Entra ID, Tenant, Dominio, Subscription – Guia Definitivo

Faala pessoal, 100%?

Quando se trata de tecnologia, entender os conceitos iniciais é tão ou até mais importante do que mergulhar em conceitos e cenários mais complexos. Pensando nisso, decidi escrever sobre o que é um Tenant, um Entra ID, um domínio e uma Subscription, não apenas definindo, mas trazendo uma visão mais simples de como cada componente trabalha no ecossistema da Microsoft.

A ideia é que a explicação te ajude a sedimentar esses conceitos, que, embora simples, fazem bastante diferença no dia a dia e até mesmo na definição e defesa de projetos!

A motivação de escrever sobre

Eu sei que é simples, que às vezes é apenas uma confusão por conta do dia a dia corrido, mas, a quantidade de pessoas que vejo sem o entendimento exato do que é um Tenant, de qual relação existe entre uma Sub do Azure e o Entra ID, só aumenta. E eu não culpo quem não entenda 100%, eu também levei um tempo pra juntar todas as peças do lego.

Embora rica, a documentação oficial não é clara e deixa vários conceitos mais complexos do que realmente são, muito provavelmente por conta de tradução automatizada e falta de exemplos reais.

Minha intenção aqui é mostrar como eu fiz pra entender melhor esses concetios utilizando o exemplo que eu criei pra me ajudar nos estudos. E fica a dica, não se prenda apenas a termos que a documentação trás, criei suas analogias e facilite seu processo de aprendizado.

O Condomínio Microsoft

O ecossistema de nuvem da Microsoft funciona com base em assinaturas. Pra você utilizar qualquer coisa (recurso, funcionalidade, produto…chame do que quiser), você precisa, obrigatoriamente, ter uma assinatura. E pra ter essa assinatura, você precisa de um espaço só seu.

Esse espaço (que logo menos você entederá que é seu Tenant) vive dentro do Condomínio Microsoft, que nada mais é do que um punhado de DataCenters espalhados pelo mundo onde cada recurso roda.

O seu lote no Condominio Microsoft – Seu Tenant

No Condomínio Microsoft, toda vez que alguém cria uma conta nova, um novo espaço é criado/comprado. Pense como você comprando um lote dentro de um condominio na sua cidade.

Esse lote ganha o nome técnico de Tenant, e ele sempre terá um identificador único chamado GUID, que é tipo um CEP, só que único para o seu Tenant. Como ninguém gosta de ficar lembrando de CEPs ou GUIDs, é preciso definir um nome para seu Tenant e, uma vez definido, a Microsoft entrega um endereço único, como SeuTenant.ONMICROSOFT.com, ou seja, o endereço do seu lote dentro do condomínio Microsoft. Esse endereço pode ser utilizado, mas não é uma boa prática mantê-lo como principal, afinal de contas, ninguém quer usar algo genérico.

Em resumo você pensar assim:

1. Para utilizar os serviços que estão no Condominio Microsfot, você precisa comprar um espaço nele
2. Esse espaço é seu Lote, seu Tenant
3. Esse Lote tem um CEP (GUID) padrão, mas ningúem gosta de lembrar de codigos, então…
4. Seu Tenant precisa de um endereço amigável, que você define dando um nome a ele e a Microsoft inclui o restante, o tal onmicrosoft.com

Mas e seu quiser ter um nome único para o endereço do meu lote, sem utilizar o padrão onmicrosoft.com? Ai entram os Dominio

O nome customizado do seu Lote – Dominios Customizaveis

Embora funcional, o endereço onmicrosoft.com não é bem ranqueado na internet e não passa credibilidade. Não por que o serviço não funcione bem, mas por é algo padrão e que no geral pode não possuir muita segurança ou ser utilizado por serviços genéricos que vão mais te pertubard o que ajudar.

É possível então trazer o nome da sua empresa, seu dominio customizado, e registra-lo, fazendo com que agora quando alguem quiser te encontrar, ele busque entraidbrasil.com.br ao invés de entraidbrasil.onmicrosoft.com. Por debaixo dos panos, lá no registro de cartório, seu lote continua com o endereço original sendo o onmicrosoft.com.br mas você tem a liberdade de divulga-lo com um ou mais endereços customizaveis que no final serão sempre linkados a esse original.

É como ter várias placas indicando diferentes endereços para chegar no mesmo local, seu Lote (Tenant).

O nome bonito para esses novos endereços é Dominio Cutomizado, e você por ter mais de 100 no mesmo Tenant. O sufixo onmicrosoft.com é chamado de Dominio de fallback e como o nome propõe, ele é o cara que responderá pelo endereço do lote caso seus dominios customizados sejam removidos.

A relação aqui é sempre 1:1, um dominio só pode estar atrelado a um Tenant.

O consumo dentro do seu Tenant

Ao criar um Tenant, a premissas é de que haverá uso dele. Para utilizar serviços dentro do Condominio Microsoft, é preciso pagar por isso, e para pagar, é preciso ter um local de cobrança. Aqui entram as Assinaturas do Azure (Subscriptions) e até mesmo as licenças do Microsoft 365. Vamos focar nas Assinatura do Azure por que elas são as que mais geram confusão.

Uma vez definido que você queria utilizar uma VM, ou qualquer outro recurso do Azure, mandatoriamente, você precisará de uma Assinatura. Essa Assinatura nada mais é do que uma comanda de consumo, tipo aquelas que usam em restaurante e vão anotando o que você consume. Na cloud Microsfot, a Assinatura combina todo o seu consumo e te cobra no final do mês e ela SEMPRE estará vinculada a seu Tenant. É como se fosse o Condominio Condiminio cobrando seu lote pela agua ou energia consumida no mês, mas ao invés de energia, você paga pelas VMs que subiu, pelos WebApps e outros recursos do Azure.

E se houveram equipe distintas que usam seu lote (Tenant), você consegue ter várias comandas (subscriptions) para cobrar exatamente o que cada equipe consumiu. Aqui vemos que um Tenant pode ter várias subscriptions atreladas a ele. A relação é 1:N, onde 1 Tenant pode ter várias Subscriptions.

O porteiro – Entra ID

Pra não virar bagunça, precisamos de alguem autorizando a entrada no seu lote e definido regras de uso, segurança e quem pode usar cada assinatura. Aqui é o Entra ID aparece!

O Entra é responsável por gerenciar os usuários do Seu Tenant, definir acessos atrás de politicas de acesso o RBAC e também aplicar regras de segurança a quem quer conectar no seu Tenant. É no Entra que você informar que para passar a portaria do seu Tenant, é preciso entregar dois metodos de atenticação, uma palavra chave (a senha) + um documento que prove que você é você (MFA).

Algo que muita gente não entende é que o Entra é único por Tenant. E ele governa tanto as cargas de trabalho do Microsoft 365 quando no Azure. No seu Tenant não existe um Porteiro para M365 e outro para Azure, é sempre a mesma entidade, um único Entra ID (um porteiro) governando o acesso a seu lote.

O resumo

No final, teremos o seguinte resumo:

A Microsoft é o condomínio, o seu Tenant é o lote, os Domínios são seus endereços customizados na entrada, o Entra ID é a porteiro e a Azure subscription é onde seu consumo do Azure é anotado para cobrar no final do mês. Tentei sintetizar isso na imagem abaixo:

No final, são conceitos simples que podem fazer TODA a diferença durante seus estudos e principalmente, garantir que seu conhecimento tenha base suficiente para suportar conteudos mais pesados e por consequencia mais complexos!

Espero que eu tenha cumprido meu objetivo inicial de escrever algo simples e entendível. Grande abraço \,,/