Целевые зоны Azure и несколько клиентов Microsoft Entra

Целевые зоны Azure основаны на группах управления. Политики Azure назначаются, а подписки помещаются в группы управления, чтобы обеспечить необходимые элементы управления, необходимые организации для удовлетворения требований безопасности и соответствия требованиям.

Эти ресурсы развертываются в одном клиенте Microsoft Entra. Группы управления и большинство других ресурсов Azure, например Политика Azure, поддерживают работу только в одном клиенте Microsoft Entra. Подписка Azure использует клиент Microsoft Entra для проверки подлинности пользователей, служб и устройств в Azure Resource Manager (ARM) для управления операциями плоскости и некоторыми службами Azure, такими как служба хранилища Azure, для операций плоскости данных.

Несколько подписок могут полагаться на один клиент Microsoft Entra. Каждая подписка может полагаться только на один клиент Microsoft Entra. Дополнительные сведения см. в статье "Добавление существующей подписки Azure в клиент".

На предыдущей схеме группы управления, политики Azure и подписки Azure развертываются после концептуальной архитектуры целевых зон Azure в одном клиенте Microsoft Entra.

Этот подход рекомендуется для большинства организаций в зависимости от их требований. Этот подход обеспечивает организациям лучший интерфейс совместной работы и позволяет им управлять, управлять и изолировать пользователей и ресурсы в одном клиенте Microsoft Entra.

Вашей организации может потребоваться использовать несколько клиентов Microsoft Entra для многих сценариев. Узнайте , как развертывать целевую зону Azure и управлять ими в каждом из этих клиентов и рекомендаций по обработке нескольких клиентов Microsoft Entra.

Почему достаточно одного клиента Microsoft Entra

Существуют причины, по которым может потребоваться несколько клиентов Microsoft Entra, но важно понимать, почему один клиент Microsoft Entra обычно достаточно. Это должна быть отправная точка по умолчанию для всех организаций.

Используйте существующий корпоративный клиент Microsoft Entra для подписок Azure для оптимальной производительности и совместной работы на платформе.

В одном клиенте команды разработки и владельцы приложений могут иметь наименее привилегированные роли для создания непроизводственных экземпляров ресурсов Azure и доверенных приложений, тестовых приложений, тестовых пользователей и групп и политик тестирования для этих объектов. Дополнительные сведения о делегировании администрирования с одним клиентом см. в разделе "Изоляция ресурсов" в одном клиенте.

Только создайте больше клиентов Microsoft Entra, если существуют требования, которые не могут быть выполнены с помощью корпоративного клиента Microsoft Entra.

В Microsoft 365 корпоративный клиент Microsoft Entra обычно является первым клиентом, подготовленным в организации. Этот клиент используется для доступа к корпоративным приложениям и службам Microsoft 365. Она поддерживает совместную работу в организации. Причина начать с этого существующего клиента заключается в том, что он уже подготовлен, управляемый и защищенный. Определенный жизненный цикл удостоверений, скорее всего, уже установлен. Этот курс упрощает подключение новых приложений, ресурсов и подписок. Это зрелая, понятная среда с установленным процессом, процедурами и элементами управления.

Сложности с несколькими клиентами Microsoft Entra

При создании нового клиента Microsoft Entra требуется дополнительная работа для подготовки, управления, защиты и управления удостоверениями. Необходимо также установить необходимые политики и процедуры. Совместная работа лучше всего подходит для одного клиента Microsoft Entra. Переход к мультитенантной модели создает границу, которая может привести к трению пользователей, затратам на управление и увеличению области атаки, что может привести к риску безопасности и усложняет сценарии и ограничения продукта. Некоторыми примерами могут служить:

• Несколько удостоверений для пользователей и администраторов для каждого клиента . Если Microsoft Entra B2B не используется, у пользователя есть несколько наборов учетных данных для управления. Дополнительные сведения см. в статье "Рекомендации и рекомендации" для сценариев многотенантной целевой зоны Azure.
• Ограничения служб Azure в поддержке нескольких клиентов Microsoft Entra — рабочие нагрузки Azure, поддерживающие только удостоверения, на которых он привязан. Дополнительные сведения см. в статье об интеграции Microsoft Entra с продуктами и службами Azure.
• Централизованная конфигурация или управление для клиентов Microsoft Entra — несколько политик безопасности, политик управления, конфигурации, порталов , API и JML (присоединение, перемещение и выходы).
• Сложности выставления счетов и лицензий и потенциальные требования к дублированию лицензий для лицензий Microsoft Entra ID P1 или P2. Дополнительные сведения см. в статье "Рекомендации и рекомендации по мультитенантным сценариям целевой зоны Azure".

Организации должны быть ясно о том, почему они отклоняются от корпоративной модели клиента Microsoft Entra, чтобы обеспечить дополнительные затраты и сложность оправданы в соответствии с требованиями. В статье сценариев приведены примеры этих экземпляров.

Владение привилегированными ролями во внутренних командах и отделах может обеспечить задачу, так как команда удостоверений и команда Azure часто находятся в разных командах, отделах и структурах организации.

Команды, работающие с Azure, отвечают за службы Azure и хотят обеспечить безопасность служб, которыми они управляют. Когда отдельные лица за пределами этой команды имеют роли с возможностями потенциального доступа к их средам, безопасность слабее. Дополнительные сведения см. в разделе "Общие сведения о необходимых облачных функциях".

Идентификатор Microsoft Entra предоставляет элементы управления, которые помогают устранить эту проблему на техническом уровне, но эта проблема также является людьми и процессом обсуждения. Дополнительные сведения см. в разделе "Рекомендации".

Следующие шаги