Was ist die Microsoft Entra Architektur?

mit Microsoft Entra können Sie den Benutzerzugriff auf Dienste und Ressourcen sicher verwalten. In Microsoft Entra enthalten ist eine Familie von Identitätsverwaltungs- und Netzwerkzugriffsfunktionen. Informationen zu Microsoft Entra Features finden Sie unter What is Microsoft Entra?

Mit Microsoft Entra können Sie Benutzer und Gruppen erstellen und verwalten und Berechtigungen aktivieren, um den Zugriff auf Unternehmensressourcen zuzulassen und zu verweigern. Informationen zur Identitätsverwaltung finden Sie in den Grundlagen der Identitätsverwaltung.

Microsoft Entra Architektur

Microsoft Entra ID kombiniert umfangreiche Überwachungs-, automatisierte Umleitungs-, Failover- und Wiederherstellungsfunktionen innerhalb ihrer geografisch verteilten Architektur, um unternehmensweite Verfügbarkeit und Leistung zu bieten.

In diesem Artikel werden die folgenden Architekturelemente behandelt:

• Design der Dienstarchitektur
• Skalierbarkeit
• Fortlaufende Verfügbarkeit
• Rechenzentren

Design der Dienstarchitektur

Zum Erstellen eines zugänglichen und verwendbaren Systems mit umfassenden Daten werden am häufigsten unabhängige Bausteine oder Skalierungseinheiten verwendet. Für die Microsoft Entra Datenebene werden Skalierungseinheiten partitionen bezeichnet.

Die Datenschicht verfügt über mehrere Front-End-Dienste, über die Lese-/Schreibfunktionen bereitgestellt werden. Das folgende Diagramm zeigt, wie die Komponenten einer Partition mit einem Verzeichnis in geografisch verteilten Datencentern bereitgestellt werden.

Zu den Komponenten der Microsoft Entra Architektur gehören ein primäres Replikat und sekundäre Replikate.

Primäres Replikat

Das primäre Replikat empfängt alle Schreibvorgänge für die Partition, zu der es gehört. Jeder Schreibvorgang wird sofort in ein sekundäres Replikat in einem anderen Rechenzentrum repliziert, bevor ein Erfolg an den Aufrufer zurückgegeben wird, wodurch die georedundante Haltbarkeit von Schreibvorgängen sichergestellt wird.

Sekundäre Replikate

Alle Lesevorgänge im Verzeichnis werden über sekundäre Replikate verarbeitet, die sich in geografisch verteilten Rechenzentren befinden. Die Daten werden asynchron über zahlreiche sekundäre Replikate repliziert. Lesevorgänge des Verzeichnisses (beispielsweise Authentifizierungsanforderungen) werden über Datencenter abgewickelt, die sich in der Nähe der Kunden befinden. Die sekundären Replikate sind für die Skalierbarkeit der Lesevorgänge zuständig.

Skalierbarkeit

Die Skalierbarkeit ist die Fähigkeit eines Diensts zur Erweiterung, um wachsende Anforderungen an die Leistung zu erfüllen. Microsoft Entra partitioniert Daten, um Schreibskalierbarkeit zu erzielen. Die Skalierbarkeit von Lesevorgängen wird erreicht, indem Daten von einer Partition auf mehreren sekundären Replikaten weltweit repliziert werden.

Anfragen von Verzeichnisanwendungen werden an das nächstgelegene Rechenzentrum weitergeleitet. Schreibvorgänge werden transparent an das primäre Replikat umgeleitet, um für eine Lese-/Schreibkonsistenz zu sorgen. Mit sekundären Replikaten wird die Skalierung von Partitionen erheblich erweitert, da von den Verzeichnissen größtenteils Lesevorgänge bereitgestellt werden.

Für Verzeichnisanwendungen wird eine Verbindung mit den Rechenzentren in der Nähe hergestellt. Diese Verbindung führt zu einer Verbesserung der Leistung, sodass eine horizontale Skalierung möglich ist. Da eine Verzeichnispartition über viele sekundäre Replikate verfügen kann, können sekundäre Replikate näher an den Verzeichnisclients angeordnet werden. Nur interne Verzeichnisdienstkomponenten, die sehr schreibintensiv sind, zielen direkt auf das aktive primäre Replikat ab.

