Microsoft Entra ID – co to jest i do czego służy?

Microsoft Entra ID jest jednym z najważniejszych elementów nowoczesnego środowiska Microsoft 365. To właśnie ono odpowiada za tożsamość użytkowników, logowanie do usług, kontrolę dostępu oraz możliwość określenia, kto, z jakiego urządzenia i na jakich warunkach może korzystać z zasobów firmy.

Microsoft definiuje Entra ID jako chmurową usługę zarządzania tożsamością i dostępem – IAM, czyli Identity and Access Management. Jej zadaniem jest połączenie użytkowników z aplikacjami, urządzeniami, danymi i innymi zasobami organizacji oraz kontrolowanie dostępu do nich.

Dla użytkownika Microsoft Entra ID może być praktycznie niewidoczne. Pracownik po prostu loguje się swoim firmowym kontem do Outlooka, Teams, SharePoint czy innych aplikacji. Z perspektywy administratora jest to jednak jedna z kluczowych warstw bezpieczeństwa całego środowiska.

Microsoft Entra ID – czym właściwie jest?

Najprościej można powiedzieć:

Microsoft Entra ID jest centralnym systemem tożsamości firmy działającym w chmurze.

Przechowuje informacje o użytkownikach, grupach, urządzeniach, aplikacjach i innych obiektach oraz uczestniczy w procesie uwierzytelniania i autoryzacji dostępu.

Dzięki temu firma może posiadać jedno konto użytkownika, którym pracownik loguje się do wielu różnych usług.

Entra ID jest podstawowym mechanizmem tożsamości m.in. dla Microsoft 365 i Azure, ale może również zapewniać dostęp do tysięcy aplikacji SaaS oraz aplikacji tworzonych lub wykorzystywanych wewnętrznie przez organizację.

Przykładowy użytkownik:

anna.kowalska@firma.pl

może tym samym kontem logować się do:

• Outlooka,
• SharePoint,
• OneDrive,
• Teams,
• firmowego laptopa,
• Azure,
• systemu CRM,
• platformy HR,
• innych aplikacji SaaS zintegrowanych z Entra ID.

Nie oznacza to jednak, że każda aplikacja automatycznie współpracuje z Entra ID. Musi obsługiwać odpowiedni sposób integracji lub zostać odpowiednio skonfigurowana.

Entra ID a dawne Azure Active Directory

Microsoft Entra ID jest usługą wcześniej znaną jako Azure Active Directory – Azure AD.

Zmiana nazwy nie oznacza jednak, że jest to to samo rozwiązanie co tradycyjne Active Directory Domain Services – AD DS działające na serwerze Windows Server.

To bardzo częste źródło nieporozumień.

Microsoft Entra ID a Active Directory – czym się różnią?

Tradycyjne Active Directory zostało stworzone przede wszystkim do zarządzania środowiskiem lokalnym.

Typowy lokalny Active Directory Domain Services odpowiada m.in. za:

• komputery należące do domeny,
• użytkowników domenowych,
• grupy,
• Group Policy,
• Kerberos,
• NTLM,
• LDAP,
• relacje między domenami,
• kontrolę dostępu do zasobów lokalnych.

Microsoft Entra ID zostało natomiast zaprojektowane jako Identity as a Service dla środowiska chmurowego i nowoczesnych aplikacji. Microsoft wyraźnie rozróżnia te dwa rozwiązania – Entra ID nie jest po prostu „Active Directory przeniesionym do chmury”.

W uproszczeniu:

W praktyce wiele firm korzysta obecnie z obu środowisk równocześnie.

Czy Entra ID może działać razem z lokalnym Active Directory?

Tak.

Organizacja posiadająca lokalne Active Directory może stworzyć hybrydową tożsamość, w której użytkownik posiada wspólną tożsamość umożliwiającą dostęp zarówno do zasobów lokalnych, jak i usług chmurowych. Microsoft określa właśnie taki model jako hybrid identity.

