Aracılığıyla paylaş

Kendi kendine yönetilen Active Directory Etki Alanı Hizmetleri, Microsoft Entra ID ve yönetilen Microsoft Entra Etki Alanı Hizmetleri'ni karşılaştırın

  • Makale

Merkezi bir kimliğe uygulama, hizmet veya cihaz erişimi sağlamak için Azure'da Active Directory tabanlı hizmetleri kullanmanın üç yaygın yolu vardır. Kimlik çözümlerindeki bu seçenek, kuruluşunuzun ihtiyaçlarına en uygun dizini kullanma esnekliği sağlar. Örneğin, çoğunlukla mobil cihazları çalıştıran yalnızca bulut kullanıcılarını yönetiyorsanız, kendi Active Directory Etki Alanı Hizmetleri (AD DS) kimlik çözümünüzü derlemek ve çalıştırmak mantıklı olmayabilir. Bunun yerine Yalnızca Microsoft Entra Id kullanabilirsiniz.

Active Directory tabanlı üç kimlik çözümü ortak bir adı ve teknolojiyi paylaşsa da, farklı müşteri taleplerini karşılayan hizmetler sunmak üzere tasarlanmıştır. Üst düzeyde, bu kimlik çözümleri ve özellik kümeleri şunlardır:

  • Active Directory Etki Alanı Hizmetleri (AD DS) - Kimlik ve kimlik doğrulaması, bilgisayar nesne yönetimi, grup ilkesi ve güvenler gibi temel özellikleri sağlayan kurumsal kullanıma hazır basit dizin erişim protokolü (LDAP) sunucusu.
  • Microsoft Entra ID - Microsoft 365, Microsoft Entra yönetim merkezi veya SaaS uygulamaları gibi kaynaklar için kullanıcı hesabı ve kimlik doğrulama hizmetleri sağlayan bulut tabanlı kimlik ve mobil cihaz yönetimi.
    • Microsoft Entra Id, bulutta yerel olarak çalışan kullanıcılara tek bir kimlik sağlamak için şirket içi AD DS ortamıyla eşitlenebilir.
    • Microsoft Entra Id hakkında daha fazla bilgi için bkz. Microsoft Entra Id nedir?
  • Microsoft Entra Domain Services - Etki alanına katılma, grup ilkesi, LDAP ve Kerberos / NTLM kimlik doğrulaması gibi tam uyumlu geleneksel AD DS özelliklerinin bir alt kümesiyle yönetilen etki alanı hizmetleri sağlar.
    • Etki Alanı Hizmetleri, şirket içi AD DS ortamıyla eşitlenebilen Microsoft Entra Id ile tümleştirilir. Bu özellik, merkezi kimlik kullanım örneklerini, lift-and-shift stratejisi kapsamında Azure'da çalışan geleneksel web uygulamalarına genişletir.
    • Microsoft Entra Id ve şirket içi eşitleme hakkında daha fazla bilgi edinmek için bkz. Yönetilen etki alanında nesnelerin ve kimlik bilgilerinin eşitlenmesi.

Bu genel bakış makalesi, kuruluşunuzun gereksinimlerine bağlı olarak bu kimlik çözümlerinin birlikte nasıl çalışabileceğini veya bağımsız olarak nasıl kullanılacağını karşılaştırır.

Başlamak için, Microsoft Entra yönetim merkezini kullanarak Bir Etki Alanı Hizmetleri yönetilen etki alanı oluşturun

Etki Alanı Hizmetleri ve kendi kendine yönetilen AD DS

Kerberos veya NTLM gibi geleneksel kimlik doğrulama mekanizmalarına erişmesi gereken uygulama ve hizmetleriniz varsa, bulutta Active Directory Etki Alanı Hizmetleri sağlamanın iki yolu vardır:

  • Microsoft Entra Domain Services kullanarak oluşturduğunuz yönetilen etki alanı. Microsoft gerekli kaynakları oluşturur ve yönetir.
  • Sanal makineler (VM), Windows Server konuk işletim sistemi ve Active Directory Etki Alanı Hizmetleri (AD DS) gibi geleneksel kaynakları kullanarak oluşturup yapılandırdığınız kendi kendine yönetilen etki alanı. Ardından bu kaynakları yönetmeye devam edebilirsiniz.

Etki Alanı Hizmetleri ile temel hizmet bileşenleri, yönetilen etki alanı deneyimi olarak Microsoft tarafından sizin için dağıtılır ve korunur. VM'ler, Windows Server işletim sistemi veya etki alanı denetleyicileri (DC' ler) gibi bileşenler için AD DS altyapısını dağıtamaz, yönetemez, düzeltme eki uygulamaz ve güvenliğini sağlamazsınız.

