Microsoft Entra ID, AD DS, P1/P2 e Domain Services
Fundamentos de identidade na nuvem, limites entre locatário e assinatura, comparação com AD DS, SSO para aplicativos de nuvem, Microsoft Entra ID P1/P2 e serviços de domínio gerenciados para cargas herdadas.
Tempo de estudo sugerido: 32 minutos • Nível intermediário • Reescrita autoral baseada no módulo fornecido do Microsoft Learn e atualizada pela documentação vigente
Por João Ricardo Dutra••Conteúdo autoral completo
1. Introdução e objetivos de aprendizagem
O é o serviço de gerenciamento de identidades e acesso na nuvem da Microsoft. Ele armazena identidades, autentica usuários e cargas de trabalho, aplica políticas de acesso e ajuda a proteger aplicativos e dados em ambientes de nuvem e híbridos. Para quem administra o , ele é o plano de identidade por trás de assinaturas, atribuições de função, serviços de nuvem da Microsoft e muitas integrações de .
Ao concluir este capítulo, você deverá saber
Descrever o e os problemas administrativos que ele resolve.
Diferenciar o do ().
Explicar como um diretório atende aplicativos de nuvem e oferece logon único ().
Comparar a finalidade dos recursos Free, P1 e P2.
Reconhecer quando o é uma ponte adequada para cargas de trabalho dependentes de domínio tradicional.
As três opções de diretório se complementam: o gerencia a infraestrutura de domínio tradicional; o é um plano de controle de identidade como serviço para aplicativos modernos; e o entrega, dentro do , um subconjunto gerenciado de recursos clássicos de domínio.
Uma identidade híbrida pode nascer no diretório local, ficar disponível no e alcançar vários serviços de nuvem por um único plano de entrada e políticas.
2. Examine o
O é executado em controladores de domínio do Windows Server implantados e operados pela organização. O , por sua vez, é um serviço de plataforma gerenciado pela Microsoft. O cliente configura identidades, aplicativos e políticas, enquanto a Microsoft opera a infraestrutura do diretório. Ele não é um controlador de domínio hospedado em máquina virtual nem uma floresta administrada pelo cliente no .
Esse modelo reduz o controle sobre detalhes da implementação, mas elimina a necessidade de dimensionar, corrigir, replicar, fazer backup e monitorar servidores de diretório. Também acrescenta recursos que não são nativos em uma implantação básica do : autenticação multifator (), proteção contra riscos de identidade, redefinição de senha por autoatendimento, federação de aplicativos modernos e decisões de acesso baseadas em usuário, dispositivo, local e risco.
Usos administrativos frequentes
Criar e administrar usuários, grupos, dispositivos, aplicativos e identidades de carga de trabalho.
Provisionar usuários e conceder acesso a aplicativos e recursos do .
Configurar para serviços da Microsoft e aplicativos de terceiros.
Federar identidades entre organizações e provedores de identidade externos.
Detectar atividades anormais de entrada e responder com controles de proteção de identidade.
Exigir e impor a usuários e dispositivos.
Estender uma identidade do local até a nuvem por sincronização.
Publicar aplicativos Web locais selecionados por meio do de aplicativo do .
Toda assinatura do e assinaturas de serviços como ou têm acesso a um locatário do . A edição Free fornece a base de identidade; recursos licenciados acrescentam governança, acesso, monitoramento e controles de risco. Como as ofertas mudam, confirme a matriz vigente antes de projetar ou comprar licenças.
3. Locatários, assinaturas, domínios e objetos
Um locatário é uma instância isolada do e normalmente representa uma organização. O serviço é multilocatário por projeto, mas objetos e políticas de cada locatário permanecem separados. Uma empresa pode criar vários locatários — por exemplo, para isolar um laboratório —, porém cada assinatura do se associa a exatamente um locatário por vez.
