Implementare un approccio cloud-first

Si tratta principalmente di una fase guidata da processi e criteri, volta a impedire, o a limitare il più possibile, l’aggiunta di nuove dipendenze ad Active Directory Domain Services (AD DS) e a implementare un approccio cloud-first per le nuove esigenze di soluzioni IT.

A questo punto è fondamentale identificare i processi interni che comporterebbero l'aggiunta di nuove dipendenze da AD DS. Ad esempio, la maggior parte delle organizzazioni avrebbe un processo di gestione delle modifiche che deve essere seguito prima dell'implementazione di nuovi scenari, funzionalità e soluzioni. È consigliabile assicurarsi che questi processi di approvazione delle modifiche vengano aggiornati per:

  • Includere un passaggio per valutare se la modifica proposta aggiungerà nuove dipendenze in Active Directory Domain Services.
  • Valutare le alternative di Microsoft Entra quando possibile.

Attributi

È possibile arricchire gli attributi utente in Microsoft Entra ID per rendere disponibili altri attributi utente per l'inclusione. Esempi di scenari comuni che richiedono attributi utente avanzati includono:

  • Provisioning app: l’origine dei dati del provisioning app è Microsoft Entra ID e gli attributi utente necessari devono essere presenti lì.

  • Autorizzazione applicativa: un token emesso da Microsoft Entra ID può includere attestazioni generate dagli attributi utente, in modo che le applicazioni possano prendere decisioni di autorizzazione sulla base delle attestazioni contenute nel token. Può anche contenere attributi provenienti da fonti di dati esterne tramite un provider di attestazioni personalizzate.

  • Popolamento e manutenzione dell'appartenenza a gruppi: i gruppi di appartenenza dinamica consentono la popolazione dinamica dei gruppi in base agli attributi utente, ad esempio le informazioni sul reparto.

Questi due collegamenti forniscono indicazioni su come apportare modifiche allo schema:

Questi collegamenti forniscono altre informazioni su questo argomento, ma non sono specifiche per la modifica dello schema:

Gruppi

Un approccio cloud-first per i gruppi prevede la creazione di nuovi gruppi nel cloud. Se sono necessari in locale, effettuare il provisioning dei gruppi in Active Directory Domain Services (AD DS) usando Microsoft Entra Cloud Sync. Convertire l'origine del gruppo di autorità (SOA) dei gruppi locali esistenti per gestirli da Microsoft Entra.

Questi collegamenti forniscono altre informazioni sui gruppi:

Gli utenti

Se nell'organizzazione sono presenti utenti che non hanno dipendenze dell'applicazione in Active Directory, è possibile adottare un approccio cloud-first effettuando il provisioning di tali utenti direttamente in Microsoft Entra ID. Se ci sono utenti che non richiedono l'accesso ad Active Directory, ma hanno account Active Directory a loro assegnati, è possibile modificare la loro fonte di autorizzazione per consentire la pulizia dei loro account Active Directory.

Dispositivi

Le postazioni client vengono tradizionalmente aggiunte a un dominio Active Directory e gestite tramite oggetti Criteri di gruppo (GPO) o soluzioni di gestione dei dispositivi come Microsoft Configuration Manager. I team stabiliranno un nuovo criterio e un nuovo processo per impedire che le workstation appena distribuite vengano aggiunte a un dominio. I punti chiave includono:

  • Richiedere il join a Microsoft Entra per le nuove workstation client Windows per realizzare l'obiettivo "niente più aggiunta al dominio".

  • Gestire le workstation dal cloud usando soluzioni UEM (Unified Endpoint Management), ad esempio Intune.

Windows Autopilot può aiutarti a impostare una procedura di onboarding semplificata e il provisioning dei dispositivi, in grado di applicare queste direttive.

La soluzione password amministratore locale di Windows (LAPS) consente a una soluzione cloud-first di gestire le password degli account amministratore locale.

Per altre informazioni, vedere Altre informazioni sugli endpoint nativi del cloud.

Applicazioni

Tradizionalmente, i server applicativi vengono spesso uniti a un dominio Active Directory locale in modo da poter usare l'autenticazione integrata di Windows (Kerberos o NTLM), le interrogazioni della directory tramite LDAP e la gestione dei server tramite Criteri di gruppo (GPO) o Microsoft Configuration Manager.

L'organizzazione ha un processo per valutare le alternative di Microsoft Entra quando prende in considerazione nuovi servizi, app o infrastruttura. Le direttive per un approccio cloud-first alle applicazioni devono essere le seguenti. Le nuove applicazioni locali o le applicazioni legacy devono essere un'eccezione rara quando non esiste alcuna alternativa moderna.

  • Fornire una raccomandazione per modificare i criteri di approvvigionamento e i criteri di sviluppo delle applicazioni per richiedere protocolli moderni (OIDC/OAuth2 e SAML) ed eseguire l'autenticazione tramite Microsoft Entra ID. Le nuove app devono anche supportare il provisioning delle app Microsoft Entra e non devono dipendere dalle query LDAP. Le eccezioni richiedono una revisione e un'approvazione esplicite.

    Importante

    A seconda delle richieste previste di applicazioni che richiedono protocolli legacy, è possibile scegliere di distribuire Servizi di dominio Microsoft Entra quando le alternative più correnti non funzioneranno.

  • Fornire un consiglio per creare un criterio per assegnare priorità all'uso di alternative native del cloud. Il criterio deve limitare la distribuzione di nuovi server applicativi nel dominio. Gli scenari nativi del cloud comuni per sostituire i server membri del dominio includono:

    • Server di file:

      • SharePoint o OneDrive offre supporto per la collaborazione tra soluzioni Microsoft 365 e governance predefinita, rischio, sicurezza e conformità.

      • File di Azure offre condivisioni file completamente gestite nel cloud accessibili tramite il protocollo SMB o NFS standard del settore. I clienti possono usare l'autenticazione nativa di Microsoft Entra per File di Azure via Internet senza connettività diretta a un controller di dominio.

      • Microsoft Entra ID funziona con applicazioni di terze parti nella raccolta di applicazioni di Microsoft.

    • Server di stampa:

Passaggi successivi

  • Last updated on