Fortlaufende Verfügbarkeit

Anhand der Verfügbarkeit (bzw. Betriebszeit) wird definiert, inwiefern ein System ohne Unterbrechungen betrieben werden kann. Der Schlüssel zur hohen Verfügbarkeit von Microsoft Entra ID besteht darin, dass die Dienste den Datenverkehr schnell über mehrere geografisch verteilte Rechenzentren verschieben können. Jedes Rechenzentrum ist unabhängig, was Fehlermodi ohne Korrelation ermöglicht. Durch diesen Hochverfügbarkeitsentwurf erfordert Microsoft Entra ID keine Ausfallzeiten für Wartungsaktivitäten.

Der Partitionsentwurf von Microsoft Entra ID wird im Vergleich zum Active Directory-Entwurf des Unternehmens vereinfacht, wobei ein einzelner primärer Serverentwurf verwendet wird, der einen sorgfältig koordinierten und deterministischen Primären Replikatfailoverprozess enthält.

Fehlertoleranz

Ein System weist eine höhere Verfügbarkeit auf, wenn es gegenüber Hardware-, Netzwerk- und Softwareausfällen tolerant ist. Jede Verzeichnispartition verfügt über ein hoch verfügbares primäres Replikat, das alle Schreibvorgänge verarbeitet. Dieses primäre Replikat wird kontinuierlich überwacht. Wenn ein Fehler erkannt wird, werden Schreibvorgänge sofort in ein anderes Replikat verschoben. Dieses Replikat wird zum neuen primären Replikat. Während dieses Failoverprozesses kann die Verfügbarkeit von Schreibvorgängen für 1 bis 2 Minuten vorübergehend beeinträchtigt werden, die Verfügbarkeit von Lesevorgängen bleibt jedoch unberührt.

Für Lesevorgänge (deren Zahl die Schreibvorgänge weit übersteigt) werden nur sekundäre Replikate verwendet. Da sekundäre Replikate idempotent sind, kann der Verlust eines Replikats auf einer Partition leicht kompensiert werden, indem die Lesevorgänge auf ein anderes Replikat verlagert werden (normalerweise in demselben Rechenzentrum).

Dauerhaftigkeit von Daten

Ein Schreibvorgang wird verbindlich an mindestens zwei Rechenzentren übermittelt, bevor eine Bestätigung erfolgt. Das System führt zuerst den Schreibvorgang auf dem primären System durch und repliziert diesen dann sofort auf mindestens ein anderes Rechenzentrum. Diese Schreibaktion stellt sicher, dass ein potenzieller katastrophaler Verlust des Rechenzentrums, das die primäre Datenbank hostet, nicht zu Datenverlust führt.

Microsoft Entra ID weist eine null Recovery Time Objective (RTO) auf, um bei Failovern keine Daten zu verlieren, einschließlich:

• Tokenausstellung und Verzeichnislesevorgänge
• Nur RTO-Wert von 5 Minuten für Verzeichnisschreibvorgänge

Rechenzentren

Microsoft Entra Replikate werden in Rechenzentren gespeichert, die sich auf der ganzen Welt befinden. Weitere Informationen finden Sie unter Azure global infrastructure.

Microsoft Entra ID arbeitet in Rechenzentren mit den folgenden Merkmalen:

• Authentifizierung, Graph und andere Microsoft Entra ID Dienste befinden sich hinter dem Gatewaydienst. Das Gateway regelt den Lastenausgleich. Der Dienst schlägt automatisch über alle hinweg Server fehl, die durch Transaktionsintegritätstests nicht als einwandfrei befunden wurden. Basierend auf diesen Integritätstests wird Datenverkehr vom Gateway dynamisch an fehlerfreie Datencenter weitergeleitet.
• Für Lesevorgänge verfügt das Verzeichnis über sekundäre Replikate und entsprechende Front-End-Dienste in einer Aktiv/Aktiv-Konfiguration, die in mehreren Datencentern betrieben werden. Wenn ein Rechenzentrum ausfällt, wird der Datenverkehr automatisch an ein anderes Rechenzentrum weitergeleitet.
• Bei Schreibvorgängen wird das Verzeichnis das primäre Replikat rechenzentrenübergreifend über geplante (das neue primäre wird mit dem alten primären synchronisiert) oder Notfall-Failover-Verfahren umschalten. Die Dauerhaftigkeit der Daten wird erreicht, indem ein Commit in mindestens zwei Datencentern repliziert wird.

Datenkonsistenz

Das Verzeichnismodell basiert auf dem Prinzip der letztlich konsistenten Datenhaltung. Ein typisches Problem mit verteilten Systemen mit asynchroner Replikation ist, dass die Daten, die von einem „bestimmten“ Replikat zurückgegeben werden, unter Umständen nicht aktuell sind.

Microsoft Entra ID bietet Anwendungen konsistente Lese- und Schreiboperationen, die auf ein sekundäres Replikat abzielen, indem Schreibvorgänge an das primäre Replikat weitergeleitet und synchron auf das sekundäre Replikat zurückgeführt werden.

