Microsoft Entra ID: por qué es mucho más que un directorio
Un directorio clásico y mucho más
Active Directory es un directorio, puro y simple, con profundas raíces en el almacén de directorios original de Exchange Server basado en X.500. Quienes pasan de implementaciones locales a adoptar la nube, ya sea en una configuración pura o híbrida, a menudo se sorprenden por el papel ampliado que desempeña Entra ID (Azure Active Directory) en el ecosistema de Microsoft 365. Este artículo analiza por qué Entra ID es más que un directorio clásico. Más bien, es la piedra angular de Microsoft 365.
Conceptos básicos del directorio
Primero, es importante reconocer que Entra ID desempeña todas las funciones que esperaría de un servicio de directorio. Microsoft dice que “Entra ID es un servicio de administración de acceso e identidad basado en la nube. ”. En esencia, Entra ID contiene detalles de cuentas de usuario (Figura 1), grupos, dispositivos y aplicaciones. Responde a las solicitudes de autenticación y emite la autoridad necesaria (tokens OAuth2) para permitir que las aplicaciones accedan a los datos. Entra ID tiene un servicio de autenticación de respaldo que le permite continuar atendiendo las solicitudes de autenticación si su servicio principal no está disponible por algún motivo.
Figura 1: Gestión de usuarios de Entra ID
Todo esto sucede a escala masiva. En julio de 2023, Microsoft dijo que Microsoft Entra ID tiene 610 millones de usuarios activos mensuales. Aproximadamente 400 millones o dos tercios de los usuarios de Entra ID provienen de inquilinos de Microsoft 365. En otras palabras, un tercio de todo el uso de Entra ID proviene de fuentes que no son de Microsoft 365, como Workday y ServiceNow.
Lo que pasa con un servicio en la nube es que sus consumidores no deberían necesitar saber nada sobre su infraestructura física. Microsoft gestiona centros de datos en todo el mundo. Sus centros de datos de Microsoft 365 albergan Entra ID, que utiliza un concepto llamado "Core Store" para organizar el almacenamiento de los datos de los inquilinos. Core Store se compone de "unidades de escala", cada una de las cuales contiene varios inquilinos. Cada inquilino tiene un token de seguridad único que se utiliza para acceder a los datos del inquilino. Las unidades de escala se asignan a una ubicación geográfica de Azure (como EE. UU.). Para garantizar la resiliencia de los datos, los datos se replican en centros de datos físicos en al menos dos regiones de Azure dentro de la ubicación geográfica. Vea este vídeo para obtener más información sobre cómo funciona Core Store.
Para adaptarse a las necesidades de las organizaciones multinacionales, Microsoft 365 admite organizaciones multigeográficas compuestas por un inquilino principal e inquilinos satélite. Otra innovación reciente es la vista previa para organizaciones multiinquilino. Esta es una combinación de políticas de acceso entre inquilinos de Entra ID y características de Microsoft 365 para permitir que hasta cinco inquilinos se combinen en una organización virtual. Es una forma de identificar a los inquilinos para que sean más confiables que la norma. Y cuando un inquilino es más confiable, las aplicaciones de Microsoft 365 como Teams pueden permitir un mayor grado de acceso a los usuarios de esos inquilinos.
La forma cambiante de la autenticación
Los usuarios y las aplicaciones se autentican en la instancia del inquilino sin conocimiento de servidores, dominios, bosques o cualquier otra cosa. Todo lo que se necesita para autenticarse es un nombre principal de usuario (cuenta de usuario) o un registro de aplicación. En los últimos años, Microsoft ha hecho una intensa campaña para mejorar la seguridad y evitar el compromiso de las cuentas de usuario de Entra ID eliminando la autenticación básica siempre que sea posible y aplicando la autenticación multifactor (MFA) para detener los ataques de pulverización de contraseñas. Los métodos de autenticación preferidos se han alejado del tradicional desafío-respuesta basado en SMS e incluyen la aplicación Microsoft Authenticator, Outlook móvil (que ahora incluye capacidades 'Authenticator Lite') y claves FIDO2.
Dado que Microsoft es responsable de ejecutar el servicio Entra ID, puede impulsar a los clientes a cambiar sus hábitos de trabajo aumentando gradualmente el nivel de seguridad necesario para conectarse. Por ejemplo, Microsoft impone valores predeterminados de seguridad a los inquilinos, obliga a los clientes a utilizar el método de autenticación más potente disponible y actualmente está ejecutando campañas de registro para convencer a los usuarios de que actualicen su método MFA a la aplicación Authenticator.
La diferencia de plataforma
Todos los inquilinos de Microsoft 365 utilizan una versión básica de Entra ID como directorio. Hay dos niveles de funciones premium disponibles para los inquilinos a través de licencias complementarias o productos de nivel superior como Microsoft 365 E5. Por ejemplo, algunas funciones de Entra ID Premium que se utilizan habitualmente son:
- Políticas de acceso condicional: ejerza control sobre las conexiones entrantes para asegurarse de que utilicen el nivel adecuado de autenticación, provengan de la ubicación correcta o utilicen un dispositivo aprobado al intentar acceder a las aplicaciones. Es fácil complicar el acceso condicional, pero estas políticas son una parte esencial para proteger a muchos inquilinos de Microsoft 365.
