رجیستر کردن و جوین دستگاه ها به Azure Active Directory – بخش اول

آشنایی با Directory Service ها

در ابتدا با انواع Directory Service ها آشنا می شویم. به طور کلی سه نوع Directory Service وجود دارد:

1. Active Directory Domain Services (AD DS): با استفاده از این سرویس می توانید به طور متمرکز کل شبکه on-premises خود را مدیریت نمایید.
2. Azure Active Directory (Azure AD): این سرویس در واقع همان سرویس AD DS در ساختار شبکه cloud است که نام آن به Microsoft Entra ID تغییر کرده است.
3. Azure Active Directory Domain Services (Azure AD DS)

مروری بر Active Directory Domain Services

در ویندوز سرور سرویسی به نام Active Directory Domain Services وجود دارد که دارای ویژگی های ذیل است:

1. دارای ساختار سلسله مراتبی است (Parent, Child, Tree)
2. دارای Schema قابل توسعه است. در سرویس اکتیو دایرکتوری بخشی به نام Schema partition وجود دارد. هر object ای که قابلیت ساخته شدن در اکتیو دایرکتوری را داشته باشد در بخش Schema تعریف می شود. همچنین ویژگی های مربوط به object ها نیز در بخش Schema تعریف می شود. در واقع دارای بخش های Object Class و Attribute Class است. منظور از Object class آیتم هایی است که قابل ساخته شدن هستند مانند User، Group، Computer، OU، Group Policy Object و غیره. در قسمت Attribute Class ویژگی ها (attributes) مربوط به object ها تعریف می شود (به عنوان مثال User می تواند عضو گروه شود، می تواند permission بگیرد و غیره). بخش Schema قابل ویرایش است اما این ویرایش یک طرفه است یعنی پس از ایجاد تغییر قابل بازگشت و حذف کردن نیست.
3. Object هایی مانند userها، computerها، groupها و security principal ها را نگهداری و ذخیره می کند.
4. با استفاده از Group policy ها می توانید مدیریت userها و device ها را انجام دهید.
5. دارای ویژگی های High Availability و Multi Master است. به این معنا که Domain Controllerهای مختلف می توانند با یکدیگر Replicate داشته باشند. همچنین دیتابیسی که در اختیار دامین کنترلرها قرار دارد قابل ویرایش و replicate است.
6. برای احراز هویت از پروتکل های Kerberos، LDAP و NTLM استفاده می کند.
7. بر مبنای استانداردهایی همانند LDAP و DNS کار می کند.

8. برای کار با سرویس Active Directory می بایست آن را بر روی یک سرور به نام Domain Controller راه اندازی نمایید.

دوره آموزش مایکروسافت آژور ادمین – Microsoft Azure Administrator با کد آزمون AZ-104

مروری بر Azure Active Directory (Microsoft Entra ID)

سرویس Microsoft Entra ID دارای ویژگی های ذیل است:

1. یک سرویس مبتنی بر فضای Cloud است.
2. این سرویس برای احراز هویت user هایی مورد استفاده قرار می گیرد که قصد دارند از سرویس های راه اندازی شده در Azure Active Directory استفاده کنند. به عنوان مثال برای کاربرانی که قصد دارند از سرویس Microsoft Office 365 استفاده کننده حساب کاربری در Azure AD ایجاد می کنیم و سپس به آن ها دسترسی مورد نیاز را اختصاص می دهیم. در واقع برای دسترسی و احراز هویت سرویس های راه اندازی شده در زیرساخت ابری مورد استفاده قرار می گیرد.
3. این سرویس شامل userها، groupها، application ها و security principal ها است.
4. این سرویس از مکانیزم های احراز هویت مبتنی بر cloud همانند OAuth 2.0، SAML 2.0 و Open ID استفاده می کند که همگی مبتنی بر وب هستند.
5. در این سرویس می توانید چندین دامین (Domain) داشته باشید که به آن ویژگی Multi-tenant (چند مستاجری) می گویند.
6. ساختار این سرویس Flat است (برخلاف سرویس اکتیو دایرکتوری که سلسله مراتبی است).
7. این سرویس قابل توسعه نیست.
8. مدل مدیریت این سرویس فاقد Group Policy Objects (GPOs) است و از قابلیت RBAC استفاده می کند.
9. دارای لایسنس های free، Basic، P1 و P2 است.
10. مبنی بر Tenant است.
11. مدیریت از طریق Microsoft GRAPH و API انجام می شود.

