Dans un contexte où l'on parle de plus en plus d'architecture hybride dans nos organisations, l'une des questions qui nous revient le plus souvent lorsqu'on évoque les cas de la gestion des identités est de savoir quelle solution choisir ?
Plus précisément, il est question ici de savoir quelles sont les différences entre les Services de Domaine Active Directory (ADDS), Azure Active Directory (AAD) et les Services de Domaine Azure Active Directory (AADDS) ?
Même si les trois solutions d’identité basées sur Active Directory ont un nom et une technologie en commun, elles sont conçues pour fournir des services qui répondent à différentes demandes des clients.
Faisons un tour d'horizon de ces solutions d’identité et ensembles de fonctionnalités :
Active Directory Domain Services (AD DS) - (Sur site)
- AD DS utilise des services tels que DNS (Domain Name System) et LDAP (Lightweight Directory Access Protocol) pour identifier et gérer les organisations, les personnes et d’autres ressources (par exemple, les fichiers et les terminaux) dans le réseau. LDAP vous permet de gérer non seulement les annuaires locaux, mais aussi les annuaires basés sur Internet. Kerberos et LAN Manager (NTLM) sont couramment utilisés pour l’authentification sécurisée.
- AD DS est un composant central dans de nombreuses organisations disposant d’un environnement informatique local et fournit des fonctionnalités d’authentification de compte d’utilisateur et de gestion d’ordinateurs de base.
Pour plus d’informations, consultez Vue d’ensemble d’Active Directory Domain Services dans la documentation de Windows Server.
Azure Active Directory (Azure AD)
- Azure AD permet de gérer les identités et les appareils mobiles basée sur le cloud et fournit des services d’authentification et de compte d’utilisateur pour les ressources telles que Microsoft 365, le portail Azure ou les applications SaaS.
- Azure AD utilise les protocoles HTTP et HTTPS pour gérer les identités. Au lieu de Kerberos, Azure AD s’appuie sur des noms d’utilisateur et des mots de passe pour l’authentification, ainsi que sur d’autres protocoles de sécurité (tels que Security Assertion Markup Language/SAML et Open Authorization).
- Azure AD ne prend PAS en charge les unités organisationnelles et les objets de stratégie de groupe.
- Azure AD peut être synchronisé avec un environnement AD DS local pour fournir une identité unique aux utilisateurs qui travaillent en mode natif dans le cloud.
- Les contrôleurs de domaine sont gérés par Microsoft dans son centre de données.
Pour plus d’informations sur Azure AD, consultez Qu’est-ce qu’Azure Active Directory ?
Azure Active Directory Domain Services (Azure AD DS)
- Azure AD DS est un produit Azure qui fournit un domaine Active Directory (géré par Microsoft) sur deux contrôleurs de domaine. Les contrôleurs de domaine prennent en charge LDAP, la jonction de domaine et l’authentification via Kerberos et NTLM. Cette version d’Azure Active Directory prend également en charge l’utilisation d’unités organisationnelles et de stratégies de groupe.
- Bien que Azure AD DS prend en charge les stratégies de groupe, il n’y a pas de réplication d’objet de stratégie de groupe à partir d’un objet de stratégie de groupe sur site. Vous devez recréer les stratégies dont vous avez besoin dans le service d’annuaire managé. Si vous modifiez un site sur site, vous devez effectuer la même modification dans le répertoire managé.
- Azure AD DS s’intègre à Azure AD, qui peut lui-même se synchroniser avec un environnement AD DS local. Cette capacité étend les cas d’usage de l’identité centrale aux applications web traditionnelles qui s’exécutent dans Azure dans le cadre d’une stratégie lift-and-shift.
- Deux (02) options de domaine disponibles : un domaine managé (que vous créez avec Azure AD DS. Microsoft crée et gère les ressources requises) ou un domaine automanagé (que vous créez et configurez à l’aide de ressources traditionnelles telles que les machines virtuelles, le système d’exploitation invité Windows Server et Active Directory Domain Services (AD DS). Vous continuez ensuite à administrer ces ressources).
- Il n’existe aucune fonctionnalité pour les déploiements géo-distribués. Azure AD DS managé est limité au réseau virtuel sur lequel il a été déployé. Vous pouvez contourner ce problème en configurant des VPN et des réseaux virtuels appairés, mais cela ajoute considérablement plus de complexité à vos environnements.
Le tableau suivant présente certaines des fonctionnalités dont vous pouvez avoir besoin pour votre organisation, ainsi que les différences entre un domaine managé Azure AD DS et un domaine automanagé AD DS :
Pour plus d’informations, consultez Présentation des services de domaines Azure Active Directory Domain Services.
Conclusion
Dans cet article, nous avons parcouru les différentes solutions de gestions des identités fournies par Microsoft afin d'avoir une meilleure compréhension de leurs fonctionnalités.
J’espère que ceci vous aidera dans votre phase de planification, d'architecture et/ou d’intégration d'une solution de gestion des identités lors de l’adoption d’une posture hybride dans Azure.
Angeles, Banaka Ntep | Consultant Cloud et Infrastructure TI