Active Directory och Entra ID: vad är skillnaden?

Active Directory har suttit i hjärtat av nästan varje företagsnätverk i över tjugo år. Entra ID kom med Microsoft 365, och i dag har de flesta medelstora företag båda utan att riktigt veta var gränsen går. Den här sidan reder ut skillnaden, hur de fungerar ihop och hur du planerar en flytt till molnet. Den ingår i guiden till identitet och åtkomst.

En sak först. Många känner att de borde lämna den lokala servern så fort som möjligt, och ibland säljs flytten som ett måste. Det är det inte. En väl skött hybridmiljö är ett fullt rimligt läge i flera år. Det som däremot är dyrt är att köpa en ny domänkontrollant av gammal vana, utan att någon har frågat vad den gamla egentligen gör.

Vad är Active Directory?

Active Directory, eller Active Directory Domain Services (AD DS) som tjänsten heter formellt, är en roll i Windows Server som håller reda på användare, datorer och grupper i företagets nätverk. Servrarna som kör den kallas domänkontrollanter. När någon loggar in på en dator som är ansluten till domänen är det domänkontrollanten som kontrollerar lösenordet.

Microsoft Active Directory bygger på protokoll som Kerberos och LDAP, och det är därför äldre program, skrivare och filservrar kan använda samma inloggning. Datorerna styrs med grupprinciper (GPO), och organisationsenheter (OU) används för att ordna konton och dela ut administration. Allt det förutsätter att datorn har kontakt med nätverket, direkt eller via VPN.

Vad är Entra ID (tidigare Azure AD)?

Microsoft Entra ID är Microsofts identitetstjänst i molnet. Varje användare i Microsoft 365 är ett konto i Entra ID, och det är där inloggning, MFA, villkorad åtkomst och inloggning till andra molntjänster styrs. Entra ID fungerar över internet och bryr sig inte om var användaren sitter.

Namnbytet skapar mycket förvirring, så här är fakta enligt Microsoft:

• Azure Active Directory bytte namn till Microsoft Entra ID. Det tillkännagavs 11 juli 2023, och licensnamnen byttes 1 oktober 2023.
• Licenserna heter nu Entra ID Free, P1 och P2, i stället för Azure AD Premium P1 och P2.
• Azure AD Connect heter Microsoft Entra Connect, och Azure AD Domain Services heter Microsoft Entra Domain Services.
• Funktioner, priser, inloggningsadresser och avtal ändrades inte.
• Active Directory i Windows Server bytte inte namn, och inte heller AD FS.

Så när någon säger Azure AD menar de Entra ID. När någon säger AD menar de oftast den lokala servern.

Vad är skillnaden mellan Active Directory och Entra ID?

Den grundläggande skillnaden är att Active Directory litar på nätverket och Entra ID litar på identiteten. Microsoft beskriver själva skiftet som att gå från nätverksbaserad till identitetsbaserad åtkomstkontroll.

	Active Directory (AD DS)	Microsoft Entra ID
Var den körs	På egna servrar i nätverket	Som tjänst i Microsofts moln
Styr inloggning till	Datorer i domänen, filservrar, lokala program	Microsoft 365 och andra molntjänster
Protokoll	Kerberos, LDAP, NTLM	SAML, OpenID Connect, OAuth 2.0
Datorer	Domänanslutna, styrs med grupprinciper	Entra-anslutna, styrs med Intune
Mobiler	Inget eget stöd	Via Intune
Säker inloggning	Lösenordsregler, certifikat, smartkort	MFA, lösenordsfritt, villkorad åtkomst
Administration	Domäner, OU och grupper	Inbyggda roller, PIM med P2
Drift	Du patchar, säkerhetskopierar och ersätter servrarna	Microsoft driver tjänsten, du äger inställningarna

Ingen av dem är bättre i allt. Active Directory är fortfarande det enda som fungerar för en del äldre program. Entra ID är det som fungerar när kollegorna jobbar hemifrån, från mobilen eller i molntjänster som aldrig har sett ditt nätverk.

Hur fungerar en hybridmiljö?