مروری بر سرویس Azure Active Directory Domain Service (AADDS)

این سرویس دارای ویژگی های ذیل است:

1. یک پلتفورم به عنوان سرویس (PaaS) است که در فضای ابری میزبانی می شود.
2. همانند سرویس اکتیو دایرکتوری در شبکه on-premises از مکانیزم های احراز هویت LDAP، Kerberos و NTLM پشتیبانی می کند.
3. با سرویس های Window Active Directory Domain Services (AD DS) سازگار است.
4. قابلیت ادغام با سرویس Azure Active Directory را دارد.
5. فاقد Domain Account و Enterprise Account است.
6. قابلیت توسعه Schema را ندارد.
7. قابلیت Domain Trust یا Forest Domain ندارد.
8. دیتابیس LDAP این سرویس تنها خواندنی (Read Only) است.

کاربرد Azure Active Directory Domain Services

فرض کنید سرویس Active Directory Domain Services (AD DS) را در شبکه on-premises راه اندازی کرده اید. حال با استفاده از Domain Controller (DC) راه اندازی شده می توانید مدیریت کاملی بر روی ساختار شبکه خود داشته باشید.  همچنین سرویس Azure Active Directory نیز وجود دارد که مزیت های خاص خود را دارد. حال شما می توانیم سرویس AD DS واقع در شبکه On-premises را به Azure AD متصل کنید. برای این کار می توانید از ابزار AD Connect استفاده کنید. در این فرآیند محتوای Active Directory واقع در شبکه On-premises شامل userها، computerها، group ها و غیره با Azure AD سینک (sync) می شود و Azure AD آن ها را در اختیار می گیرد. حال به راحتی می توانید به راحتی با همان اکانت کاربری واقع در AD DS شبکه on-premises به Azure AD لاگین نمایید و از سرویس های پر شمار آن استفاده کنید.

شما می توانیم Azure Active Directory Services را با Azure Active Directory سینک کنید و آن را مدیریت نمایید. حال کاربرد این اتصال چیست؟ فرض کنید در Active Directory Domain Services واقع در شبکه on-premises برنامه ای دارید که از احراز هویت Kerberos استفاده می کند. سپس تصمیم گرفته می شود که سرویس های واقع در شبکه on-premises به بستر cloud منتقل شود. در این حالت نرم افزار مورد نظر امکان احراز هویت از طریق Azure AD را ندارد چرا که Azure Active Directory از پروتکل Kerberos پشتیبانی نمی کند. در این حالت می توانیم Azure Active Directory Domain Services را به عنوان یک PaaS اجرا کنیم تا امکان احراز هویت از طریق پروتکل Kerberos وجود داشته باشد.

Device Identity در محیط Azure Active Directory

همانطور که می دانید در ساختار Active Directory در شبکه on-premises برای این که device ها بتوانند به شبکه دامین کنترلر متصل شوند می بایست ابتدا احراز هویت شوند. در واقع قبل از این که username و password ورود به شبکه دامین را وارد کنیم تا بتوانیم به شبکه دامین متصل شویم، کامپیوتر مورد نظر در شبکه دامین احراز هویت می شود. با این کار هر کامپیوتری که به شبکه ارتباطی متصل باشد نمی تواند به شبکه دامین متصل شود. در این راستا فرآیند احراز هویت طی می شود که در شبکه on-premises به آن join شدن به دامین می شود.

دوره آموزش مایکروسافت اژور فاندامنتال – Microsoft Azure Fundamentals کد آزمون AZ-900

حال در ساختار Azure Active Directory یا همان Microsoft Entra ID احراز هویت دستگاه ها به سه صورت قابل انجام است:

1. Register کردن دستگاه ها در Azure Active Directory
2. Join کردن دستگاه ها به Azure Active Directory
3. Join کردن دستگاه ها به روش Hybrid Azure AD Join

رجیستر کردن دستگاه به Azure AD (Azure AD Registered)

فرض کنید در سازمان یا شرکت شما کارمندان از دستگاه های شخصی خود استفاده می کنند که در اصطلاح به آن Bring Your Own Device (BYOD) می گویند. در این صورت می بایست از Azure Active Directory Registration برای احراز هویت دستگاه های متصل به Azure AD استفاده کرد. در واقع می بایست این نوع دستگاه ها در Azure Active Directory رجیستر شوند تا دارای یک شناسه امنیتی شوند. پس از رجیستر شدن دستگاه ها، کاربران به راحتی می توانند از سرویس های Azure AD استفاده کنند. این روش دارای ویژگی های ذیل است:

