¿Qué es Azure Active Directory? Azure AD frente a Windows AD
La pandemia de COVID-19 ha acelerado significativamente la adopción de los servicios basados en la nube de Microsoft. Microsoft Teams, por ejemplo, experimentó un aumento del 70 % en el número de usuarios diarios en un mes. De manera similar, Microsoft Azure AD (Azure Active Directory), un componente vital del ecosistema de Office 365, ha experimentado una mayor adopción. Azure AD simplifica la administración de inicio de sesión de usuarios asignando un único nombre de usuario y contraseña para acceder a todos los servicios de Azure. Esto es particularmente ventajoso para organizaciones grandes con miles de empleados, ya que elimina la molestia de administrar inicios de sesión de múltiples usuarios. Azure AD también sirve como columna vertebral de la solución de administración de acceso e identidades basada en la nube de Microsoft y puede sincronizarse con entornos locales de Active Directory. Además, proporciona autenticación segura a otros sistemas basados en la nube a través de OAuth.
¿Qué es Azure Active Directory?
Azure Active Directory (AAD) es un servicio de directorio basado en la nube que proporciona administración de identidades centralizada para organizaciones que operan en un entorno multiinquilino. Con AAD, los usuarios pueden acceder sin problemas a varios servicios mediante un proceso de inicio de sesión único. Además, AAD facilita la incorporación y la gestión continua de los empleados, permitiéndoles acceder de forma segura a los servicios desde cualquier ubicación. Las características clave de AAD incluyen la capacidad de registrar información del usuario y definir derechos de acceso a recursos internos y externos. También ofrece medidas de seguridad mejoradas, ya que las vulnerabilidades en los entornos de Active Directory pueden aprovecharse en ataques cibernéticos.
AAD se diferencia de Active Directory, que ejecuta servidores locales llamados controladores de dominio (DC), que contienen un catálogo de usuarios y computadoras autorizados y los autentica mediante Kerberos o NTLM. Si bien AAD y Active Directory pueden trabajar juntos en un entorno híbrido, AAD es una solución independiente que forma parte de la plataforma de nube pública Microsoft Azure.
Diferencia entre Windows y Azure AD
Al elegir entre Windows Active Directory (AD) y Azure AD, la decisión depende de la infraestructura existente de la organización y de los planes futuros. Para redes empresariales bien establecidas, Windows AD sigue siendo la opción preferida para administrar la infraestructura local. Por otro lado, las organizaciones que deseen adoptar un enfoque exclusivamente en la nube encontrarán que Azure AD es más adecuado para su infraestructura completa basada en la nube. En términos de administración y seguridad, tanto Windows AD como Azure AD ofrecen niveles comparables de configurabilidad y seguridad. Sin embargo, para organizaciones con más de 100 usuarios, cualquiera de las plataformas requiere experiencia especializada para una gestión eficaz. Sin embargo, Azure AD ofrece una administración simplificada para organizaciones más pequeñas debido a su naturaleza basada en la nube. Las organizaciones con recursos limitados pueden encontrar en Azure AD una opción más accesible y manejable.
A continuación se detallan algunas de las diferencias más notables entre Windows AD y Azure AD:
Característica: Comunicación
Windows Active Directory: utiliza el protocolo ligero de acceso a directorios (LDAP) para la comunicación cliente-servidor
Azure AD: Aprovecha las API REST para la comunicación con aplicaciones web
Característica: Autenticación
Windows Active Directory: verifica las credenciales del usuario mediante los protocolos Kerberos y NTLM
Azure AD: utiliza OAuth2, SAML y WS-Security para la autenticación segura de usuarios
Característica: Jerarquía
Windows Active Directory: Organizado en una estructura jerárquica que comprende bosques, dominios y unidades organizativas
Azure AD: Organización jerárquica de usuarios y grupos dentro de "inquilinos"
Característica: Gestión de acceso
Windows Active Directory: Otorga permisos a los usuarios y los asigna a grupos que controlan el acceso a los recursos de la red.
Azure AD: Los grupos se utilizan para otorgar permisos a aplicaciones y recursos.
