Active Directory i Microsoft Entra ID

Upravljanje identitetima u hibridnom okruženju

Active Directory se možda još uvek nije „preselio u istoriju“, ali prvi put postaje realnost da organizacije postepeno smanjuju njegovu ulogu

Active Directory je „mrtav“ već duže vreme, barem ako bismo sudili po naslovima tekstova koji se pojavljuju otkako je cloud postao ozbiljna alternativa lokalnoj infrastrukturi. Ipak, ni danas mi ne prođe radni dan bez otvaranja Active Directory Users and Computers konzole.

Korisnici iz dobro poznate Active Directory Users and Computers konzole sada postoje i u Microsoft Entra ID-ju, prijavljuju se na Microsoft 365 i druge cloud servise, prolaze kroz Conditional Access polise i koriste uređaje koji možda nikada nisu ni videli lokalnu mrežu kompanije.

Active Directory, dakle, nije nestao. Ali zašto je to tako? Iz prostog razloga: radi posao, i to dobro. Niko razuman ne menja nešto što i dalje solidno funkcioniše samo zato što postoji noviji sistem, koji radi drugačije. Grupna polisa za par sekundi konfiguriše hiljadu mašina, Kerberos i dalje drži legacy aplikacije koje generišu ozbiljan promet, dok fajl-serveri i dalje čuvaju NTFS permisije. Cloud je u međuvremenu promenio dosta toga, ali server u data-centru i dalje mora nekako da zna ko sme da mu priđe, a Active Directory to radi dobro kao i uvek.

Cloud je promenio dosta toga, ali server u data-centru i dalje mora nekako da zna ko sme da mu priđe, a Active Directory to radi dobro kao i uvek

Pomeranje bezbednosnog perimetra

Međutim, iako Active Directory i dalje dobro radi svoj posao, to ne znači da taj posao obuhvata čitavu sliku modernog identiteta. Entra ID, dakle, nije Active Directory u cloudu, već drugačiji sistem, napravljen za drugačiji svet. AD govori jezik domena, Kerberosa i NTLM-a – protokola za mrežu u kojoj su uređaji, korisnici i domenski kontroleri deo unapred uspostavljenog odnosa poverenja. Entra ID govori jezik otvorenog interneta – OAutha, SAML-a i OpenID Connecta, a pretpostavka da postoji jedno jasno definisano „unutra“ više ne važi sada, kada se korisnik prijavljuje sa svog telefona, iz kafića, na aplikaciju koja fizički radi na serveru u Švedskoj.

Entra ID nije Active Directory u cloudu, već drugačiji sistem, napravljen za drugačiji svet

Mrežni perimetar nije potpuno nestao, niti će, ali je definitivno prestao da bude jedina granica koju branimo. Korisnik, uređaj i aplikacija mogu se nalaziti bilo gde, pa se odluka o pristupu sve više donosi na osnovu toga ko se prijavljuje, sa kog uređaja, na koji način i pod kojim okolnostima. Drugim rečima, identitet je postao novi bezbednosni perimetar. Znam, ta rečenica vrti se unaokolo otkako je Zero Trust postao nezaobilazan buzzword, ali to što je izlizana u ovom slučaju ne znači i da nije tačna, već ovde precizno opisuje šta se zaista promenilo.

Pošto identitet više nije bio vezan za jednu mrežu, sledeće pitanje bilo je prilično praktično: kako sprečiti da isti čovek dobije dva odvojena identiteta čim kompanija počne da koristi cloud? Odgovor je bio hibridni identitet. Korisnik se i dalje kreira u Active Directoryju, odatle dobija ime, lozinku, članstva u grupama i pristup starim aplikacijama, a zatim se preko Microsoft Entra Connecta ili Cloud Synca pojavljuje i u Entra ID-ju. Korisnicima je to jedan nalog. Za administratora su to dva direktorijuma, dva odvojena modela rada i čitav niz sync pravila koja ih drže usklađenim.

Taj model je godinama imao vrlo jasan smer kretanja. Korisnik nastaje u AD-u, tamo se menja i tamo se, na kraju, gasi. Entra ID samo preuzima ono što mu sinhronizacija pošalje. Ako je neki atribut dolazio iz lokalnog direktorijuma, taj atribut je u Entra ID-ju bio samo za čitanje. Administrator koji bi pokušao da promeni takvog korisnika na pogrešnom mestu suočavao se sa famoznim sivim poljem u admin portalu (Koliko sam samo puta reagovao na tikete i odgovarao na pozive zbog njega!). Drugim rečima, AD je bio „source of authority“, original. Entra ID bio je njegova upotrebljiva, ali ipak kopija namenjena cloud servisima.