Schreibvorgänge von Anwendungen mit der Microsoft Graph-API von Microsoft Entra ID sind unabhängig von der Beibehaltung der Affinität an ein Verzeichnisreplikat, um die Konsistenz beim Lesen und Schreiben zu gewährleisten. Der Microsoft Graph-API-Dienst verwaltet eine logische Sitzung. Die Sitzung hat Affinität zu einem sekundären Replikat, das für Lesevorgänge verwendet wird. Affinität wird in einem "Replikattoken" erfasst, das der Dienst mithilfe eines verteilten Caches im sekundären Replikatdatencenter zwischenspeichert. Dieses Token wird dann für nachfolgende Vorgänge in derselben logischen Sitzung verwendet. Um dieselbe logische Sitzung weiterhin verwenden zu können, müssen nachfolgende Anforderungen an dasselbe Microsoft Entra Rechenzentrum weitergeleitet werden. Es ist nicht möglich, eine logische Sitzung fortzusetzen, wenn die Verzeichnisclientanforderungen an mehrere Microsoft Entra Rechenzentren weitergeleitet werden. Wenn Sitzungen geteilt werden, verfügt der Client über mehrere logische Sitzungen mit unabhängigen Lese-/Schreibzugriffskonsistenzen.

Sicherung auf Dienstebene

Microsoft Entra ID implementiert tägliche Sicherung von Verzeichnisdaten und kann diese Sicherungen verwenden, um Daten wiederherzustellen, wenn ein dienstweites Problem besteht.

Das Verzeichnis implementiert ebenfalls vorläufige Löschvorgänge anstelle von endgültigen Löschvorgängen für ausgewählte Objekttypen. Der Mandantenadministrator kann alle versehentlichen Löschungen dieser Objekte innerhalb von 30 Tagen rückgängig machen. Weitere Informationen finden Sie unter API zum Wiederherstellen gelöschter Objekte.

Metriken und Überwachungen

Zum Ausführen eines Hochverfügbarkeitsdiensts sind professionelle Metriken und Überwachungsfunktionen erforderlich. Microsoft Entra ID analysiert und meldet kontinuierlich wichtige Dienstintegritätsmetriken und Erfolgskriterien für jeden seiner Dienste. Es gibt auch eine kontinuierliche Entwicklung und Optimierung von Metriken, Überwachungen und Warnungen für jedes Szenario, innerhalb jedes Microsoft Entra Diensts und über alle Dienste hinweg.

Wenn ein Microsoft Entra Dienst nicht wie erwartet funktioniert, werden sofortige Maßnahmen ergriffen, um die Funktionalität so schnell wie möglich wiederherzustellen. Die wichtigste Metrik, die Microsoft Entra ID verfolgt, ist die Geschwindigkeit der Erkennung und Migration von Kundenproblemen. Wir investieren in hohem Maße in die Überwachung und Warnungen, um die Erkennungsdauer (TTD) zu verringern (Ziel: <5 Minuten), und in die Betriebsbereitschaft, um die Lösungsdauer zu verringern (Ziel: <30 Minuten).

Sichere Vorgänge

Microsoft Entra ID verwendet Betriebskontrollen wie die mehrstufige Authentifizierung für alle Vorgänge und die Überwachung aller Vorgänge. Darüber hinaus setzt der Dienst ein Just-in-Time-System zur Erhöhung von Rechten ein, um den benötigten temporären Zugriff für alle betrieblichen Aufgaben fortlaufend nach Bedarf gewähren zu können. Weitere Informationen finden Sie unter Die vertrauenswürdige Cloud.

Nächste Schritte

Weitere Informationen zum Bereitstellen und Erstellen von Resilienz mit Microsoft Entra finden Sie unter:

• Microsoft Entra Bereitstellungspläne – Schrittweise Bereitstellungsanleitung für Authentifizierung, Apps, Geräte und Hybridszenarien
• Erstellen sie Resilienz in Ihrer Hybridarchitektur – Architekturdiagramme für PHS, PTA und Verbund, mit Anleitung zur Resilienz
• Aufbau von Resilienz in Identitäts- und Zugriffsverwaltung – Resilienzmuster für DIE IAM-Infrastruktur und -Anwendungen
• Identity- und Zugriffsverwaltungsarchitektur in Azure – Referenzarchitekturen und Entwurfsanleitungen

Weitere Informationen zur Entwicklung mit Microsoft Entra finden Sie im Microsoft Entra Entwicklerhandbuch.