活动目录

Microsoft Entra ID是微软推出的云原生身份与访问管理（IAM）平台，为企业提供统一的身份治理、安全认证、授权控制及混合身份集成能力，支持零信任架构落地，满足现代企业在数字化转型中对身份安全与业务敏捷性的双重需求。作为微软Microsoft Entra产品家族的核心组件，Entra ID不仅覆盖传统本地Active Directory（AD）的功能，更扩展至云应用、外部协作、IoT设备等场景，构建全场景身份管理体系。

一、核心定位与整体架构

Microsoft Entra ID的核心定位是成为企业全场景身份管理的单一控制点，通过云原生技术实现身份的统一存储、认证、授权与治理，同时兼容混合环境与多云生态。其整体架构遵循分层设计原则，确保各模块间的松耦合与可扩展性：

1. 身份存储层：统一存储内部用户、外部用户、设备、应用等身份实体数据，支持多源身份同步与整合，提供高可用、高扩展的身份数据存储能力；
2. 认证服务层：提供多因素认证（MFA）、无密码认证、条件访问等安全认证机制，验证身份合法性，阻断未授权访问；
3. 授权控制层：通过RBAC、ABAC、特权身份管理（PIM）等实现细粒度权限管理，确保最小权限原则落地；
4. 身份治理层：涵盖生命周期管理、权限审查、合规审计等功能，保障身份体系的合规性与可控性；
5. 集成扩展层：通过Microsoft Graph API、应用代理、第三方集成等，连接企业现有系统与云服务，支持自定义场景扩展。

二、核心功能模块详解

1. 全场景身份管理

Entra ID支持各类身份实体的全生命周期管理，覆盖企业内部、外部及非人类身份场景：

• 内部用户身份管理：与HR系统（如Microsoft 365 HR、SAP SuccessFactors）深度集成，实现员工身份的自动化创建、更新与注销。入职时自动分配邮箱、部门组、应用权限；岗位变动时同步更新权限；离职时禁用账号并回收所有资源访问权，减少人工操作失误。支持用户属性自定义（如部门、职位、工号），满足企业个性化需求。
• 外部用户与访客管理：通过B2B协作功能邀请外部合作伙伴、供应商或客户访问内部资源。支持多种外部身份登录方式（Microsoft账户、Google、Facebook、企业自有身份提供商），无需创建本地账号。管理员可设置外部用户的访问范围（如仅允许访问特定SharePoint文档库）、权限级别（如禁止下载数据）及会话时长，同时支持临时访客账号的过期自动清理。
• 设备身份管理：与Microsoft Intune集成，实现Windows、macOS、iOS、Android等终端设备的身份注册与合规性管理。设备需通过合规性检查（系统版本≥Windows 10 20H2、磁盘加密开启、安全软件安装）后方可访问企业资源。支持设备信任机制，仅可信设备能进行高权限操作（如访问敏感财务系统），降低设备端风险。
• 应用与服务身份管理：为企业应用、微服务、API提供服务主体（Service Principal）与托管身份（Managed Identity）。托管身份无需开发者管理凭据，自动由Entra ID维护，用于应用间的安全认证（如Azure Functions访问Azure Storage），避免凭据泄露风险。支持对服务主体的权限进行细粒度控制（如仅允许读取特定Blob容器）。
• IoT设备身份管理：支持IoT设备的身份注册与认证，通过X.509证书或对称密钥实现设备与云服务的安全通信。托管身份可用于IoT设备访问Azure IoT Hub、Azure IoT Central等服务，确保IoT数据的完整性与机密性。设备合规性检查功能可阻止非合规设备接入（如固件版本过低），降低IoT端安全风险。

