Megosztás a következőn keresztül:

Váltás a felhőre

  • Cikk

Miután a szervezetet az Active Directory-lábnyom növekedésének megállítása felé igazította, a meglévő helyszíni számítási feladatok Microsoft Entra-azonosítóra való áthelyezésére összpontosíthat. Ez a cikk a különböző migrálási munkafolyamatokat ismerteti. A cikkben szereplő munkafolyamatokat a prioritások és az erőforrások alapján hajthatja végre.

Egy tipikus migrálási munkafolyamat a következő fázisokkal rendelkezik:

  • Felfedezés: Megtudhatja, hogy jelenleg mit használ a környezetében.

  • Próba: Új felhőbeli képességek üzembe helyezése a felhasználók, alkalmazások vagy eszközök egy kis részhalmazában, a munkafolyamattól függően.

  • Vertikális felskálázás: Bontsa ki a próbaüzemet egy képesség felhőbe való áttűnésének befejezéséhez.

  • Átvágás (ha van): A régi helyszíni számítási feladat használatának leállítása.

Felhasználók és csoportok

Jelszó önkiszolgáló engedélyezése

Jelszó nélküli környezetet ajánlunk. Addig is migrálhatja a jelszó önkiszolgáló munkafolyamatait a helyszíni rendszerekről a Microsoft Entra-azonosítóra a környezet egyszerűsítése érdekében. A Microsoft Entra ID önkiszolgáló jelszó-visszaállítás (SSPR) lehetővé teszi a felhasználók számára a jelszó módosítását vagy alaphelyzetbe állítását rendszergazdai vagy ügyfélszolgálati közreműködés nélkül.

Az önkiszolgáló képességek engedélyezéséhez válassza ki a szervezetének megfelelő hitelesítési módszereket . A hitelesítési módszerek frissítése után engedélyezheti a felhasználói önkiszolgáló jelszóképességet a Microsoft Entra hitelesítési környezetében. Az üzembe helyezéssel kapcsolatos útmutatásért tekintse meg a Microsoft Entra önkiszolgáló jelszó-alaphelyzetbe állításával kapcsolatos üzembe helyezési szempontokat.

További szempontok:

  • A Microsoft Entra Password Protection üzembe helyezése a tartományvezérlők egy részhalmazában naplózásimódban, hogy információkat gyűjtsön a modern szabályzatok hatásáról.
  • Fokozatosan engedélyezze az SSPR és a Microsoft Entra többtényezős hitelesítés kombinált regisztrációját. Például a bevezetés régió, leányvállalat vagy részleg szerint az összes felhasználó számára.
  • Haladjon végig egy jelszómódosítási cikluson minden felhasználó számára a gyenge jelszavak kiürítéséhez. A ciklus befejezése után implementálja a szabályzat lejárati idejét.
  • Váltson a Jelszóvédelem konfigurációra azokban a tartományvezérlőkben, amelyeknél a mód kényszerítve van. További információ: Helyszíni Microsoft Entra Jelszóvédelem engedélyezése.

Feljegyzés

Csoportok kezelésének áthelyezése

Csoportok és terjesztési listák átalakítása:

  • Biztonsági csoportok esetén használja a meglévő üzleti logikát, amely felhasználókat rendel hozzá biztonsági csoportokhoz. Migrálja a logikát és a képességet a Microsoft Entra-azonosítóba és a dinamikus tagsági csoportokba.

  • A Microsoft Identity Manager által biztosított önkiszolgáló csoportfunkciók esetében cserélje le a képességet az önkiszolgáló csoportkezelésre.

  • A terjesztési listákat Microsoft 365-csoportokká alakíthatja az Outlookban. Ez a megközelítés nagyszerű módja annak, hogy a szervezet terjesztési listái a Microsoft 365-csoportok összes funkcióját és funkcióját felsorolják.

  • Frissítse terjesztési listáit Microsoft 365-csoportokra az Outlookban , és szerelje le a helyszíni Exchange-kiszolgálót.