Esse isolamento permite operar em escala global com uma quantidade muito grande de diretórios e solicitações de autenticação. No fluxo clássico citado pelo módulo, criar uma assinatura com uma conta Microsoft podia provisionar automaticamente um locatário exibido como Default Directory; identifique-o pelo ID do locatário e pelos domínios verificados, não pelo nome genérico.
Essa associação permite atribuir o controle de acesso baseado em função do () sobre os recursos da assinatura às identidades do locatário escolhido. Um locatário pode atender várias assinaturas, de modo que os mesmos usuários, grupos, entidades de serviço e políticas governem mais de uma assinatura.
Um novo locatário recebe um nome inicial com prefixo exclusivo e sufixo onmicrosoft.com.
É comum verificar um ou mais domínios personalizados pertencentes à organização.
O locatário é ao mesmo tempo limite de segurança e contêiner de usuários, grupos, dispositivos, aplicativos e outros objetos.
Associar assinatura e locatário não equivale a implantar em uma máquina virtual do .
O esquema do é mais plano e possui menos tipos tradicionais de objeto que o . Ele usa uma classe de dispositivo em vez do modelo clássico de computadores no domínio, e a associação ao é diferente da entrada de um computador em domínio . Extensões do esquema são reversíveis, mas não existem UOs nem GPOs; gerenciamento moderno e segmentação por grupos substituem esses mecanismos.
Aplicativos usam dois objetos relacionados. O objeto de aplicativo é a definição global; a é a identidade e a instância local desse aplicativo no locatário. Essa separação permite que uma definição seja usada por vários locatários, cada um com , consentimento, atribuições e configurações próprias.
Uma assinatura confia em um locatário por vez para identidade, enquanto um locatário pode fornecer identidades e funções a várias assinaturas.
4. Características do
O é o serviço de diretório tradicional do Windows Server para redes corporativas. Ele integra uma família mais ampla do Active Directory, que inclui ou incluiu Active Directory Certificate Services, Active Directory Lightweight Directory Services, e Active Directory Rights Management Services.
É um diretório hierárquico baseado no padrão X.500.
O localiza recursos como controladores de domínio.
O LDAP consulta e administra os dados do diretório.
é o principal protocolo de autenticação; NTLM permanece para cenários compatíveis.
Unidades organizacionais (UOs) e Objetos de Política de Grupo (GPOs) estruturam administração e configuração.
Objetos de computador representam máquinas ingressadas no domínio.
Relações de confiança entre domínios e florestas oferecem acesso e administração delegada.
Executar o em uma máquina virtual do não o transforma em : ele continua sendo um controlador de domínio autogerenciado. Para banco de dados, e SYSVOL, a orientação é usar um ou mais discos de dados do , não o disco do sistema operacional, com de host definido como None. A organização continua responsável por disponibilidade, correções, replicação, backup e recuperação.
5. comparado ao
Os serviços se sobrepõem em identidade, mas protocolos e modelos de gestão atendem cargas diferentes.
Dimensão
Foco principal
Infraestrutura corporativa, membros de domínio e aplicativos tradicionais.
Identidade e acesso para Internet, nuvem, e aplicativos modernos.
Estrutura
Florestas, domínios e UOs hierárquicos.
Locatário plano com usuários, grupos, dispositivos e aplicativos; sem UOs ou GPOs.
Acesso ao diretório
LDAP e descoberta centrada em .
e sobre /.
Autenticação
Principalmente ; NTLM para compatibilidade.
Protocolos modernos como , WS-Federation e .
Autorização
ACLs de domínio, grupos e controles de infraestrutura.
, funções, permissões de aplicativo e .
Dispositivos
Objetos de computador, ingresso no domínio e Política de Grupo.
Identidades de dispositivo, associação ao , e sinais de conformidade.
Confiança externa
Relações de confiança de domínio e floresta.
Federação de aplicativos, colaboração B2B e provedores externos.
Operação
O cliente implanta e gerencia controladores de domínio.
A Microsoft opera a plataforma de diretório.