Do synchronizacji tożsamości pomiędzy lokalnym Active Directory a Microsoft Entra ID mogą być wykorzystywane rozwiązania Microsoft przeznaczone do synchronizacji hybrydowej, takie jak Microsoft Entra Connect lub Microsoft Entra Cloud Sync. Microsoft wskazuje Cloud Sync jako strategiczny kierunek rozwoju synchronizacji hybrydowej.

Dzięki temu pracownik nie musi posiadać całkowicie osobnego konta lokalnego i chmurowego.

Do czego Microsoft Entra ID służy w firmie?

Możliwości są znacznie szersze niż samo tworzenie kont użytkowników.

1. Zarządzanie użytkownikami

Administrator może centralnie tworzyć i zarządzać kontami pracowników.

Kiedy nowa osoba rozpoczyna pracę, można utworzyć dla niej konto, przypisać odpowiednie grupy, role i licencje, a następnie udostępnić potrzebne aplikacje.

Analogicznie, po zakończeniu współpracy dostęp użytkownika może zostać zablokowany.

Centralne zarządzanie tożsamością ogranicza sytuacje, w których były pracownik pozostawia aktywne konta w wielu niezależnych usługach.

2. Grupy użytkowników

Nie trzeba przydzielać wszystkich uprawnień każdej osobie oddzielnie.

Można utworzyć grupy, np.:

• Zarząd,
• Księgowość,
• Sprzedaż,
• Marketing,
• Administratorzy,
• Pracownicy Warszawa,
• Pracownicy zdalni.

Następnie określone aplikacje, zasoby lub polityki można przypisywać całym grupom.

W wyższych wariantach Entra ID dostępne są również bardziej zaawansowane mechanizmy zarządzania grupami, w tym grupy dynamiczne, których członkostwo może wynikać z właściwości użytkownika.

3. Single Sign-On – jedno konto do wielu aplikacji

Jedną z najważniejszych funkcji Entra ID jest Single Sign-On – SSO.

SSO pozwala użytkownikowi zalogować się swoim firmowym kontem, a następnie korzystać z wielu przypisanych aplikacji bez konieczności ponownego wpisywania oddzielnych danych logowania do każdej z nich.

Może to dotyczyć zarówno usług Microsoft, jak również aplikacji zewnętrznych.

Przykładowo pracownik loguje się do komputera swoim firmowym kontem, a następnie uzyskuje dostęp do:

• Microsoft 365,
• systemu CRM,
• platformy HR,
• systemu obsługi zgłoszeń,
• aplikacji SaaS.

Z punktu widzenia użytkownika oznacza to wygodę.

Z punktu widzenia administratora – możliwość centralnego zarządzania dostępem.

4. MFA – uwierzytelnianie wieloskładnikowe

Microsoft Entra ID umożliwia wykorzystanie Multi-Factor Authentication, czyli MFA.

Oznacza to, że samo podanie prawidłowego hasła nie musi wystarczyć do uzyskania dostępu.

Użytkownik może zostać poproszony o drugi element uwierzytelnienia, np. poprzez Microsoft Authenticator albo inną skonfigurowaną metodę.

Microsoft obsługuje również nowoczesne, bezhasłowe sposoby uwierzytelniania, takie jak Windows Hello for Business czy passkeys/FIDO2.

Jest to niezwykle istotne, ponieważ przejęte hasło nie musi już automatycznie oznaczać przejęcia konta.

5. Conditional Access – dostęp warunkowy

To jedna z najważniejszych funkcji dostępnych w Microsoft Entra ID P1 i P2.

Conditional Access można potraktować jako silnik decyzyjny dotyczący dostępu.

Microsoft opisuje go jako element modelu Zero Trust, który analizuje różne sygnały, zanim podejmie decyzję o przyznaniu lub zablokowaniu dostępu.

Zamiast prostej zasady:

poprawny login + hasło = dostęp

firma może stworzyć znacznie bardziej szczegółowe reguły.

Na przykład:

dostęp do Microsoft 365 jest możliwy tylko po MFA,

albo:

dostęp do danych firmowych jest możliwy tylko z urządzenia spełniającego wymagania organizacji,

albo:

logowanie z określonych lokalizacji wymaga dodatkowego uwierzytelnienia,

albo:

dostęp do paneli administracyjnych wymaga silniejszej metody uwierzytelnienia.