Felhasználók és csoportok üzembe helyezésének áthelyezése alkalmazásokba

Egyszerűsítheti a környezetet, ha eltávolítja az alkalmazáskiépítési folyamatokat a helyszíni identitáskezelő (IDM) rendszerekből, például a Microsoft Identity Managerből. Az alkalmazás felderítése alapján kategorizálja az alkalmazást a következő jellemzők alapján:

  • Olyan alkalmazások a környezetben, amelyek kiépítési integrációval rendelkeznek a Microsoft Entra alkalmazáskatalógusával.

  • A katalógusban nem szereplő, de az SCIM 2.0 protokollt támogató alkalmazások. Ezek az alkalmazások natív módon kompatibilisek a Microsoft Entra felhőkiépítési szolgáltatással.

  • Az ECMA-összekötőt tartalmazó helyszíni alkalmazások. Ezek az alkalmazások integrálhatók a Helyszíni Microsoft Entra alkalmazáskiépítéssel.

További információkért tekintse meg a Microsoft Entra ID automatikus felhasználókiépítési üzembe helyezésének megtervezését.

Váltás a felhőbeli HR-kiépítésre

Csökkentheti a helyszíni lábnyomot, ha a hr-kiépítési munkafolyamatokat a helyszíni IDM-rendszerekről, például a Microsoft Identity Managerről a Microsoft Entra ID-ra helyezi át. Két fióktípus érhető el a Microsoft Entra felhőalapú HR-kiépítéséhez:

  • Azoknak az új alkalmazottaknak, akik kizárólag Microsoft Entra-azonosítót használó alkalmazásokat használnak, választhat, hogy csak felhőalapú fiókokat építenek ki. Ez a kiépítés segít az Active Directory lábnyomának csökkentésében.

  • Azoknak az új alkalmazottaknak, akiknek hozzáférésre van szükségük az Active Directorytól függő alkalmazásokhoz, hibrid fiókokat építhetnek ki.

A Microsoft Entra felhőalapú HR-kiépítése a meglévő alkalmazottak Active Directory-fiókjait is kezelheti. További információ: Felhőbeli HR-alkalmazás megtervezése a Microsoft Entra felhasználói kiépítésére és az üzembe helyezési projekt megtervezésére.

Életciklus-munkafolyamatok áthelyezése

Értékelje ki meglévő illesztői/mozgatási/kilépési munkafolyamatait és folyamatait a Microsoft Entra felhőkörnyezetének alkalmazhatósága és relevanciája érdekében. Ezután egyszerűsítheti ezeket a munkafolyamatokat, és életciklus-munkafolyamatok használatával hozhat létre újakat.

Külső identitáskezelés áthelyezése

Ha a szervezet az Active Directoryban vagy más helyszíni címtárakban helyezi el a fiókokat külső identitásokhoz, például szállítókhoz, alvállalkozókhoz vagy tanácsadókhoz, egyszerűsítheti a környezetet azáltal, hogy natív módon kezeli ezeket a külső felhasználói objektumokat a felhőben. Íme néhány lehetőség:

  • Új külső felhasználók esetén használja a Microsoft Entra Külső ID, amely leállítja a felhasználók Active Directory-lábnyomát.

  • A külső identitások számára kiépített meglévő Active Directory-fiókok esetében a helyi hitelesítő adatok (például jelszavak) kezelésének többletterhelését úgy szüntetheti meg, hogy konfigurálja őket a vállalatok közötti (B2B) együttműködéshez. Kövesse a belső felhasználók meghívása B2B-együttműködésre című szakasz lépéseit.

  • A Microsoft Entra jogosultságkezelésével hozzáférést biztosíthat az alkalmazásokhoz és erőforrásokhoz. A legtöbb vállalat erre a célra dedikált rendszerekkel és munkafolyamatokkal rendelkezik, amelyeket most már ki lehet lépni a helyszíni eszközökből.

  • A hozzáférési felülvizsgálatokkal eltávolíthatja a már nem szükséges hozzáférési jogosultságokat és/vagy külső identitásokat.

Eszközök

Nem Windows rendszerű munkaállomások áthelyezése

A nem Windows rendszerű munkaállomásokat a Microsoft Entra ID azonosítójával integrálhatja a felhasználói élmény javítása és a felhőalapú biztonsági funkciók, például a feltételes hozzáférés előnyeinek kihasználása érdekében.