Característica: Gestión de dispositivos
Windows Active Directory: Limitado a servidores y escritorios Windows, excluidos los dispositivos móviles
Azure AD: Se integra con Microsoft Intune para la gestión de dispositivos móviles
Característica: Gestión de escritorio
Windows Active Directory: aplica políticas y configuraciones en escritorios de Windows a través de políticas de grupo (GPO)
Azure AD: permite que los escritorios de Windows se unan a Azure AD a través de Microsoft Intune
Característica: Gestión de servidores
Windows Active Directory: controla y administra servidores mediante políticas de grupo o sistemas de administración de servidores locales
Azure AD: permite la administración de servidores dentro de la nube de Azure a través de los servicios de dominio de Azure AD.
¿Cómo funciona Azure Active Directory?
Azure Active Directory emplea API REST para una transferencia de datos perfecta. La estructura plana de Azure AD dentro de un único inquilino brinda comodidad pero limita el control sobre los datos más allá de los límites del inquilino.
Los componentes básicos de Azure AD son los usuarios y los grupos, lo que permite la administración organizada de permisos. Se pueden agregar usuarios internos y externos, mejorando la seguridad. Existen varios métodos para agregar usuarios y grupos, incluida la sincronización desde Windows AD, la creación manual, secuencias de comandos de PowerShell y la API Graph de Azure AD.
Es fundamental establecer políticas de autenticación y contraseña adecuadas, minimizar las adiciones innecesarias de usuarios, restringir el acceso privilegiado, aprovechar los grupos para la asignación de recursos y conectar a los usuarios a sus dispositivos para una gestión eficaz de los usuarios. Además, Azure AD permite la configuración de dominios personalizados, lo que reduce la frustración del usuario y mejora el reconocimiento de la marca.
¿Cómo funcionan juntos On-Prem AD y Azure AD?
Los entornos de AD híbrido combinan Active Directory (AD) local con Azure AD. Azure AD Connect de Microsoft sincroniza los datos de identidad de AD local a Azure AD, lo que permite a los usuarios autenticarse en recursos de la nube como SharePoint Online y Teams con sus credenciales locales.
Los profesionales de TI administran principalmente usuarios, grupos y permisos a través del AD local, que se sincroniza automáticamente con la nube. Esto elimina la necesidad de una gestión separada de identidades y permisos, minimizando posibles errores.
Además de sincronizarse con AD local, los entornos de AD híbridos también administran objetos y atributos solo en la nube. Estos incluyen cuentas de usuario B2B y B2C para usuarios externos y atributos solo en la nube, como el atributo "Tipo de licencia" para aplicaciones de Office 365. Mantener sincronizados estos elementos exclusivos de la nube requiere soluciones adicionales de administración, seguridad, migración y generación de informes más allá de las herramientas locales.
No mantener esta sincronización puede afectar el acceso de los usuarios a las aplicaciones de Office 365, ya que el atributo "Tipo de licencia" puede perderse al eliminar el objeto del usuario.
Beneficios y limitaciones de Azure Active Directory
AAD ofrece numerosos beneficios, incluida una integración perfecta con múltiples proveedores de identidad, compatibilidad con varias aplicaciones y medidas de seguridad sólidas, como autenticación multifactor, acceso condicional y gestión de identidad privilegiada (PAM). Proporciona alta disponibilidad a través de su arquitectura distribuida, lo que garantiza un rendimiento constante.
Además, AAD facilita la colaboración con socios comerciales y clientes externos. Sin embargo, la AAD tiene ciertas limitaciones. Ofrece una selección limitada de métodos MFA y carece de soporte para políticas de grupo.
Tampoco es compatible con los protocolos de autenticación NTLM o Kerberos y tiene soporte limitado para OAuth. Además, AAD no permite la creación de aplicaciones personalizadas y tiene restricciones en el dispositivo, la ubicación y las políticas de acceso basadas en el tiempo.
A pesar de estas limitaciones, Azure Active Directory sigue siendo una poderosa herramienta para la administración de identidades y acceso, y ofrece numerosas ventajas que mejoran la seguridad y la usabilidad.
Componentes de autenticación de Azure Active Directory
Azure Active Directory desempeña un papel fundamental en la autenticación con sus dos componentes principales:
- Proveedor de servicios: Azure Active Directory facilita la comunicación entre el usuario y el proveedor de identidad. Asume la responsabilidad de gestionar el proceso de autenticación y devolver un token de autenticación al usuario.
- Proveedor de identidad: Azure Active Directory autentica las credenciales del usuario, verificando su identidad. Una vez autenticado, Azure Active Directory proporciona un token de autenticación al proveedor de servicios, lo que permite al usuario acceder al recurso o aplicación deseada.