Conditional Access może uwzględniać m.in. użytkownika, aplikację, urządzenie, platformę, lokalizację oraz inne warunki związane z konkretnym logowaniem.

Przykład działania Conditional Access

Załóżmy, że pracownik księgowości loguje się do Microsoft 365.

Sytuacja 1

Firmowy laptop, standardowa lokalizacja, urządzenie zgodne z politykami.

Efekt: dostęp zostaje przyznany.

Sytuacja 2

Ten sam użytkownik loguje się z nowego urządzenia.

Efekt: system może wymagać dodatkowego uwierzytelnienia lub zablokować dostęp zależnie od polityki.

Sytuacja 3

Użytkownik próbuje uzyskać dostęp do danych z urządzenia niespełniającego wymagań bezpieczeństwa.

Efekt: dostęp może zostać zablokowany.

Nie trzeba więc opierać bezpieczeństwa wyłącznie na haśle.

Security Defaults a Conditional Access

Firmy korzystające z podstawowego Entra ID mogą wykorzystywać Security Defaults, które zapewniają bazowy zestaw zabezpieczeń.

Conditional Access daje jednak administratorowi znacznie większą kontrolę nad tym, kto i w jakich warunkach może się logować. Microsoft wskazuje, że Security Defaults i Conditional Access są alternatywnymi modelami – po rozpoczęciu tworzenia polityk Conditional Access Security Defaults nie są używane równolegle jako drugi zestaw reguł.

Dla organizacji o bardziej świadomych wymaganiach bezpieczeństwa możliwość tworzenia własnych polityk jest jednym z najważniejszych argumentów za Entra ID P1.

Entra ID i urządzenia firmowe

Microsoft Entra ID może również przechowywać tożsamości urządzeń.

W środowisku można spotkać m.in.:

• Microsoft Entra registered,
• Microsoft Entra joined,
• Microsoft Entra hybrid joined.

Każdy z tych modeli służy trochę innemu scenariuszowi.

Microsoft Entra registered

Najczęściej wykorzystywany w scenariuszach BYOD, czyli gdy użytkownik korzysta z własnego urządzenia do dostępu do zasobów organizacji.

Microsoft Entra joined

Urządzenie należy do organizacji i jest bezpośrednio dołączone do Microsoft Entra ID.

Użytkownik może logować się do urządzenia swoim firmowym kontem, a komputer może być zarządzany za pomocą rozwiązania MDM, np. Microsoft Intune.

Microsoft Entra hybrid joined

Komputer pozostaje członkiem lokalnej domeny Active Directory, ale jednocześnie posiada swoją tożsamość w Microsoft Entra ID. Jest to częsty model w organizacjach przechodzących stopniowo z klasycznego środowiska lokalnego do zarządzania chmurowego.

Entra ID a Microsoft Intune

Te dwa rozwiązania bardzo dobrze się uzupełniają, ale nie są tym samym.

Microsoft Entra ID odpowiada przede wszystkim za:

kto lub co próbuje uzyskać dostęp?

Microsoft Intune odpowiada przede wszystkim za:

jak skonfigurowane i zarządzane jest urządzenie?

Przykładowo Intune może sprawdzić, czy komputer:

• spełnia wymagania organizacji,
• posiada określoną konfigurację,
• jest zaszyfrowany,
• posiada wymagane zabezpieczenia.

Informacja o stanie urządzenia może następnie zostać wykorzystana podczas podejmowania decyzji o dostępie. Microsoft opisuje integrację Intune z Entra ID właśnie jako jeden ze sposobów wykorzystania informacji o urządzeniu podczas procesu uwierzytelniania.

W praktyce połączenie:

Microsoft Entra ID + Microsoft Intune + Conditional Access

jest jednym z fundamentów nowoczesnego zarządzania stanowiskami pracy.

Role administracyjne w Microsoft Entra ID

Nie każdy administrator powinien posiadać pełną kontrolę nad całym środowiskiem.