2. 安全认证服务

Entra ID提供多层次的安全认证机制，保障身份验证的安全性与用户体验的平衡：

• 多因素认证（MFA）：提供短信验证码、语音电话、Microsoft Authenticator应用（推送通知、TOTP、生物识别）、硬件令牌等验证方式。管理员可基于用户风险级别（如高风险用户）或场景（如远程登录、访问敏感应用）强制启用MFA。支持自适应MFA，根据用户习惯（如常用设备、位置）动态调整验证要求（如可信设备登录时跳过MFA）。
• 无密码认证：彻底消除密码泄露风险，支持三种无密码方式：①FIDO2安全密钥（基于公钥加密，与设备绑定，抗钓鱼攻击）；②Windows Hello for Business（利用指纹、面部识别或PIN实现本地设备登录）；③密码less phone sign-in（通过Microsoft Authenticator应用完成登录，无需输入密码）。无密码认证可逐步推广至全企业，替代传统密码。
• 条件访问：基于用户、设备、位置、应用、风险等条件构建访问控制策略。典型策略示例：①禁止非合规设备访问Office 365；②仅允许来自企业可信IP范围的用户访问财务系统；③当检测到异常登录风险（如不可能的旅行）时，要求用户进行MFA验证或阻止登录；④限制外部用户访问敏感应用。条件访问策略可灵活组合，实现零信任架构中的“永不信任，始终验证”原则。
• 身份保护：通过微软全球威胁情报网络（覆盖数十亿设备与账号）实时检测身份风险事件，包括泄露凭据（用户密码被公开在暗网）、异常位置登录（用户从从未访问过的国家登录）、不可能的旅行（用户1小时内从北京登录后又从纽约登录）、可疑IP地址登录（来自已知恶意IP）等。管理员可配置自动响应策略：对高风险用户强制重置密码、阻止登录；对中风险用户要求MFA验证；对低风险用户发送告警通知。同时提供风险报告，帮助管理员分析身份安全状况，优化防护策略。

3. 细粒度授权与访问控制

Entra ID提供灵活的授权机制，确保用户仅获得完成工作所需的最小权限：

• 基于角色的访问控制（RBAC）：提供预定义角色（如全局管理员、应用管理员、用户管理员、Exchange管理员）与自定义角色。自定义角色可细化到单个资源（如允许用户管理特定应用的权限），支持角色继承（如部门管理员继承用户管理员的部分权限）。管理员可通过角色分配快速批量授予权限，简化权限管理流程。
• 基于属性的访问控制（ABAC）：通过用户属性（部门、职位、地区）、设备属性（合规状态、操作系统）、资源属性（数据分类、敏感度）等动态决定访问权限。例如：①仅允许市场部员工访问市场部的SharePoint文档库；②仅允许合规设备访问标记为“机密”的数据；③仅允许地区为欧洲的用户访问欧洲客户数据。ABAC适合复杂业务场景，提供更灵活的权限控制方式。
• 特权身份管理（PIM）：针对高权限角色（如全局管理员、订阅所有者）提供临时权限分配与审批机制。用户需提交权限激活申请，经指定审批人批准后获得临时权限（如1小时），激活时需进行MFA验证。权限到期自动回收，避免长期持有高权限带来的风险。支持权限使用审计，记录所有特权操作（如角色激活、权限变更），满足合规要求。PIM还支持紧急访问账户（Break Glass Account），用于系统故障时的紧急登录。
• 应用访问管理：支持单点登录（SSO）到数千个SaaS应用（如Salesforce、Workday、Zoom、Slack）、本地Web应用（通过应用代理）及自定义企业应用。SSO消除用户记忆多个账号密码的负担，同时统一认证入口，提升安全性。应用代理无需修改本地应用代码，即可将其发布到云端，让外部用户安全访问（替代传统VPN方案），支持条件访问与MFA验证。
• 外部协作授权：对B2B用户设置细粒度访问权限，如仅允许访问特定应用、禁止下载数据、限制会话时长、要求MFA验证等。支持对外部用户的访问行为进行实时监控（如登录时间、访问资源），并生成审计日志，确保企业数据安全。

