Omówienie opcji pakietu Office 365 i usługi Azure Active Directory

Podczas konfigurowania kont użytkowników i zarządzania nimi możesz wybrać jeden z trzech głównych modeli tożsamości w usłudze Office 365:

Ważne jest, aby dokładnie rozważyć, którego modelu tożsamości użyć, aby rozpocząć pracę. Pomyśl o czasie, istniejącej złożoności i kosztach. Czynniki te są różne dla każdej organizacji; W tym temacie omówiono te kluczowe pojęcia dotyczące każdego modelu tożsamości, aby ułatwić wybranie tożsamości, która ma być używana do wdrożenia.

Możesz również przełączyć się na inny model tożsamości, jeśli zmienią się wymagania.

Tożsamość w usłudze Office 365 dla firm

Tożsamość w chmurze

W tym modelu utworzysz użytkowników i zarządzasz nimi w portalu pakietu Microsoft Office oraz przechowujesz konta w usłudze Azure AD. Usługa Azure AD weryfikuje hasła. Azure AD to katalog w chmurze używany przez usługę Office 365. Nie są wymagane żadne serwery lokalne — firma Microsoft zarządza tym wszystkim za Ciebie. Gdy tożsamość i uwierzytelnianie są obsługiwane całkowicie w chmurze, można zarządzać kontami użytkowników i licencjami użytkowników za pośrednictwem portalu online firmy Microsoft lub poleceń cmdlet programu Windows PowerShell.

Na poniższej ilustracji przedstawiono sposób zarządzania użytkownikami w modelu tożsamości w chmurze.

1. Administrator łączy się z portalem online firmy Microsoft na platformie chmury firmy Microsoft w celu utworzenia użytkowników lub zarządzania nimi.

2. Żądania tworzenia lub zarządzania nimi są przekazywane do usługi Azure AD.

3. Jeśli jest to żądanie zmiany, zmiana zostanie wprowadzona i skopiowana z powrotem do Portalu Microsoft Office

4. Nowe konta użytkowników i zmiany na istniejących kontach użytkowników są kopiowane z powrotem do portalu Microsoft Office.

Kiedy warto korzystać z tożsamości w chmurze? Tożsamość w chmurze to dobry wybór, jeśli:

• Nie masz innego lokalnego katalogu użytkowników.
• Masz bardzo złożony katalog lokalny i po prostu chcesz uniknąć pracy związanej z integracją z nim.
• Masz istniejący katalog lokalny, ale chcesz uruchomić wersję próbną lub pilotażową usługi Office 365. Później możesz dopasować użytkowników w chmurze do użytkowników lokalnych, gdy wszystko będzie gotowe do nawiązania połączenia z katalogiem lokalnym

Integracja pakietu Office 365 z istniejącą usługą katalogową

Jeśli masz istniejące środowisko katalogowe lokalnie, możesz zintegrować usługę Office 365 z katalogiem przy użyciu tożsamości synchronizowanej lub logowania jednokrotnego i tożsamości federacyjnej w celu tworzenia użytkowników i zarządzania nimi w usłudze Office 365.

Zsynchronizowana tożsamość

W tym modelu zarządzasz tożsamością użytkownika na serwerze lokalnym i synchronizujesz konta i, opcjonalnie, hasła z chmurą. Użytkownik wprowadza to samo hasło lokalnie, co w chmurze, a podczas logowania hasło jest weryfikowane przez usługę Azure AD. Ten model używa narzędzia do synchronizacji katalogów do synchronizowania tożsamości lokalnej z usługą Office 365.

Aby skonfigurować zsynchronizowany model tożsamości, musisz mieć katalog lokalny, z którego ma być synchronizowana, i musisz zainstalować narzędzie do synchronizacji katalogów. Przed zsynchronizowaniem kont uruchomisz kilka kontroli spójności w katalogu lokalnym.

Kiedy używać tożsamości zsynchronizowanych lub federacyjnych:

Na poniższym diagramie przedstawiono scenariusz zsynchronizowanej tożsamości z synchronizacją haseł. Narzędzie do synchronizacji zapewnia synchronizację tożsamości użytkowników firmowych w środowisku lokalnym i w chmurze.

