft Entra-repliker lagras i datacenter som finns över hela världen. Mer information finns i Global Infrastruktur i Azure.

Microsoft Entra-ID fungerar mellan datacenter med följande egenskaper:

• Autentisering, Graph och andra Microsoft Entra ID-tjänster finns bakom Gateway-tjänsten. Gatewayen hanterar belastningsutjämning. Servicen hanterar över automatiskt alla servrar som upptäcks vara i dåligt skick av transaktionshälsoundersökningar. Baserat på dessa hälsoavsökningar dirigerar gatewayen dynamiskt trafik till felfria datacenter.
• För läsningar har katalogen sekundära repliker och motsvarande klientdelstjänster i en aktiv-aktiv konfiguration som körs i flera datacenter. Om ett datacenter misslyckas dirigeras trafiken automatiskt till ett annat datacenter.
• För skriver, överförs katalogens primära replika mellan datacenters via planerade (ny primär synkroniseras med gammal primär) eller akuta övertagningsprocedurer. Data hållbarhet uppnås genom att replikera alla incheckningar till minst två datacenter.

Datakonsekvens

Katalogmodellen är en av de eventuella konsekvenserna. Ett vanligt problem med distribuerade asynkront replikerande system är att data som returneras från en "viss" replik kanske inte är uppdaterade.

Microsoft Entra ID ger skrivskyddad konsekvens för program som riktar sig till en sekundär replik genom att dirigera skrivningar till den primära repliken och synkront hämta skrivningar tillbaka till den sekundära repliken.

Programskrivningar med Hjälp av Microsoft Graph API för Microsoft Entra-ID är abstrakta från att upprätthålla tillhörighet till en katalogreplik för läs- och skrivkonsekvens. Microsoft Graph API-tjänsten underhåller en logisk session. Sessionen har tillhörighet till en sekundär replik som används för läsoperationer. Tillhörighet samlas in i en "repliktoken" som tjänsten cachelagrar med hjälp av en distribuerad cache i det sekundära replikcentret. Denna token används sedan för efterföljande åtgärder i samma logiska session. Om du vill fortsätta använda samma logiska session måste efterföljande begäranden dirigeras till samma Microsoft Entra-datacenter. Det går inte att fortsätta en logisk session om katalogklientbegäranden dirigeras till flera Microsoft Entra-datacenter. Om sessioner delas, har klienten flera logiska sessioner som har oberoende läs- och skrivkonsistenser.

Kommentar

Skrivningar replikeras direkt till den sekundära repliken som den logiska sessionens läsningar skickades till.

Säkerhetskopiering på tjänstnivå

Microsoft Entra ID implementerar daglig säkerhetskopiering av katalogdata och kan använda dessa säkerhetskopior för att återställa data om det finns problem med hela tjänsten.

Katalogen implementerar även mjuka borttagningar i stället för hårda borttagningar för valda objekttyper. Innehavaradministratören kan ångra oavsiktliga borttagningar av dessa objekt inom 30 dagar. Mer information finns i API:et för att återställa borttagna objekt.

Mätvärden och övervakare

Körning av en tjänst med hög tillgänglighet kräver förstklassiga mät- och övervakningsfunktioner. Microsoft Entra ID analyserar och rapporterar kontinuerligt viktiga hälsomått för tjänsten och framgångskriterier för var och en av tjänsterna. Det finns också kontinuerlig utveckling och justering av mått, övervakning och aviseringar för varje scenario, inom varje Microsoft Entra-tjänst och i alla tjänster.

Om någon Microsoft Entra-tjänst inte fungerar som förväntat vidtas omedelbara åtgärder för att återställa funktioner så snabbt som möjligt. Det viktigaste måttet som Microsoft Entra ID spårar är hastigheten för identifiering och migrering av kundproblem. Vi investerar mycket i övervakning och aviseringar för att minimera tiden för identifiering (TTD) (mål: <5 minuter) och driftberedskap för att minimera tiden för att minimera (TTM) (mål: <30 minuter).

Säkra åtgärder

Microsoft Entra ID använder driftkontroller som multifaktorautentisering för alla åtgärder och granskning av alla åtgärder. Dessutom använder den ett just-in-time-höjningssystem för att bevilja nödvändig tillfällig åtkomst för alla operativa uppgifter på begäran kontinuerligt. Mer information finns i The Trusted Cloud (Det säkra molnet).

Nästa steg

Mer information om hur du utvecklar med Microsoft Entra finns i utvecklarhandboken för Microsoft Entra.