4. 身份治理与合规

Entra ID提供完善的身份治理功能，保障身份体系的合规性与可控性：

• 生命周期工作流：通过低代码方式构建身份生命周期自动化流程，如入职流程（创建用户→分配邮箱→添加到部门组→发送欢迎邮件→分配应用权限）、离职流程（禁用账号→移除角色→回收应用权限→发送离职通知→归档用户数据）。支持触发条件（如HR系统中员工状态变更）与审批节点（如部门经理审批入职流程），减少人工干预，提升效率。
• 权限审查：定期对用户、角色、应用的权限进行审查，确保权限与业务需求一致。管理员可创建审查任务，指定审查者（如部门经理、应用所有者），审查者通过简单界面即可批准或撤销权限。支持自动提醒（如邮件通知审查者）与逾期处理（如自动撤销未审查的权限），确保审查任务按时完成。权限审查报告可导出为CSV或PDF格式，便于合规检查。
• 合规性报告：提供预构建的合规报告模板，满足GDPR、HIPAA、ISO 27001、SOC 2等全球主要法规要求。报告内容包括用户访问记录、权限变更日志、身份风险事件、MFA启用情况、PIM操作记录等。支持自定义报告，用户可根据需求筛选数据字段与时间范围。
• 审计日志：记录所有身份相关操作，包括用户创建/修改/删除、权限分配/变更、认证事件（登录成功/失败）、风险事件、PIM操作、条件访问策略执行等。日志保留时间可配置（最长1年），支持通过Microsoft Graph API导出日志，与SIEM系统（如Microsoft Sentinel、Splunk）集成，实现集中监控与分析。

5. 混合身份集成

Entra ID支持混合环境（本地AD+云）的身份统一管理，保护企业现有投资：

• Azure AD Connect：同步本地Active Directory（AD）用户、组、密码等数据到Entra ID，实现混合环境下的身份统一。支持三种同步模式：①密码哈希同步（PHS）：将本地AD用户密码哈希同步到云，用于云认证；②直通认证（PTA）：用户登录云应用时，密码直接发送到本地AD验证，保持密码策略一致性；③联合认证（AD FS）：通过AD FS实现本地AD与Entra ID的联合，用户使用本地AD凭据登录云应用。Azure AD Connect支持高可用部署（多个同步服务器），确保同步服务的稳定性。
• Azure AD Domain Services（AAD DS）：提供云托管的AD域服务，无需企业部署与维护本地域控制器。支持域加入、组策略、LDAP查询与绑定、Kerberos认证等功能，适用于云原生应用或迁移到Azure的传统应用（如.NET Framework应用）。AAD DS自动同步Entra ID用户数据，简化混合环境下的身份管理。
• Pass-through Authentication（PTA）：用户登录云应用时，密码直接发送到本地AD验证，确保密码不在云端存储，满足严格的安全合规要求（如金融行业）。PTA支持高可用部署（多个代理服务器），通过负载均衡实现故障转移。
• Federation Services：与AD FS或第三方联合服务（如Ping Identity、Okta）集成，实现跨组织身份认证。例如，企业可与合作伙伴建立联合信任，让合作伙伴用户使用其自有身份登录企业应用，无需创建新账号。

6. 开发者工具与扩展能力

Entra ID提供丰富的开发者工具，支持自定义应用开发与系统集成：

• Microsoft Graph API：提供统一的RESTful API接口，访问Entra ID的所有数据与功能，包括用户管理、角色分配、条件访问策略、身份风险事件、审计日志等。开发者可通过Graph API构建自定义身份管理应用（如企业内部身份门户），或与现有业务系统（如CRM、ERP）集成。支持批量操作（如批量创建用户）与分页查询，提升开发效率。
• Microsoft Authentication Library（MSAL）：为多种平台（.NET、Java、Python、JavaScript、iOS、Android）提供认证SDK，帮助开发者快速集成Entra ID认证功能到应用中。MSAL支持SSO、MFA、无密码认证等，自动管理令牌生命周期（如令牌刷新），简化开发流程。例如，开发者可使用MSAL for JavaScript实现Web应用的Entra ID登录。
• Entra ID B2C：针对面向消费者的应用，提供灵活的用户注册与登录流程。支持自定义品牌（如logo、颜色、页面布局）、多语言、社交登录（Google、Facebook、微信、Apple）、密码重置、邮箱验证等功能。开发者可通过自定义策略（Custom Policies）实现复杂的身份流程（如多步骤注册、身份验证规则、第三方API集成），满足个性化需求。
• 应用集成模板：提供数千个预构建的应用集成模板，包括SaaS应用、本地应用、自定义应用等。开发者可通过模板快速配置SSO与用户同步，无需编写代码。支持SCIM（System for Cross-domain Identity Management）协议，实现应用与Entra ID之间的用户身份自动同步（如创建、更新、删除用户）。