Más Windows-verziók cseréje munkaállomásokra

Ha a munkaállomásokon a következő operációs rendszerekkel rendelkezik, fontolja meg a legújabb verziókra való frissítést, hogy kihasználhassa a natív felhőbeli felügyeletet (Microsoft Entra join és unified endpoint management):

  • Windows 7 vagy 8.x

  • Windows Server

VDI-megoldás

Ennek a projektnek két elsődleges kezdeményezése van:

  • Új üzembe helyezések: Felhőalapú virtuális asztali infrastruktúra (VDI) megoldás üzembe helyezése, például Windows 365 vagy Azure Virtual Desktop, amelyhez nincs szükség helyi Active Directory.

  • Meglévő üzemelő példányok: Ha a meglévő VDI-telepítés az Active Directorytól függ, üzleti célok és célok alapján állapítsa meg, hogy fenntartja-e a megoldást, vagy migrálja azt a Microsoft Entra-azonosítóra.

További információk:

Alkalmazások

A biztonságos környezet fenntartása érdekében a Microsoft Entra ID támogatja a modern hitelesítési protokollokat. Az alkalmazáshitelesítés Active Directoryról Microsoft Entra-azonosítóra való váltásához a következőt kell tennie:

  • Határozza meg, hogy mely alkalmazások migrálhatók a Microsoft Entra-azonosítóra módosítás nélkül.

  • Határozza meg, hogy mely alkalmazások rendelkeznek olyan frissítési elérési úttal, amely lehetővé teszi a frissítéssel való migrálást.

  • Annak meghatározása, hogy mely alkalmazások esetében van szükség csere vagy jelentős kódmódosítások áttelepítésére.

Az alkalmazásfelderítési kezdeményezés eredménye egy rangsorban szereplő lista létrehozása az alkalmazásportfólió áttelepítéséhez. A lista az alábbi alkalmazásokat tartalmazza:

  • Frissítésre vagy frissítésre van szükség a szoftverhez, és elérhető egy frissítési útvonal.

  • Frissítésre vagy frissítésre van szükség a szoftverhez, de a frissítési útvonal nem érhető el.

A lista használatával tovább értékelheti azokat az alkalmazásokat, amelyek nem rendelkeznek meglévő frissítési útvonallal. Határozza meg, hogy az üzleti érték indokolja-e a szoftver frissítését, vagy ki kell-e vonni. Ha a szoftvert ki kell vonni, döntse el, hogy szüksége van-e cserére.

Az eredmények alapján újratervezheti az Active Directoryról a Microsoft Entra ID-ra való átalakítás szempontjait. Vannak olyan megközelítések, amelyekkel kiterjesztheti a helyi Active Directory az Azure-infrastruktúrára szolgáltatásként (IaaS) (lift and shift) a nem támogatott hitelesítési protokollokkal rendelkező alkalmazások esetében. Javasoljuk, hogy olyan szabályzatot állítson be, amely kivételt igényel a megközelítés használatához.

Alkalmazásfelderítés

Az alkalmazásportfólió szegmentálása után az üzleti érték és az üzleti prioritás alapján rangsorolhatja a migrálást. Eszközökkel létrehozhatja vagy frissítheti az alkalmazásleltárat.

Az alkalmazások kategorizálásának három fő módja van:

  • Modern hitelesítési alkalmazások: Ezek az alkalmazások modern hitelesítési protokollokat (például OIDC, OAuth2, SAML vagy WS-Federation) használnak, vagy összevonási szolgáltatást, például Active Directory összevonási szolgáltatások (AD FS) (AD FS) használnak.

  • Webes hozzáférés-kezelési (WAM-) eszközök: Ezek az alkalmazások fejléceket, cookie-kat és hasonló technikákat használnak az egyszeri bejelentkezéshez. Ezek az alkalmazások általában WAM-identitásszolgáltatót igényelnek, például Symantec SiteMindert.

  • Örökölt alkalmazások: Ezek az alkalmazások olyan örökölt protokollokat használnak, mint a Kerberos, az LDAP, a Radius, a Távoli asztal és az NTLM (nem ajánlott).