O foi projetado para comunicação pela Internet em e , normalmente nas portas 80 e 443. Ele não expõe LDAP e não autentica aplicativos com . Uma questão do módulo fornecido chama de protocolo de autenticação; tecnicamente, é uma estrutura de autorização, enquanto o acrescenta autenticação sobre .
A federação estabelece confiança com serviços da Microsoft, aplicativos corporativos e provedores externos. Por isso, e costumam coexistir: o primeiro atende infraestrutura herdada, enquanto identidades sincronizadas e protocolos modernos dão acesso à nuvem.
Escolha o modelo de diretório pelos requisitos do aplicativo e da gestão, não pelo local onde um servidor é executado.
6. Um diretório para aplicativos de nuvem
,, Microsoft Dynamics 365, e outros serviços precisam de um diretório de nuvem para autenticar e autorizar. Manter um diretório por serviço multiplicaria contas e políticas. Vinculá-los ao mesmo locatário do cria um plano de identidade único e uma experiência de mais consistente.
Desenvolvedores podem delegar autenticação e autorização ao em vez de criar um repositório de credenciais em cada aplicativo. O locatário também conecta identidades da nuvem ao local e federa provedores de terceiros, permitindo que a pessoa percorra aplicativos autorizados sem manter senhas separadas.
Os exemplos fornecidos citam identidades do Facebook, dos serviços do Google e do Yahoo. A disponibilidade dos provedores muda, mas o conceito permanece: o aceita uma identidade externa confiável e aplica regras de acesso ao aplicativo de destino.
A autenticação interna do pode adicionar a entrada do a um aplicativo Web nas configurações de Autenticação do . O administrador escolhe ou registra o provedor, define se solicitações não autenticadas são permitidas e pode exigir uma identidade válida do locatário esperado. As configurações pertencem ao aplicativo e podem variar por slot de implantação.
Ferramentas atuais substituíram o fluxo antigo baseado no 2013 citado no export. O princípio permanece: a integração da plataforma simplifica a identidade centralizada em comparação com implementar os protocolos dentro de cada aplicativo personalizado.
Um diretório de nuvem compartilhado centraliza identidades e acesso; cada aplicativo ainda aplica suas próprias permissões.
7. Free, P1 e P2: como interpretar as edições
O Free acompanha assinaturas de nuvem da Microsoft, como e . P1 e P2 são níveis premium licenciados por usuário, adquiridos separadamente ou incluídos em ofertas qualificadas do e Enterprise Mobility + Security. Testes gratuitos e pacotes variam com o tempo.
O export descreve especificamente um pacote Enterprise Mobility + Security que também incluía direitos da e do . Trate isso como contexto histórico de compra, não como garantia do pacote atual; consulte as tabelas vigentes de produtos e planos de serviço.
O material fornecido compara Free e antigas edições Office 365 ou Basic com P1 e P2. Use a documentação atual de licenciamento como fonte definitiva: nomes antigos e pacotes mudam, e um recurso pode exigir tanto a licença do Entra quanto a do serviço cujo sinal ou recurso ele utiliza.
Uma distinção durável para o estudo da prova.
Nível
Finalidade
Recursos representativos
Free
Usuários, grupos, autenticação e proteções básicas.
Diretório de nuvem, base de , básicos, e funções internas.
P1
Identidade híbrida e acesso orientado por políticas.
, grupos e autoatendimento avançados, cenários de writeback de senha e monitoramento adicional.
P2
Proteção baseada em risco e identidade privilegiada.
Proteção de ID do e (), além dos recursos P1.
8. Recursos associados ao P1
O gerenciamento de grupos por autoatendimento pode permitir solicitações de associação, aprovações por proprietários e manutenção de membros sem trabalho administrativo rotineiro.
O avalia usuário ou grupo, aplicativo, estado do dispositivo, local e — com o licenciamento adequado — risco antes de permitir, bloquear ou impor requisitos adicionais.