I en hybridmiljö skapas och ändras användarna i Active Directory och synkas till Entra ID. Samma konto och lösenord fungerar då både på den domänanslutna datorn och i Microsoft 365. Synken görs med ett av två verktyg:

	Microsoft Entra Connect Sync	Microsoft Entra Cloud Sync
Installation	Ett fullständigt program på en egen server	Lätta agenter, kan köras på domänkontrollanterna
Styrs från	Servern i ditt nätverk	Entra administrationscenter
Uppdateringar	Manuellt	Automatiskt från molnet
Redundans	En server, en felpunkt	Flera agenter som tar över för varandra
Saknas		Bland annat hybridanslutning av datorer och avancerade synkregler

Microsoft beskriver Cloud Sync som sin strategiska riktning och säger att nya funktioner i första hand byggs där. För ett medelstort företag med en skog och inga specialregler är Cloud Sync ofta det enklare valet. Kör du i dag Entra Connect för hybridanslutna datorer kan du inte byta rakt av. [VERIFIERA MOT KÄLLA: Cloud Sync, stöd för hybridanslutning av datorer vid publicering]

Kör du fortfarande Azure AD Connect version 1 är det bråttom. Den slutade få support 31 augusti 2022 och kan sluta fungera utan förvarning, enligt Microsoft.

Inloggningen kan sedan ske på tre sätt: lösenordshash-synk (PHS), där en hash av lösenordshashen synkas till Entra ID, direktautentisering (PTA), där molnet frågar den lokala domänen, eller federation med AD FS. Microsoft rekommenderar att slå på lösenordshash-synk oavsett vilken metod du väljer, eftersom den fungerar som reserv om den lokala miljön går ner. Enligt Microsoft var organisationer som hade det påslaget under en säkerhetsincident tillbaka på några timmar, medan andra behövde veckor. Microsoft konstaterar också att federation är mer komplicerat att driva och felsöka. Har du AD FS kvar utan ett tydligt skäl är det värt att fråga varför.

Så planerar du flytten till molnet

Börja med att ta reda på vad Active Directory faktiskt gör hos dig. Det är nästan alltid mer än inloggning, och det är sällan dokumenterat. Microsofts egen vägledning delar upp flytten i användare och grupper, datorer, program och servrar, och varje del i samma ordning: kartlägg, testa i liten skala, bredda och stäng det gamla.

1. Kartlägg beroendena. Vilka program loggar in mot AD? Vilka skrivare, wifi-nätverk, VPN och filresurser? Vilka grupprinciper används på riktigt? Listan avgör hur lång resan blir.
2. Slå på lösenordshash-synk och självbetjäning för lösenord. Microsoft föreslår självbetjäning som ett tidigt steg. Läs mer om självbetjäning för lösenordsåterställning.
3. Flytta programmen med modern inloggning först. Molntjänster som stöder SAML eller OpenID Connect kopplas direkt till Entra ID. Det är de enklaste vinsterna.
4. Låt nya datorer bli Entra-anslutna. Nya och ominstallerade datorer ansluts till Entra ID och styrs med Intune i stället för grupprinciper. De gamla fasas ut i takt med att de byts.
5. Flytta filerna. Filservrar ersätts oftast av SharePoint och Teams, men gör det med en genomtänkt behörighetsstruktur, inte en kopia av den gamla.
6. Bestäm vad som görs med de äldre programmen. Byt till en molnversion om det finns, annars kan Entra Domain Services vara en tillfällig brygga. Microsoft kallar det uttryckligen en brygga, inte en slutstation.
7. Flytta ägarskapet för grupper och användare. Entra ID kan ta över ägarskapet för grupper och användare som i dag kommer från AD. För användare kräver Microsoft bland annat att Exchange inte finns kvar lokalt och att AD FS inte används. [VERIFIERA MOT KÄLLA: status och förutsättningar för Source of Authority vid publicering]
8. Stäng domänkontrollanterna. Sist, och först när inget längre frågar efter dem.

Vill du resonera bredare om vad som ska ligga lokalt och vad som ska ligga i molnet, läs on-prem eller moln.

Låt beroendena styra takten

Frågan är inte om Active Directory eller Entra ID är bäst. Frågan är vad din lokala katalog fortfarande gör, och vad det skulle kosta att låta molnet göra det i stället. Har du bara Microsoft 365 och ett par molntjänster kan domänen vara borta på några månader. Har du ett affärssystem som kräver Kerberos är hybrid rätt svar tills det systemet byts. Kartlägg först, så blir flytten ett beslut i stället för en känsla.

Så hjälper Nod till

Nod arbetar med både Active Directory och Microsoft Entra ID [FYLL I: bekräfta att detta stämmer och hur Nod beskriver det]. I en kostnadsfri rådgivning går vi igenom din nuvarande miljö: vilken synk du kör, hur inloggningen fungerar och vad domänkontrollanterna används till. Du får en bild av vad som kan flyttas nu, vad som kan vänta och vad som behöver ett annat beslut först. Läs mer om moln- och serverdrift hos Nod.