A Microsoft Entra-azonosító minden egyes alkalmazástípussal használható a különböző migrálási stratégiákat, összetettséget és kompromisszumokat eredményező funkciók szintjeinek biztosítására. Néhány szervezet rendelkezik alkalmazásleltárral, amely felderítési alapkonfigurációként használható. (Gyakori, hogy ez a leltár nem készült el vagy frissült.)

Modern hitelesítési alkalmazások felfedezése:

Az alábbi eszközök segítenek felderíteni az LDAP-t használó alkalmazásokat:

  • Event1644Reader: Mintaeszköz a tartományvezérlőknek küldött LDAP-lekérdezések adatainak mezőmérnöki naplók használatával történő gyűjtéséhez.

  • Microsoft 365 Defender for Identity: Biztonsági megoldás, amely bejelentkezési műveletek monitorozási képességét használja. (Vegye figyelembe, hogy a kötéseket LDAP használatával rögzíti, nem biztonságos LDAP használatával.)

  • PSLDAPQueryLogging: GitHub-eszköz LDAP-lekérdezéseken való jelentéskészítéshez.

AD FS vagy más összevonási szolgáltatások migrálása

Amikor a Microsoft Entra ID-ra való migrálást tervezi, fontolja meg a modern hitelesítési protokollokat (például SAML és OpenID Connect) használó alkalmazások migrálását. Ezeket az alkalmazásokat újrakonfigurálhatja a Microsoft Entra-azonosítóval való hitelesítéshez egy beépített összekötőn keresztül a Azure-alkalmazás Katalógusból, vagy a Microsoft Entra-azonosítóban való regisztrációval.

Miután áthelyezte a Microsoft Entra ID-ra összevont SaaS-alkalmazásokat, néhány lépésben le kell szerelnie a helyszíni összevonási rendszert:

Fontos

Ha más funkciókat használ, ellenőrizze, hogy ezek a szolgáltatások áthelyezve vannak-e a leszerelés előtt Active Directory összevonási szolgáltatások (AD FS).

WAM-hitelesítési alkalmazások áthelyezése

Ez a projekt a WAM-rendszerekről a Microsoft Entra ID-ra való migrálásra összpontosít. További információ: Alkalmazások migrálása Symantec SiteMinderről Microsoft Entra ID-ra.

Alkalmazáskiszolgáló felügyeleti stratégiájának definiálása

Az infrastruktúra-kezelés szempontjából a helyszíni környezetek gyakran csoportházirend-objektumok (CSOPORTHÁZIREND-k) és Microsoft Configuration Manager-funkciók kombinációját használják a felügyeleti feladatok szegmentálására. A feladatok például a biztonsági szabályzatok kezelésére, a frissítéskezelésre, a konfigurációkezelésre és a monitorozásra szegmentáltak.

Az Active Directory helyszíni informatikai környezetekhez készült, a Microsoft Entra ID pedig felhőalapú informatikai környezetekhez készült. A funkciók egy-az-egyhez paritása itt nem található meg, így az alkalmazáskiszolgálók többféleképpen kezelhetők.

Az Azure Arc például segít az Active Directoryban meglévő számos funkció egyetlen nézetbe való összevonásában, amikor a Microsoft Entra ID azonosítót használja identitás- és hozzáférés-kezeléshez (IAM). A Microsoft Entra Domain Services használatával tartományhoz csatlakoztathatja a kiszolgálókat a Microsoft Entra ID-ban, különösen akkor, ha azt szeretné, hogy ezek a kiszolgálók meghatározott üzleti vagy technikai okokból csoportházirend-objektumokat használjanak.