Microsoft Entra ID posiada rozbudowany system ról administracyjnych pozwalających delegować konkretne uprawnienia.

Przykładowo jedna osoba może odpowiadać za użytkowników, inna za aplikacje, a jeszcze inna za określony obszar bezpieczeństwa.

Jest to realizacja bardzo ważnej zasady:

least privilege – najmniejszych niezbędnych uprawnień.

Administrator powinien otrzymywać tylko takie uprawnienia, które rzeczywiście są mu potrzebne do wykonywania obowiązków.

Microsoft również rekomenduje ograniczanie zakresu ról, ponieważ zmniejsza to potencjalne konsekwencje przejęcia konta administratora.

Dlaczego nie należy wszystkim administratorom nadawać Global Administrator?

Global Administrator posiada bardzo szerokie uprawnienia.

Jeżeli wszystkie osoby zajmujące się IT korzystają z tej roli na co dzień, przejęcie jednego konta może dać atakującemu ogromne możliwości.

Znacznie bezpieczniejsze jest przypisywanie administratorom węższych ról dopasowanych do obowiązków.

Przykładowo osoba zajmująca się użytkownikami nie musi automatycznie posiadać pełnej kontroli nad wszystkimi aplikacjami, politykami bezpieczeństwa i konfiguracją całego tenanta.

Privileged Identity Management – uprawnienia tylko wtedy, gdy są potrzebne

W bardziej zaawansowanych środowiskach można wykorzystać Microsoft Entra Privileged Identity Management – PIM.

PIM pozwala ograniczyć stałe przypisywanie wysokich uprawnień.

Administrator może być przykładowo uprawniony do aktywacji danej roli, ale nie posiadać jej przez cały czas.

Gdy rola jest potrzebna, może zostać aktywowana na określony czas, z dodatkowymi wymaganiami – np. MFA, uzasadnieniem lub zatwierdzeniem.

To znacznie ogranicza ryzyko wynikające z permanentnych uprawnień administracyjnych.

PIM wymaga odpowiedniego licencjonowania – Microsoft wskazuje Microsoft Entra ID P2 lub Microsoft Entra ID Governance jako wymagane licencje dla tej funkcjonalności.

Microsoft Entra ID Protection – wykrywanie ryzykownych tożsamości

W bardziej zaawansowanych planach dostępne jest również Microsoft Entra ID Protection.

Rozwiązanie analizuje ryzyka związane z użytkownikami i logowaniami oraz pomaga administratorom wykrywać, badać i ograniczać zagrożenia dotyczące tożsamości.

Możliwe jest m.in. wykorzystanie poziomu ryzyka jako sygnału dla Conditional Access.

Przykładowo:

jeśli logowanie zostanie ocenione jako ryzykowne, użytkownik musi przejść dodatkową weryfikację albo dostęp zostanie zablokowany.

Pełne możliwości Identity Protection oraz polityki dostępu oparte na ryzyku wymagają Microsoft Entra ID P2 lub odpowiedniego pakietu zawierającego te funkcje.

Logowanie bez hasła

Microsoft Entra ID wspiera również przechodzenie w kierunku passwordless authentication, czyli uwierzytelniania bez tradycyjnego hasła.

Można wykorzystywać m.in.:

• Windows Hello for Business,
• Microsoft Authenticator,
• passkeys/FIDO2,
• certyfikaty w odpowiednich scenariuszach.

Microsoft rozwija obecnie passkeys jako domyślny odporny na phishing typ poświadczenia dla Entra ID.

To ważny kierunek rozwoju bezpieczeństwa, ponieważ hasło jest sekretem, który użytkownik może:

• wpisać na fałszywej stronie,
• ponownie wykorzystać,
• przekazać innej osobie,
• stracić w wyniku phishingu.

Nowoczesne metody uwierzytelniania mogą znacząco ograniczyć część tych zagrożeń.

Entra ID jako element modelu Zero Trust

Tradycyjne podejście do bezpieczeństwa często zakładało:

użytkownik jest w biurze i firmowej sieci, więc można mu zaufać.

W nowoczesnym środowisku taka granica jest coraz mniej użyteczna.