Most između dva sveta

To je dugo bilo sasvim logično: ako lokalne aplikacije, računari i serveri i dalje zavise od AD naloga, prirodno je da se tim nalozima upravlja tamo gde su nastali. Problem je što su se, vremenom, mnogi korisnici gotovo potpuno preselili u cloud, dok su njihovi nalozi ostali prikovani za lokalni direktorijum. Mailbox je u Exchange Onlineu, dokumenti na SharePointu, uređaj je Entra joined i pod Intune upravljanjem, ali promena prezimena ili odeljenja korisnika i dalje prvo mora da prođe kroz Active Directory konzolu, pa kroz sinhronizaciju. U tom trenutku hibrid više nije samo most između dva sveta. Za neke kompanije sigurno postoje razlozi da stari svet održavaju duže nego što im je zaista potreban.

Ovde dolazi do promene koja je, po mom mišljenju, mnogo važnija od još jednog novog portala ili preimenovanog, „ispoliranog“ servisa. Ideja je krenula kao preview za grupe još prošle godine, a od januara ove godine je i prebacivanje „source of authority“ (SOA) za pojedinačne korisnike zvanično stiglo i do opšte dostupnosti. U praksi to znači da autoritet za odabrane sinhronizovane korisnike, grupe i kontakte može da pređe sa lokalnog Active Directoryja na Microsoft Entra ID. Pritom, nema potrebe da se napravi svojevrsni rez, odnosno prekine sinhronizacija za čitavu organizaciju, niti da se svi objekti odjednom proglase za cloud-only. Prelazak može da se odvija u talasima ili objekat po objekat, tamo gde je to tehnički i poslovno opravdano.

Ono što se lako da prevideti jeste da prebacivanje izvora autoriteta menja i to „ko pobeđuje“ ako dođe do konflikta. Dok je ranije AD imao poslednju (često i jedinu) reč, sada je to Entra ID – izmena napravljena direktno u AD-u pri sledećem sinhronizacionom ciklusu jednostavno se ignoriše. Za administratore to znači da SOA prelazak zahteva i pripremu, a ne jednostavan klik: treba znati koji atributi i koji ekosistemi, recimo Exchange Hybrid, i dalje računaju na to da AD ima poslednju reč.

Bezbednost u hibridnom okruženju

Kod security grupa priča je još zanimljivija. Grupa koja je godinama nastajala i menjala se u AD-u može da postane upravljiva iz clouda, dok se njeno članstvo ponovo provisionuje nazad u Active Directory. Entra može – i treba – da bude mesto na kojem se takve odluke donose, a Active Directory je okruženje koje tu odluku samo prenosi staroj Kerberos ili LDAP aplikaciji. Čak se može podeliti i autoritet nad jednim korisnikom: identitetski atributi tako mogu ostati pod kontrolom Active Directoryja, dok se Exchange atributima upravlja direktno iz clouda.

Bezbednosna strana priče dobila je potvrdu početkom juna, kada je Microsoft pooštrio takozvani „hard match“ – automatsko povezivanje AD naloga sa postojećim cloud nalogom. Ako je cloud nalog već dobio neku privilegovanu Entra rolu, sinhronizacija neće više sama smeti da mu promeni autoritet na osnovu podataka iz Active Directoryja. Na prvi pogled zvuči sitno – makar je meni bilo kada sam prvi put pročitao ovu vest – ali zapravo zatvara realan scenario eskalacije privilegija, u kome bi napadač sa pristupom lokalnom AD-u mogao da preuzme i privilegovani cloud identitet. Kada se identitet posmatra kao perimetar, ovakve izmene nikako nisu kozmetičke, već su deo istog zaokreta o kome sam pisao na početku članka.

Ako bismo posmatrali hibridni identitet kao neku topologiju, do sada je Active Directory bio rezervisan isključivo kao glavni čvor, koji dalje svoj autoritet prenosi na ogranke. Od sada, to nije i ne treba da bude slučaj. Sada svesno možemo odlučivati gde se i za šta nalazi autoritet u našem hibridnom okruženju.

Active Directory time nije „umro“ po ko zna koji put, ali prvi put postaje realnost da organizacije postepeno smanjuju njegovu ulogu, korisnik po korisnik, grupa po grupa. Organizacije ne vole nagle promene: SOA im upravo daje mogućnost da zavisnost od lokalnog direktorijuma smanjuju tamo gde ima smisla, umesto da biraju između večnog hibrida i velikog, rizičnog reza preko noći.

Petar Jurjević, COMING