Różne oblicza Active Directory

Microsoft był jedną z pierwszą firm, która przedstawiła produkt oferujący podstawę tożsamości. Active Directory należy do najpopularniejszych narzędzi do zarządzania tożsamościami, szczególnie w środowiskach opartych na systemach operacyjnych Windows.

Active Directory jest zcentralizowaną bazą danych, która przechowuje informacje o użytkownikach, grupach, komputerach i innych zasobach organizacji oraz umożliwia zarządzanie nimi.AD jest rozwiązaniem zbudowanym na systemie operacyjny Windows Server i udostępnia narzędzia do uwierzytelnienia użytkowników oraz udostępniania im zasobów sieciowych, takich jak foldery, drukarki czy usługi sieciowe.

W artykule omówię różnice między trzema wariantami Active Directory:

• On-premise Active Directory,
• Azure Active Directory,
• Hybrid Active Directory.

On-premise Active Directory

On-premise Active Directory wyróżnia się tym, że jest instalowana na serwerach organizacji – znajdujących się w ich lokalnej sieci, bądź wynajętych – znajdujących się w Centrum Danych (ang. Data Center). Administracja odbywa się za pomocą narzędzi administracyjnych takich jak Active Directory Users and Computers.

On-premise Active Directory jest w stanie zapewnić wysoki poziom bezpieczeństwa i kontroli nad zasobami sieciowymi, ponieważ dane przechowywane są na serwerach znajdujących się wewnątrz sieci firmy. Administratorzy mogą przyznawać użytkownikom i grupom dostęp do poszczególnych zasobów, a także kontrolować ich uprawnienia do nich.

Active Directory umożliwia również wdrażanie polityk bezpieczeństwa, takich jak:

• zasady haseł,
• blokowania kont,
• szyfrowanie danych.

Narzędzie pozwala na integrację z innymi usługami serwerowymi, takimi jak Exchange czy SharePoint.

Niezbywalną częścią On-premise Active Directory jest także usługa ADFS (ang. Active Directory Federation Services), która udostępnia rozwiązanie Single Sign-On (SSO) czyli uwierzytelnianie jednorazowego logowania między różnymi aplikacjami i usługami.

Legacy authentication i modern authentication

Jednym z głównych powodów utrzymania On-Premise AD jest obsługa tzw. legacy authentication (Kerberos, RADIUS), które nie były stworzone z myślą o rozwiązaniach chmurowych czy aplikacjach webowych. W wielu środowiskach znajdziemy aplikacje, które nie maja już wsparcia lub nie jest to ekonomicznie uzasadnione, aby je rozbudować o wsparcie modern authentication. 

ADFS modern authentication to natomiast nowsze podejście do uwierzytelniania w ADFS, które wykorzystuje protokoły takie jak SAML, OAuth 2.0 i OpenID Connect. Dzięki temu umożliwia integrację z nowoczesnymi aplikacjami, które często korzystają z tych protokołów. Wprowadzenie modern authentication do ADFS pozwala na obsługę nowoczesnych scenariuszy uwierzytelniania, takich jak:

• uwierzytelnianie dwuskładnikowe,
• logowanie przy użyciu kont społecznościowych,
• uwierzytelnianie wieloskładnikowe.

On-premise Active Directory jest zdecydowanie najtrudniej skalować. W przypadku wzrostu liczby obiektów i zasobów, organizacja będzie zmuszona dodać zasoby bądź zwiększyć liczbę serwerów, co wygeneruje koszty. Dlatego, projektując takie środowisko, należy dobrze oszacować możliwości rozwoju organizacji.

Azure Active Directory

Azure Active Directory jest usługą chmurową do zarządzania tożsamościami i dostępem. Jest rozwiązaniem dla organizacji, które korzystają z różnych usług chmurowych, takich jak Microsoft 365 i Azure Portal. Azure Active Directory zapewnia uwierzytelnienie i autoryzację użytkowników oraz udostępnianie im zasobów w chmurze, jakimi są aplikacje, pliki czy usługi sieciowe.

Azure Active Directory oferuje wiele funkcjonalności, takich jak:

• zarządzanie tożsamością zewnętrznych użytkowników,
• integrację z usługami chmurowymi innych dostawców,
• narzędzia raportujące i analizujące.

Azure Active Directory w przeciwieństwie do On-premise jest bardzo łatwo skalowalny. Usługa ta umożliwia organizacjom dynamiczne dostosowywanie do zmieniających się potrzeb i rozszerzenie funkcjonalności wraz z rozwojem firmy. Różni się również sposobem w zarządzania zasobami w lokalnej sieci organizacji. W przypadku Azure AD organizacja powinna mieć wdrożony dodatkowy mechanizm zarządzania zasobami lokalnymi, jak np. Intune lub korzystać z rozwiązania Hybrid AD.

Hybrid Active Directory

Hybrid Active Directory to połączenie On-premise Active Directory i Azure Active Directory. Takie rozwiązanie pozwala na korzystanie z zalet obu środowisk.

Hybrid Active Directory umożliwia organizacjom utrzymywanie jednego źródła uwierzytelniania dla zarządzania tożsamością użytkowników, co przekłada się na łatwiejsze i bardziej skuteczne zarządzanie dostępem do zasobów. Dzięki temu rozwiązaniu firmy mogą kontrolować dostęp do zasobów w sieci lokalnej i w chmurze.

Hybrid Active Directory, łącząc zalety pozostałych rozwiązań, daje organizacjom możliwość dostosowywania do zmieniających się potrzeb i rozszerzenie funkcjonalności wraz z rozwojem firmy. Hybrid Active Directory umożliwia migrację użytkowników i zasobów do chmury w tempie, które jest najlepsze dla organizacji.

Podsumowanie

Powyższe warianty Active Directory, oprócz opisanych już cech, posiadają jeszcze wiele różnic np. w sposobie hierarchizacji obiektów, polityk czy też używanych narzędzi. Z mojego doświadczenia wynika, że najczęściej spotykanymi środowiskami są te hybrydowe, pomimo tak dynamicznego rozwoju usług chmurowych.

***

Jeśli interesuje Cię tematyka Active Directory, polecamy Ci również inne artykuły naszych ekspertów.