Domain Services, geleneksel kendi kendine yönetilen AD DS ortamına daha küçük bir özellik alt kümesi sağlar ve bu da tasarım ve yönetim karmaşıklığının bir kısmını azaltır. Örneğin, tasarım ve bakım için AD ormanları, etki alanı, siteler ve çoğaltma bağlantıları yoktur. Etki Alanı Hizmetleri ile şirket içi ortamlar arasındaorman güvenleri oluşturmaya devam .

Bulutta çalışan ve Kerberos veya NTLM gibi geleneksel kimlik doğrulama mekanizmalarına erişmesi gereken uygulamalar ve hizmetler için, Etki Alanı Hizmetleri en az yönetim yüküyle yönetilen bir etki alanı deneyimi sağlar. Daha fazla bilgi için bkz.Etki Alanı Hizmetleri'nde kullanıcı hesapları, parolalar ve yönetim için Yönetimi kavramları.

Kendi kendine yönetilen bir AD DS ortamını dağıtıp çalıştırdığınızda, tüm ilişkili altyapı ve dizin bileşenlerini korumanız gerekir. Kendi kendine yönetilen AD DS ortamında ek bakım yükü vardır, ancak daha sonra şemayı genişletme veya orman güvenleri oluşturma gibi ek görevler gerçekleştirebilirsiniz.

Bulutta uygulamalara ve hizmetlere kimlik sağlayan, kendi kendine yönetilen AD DS ortamı için yaygın dağıtım modelleri şunlardır:

  • Bağımsız Bulut-Tabanlı AD DS - Azure Sanal Makineleri etki alanı denetleyicisi olarak yapılandırılır ve yalnızca bulut tabanlı ayrı bir AD DS ortamı oluşturulur. Bu AD DS ortamı, şirket içi AD DS ortamıyla tümleştirilmez. Bulutta oturum açmak ve VM'leri yönetmek için farklı bir kimlik bilgileri kümesi kullanılır.
  • Şirket içi etki alanını Azure'e genişletme - Azure sanal ağı, VPN / ExpressRoute bağlantısı kullanarak şirket içi ağa bağlanır. Azure VM'leri, şirket içi AD DS ortamına etki alanına katılmalarını sağlayan bu Azure sanal ağına bağlanır.
    • Bunun alternatifi, Azure VM'ler oluşturmak ve bunları şirket içi AD DS etki alanına bağlı yedek etki alanı denetleyicileri olarak yükseltmektir. Bu etki alanı denetleyicileri, şirket içi AD DS ortamına bir VPN / ExpressRoute bağlantısı üzerinden çoğaltılır. Şirket içi AD DS etki alanı etkin bir şekilde Azure'a genişletilir.

Aşağıdaki tabloda kuruluşunuz için ihtiyacınız olabilecek bazı özellikler ve yönetilen bir etki alanı veya kendi kendine yönetilen AD DS etki alanı arasındaki farklar özetlenmiştir:

Özellik yönetilen etki alanı otomatik olarak yönetilen AD DS
yönetilen hizmet ✓ ✕
Güvenli dağıtımlar ✓ Yönetici dağıtımın güvenliğini sağlar
DNS sunucusu ✓ (yönetilen hizmet) ✓
Etki Alanı veya Kuruluş Yöneticisi Ayrıcalıkları ✕ ✓
etki alanına katılma ✓ ✓
NTLM ve Kerberos kullanarak etki alanı kimlik doğrulama ✓ ✓
Kerberos kısıtlanmış temsil Kaynak tabanlı Kaynak tabanlı & hesap tabanlı
Özel OU yapısı ✓ ✓
Grup İlkesi ✓ ✓
şema uzantıları ✕ ✓
AD etki alanı / orman güvenleri ✓ (Önizleme için Kurumsal SKU gerekir) ✓
Güvenli LDAP (LDAPS) ✓ ✓
LDAP okuma ✓ ✓
LDAP yazma ✓ (yönetilen etki alanı içinde) ✓
Coğrafi olarak dağıtılmış dağıtım ✓ ✓

Domain Hizmetleri ve Microsoft Entra ID

Microsoft Entra Id, kuruluş tarafından kullanılan cihazların kimliğini yönetmenize ve bu cihazlardan şirket kaynaklarına erişimi denetlemenize olanak tanır. Kullanıcılar ayrıca kişisel cihazlarını (kendi cihazını getir (BYO) modeli) Microsoft Entra ID'ye kaydedebilir ve bu da cihaza bir kimlik sağlar. Microsoft Entra Id daha sonra bir kullanıcı Microsoft Entra ID'de oturum açtığında cihazın kimliğini doğrular ve cihazı güvenli kaynaklara erişmek için kullanır. Cihaz, Microsoft Intune gibi Mobil Cihaz Yönetimi (MDM) yazılımı kullanılarak yönetilebilir. Bu yönetim özelliği, hassas kaynaklara erişimi yönetilen ve ilkeyle uyumlu cihazlara kısıtlamanızı sağlar.