A redefinição de senha por autoatendimento com writeback pode respeitar a política de senha do local e gravar a nova senha no diretório em projetos híbridos compatíveis.
O Health e recursos licenciados de monitoramento fornecem alertas e informações de desempenho, uso e configuração.
O licenciamento do Microsoft Identity Manager historicamente acompanha cenários híbridos P1/P2 e pode ligar , diretórios LDAP, sistemas Oracle e aplicativos de linha de negócios.
O módulo exportado associa ao P1 integrações completas de , inclusive ou RADIUS, ,, Dynamics 365 e aplicativos da galeria. Clientes atuais usam autenticação moderna compatível, não o antigo alerta sobre programas sem navegador, como o Microsoft Outlook.
O export também cita relatórios e alertas avançados e Cloud App Discovery. Direitos de relatórios e descoberta evoluíram; valide a matriz vigente em vez de usar esses rótulos históricos como lista de compra.
A fonte menciona empresarial de 99,9% para edições premium e para a extinta edição Basic. Termos de nível de serviço mudam independentemente dos conceitos da prova; confirme o atual ao assumir compromisso de produção.
9. Recursos associados ao P2
O P2 acrescenta controles de risco de identidade e acesso privilegiado sobre a base do P1. A Proteção de ID do detecta sinais de risco e habilita políticas de e de entrada por . O administrador investiga usuários, entradas e detecções arriscadas e toma a ação de correção apropriada.
O () substitui privilégio permanente desnecessário por ativação elegível e limitada no tempo. A política pode exigir , justificativa, aprovação ou duração máxima, e o histórico registra atribuições e ativações. Esta é a resposta-chave quando a prova pergunta como administrar acesso temporário e permanente a funções administrativas.
O licenciamento atual também oferece combinações com e Suite. Portanto, confira e políticas de risco contra a licença real de cada usuário: “P2” continua útil para estudo, mas já não é o único pacote moderno capaz de fornecer alguns desses recursos.
P2 reúne a base do P1 e acrescenta controles de risco e privilégio just-in-time; valide sempre a matriz atual.
10. Examine o
Muitos aplicativos de linha de negócios ainda exigem ingresso no domínio, LDAP, Política de Grupo, ou NTLM. Ao movê-los para o , a organização pode manter a autenticação local por site a site, implantar controladores de domínio de réplica em máquinas virtuais do , modernizar o aplicativo ou usar .
No projeto somente com , as solicitações de autenticação atravessam o túnel. Com réplicas no , a replicação do cruza a e a autenticação da nuvem fica perto da carga. Ambos trazem operação de rede ou de controladores. O entrega um domínio gerenciado dentro de uma sem exigir que o cliente implante, corrija, monitore ou faça backup dos controladores de nuvem.
O serviço fornece ingresso no domínio, Política de Grupo, , LDAP/LDAPS e autenticação /NTLM. O é a fonte de autoridade; usuários, grupos, associações e de credencial sincronizam em uma única direção para o domínio gerenciado. Um locatário híbrido pode primeiro sincronizar o local com o ; um locatário somente de nuvem usa Domain Services sem domínio local.
Esse padrão atende migrações lift-and-shift de aplicativos, inclusive cargas construídas sobre Microsoft SQL Server ou Microsoft SharePoint Server. Ele pode eliminar uma mantida apenas para autenticação e controladores gerenciados pelo cliente no , enquanto aplicativos novos usam e autenticação moderna diretamente.
O domínio gerenciado aproxima protocolos tradicionais das cargas no ; ele é separado, não uma réplica gravável do nem extensão automática da floresta local.
11. Benefícios, limites, implantação e custo
A Microsoft gerencia controladores de domínio, correções, disponibilidade, backups e replicação da plataforma.
Administradores não recebem controle de Administrador do Domínio ou da Empresa; tarefas delegadas usam o grupo AAD DC Administrators.