- Política de caducidad de grupo: utiliza señales recopiladas por Microsoft Graph para detectar cuándo los grupos de Microsoft 365 no se están utilizando y se pueden eliminar. Los propietarios y administradores de grupos tienen la posibilidad de renovar los grupos si es necesario.
- Revisiones de acceso: los administradores pueden programar revisiones de las membresías de grupos a intervalos periódicos para garantizar que las personas adecuadas tengan acceso a la información a través de los grupos.
- Gestión de identidades privilegiadas: PIM es parte de la solución Entra Identity Governance y permite a las organizaciones ejercer un control estricto sobre los roles autorizados para garantizar que la "expansión de privilegios" no se infiltre cuando las personas conserven el acceso a los roles que no se necesita más.
La cuestión es que Entra ID no se trata sólo de autenticación y gestión básica de directorios. Una gran parte del valor entregado por Entra ID proviene de la funcionalidad que Microsoft ha creado sobre la plataforma. Claro, debe pagar más para obtener acceso a la funcionalidad, pero en la mayoría de los casos es más económico y conveniente pagar las licencias Entra ID Premium que intentar crear el mismo tipo de funciones usted mismo. Es posible crear código para hacer caducar grupos obsoletos o procesar revisiones de acceso con solicitudes de PowerShell y Graph API. Incluso podría automatizar otros aspectos de la administración de directorios que Microsoft ignora, como borrar cuentas de invitados no utilizadas. Sin embargo, siempre existe la desventaja de considerar el pago de licencias de software disponible en el mercado y el costo continuo del desarrollo y mantenimiento de código personalizado.
Gestión de licencias
Hablando de pagar por el software, una gran diferencia en la nube es que las cuentas de usuario de Entra ID necesitan licencias para acceder a las aplicaciones. Esas licencias conllevan costos mensuales, algunos de los cuales pueden ser elevados. La administración de licencias es un área enorme en la que centrarse para cualquier inquilino de Microsoft 365. No desea pagarle a Microsoft más de lo necesario para brindar el servicio a los usuarios activos.
Los proveedores de software estarán encantados de proporcionar software de gestión de licencias. Sin embargo, esta es un área que es razonablemente fácil de automatizar si dedica tiempo a aprender cómo funcionan las licencias de Microsoft (un arte oscuro) y cómo recuperar y analizar datos de licencias de cuentas de usuarios. Técnicas como las licencias basadas en grupos ayudan a las organizaciones a automatizar la asignación de licencias, y el SDK de Microsoft Graph PowerShell incluye todos los cmdlets necesarios para vigilar de cerca las asignaciones de licencias sin comprar ningún software de terceros.
Haciendo la transición
A veces, las personas que ejecutan implementaciones locales de Active Directory se preguntan sobre su futuro cuando su organización migre a la nube. ¿Tendrán trabajo que hacer? ¿Continuará su trabajo? ¿Qué terminarán haciendo?
Mi perspectiva es que si estás en esta situación, no tendrás problemas para encontrar trabajo que hacer. Descubrir la transición hace que la bola empiece a rodar, seguida de la sincronización continua de la información desde Active Directory a Entra ID. Esto podría ser una calle de un solo sentido, o quizás Active Directory siga siendo el directorio de registro. De cualquier manera, hay trabajo por hacer para garantizar que todo funcione sin problemas y que los usuarios de ambos lados de la valla tengan el mismo acceso al directorio.
Una vez que hagas la transición, existirán aún más oportunidades. El trabajo de un administrador de Active Directory a menudo implica muchas actividades de bloqueo y abordaje (y extremadamente importantes), como la administración de servidores. Esto se guarda en la nube para liberar tiempo y explorar las posibilidades de que la organización explote la plataforma Entra ID. Esto es bueno porque los administradores pasan de ser personal de soporte a líderes a áreas como seguridad mejorada para proteger al inquilino y la información confidencial (como usar el contexto de autenticación para marcar sitios confidenciales de SharePoint Online). Como se mencionó anteriormente, administrar el costo del uso de la licencia dentro de un inquilino de Microsoft 365 es una buena manera de demostrar las ventajas de tener personal administrativo capacitado disponible. En definitiva, trabajo no te faltará.
Entra ID es una plataforma
Comparar Entra ID con una versión de Active Directory basada en la nube es simplemente una tontería. Entra ID es mucho más una plataforma de lo que Active Directory alguna vez fue y puede ser. Pero eso está bien. Los dos productos tienen diferentes propósitos y diferentes formas de informática. Lo importante es seguir aprendiendo sobre los diferentes aspectos de Entra ID para que su organización pueda aprovechar las nuevas características y funcionalidades a medida que aparecen. A partir de la experiencia de los últimos años, ese trabajo será continuo y constante. ¡Buena suerte!