Pracownicy korzystają z:

• laptopów,
• urządzeń mobilnych,
• pracy zdalnej,
• aplikacji SaaS,
• chmury,
• zasobów znajdujących się poza firmowym biurem.

Dlatego Microsoft opiera Conditional Access na podejściu Zero Trust, gdzie dostęp jest oceniany na podstawie określonych sygnałów i warunków, zamiast automatycznie ufać użytkownikowi tylko dlatego, że znajduje się w konkretnej sieci.

Entra ID staje się w takim modelu jednym z centralnych punktów podejmowania decyzji o dostępie.

Przykład dobrze skonfigurowanego środowiska

Firma posiada 50 pracowników korzystających z laptopów i Microsoft 365.

Zamiast pozwalać wszystkim użytkownikom logować się z dowolnego miejsca wyłącznie hasłem, można wdrożyć:

MFA

Każdy użytkownik posiada dodatkowy składnik uwierzytelniania.

Conditional Access

Dostęp do danych firmowych odbywa się według zdefiniowanych warunków.

Microsoft Intune

Laptopy są centralnie zarządzane i oceniane pod kątem zgodności.

Entra joined

Firmowe urządzenia posiadają swoją tożsamość w Entra ID.

Role administratorów

Administratorzy otrzymują uprawnienia odpowiednie do wykonywanych obowiązków.

SSO

Użytkownik wykorzystuje jedno firmowe konto do wielu systemów.

W rezultacie organizacja nie tylko ułatwia pracownikom logowanie, ale przede wszystkim uzyskuje centralną kontrolę nad tożsamościami i dostępem do danych.

Microsoft Entra ID Free, P1 i P2 – czym się różnią?

Microsoft oferuje kilka poziomów funkcjonalności Entra ID.

Microsoft Entra ID Free

Podstawowy poziom jest dostępny wraz z usługami Microsoft w chmurze i zapewnia m.in. podstawowe zarządzanie użytkownikami i grupami, synchronizację katalogu oraz SSO do usług i aplikacji.

Microsoft Entra ID P1

P1 rozszerza możliwości m.in. o bardziej zaawansowane zarządzanie dostępem i Conditional Access.

Microsoft Entra ID P1 znajduje się również w Microsoft 365 Business Premium.

Dla wielu małych i średnich firm jest to bardzo istotny argument za Business Premium, ponieważ Entra ID P1 w połączeniu z Intune umożliwia budowę znacznie bardziej dojrzałego modelu zarządzania urządzeniami i dostępem.

Microsoft Entra ID P2

P2 rozszerza P1 m.in. o bardziej zaawansowane funkcjonalności związane z ochroną tożsamości i uprzywilejowanym dostępem.

Pełne możliwości Microsoft Entra ID Protection oraz Privileged Identity Management wymagają P2 lub odpowiednich dodatkowych licencji.

Dlatego różnica pomiędzy P1 i P2 nie sprowadza się do „większej liczby ustawień”.

P2 jest szczególnie interesujące w organizacjach posiadających bardziej rozbudowane wymagania dotyczące:

• bezpieczeństwa kont administratorów,
• wykrywania ryzykownych logowań,
• zarządzania uprzywilejowanym dostępem,
• governance,
• kontroli ryzyka tożsamości.

Czy każda firma potrzebuje Microsoft Entra ID P2?

Nie.

Dla wielu małych i średnich organizacji Entra ID P1 zawarte w Microsoft 365 Business Premium zapewnia już bardzo istotne możliwości związane z Conditional Access oraz zarządzaniem tożsamością.

P2 warto rozważyć wtedy, gdy organizacja potrzebuje bardziej zaawansowanego zarządzania ryzykiem tożsamości i dostępem uprzywilejowanym.

W praktyce wybór powinien być następstwem analizy ryzyka, a nie zasady:

droższa licencja zawsze oznacza właściwsze rozwiązanie.

Najczęstsze błędy przy konfiguracji Microsoft Entra ID

Samo posiadanie Entra ID nie oznacza jeszcze, że środowisko jest bezpieczne.