Az alábbi táblázat segítségével meghatározhatja, hogy milyen Azure-alapú eszközöket használhat a helyszíni környezet lecseréléséhez:

Felügyeleti terület Helyszíni (Active Directory) funkció Egyenértékű Microsoft Entra-funkció
Biztonsági házirend kezelése GPO, Microsoft Configuration Manager Microsoft 365 Felhőhöz készült Defender
Frissítéskezelés Microsoft Configuration Manager, Windows Server Update Services Azure Automation frissítéskezelés
Konfigurációkezelés GPO, Microsoft Configuration Manager Az Azure Automation állapotkonfigurációja
Figyelés System Center Operations Manager Azure Monitor Log Analytics

Az alkalmazáskiszolgálók kezeléséhez az alábbi további információk használhatók:

Ha alkalmazáskiszolgálók felügyeletét igényli a Microsoft Configuration Managerrel, ezt a követelményt nem tudja elérni a Microsoft Entra Domain Services használatával. A Microsoft Configuration Manager nem támogatott Microsoft Entra Domain Services-környezetben való futtatáshoz. Ehelyett ki kell terjesztenie a helyi Active Directory-példányt egy Azure-beli virtuális gépen futó tartományvezérlőre. Vagy üzembe kell helyeznie egy új Active Directory-példányt egy Azure IaaS virtuális hálózaton.

Az örökölt alkalmazások áttelepítési stratégiájának meghatározása

Az örökölt alkalmazásokhoz hasonló függőségek tartoznak az Active Directoryhoz:

  • Felhasználói hitelesítés és engedélyezés: Kerberos, NTLM, LDAP-kötés, ACL-ek.

  • Hozzáférés a címtáradatokhoz: LDAP-lekérdezések, sémakiterjesztések, címtárobjektumok olvasása/írása.

  • Kiszolgálókezelés: A kiszolgálókezelési stratégia alapján.

A függőségek csökkentéséhez vagy megszüntetéséhez három fő megközelítése van.

1. módszer

A legkedveltebb megközelítésben olyan projekteket kell végrehajtania, amelyek az örökölt alkalmazásokról a modern hitelesítést használó SaaS-alternatívákra migrálnak. Az SaaS-alternatívák közvetlenül a Microsoft Entra-azonosítóval hitelesíthetők:

  1. Helyezze üzembe a Microsoft Entra Domain Servicest egy Azure-beli virtuális hálózatban, és terjessze ki a sémát az alkalmazások által igényelt további attribútumok beépítésére.

  2. Az örökölt alkalmazásokat a Microsoft Entra Domain Serviceshez tartományhoz csatlakoztatott Azure-beli virtuális hálózaton lévő virtuális gépekre emeli és áthelyezi.

  3. Az örökölt alkalmazások közzététele a felhőben a Microsoft Entra alkalmazásproxyval vagy egy biztonságos hibrid hozzáférési partnerrel.

  4. Az örökölt alkalmazások kivonása után az Azure-beli virtuális hálózaton futó Microsoft Entra Domain Services leszerelése.

Feljegyzés

  • A Microsoft Entra Domain Servicest akkor használja, ha a függőségek a Microsoft Entra Domain Services gyakori üzembehelyezési forgatókönyveihez igazodnak.
  • Annak ellenőrzéséhez, hogy a Microsoft Entra Domain Services megfelelő-e, használhat olyan eszközöket, mint az Azure Monitor virtuálisgép-elemzések [https://learn.microsoft.com/azure/azure-monitor/vm/vminsights-overview].
  • Ellenőrizze, hogy az SQL Server példányai áttelepíthetők-e egy másik tartományba. Ha az SQL-szolgáltatás virtuális gépeken fut, használja ezt az útmutatót.

2. módszer

Ha az első megközelítés nem lehetséges, és egy alkalmazás erősen függ az Active Directorytól, kiterjesztheti helyi Active Directory az Azure IaaS-be.

A modern kiszolgáló nélküli üzemeltetés támogatásához replatformálhatja például a platformot szolgáltatásként (PaaS). Vagy frissítheti a kódot, hogy támogassa a modern hitelesítést. Engedélyezheti azt is, hogy az alkalmazás közvetlenül integrálható legyen a Microsoft Entra-azonosítóval. További információ a Microsoft Authentication Library-ről a Microsoft Identitásplatform.

  1. Azure-beli virtuális hálózat csatlakoztatása a helyszíni hálózathoz virtuális magánhálózaton (VPN) vagy Az Azure ExpressRoute-on keresztül.

  2. Helyezzen üzembe új tartományvezérlőket a helyi Active Directory-példányhoz virtuális gépként az Azure-beli virtuális hálózaton.