1. Instalujesz program Microsoft Azure Active Directory Connect.

2. Nowi użytkownicy są tworzeni w katalogu lokalnym.

3. Narzędzie do synchronizacji będzie okresowo sprawdzać katalog lokalny pod kątem wszelkich nowo utworzonych tożsamości. Następnie aprowizuje te tożsamości w usłudze Azure AD, łączy ze sobą tożsamości lokalne i w chmurze, synchronizuje hasła i udostępnia je za pośrednictwem portalu pakietu Microsoft Office.

4. Podczas wprowadzania zmian u użytkowników w katalogu lokalnym zmiany te są synchronizowane z usługą Azure AD i udostępniane za pośrednictwem portalu pakietu Microsoft Office.

Tożsamość federacyjna

Ten model wymaga tożsamości zsynchronizowanej, ale z jedną zmianą w tym modelu: hasło użytkownika jest weryfikowane przez lokalnego dostawcę tożsamości. Oznacza to, że skrót hasła nie musi być synchronizowany z usługą Azure AD. W tym modelu jest używany Active Directory Federation Services (AD FS) lub dostawca tożsamości innej firmy.

Powody używania tożsamości federacyjnej obejmują:

Istniejąca infrastruktura

• Jeśli masz już wdrożony program AD FS z innego powodu, prawdopodobnie będziesz chciał go używać również w usłudze Office 365.
• Jeśli korzystasz już z innego dostawcy tożsamości, warto używać tożsamości federacyjnej z usługą Office 365.
• Jeśli używasz programu Forefront Identity Manager, będziesz chciał również używać tożsamości federacyjnej z usługą Office 365.

Wymagania techniczne

• Masz wiele lasów w lokalnych Active Directory Domain Services (AD DS).
• Masz lokalne zintegrowane rozwiązanie do obsługi kart Smart Card.
• Masz istniejącą niestandardową aplikację hybrydową, na przykład z programem SharePoint lub Microsoft Exchange Server.

Wymagania dotyczące zasad

• Wymagana jest inspekcja logowania i/lub natychmiastowe wyłączenie.
• Wymagane jest jednokrotne logowanie.
• Istnieją ograniczenia logowania związane z lokalizacją sieciową lub godzinami pracy.
• Istnieją inne zasady, które wymagają tożsamości federacyjnej.

Na poniższym diagramie przedstawiono scenariusz tożsamości federacyjnej z hybrydowym wdrożeniem lokalnym i w chmurze. Katalog lokalny w tym przykładzie to AD FS. Narzędzie do synchronizacji zapewnia synchronizację tożsamości użytkowników firmowych w środowisku lokalnym i w chmurze.

1. Instalujesz Azure Active Directory Connect Narzędzie do synchronizacji pomaga zachować aktualność usługi Azure AD o najnowsze zmiany wprowadzone w katalogu lokalnym. Aby skonfigurować logowanie jednokrotne, należy użyć niestandardowej instalacji programu Azure AD Connect.

2. Nowych użytkowników tworzy się w lokalnej usłudze Active Directory.

3. Narzędzie do synchronizacji będzie okresowo sprawdzać lokalny serwer usługi Active Directory pod kątem wszelkich nowo utworzonych tożsamości. Następnie aprowizuje te tożsamości w usłudze Azure AD, łączy tożsamości lokalne i w chmurze ze sobą i sprawia, że są one widoczne za pośrednictwem portalu pakietu Microsoft Office.

4. W miarę wprowadzania zmian w tożsamości w lokalna usługa Active Directory zmiany te są synchronizowane z usługą Azure AD.

5. Zmiany te są udostępniane za pośrednictwem portalu Microsoft Office.

6. Użytkownicy federacyjni logują się przy użyciu usług AD FS.

7. Usługi AD FS generują token zabezpieczający, który jest przekazywany do usługi Azure AD. Token jest weryfikowany i weryfikowany, a następnie użytkownicy są autoryzowani do usługi Office 365.