Brak MFA

To jeden z najbardziej podstawowych problemów.

Firmowe konta chronione wyłącznie hasłem są znacznie bardziej podatne na skutki phishingu i przejęcia poświadczeń.

Wszyscy administratorzy posiadają zbyt szerokie uprawnienia

Zamiast wykorzystywać konkretne role, administratorzy otrzymują Global Administrator.

To niepotrzebnie zwiększa zakres potencjalnego incydentu.

Brak Conditional Access

Firma posiada Business Premium i Entra ID P1, ale funkcjonalność nie została poprawnie wdrożona.

W efekcie organizacja płaci za możliwości, z których faktycznie nie korzysta.

Brak kont awaryjnych

Źle zaprojektowana polityka Conditional Access może w skrajnym przypadku zablokować również administratorów.

Dlatego konfigurację dostępu należy projektować i testować ostrożnie, a nie tworzyć reguły bez planu awaryjnego.

Brak kontroli nad urządzeniami

MFA chroni proces logowania, ale nie odpowiada na pytanie:

czy urządzenie, z którego użytkownik uzyskuje dostęp, jest bezpieczne?

Dlatego w wielu środowiskach Entra ID warto łączyć z Intune.

Brak regularnego przeglądu kont

Z czasem mogą pozostać:

• nieużywane konta,
• stare konta gości,
• niepotrzebne role administracyjne,
• dostęp do aplikacji, którego pracownik już nie potrzebuje.

Zarządzanie tożsamością jest procesem ciągłym, a nie jednorazową konfiguracją.

Czy Microsoft Entra ID jest potrzebne małej firmie?

Bardzo często tak.

To, że firma posiada 10, 20 czy 50 pracowników, nie oznacza, że problem zarządzania tożsamością nie istnieje.

Nawet w małej organizacji warto wiedzieć:

• kto posiada konto,
• kto może uzyskać dostęp do danych,
• kto jest administratorem,
• z jakich urządzeń można się logować,
• czy MFA jest wymagane,
• jakie aplikacje wykorzystują pracownicy,
• co dzieje się z dostępem po odejściu pracownika.

Im więcej usług przenoszonych jest do chmury, tym większego znaczenia nabiera właśnie tożsamość użytkownika.

Entra ID jako fundament Microsoft 365

W wielu firmach Microsoft 365 jest postrzegany przede wszystkim jako:

Word + Excel + Outlook + Teams.

Z perspektywy administratora równie ważna jest jednak warstwa znajdująca się pod tymi aplikacjami.

To Microsoft Entra ID odpowiada za to, kto może uzyskać do nich dostęp i w jaki sposób potwierdza swoją tożsamość.

Dlatego prawidłowo skonfigurowane Entra ID jest jednym z fundamentów bezpieczeństwa całego środowiska Microsoft 365.

Podsumowanie – co daje Microsoft Entra ID?

Microsoft Entra ID centralizuje zarządzanie tożsamością i dostępem w organizacji.

Może odpowiadać m.in. za:

• użytkowników i grupy,
• logowanie do Microsoft 365,
• dostęp do aplikacji SaaS,
• Single Sign-On,
• MFA,
• urządzenia,
• Conditional Access,
• role administratorów,
• integrację z lokalnym Active Directory,
• uwierzytelnianie bezhasłowe,
• a w bardziej zaawansowanych wariantach również ochronę tożsamości oraz zarządzanie dostępem uprzywilejowanym.

Największa wartość Entra ID pojawia się jednak wtedy, gdy firma nie traktuje go wyłącznie jako miejsca, w którym tworzy się użytkowników Microsoft 365.

Odpowiednio zaprojektowane środowisko pozwala przejść od modelu:

„znam hasło, więc mam dostęp”

do modelu:

„wiemy, kim jesteś, z jakiego urządzenia się łączysz, do czego chcesz uzyskać dostęp i czy spełniasz określone wymagania bezpieczeństwa”.

I właśnie dlatego zarządzanie tożsamością staje się obecnie jednym z najważniejszych elementów cyberbezpieczeństwa firmy.