A sincronização do é unidirecional. Atributos, senhas e associações sincronizados são alterados na origem.
O esquema não pode ser estendido como em uma floresta totalmente gerenciada pelo cliente.
O domínio gerenciado aceita UOs internas e personalizadas e administração por Política de Grupo, mas não reproduz todo o comportamento irrestrito do autogerenciado.
Gravações LDAP se aplicam a objetos criados no domínio gerenciado; objetos sincronizados continuam amplamente somente leitura.
O domínio gerenciado é independente. Relações de confiança de floresta atendem cenários híbridos selecionados, mas ele não é uma réplica do domínio local.
O export descreve somente o objeto base de computador, UOs planas sem aninhamento, um GPO interno de usuário e computador e ausência de segmentação por UO, WMI ou grupo de segurança. Isso representa uma versão antiga do serviço. A documentação atual oferece UOs personalizadas e administração de Política de Grupo; valide dependências de esquema, gravação, confiança e política de cada aplicativo durante a migração.
Crie o domínio gerenciado no centro de administração do , escolhendo assinatura, grupo de recursos, , SKU, e sub-rede dedicada. Depois, ajuste o da rede quando necessário. A plataforma implanta um conjunto gerenciado de réplicas de controladores de domínio na região selecionada.
não está incluído automaticamente em P1 ou P2. A cobrança atual é horária conforme a SKU. A escolha considera quantidade de objetos, volume de autenticações, desempenho e frequência de backup; o antigo preço variável diretamente pelo tamanho do diretório não é mais o modelo vigente.
12. Avaliação explicada do módulo
As nove questões fornecidas, reescritas e explicadas.
Pergunta
Melhor resposta
Motivo
Como o modelo organizacional básico difere?
é plano; usa hierarquia com UOs.
organiza acesso por grupos, funções e políticas modernas.
Qual nível de estudo se associa a política e relatórios avançados?
P1.
P1 é o nível premium orientado por políticas no módulo; confirme direitos atuais de relatório.
Qual limitação histórica de Domain Services o módulo destaca?
Estrutura plana de UOs.
Era a resposta do export, mas o serviço atual aceita UOs personalizadas.
Qual estrutura é usada para autorização no ?
.
autentica no domínio e LDAP acessa dados; delega autorização.
Qual plano se associa a políticas de e entrada?
P2.
Políticas baseadas em risco precisam da Proteção de ID do .
Qual resposta o módulo esperava para autenticação de aplicativos da Internet?
.
Com precisão técnica, autoriza e autentica sobre .
Qual recurso P2 gerencia administração elegível, temporária e permanente?
.
adiciona ativação, tempo, aprovação e auditoria às funções privilegiadas.
Qual é o foco principal do diante do ?
Identidade para aplicativos Web e de nuvem.
prioriza infraestrutura de domínio e aplicativos corporativos tradicionais.
Qual recurso é vantagem para aplicativos de nuvem?
Autenticação multifator.
integra o plano de identidade e políticas de nuvem e não é recurso nativo do básico.
13. Resumo do capítulo
é o serviço multilocatário e gerenciado de identidade e acesso da Microsoft para recursos híbridos e de nuvem.
O locatário é um limite isolado; atende várias assinaturas, enquanto cada assinatura confia em um locatário por vez.
fornece , LDAP, , UOs, GPOs, objetos de computador e relações de confiança para infraestrutura hierárquica.
usa modelo plano, e , federação moderna, e protocolos como e .
Um locatário centraliza e acesso a serviços Microsoft, aplicativos personalizados e de terceiros.
P1 representa acesso híbrido orientado por políticas; P2 acrescenta proteção contra risco e identidade privilegiada.
fornece LDAP, ingresso no domínio, Política de Grupo, e NTLM gerenciados para cargas que ainda não usam identidade moderna.
Licenciamento e comportamento do domínio gerenciado evoluem; use a documentação atual no projeto e preserve as distinções exigidas pela AZ-104.