1. این مدل اساساً برای دستگاه های شخصی مورد استفاده قرار می گیرد.
2. برای این که application های مبتنی بر cloud در دسترسی دستگاه های شخصی مانند لپ تاپ، تلفن همراه، تبلت و غیره قرار بگیرد، می بایست مشخصات آن ها در Azure AD ثبت شوند و کاربران از اطلاعات کاربری خود برای اتصال به Azure AD استفاده کنند.
3. در این مدل دستگاه فقط رجیستر می شود و سازمان کنترلی روی دستگاه ندارد چرا که مدیریت آن توسط سازمان انجام می شود.
4. در این روش دسترسی از نوع SSO ایجاد می شود که برای ورود به Azure AD تنها از یک نام کاربری و پسورد استفاده می شود.
5. در این روش سازمان هیچ کنترل و مدیریتی روی اطلاعات شخصی واقع بر روی دستگاه های رجیستر شده ندارد و در اختیار کاربر قرار دارد.
6. در این روش تنها یک پروفایل کاری در Azure AD ایجاد می شود که سازمان روی آن کنترل و مدیریت دارد.

Join کردن دستگاه به Azure AD (Azure AD Joined)

اگر سازمان مالک دستگاه باشد و کاربر بخواهد با اکانت ساخته شده در Azure AD به Azure لاگین کند می بایست دستگاه مورد نظر به Azure AD اصطلاحاً join شود. این روش همانند join کردن کامپیوترها به دامین در شبکه on-premises است. در این روش دستگاه به طور کامل در تملک و مدیریت سازمان قرار دارد.

روش تلفیقی رجیستر و join به Azure AD (Hybrid Azure AD Join)

اگر سازمان دارای سرویس Active Directory به صورت on-premises باشد و در عین حال از سرویس های Azure Active Directory واقع در فضای ابری نیز استفاده می کند. حال سیستمی که به شبکه Active Directory متصل است، در صورتی که بخواهد به Azure AD نیز متصل شود، می بایست از روش Hybrid Azure AD join استفاده کند. در این روش Azure AD واقع در شبکه on-premises از طریق ابزار Azure Connect به Azure AD متصل می شو تا اطلاعات سینک شود و دستگاه بتواند به طور همزمان به هر دو پلتفورم اکتیو دایرکتوری واقع در شبکه on-premises و شبکه Azure واقع در فضای ابری متصل شود.

وضعیت دستگاه ها در Azure AD

پس از ورود به محیط Microsoft Entra ID بر روی بخش Devices کلیک می کنیم.

در قسمت Overview اطلاعات کلی درباره دستگاه های متصل به Microsoft Entra نمایش داده می شود.

در بخش All Devices تمامی دستگاه های join شده به Azure AD یا همان Microsoft Entra نمایش داده می شود.

در قسمت Device Settings یک سری تنظیمات در رابطه با دستگاه ها وجود دارد که مورد بررسی قرار می دهیم:

Users may join devise to Azure AD: با استفاده از این آیتم مشخص می کنیم که چه کاربرانی می توانند دستگاه ها را به Azure AD متصل کنند.

Users may register their devices with Azure AD: با استفاده از این گزینه مشخص می کنیم که چه کاربرانی می توانند دستگاه های خود را به Azure AD رجیستر کنند.

Require Multi-Factor Authentication to register or join devices with Azure AD: در این قسمت تعیین می کنیم که احراز هویت دو عاملی برای رجیستر کردن یا join کردن دستگاه ها به Azure AD الزامی باشد یا خیر.

Maximum number of devices per user: در این بخش مشخص می کنیم که حداکثر device هایی که یک user می تواند به Azure AD جوین کند چه قدر باشد.

Enable Azure AD Local Administrator Password Solution (LAPS): وقتی کامپیوترها را به دامین join می کنید، کاربران می بایست از username و password ساخته شده در AD استفاده کنند. در این وضعیت تکلیف username و password لوکال سیستم ها چه می شود؟ در این وضعیت user های غیر administrator غیر فعال می شوند و فقط کاربر administrator برای مواقع ضروری نگه داشته می شود. حال پسورد این کاربر administrator به چه صورت ست می شود؟ با استفاده از ابزار LAPS به راحتی می توانید پسوردهای مربوط به Local Administrator ها را مدیریت نمایید. در صورتی که بخواهیم از قابلیت LAPS در Azure AD استفاده کنیم می توانیم آن را فعال کنیم.