Partilhar via

Implemente uma abordagem baseada na nuvem

É principalmente uma fase orientada por processos e políticas para parar, ou limitar o máximo possível, a adição de novas dependências aos Serviços de Domínio Ative Directory (AD DS) e implementar uma abordagem baseada na nuvem para a nova demanda de soluções de TI.

Neste momento, é fundamental identificar os processos internos que levariam à adição de novas dependências no AD DS. Por exemplo, a maioria das organizações teria um processo de gerenciamento de mudanças que deve ser seguido antes da implementação de novos cenários, recursos e soluções. É altamente recomendável garantir que esses processos de aprovação de alterações sejam atualizados para:

  • Inclua uma etapa para avaliar se a alteração proposta adicionaria novas dependências ao AD DS.
  • Avalie as alternativas do Microsoft Entra quando possível.

Atributos

Você pode enriquecer atributos de usuário no Microsoft Entra ID para disponibilizar mais atributos de usuário para inclusão. Exemplos de cenários comuns que exigem atributos de usuário avançados incluem:

  • Provisionamento de aplicativos: a fonte de dados do provisionamento de aplicativos é o Microsoft Entra ID e os atributos de usuário necessários devem estar lá.

  • Autorização de aplicativo: um token que o Microsoft Entra ID emite pode incluir declarações geradas a partir de atributos de usuário para que os aplicativos possam tomar decisões de autorização com base nas declarações no token. Ele também pode conter atributos provenientes de fontes de dados externas por meio de um provedor de declarações personalizado.

  • População e manutenção de membros de grupo: os grupos de associação dinâmica permitem a população dinâmica de grupos com base em atributos de usuário, como informações de departamento.

Estes dois links fornecem orientação sobre como fazer alterações de esquema:

Estes links fornecem mais informações sobre este tópico, mas não são específicos para alterar o esquema:

Grupos

Uma abordagem baseada na nuvem para grupos envolve a criação de novos grupos na nuvem. Se você precisar deles no local, provisione grupos para os Serviços de Domínio Ative Directory (AD DS) usando o Microsoft Entra Cloud Sync. Converta a SOA (Origem da Autoridade de Grupo) de grupos locais existentes para gerenciá-los a partir do Microsoft Entra.

Estes links fornecem mais informações sobre grupos:

Utilizadores

Se houver usuários em sua organização que não tenham dependências de aplicativos para o Ative Directory, você poderá adotar uma abordagem baseada na nuvem provisionando esses usuários diretamente para o Microsoft Entra ID. Se houver usuários que não exigem acesso ao Ative Directory, mas têm contas do Ative Directory provisionadas para eles, sua fonte de autoridade pode ser alterada, permitindo que você limpe sua conta do Ative Directory.

Dispositivos

As estações de trabalho cliente são tradicionalmente associadas ao Ative Directory e geridas através de objetos de Política de Grupo (GPOs) ou soluções de gestão de dispositivos, como o Microsoft Configuration Manager. Suas equipes estabelecerão uma nova política e um novo processo para impedir que estações de trabalho recém-implantadas sejam ingressadas no domínio. Os pontos-chave incluem:

  • Mandato Microsoft Entra ingressar para novas estações de trabalho cliente Windows para conseguir "não mais ingressar no domínio".

  • Gerencie estações de trabalho a partir da nuvem usando soluções de gerenciamento de ponto final unificado (UEM), como o Intune.

O Windows Autopilot pode ajudá-lo a estabelecer uma integração simplificada e o provisionamento de dispositivos, que podem impor essas diretivas.

A Windows Local Administrator Password Solution (LAPS) permite uma solução cloud-first para gerir as palavras-passe de contas de administrador local.

Para obter mais informações, consulte Saiba mais sobre pontos de extremidade nativos da nuvem.

Aplicações

Tradicionalmente, os servidores de aplicativos geralmente são associados a um domínio do Ative Directory local para que possam usar a Autenticação Integrada do Windows (Kerberos ou NTLM), consultas de diretório por meio de LDAP e gerenciamento de servidor por meio de GPO ou Microsoft Configuration Manager.

A organização tem um processo para avaliar as alternativas do Microsoft Entra quando está considerando novos serviços, aplicativos ou infraestrutura. As diretivas para uma abordagem baseada na nuvem às aplicações devem ser as seguintes. (Novos aplicativos locais ou aplicativos herdados devem ser uma rara exceção quando não existe uma alternativa moderna.)

  • Forneça uma recomendação para alterar a política de compras e a política de desenvolvimento de aplicativos para exigir protocolos modernos (OIDC/OAuth2 e SAML) e autenticar usando o Microsoft Entra ID. Os novos aplicativos também devem oferecer suporte ao provisionamento de aplicativos Microsoft Entra e não depender de consultas LDAP. As exceções exigem revisão e aprovação explícitas.

    Importante

    Dependendo das demandas previstas de aplicativos que exigem protocolos herdados, você pode optar por implantar os Serviços de Domínio Microsoft Entra quando alternativas mais atuais não funcionarem.

  • Forneça uma recomendação para criar uma política para priorizar o uso de alternativas nativas da nuvem. A política deve limitar a implantação de novos servidores de aplicativos no domínio. Os cenários comuns nativos da nuvem para substituir os servidores membros do domínio incluem:

    • Servidores de ficheiros:

      • O SharePoint ou o OneDrive fornece suporte à colaboração em soluções Microsoft 365 e governança, risco, segurança e conformidade integrados.

      • Os Arquivos do Azure oferecem compartilhamentos de arquivos totalmente gerenciados na nuvem que podem ser acessados por meio do protocolo SMB ou NFS padrão do setor. Os clientes podem usar a autenticação nativa do Microsoft Entra nos Arquivos do Azure pela Internet sem linha de visão para um controlador de domínio.

      • O Microsoft Entra ID funciona com aplicativos de terceiros na galeria de aplicativos da Microsoft.

    • Servidores de impressão:

Próximos passos

  • Last updated on