三、技术特点与优势

• 云原生与零信任优先：Entra ID基于云原生架构设计，支持弹性扩展，满足百万级用户的身份管理需求。核心功能围绕零信任架构构建，强调身份验证、最小权限、持续监控，帮助企业应对远程办公、多云环境下的安全挑战。
• 全场景身份覆盖：从内部员工、外部合作伙伴到设备、应用、IoT设备，Entra ID提供统一的身份管理平台，消除身份孤岛。支持混合环境与多云场景（如Azure、AWS、Google Cloud），保护企业现有投资，实现身份体系的平滑迁移与扩展。
• 高安全性与合规性：集成微软全球威胁情报网络，实时检测与响应身份风险事件。提供完善的合规性支持，满足GDPR、HIPAA、ISO 27001等全球主要法规要求。内置审计日志与报告功能，便于企业进行安全审计与合规检查。
• 简化运维与提升效率：通过自动化生命周期管理、权限审查、条件访问等功能，减少人工操作，降低运维成本。单点登录消除用户记忆多个密码的负担，提升工作效率。应用代理替代传统VPN，简化外部用户访问流程，降低VPN运维成本。
• 开放与可扩展：通过Microsoft Graph API与MSAL SDK，支持自定义应用开发与系统集成。预构建的应用集成模板覆盖大部分常见场景，同时支持SCIM协议与第三方身份提供商集成，满足企业多样化需求。

四、典型应用场景

• 企业数字化转型中的身份统一管理：企业在数字化转型过程中，通常使用多种SaaS应用（如Office 365、Salesforce）、本地系统（如SAP ERP）与云服务，导致身份孤岛问题。Entra ID通过统一身份管理平台，实现所有应用的SSO，同步用户身份数据，简化权限管理，提升员工体验与安全性。
• 远程办公与移动访问安全：远程办公场景下，员工通过不同设备（笔记本、手机、平板）与网络（家庭Wi-Fi、公共网络）访问企业资源，安全风险增加。Entra ID通过条件访问策略（如仅允许合规设备、可信位置访问）、MFA、无密码认证等功能，确保远程访问的安全性。应用代理让员工无需VPN即可访问本地应用，提升访问效率。
• 外部合作伙伴协作：企业与合作伙伴协作时，需要向外部用户开放部分资源（如项目文档、客户数据）。Entra ID的B2B协作功能允许企业邀请外部用户，设置细粒度访问权限，监控外部用户的访问行为，确保企业数据安全。外部用户可使用自有身份登录，无需创建新账号，提升协作效率。
• 特权身份管理与合规审计：高权限角色（如管理员）的不当使用是企业安全的重大风险。Entra ID的PIM功能提供临时权限分配与审批机制，权限到期自动回收，减少特权滥用风险。审计日志与合规报告满足企业合规要求，便于安全审计与风险分析。
• 面向消费者的应用身份管理：企业开发面向消费者的应用（如电商平台、移动APP）时，需要灵活的用户注册与登录流程。Entra ID B2C支持自定义品牌、社交登录、多语言等功能，帮助企业快速构建安全、友好的用户身份系统，提升用户体验。
• IoT设备身份管理：IoT设备数量庞大，身份管理难度高。Entra ID支持IoT设备的身份注册与认证，通过托管身份实现设备与云服务之间的安全通信，确保IoT数据的完整性与机密性。设备合规性检查功能可阻止非合规设备接入，降低IoT端风险。

五、总结

Microsoft Entra ID作为微软新一代云原生身份与访问管理平台，整合了身份管理、安全认证、授权控制、身份治理与混合集成等核心能力，为企业提供全场景、零信任优先的身份解决方案。通过统一身份管理，Entra ID消除身份孤岛，提升员工体验与工作效率；通过先进的安全技术（如无密码认证、条件访问、身份保护），有效降低身份相关风险；通过自动化与简化运维，减少企业IT负担，支持业务快速创新。无论是数字化转型中的企业、远程办公场景下的团队，还是面向消费者的应用开发者，Entra ID都能提供灵活、安全、可扩展的身份管理能力，成为企业构建安全数字生态的核心基石。

了解更多Microsoft Entra ID产品详情，请访问微软官方网站：

登录后查看