Geleneksel bilgisayarlar ve dizüstü bilgisayarlar da Microsoft Entra Id'ye katılabilir. Bu mekanizma, kullanıcıların şirket kimlik bilgilerini kullanarak cihazda oturum açmasına izin vermek gibi kişisel bir cihazı Microsoft Entra ID'ye kaydetmenin aynı avantajlarını sunar.

Microsoft Entra'ya katılmış cihazlar size aşağıdaki avantajları sağlar:

  • Microsoft Entra Id ile güvenliği sağlanan uygulamalarda çoklu oturum açma (SSO).
  • Cihazlar arasında kullanıcı ayarlarının kurumsal ilkeyle uyumlu dolaşımı.
  • Kurumsal kimlik bilgilerini kullanarak İş İçin Windows Mağazası'na erişim.
  • İş İçin Windows Hello.
  • Şirket ilkesiyle uyumlu cihazlardan uygulamalara ve kaynaklara kısıtlı erişim.

Cihazlar, şirket içi AD DS ortamı içeren karma bir dağıtımla veya dağıtım olmadan Microsoft Entra Id'ye eklenebilir. Aşağıdaki tabloda, yaygın cihaz sahipliği modelleri ve bunların genellikle bir etki alanına nasıl katılacağı özetlenmiştir:

Cihaz Türü Cihaz platformları Mekanizması
Kişisel cihazlar Windows 10, iOS, Android, macOS Microsoft Entra kayıtlı
Kuruluşa ait cihaz şirket içi AD DS'ye katılmadı Windows 10 Microsoft Entra katıldı
Şirket içi AD DS'ye katılmış kuruluşa ait cihaz Windows 10 Microsoft Entra hibrit katılım

Microsoft Entra'ya katılmış veya kayıtlı bir cihazda, modern OAuth / OpenID Connect tabanlı protokoller kullanılarak kullanıcı kimlik doğrulaması gerçekleşir. Bu protokoller İnternet üzerinden çalışacak şekilde tasarlanmıştır, bu nedenle kullanıcıların şirket kaynaklarına her yerden eriştiği mobil senaryolar için idealdir.

Domain Services'e katılmış cihazlarla, uygulamalar kimlik doğrulaması için Kerberos ve NTLM protokollerini kullanabilir, bu nedenle lift-and-shift stratejisinin bir parçası olarak Azure VM'lerinde çalıştırılacak şekilde taşınan eski uygulamaları destekleyebilir. Aşağıdaki tabloda, cihazların nasıl temsil edildiklerine ve dizinde kimlik doğrulaması yapabileceklerine ilişkin farklılıklar özetlenmiştir:

Açıklık Microsoft Entra katıldı Domain Hizmetleri'ne katıldı
Cihaz tarafından denetlenen Microsoft Entra ID Alan Adı Hizmetleri tarafından yönetilen alan adı
Dizindeki gösterim Microsoft Entra dizinindeki cihaz nesneleri Etki Alanı Hizmetleri tarafından yönetilen etki alanındaki bilgisayar nesneleri
Kimlik doğrulama OAuth / OpenID Connect tabanlı protokoller Kerberos ve NTLM protokolleri
Yönetim Intune gibi Mobil Cihaz Yönetimi (MDM) yazılımı Grup İlkesi
Ağ İnternet üzerinden çalışır Yönetilen etki alanının dağıtıldığı sanal ağa bağlı veya onunla eşlenmiş olmalıdır
Harika bir... Son kullanıcı mobil veya masaüstü cihazları Azure'da dağıtılan sunucu VM'leri

Şirket içi AD DS ve Microsoft Entra ID, AD FS kullanılarak federasyon kimlik doğrulaması için yapılandırılmışsa, Azure DS'de mevcut veya geçerli bir parola karması bulunmamaktadır. Fed kimlik doğrulaması uygulanmadan önce oluşturulan Microsoft Entra kullanıcı hesaplarının eski bir parola karması olabilir, ancak bu büyük olasılıkla şirket içi parolalarının karmasıyla eşleşmez. Sonuç olarak, Etki Alanı Hizmetleri kullanıcıların kimlik bilgilerini doğrulayamaz

Sonraki adımlar

Etki Alanı Hizmetleri'ni kullanmaya başlamak için Microsoft Entra yönetim merkezini kullanarak Bir Etki Alanı Hizmetleri yönetilen etki alanı oluşturun.

Ayrıca, Etki Alanı Hizmetleri'nde () kullanıcı hesapları, parolalar ve yönetim için yönetim kavramları hakkında ve yönetilen etki alanı'te nesne ve kimlik bilgilerinin nasıl eşitlendiği hakkında daha fazla bilgi edinebilirsiniz.