AZ-104_管理Azure 身分識別和治理 (20-25%)_Part1.管理 Microsoft Entra 使用者和群組

管理 Microsoft Entra 使用者和群組

Microsoft Entra ID

前身為Azure Active Directory(Azure AD)。2023 年，Azure Active Directory (Azure AD) 已更名為 Microsoft Entra ID。
由 Microsoft 提供的雲端基礎身份認證、識別與存取權管理 (IAM) 服務，
允許組織管理使用者帳戶並存取本地的資源和雲端的資源。
提供了一個集中管理位置，用於跨多個應用程式、平台和設備管理使用者認證和授權。
使用如 OAuth 2、OpenID Connect、SAML 和 WS-Fed 等協定用於身分識別和授權。(非常適合透過網際網路運作，因為它們使用 HTTPS/TLS 加密。)
在 Entra ID 中，標準交流方式是透過 Microsoft Graph，用於與 Office 365、Entra ID 等許多服務進行互動，這些互動是基於 REST 的呼叫，同樣透過 HTTPS (連接埠 443) 進行。
與地端環境中常見的 Active Directory Domain Services (AD DS) 有顯著不同，AD DS 使用 Kerberos、NTLM，並透過 LDAP 進行互動。
AD DS 具有組織單位 (OU) 的結構，但 Entra ID 主要是扁平的，AD DS主要為私有網路結構設計。

Entra ID 中有兩種類型的群組

群組成員資格

Entra ID 具有不同層級的授權，通常是按使用者授權。功能因授權層級(收費標準)而異：

免費 (Free)：提供基本功能
P1 (Premium P1)：增加了許多關鍵功能，例如條件式存取 (Conditional Access)、HR 驅動的佈建，以及具備寫回功能的地端混合身分識別的自助式密碼重設
P2 (Premium P2)：增加了更豐富的功能，例如 Privileged Identity Management (PIM)、核心存取稽核和身分識別保護 (Identity Protection) 功能

Users(使用者)

Entra ID Tenant(租用戶)

每個組織在 Entra ID 中都有一個特定的「租用戶 (Tenant)」。
租用戶代表了組織在 Entra ID 中的實例，包含了其使用者、群組、裝置、應用程式和條件式存取原則等。作為一個行政和安全的邊界，幫助組織管理並限制對各種資源、應用程式和服務的存取。
預設情況下，建立租用戶時會有一個 .onmicrosoft.com 的主要網域，當組織註冊 Azure 或其他 Microsoft 雲服務，例如 Microsoft 365 或 Dynamics 365 時，就會建立此租戶。
但使用者可以新增並驗證自己的自訂網域。每個租戶由一個獨特的 ID（租戶 ID）和域名（例如，example.onmicrosoft.com）識別。
一個非常重要的概念是，Entra ID 租用戶並不存在於 Azure 訂閱中。它不是一個 Azure 服務，而是一個全域實體(global instance)。
Azure 訂閱會信任一個特定的租用戶，但租用戶本身獨立於訂閱。
組織可以在租用戶中配置「公司品牌 (Company Branding)」，以自訂使用者體驗，例如登入頁面的背景和資訊。

在 Entra ID 租用戶中，可以有多種類型的帳戶:

雲端帳戶 (Cloud accounts)：直接在雲端中建立的帳戶
同步帳戶 (Synchronized accounts)：這些是「混合式 (Hybrid)」帳戶，最初在 AD DS 中建立，然後同步到 Entra ID
來賓帳戶 (Guest accounts)：也稱為「外部使用者 (External users)」，這些帳戶來自外部實例或其他身分識別提供者，例如不同的 Entra ID 租用戶、Google、Facebook 或 Microsoft 帳戶。

Microsoft Entra directory

外部身分識別又細分B2B跟B2C兩種

External identities – Azure AD B2B

第25個冬天