  3. Az örökölt alkalmazások áthelyezése a tartományhoz csatlakoztatott Azure-beli virtuális hálózaton lévő virtuális gépekre.

  4. Az örökölt alkalmazások közzététele a felhőben a Microsoft Entra alkalmazásproxyval vagy egy biztonságos hibrid hozzáférési partnerrel.

  5. Végül bontsa le a helyi Active Directory infrastruktúrát, és futtassa az Active Directoryt teljes egészében az Azure-beli virtuális hálózaton.

  6. Az örökölt alkalmazások kivonása után az Azure-beli virtuális hálózaton futó Active Directory-példányt végül le kell vonni.

3. megközelítés

Ha az első migrálás nem lehetséges, és egy alkalmazás erősen függ az Active Directorytól, üzembe helyezhet egy új Active Directory-példányt az Azure IaaS-ben. Hagyja az alkalmazásokat örökölt alkalmazásként a belátható jövőben, vagy hagyja őket napnyugtaként, amikor a lehetőség felmerül.

Ezzel a módszerrel leválaszthatja az alkalmazást a meglévő Active Directory-példányról a felület csökkentése érdekében. Azt javasoljuk, hogy csak végső megoldásként vegye figyelembe.

  1. Új Active Directory-példány üzembe helyezése virtuális gépként egy Azure-beli virtuális hálózaton.

  2. Az örökölt alkalmazásokat az új Active Directory-példányhoz tartományhoz csatlakoztatott Azure-beli virtuális hálózaton lévő virtuális gépekre emeli és áthelyezi.

  3. Az örökölt alkalmazások közzététele a felhőben a Microsoft Entra alkalmazásproxyval vagy egy biztonságos hibrid hozzáférési partnerrel.

  4. Az örökölt alkalmazások kivonása után az Azure-beli virtuális hálózaton futó Active Directory-példányt végül le kell vonni.

Stratégiák összehasonlítása

Stratégia Microsoft Entra tartományi szolgáltatások Az Active Directory kiterjesztése az IaaS-hez Független Active Directory-példány az IaaS-ben
Leválasztás a helyi Active Directory Igen Nem Igen
Sémabővítmények engedélyezése Nem Igen Igen
Teljes felügyeleti vezérlés Nem Igen Igen
A szükséges alkalmazások lehetséges újrakonfigurálása (például ACL-ek vagy engedélyezés) Igen Nem Igen

VPN-hitelesítés áthelyezése

Ez a projekt a VPN-hitelesítés Microsoft Entra-azonosítóra való áthelyezésére összpontosít. Fontos tudni, hogy a VPN Gateway-kapcsolatokhoz különböző konfigurációk érhetők el. Önnek kell eldöntenie, melyik konfiguráció felel meg a legjobban az igényeinek. A megoldás megtervezésével kapcsolatos további információkért lásd a VPN Gateway tervezését.

Az alábbiakban a Microsoft Entra ID VPN-hitelesítéshez való használatával kapcsolatos legfontosabb tudnivalókat találja:

Távoli hozzáférés áthelyezése belső alkalmazásokhoz

A környezet egyszerűsítése érdekében használhatja a Microsoft Entra alkalmazásproxyt vagy a biztonságos hibrid hozzáférési partnereket a távelérés biztosításához. Ez lehetővé teszi a helyszíni fordított proxymegoldások függőségének eltávolítását.

Fontos megemlíteni, hogy az alkalmazásokhoz való távoli hozzáférés engedélyezése az előző technológiákkal egy köztes lépés. Több munkát kell végeznie az alkalmazás Active Directorytól való teljes leválasztásához.

A Microsoft Entra Domain Services lehetővé teszi az alkalmazáskiszolgálók migrálását a felhőbeli IaaS-be, és leválaszthatja az Active Directoryról, miközben a Microsoft Entra alkalmazásproxyval engedélyezi a távoli hozzáférést. Ha többet szeretne megtudni erről a forgatókönyvről, tekintse meg a Microsoft Entra-alkalmazásproxy üzembe helyezését a Microsoft Entra Domain Servicesben.

Következő lépések