ההבדל בפסקה אחת
Active Directory הוא שירות ספריה שרץ על שרת שבבעלותכם. הוא מאמת משתמשים, מחזיק קבוצות והרשאות, ואוכף הגדרות דרך Group Policy. הוא זקוק לבקר תחום (domain controller), עדכוני אבטחה, גיבויים ומישהו שמבין בו.
Microsoft Entra ID הוא אותו רעיון, רק כשירות ענן. הוא משתמש בפרוטוקולי כניסה מודרניים, מתחבר ישירות ל-Microsoft 365, והוא שכבת הזהות שעליה Microsoft בונה כיום את בקרות האבטחה שלה[1]. אין שרת, אין מה לעדכן ואין מה לגבות.
| Active Directory | Entra ID | |
|---|---|---|
| היכן זה רץ | שרת במשרד שלכם | הענן של Microsoft |
| הגדרות מכשיר | Group Policy | Intune |
| נדרש שרת | כן, בקר תחום | לא |
| עדכוני אבטחה וגיבוי | באחריותכם | באחריות Microsoft |
| עלות | שרת, רישיון Windows, רישיונות לקוח | כלול ב-Microsoft 365 |
| איפוס סיסמה עצמי | מוצר נוסף | כלול |
| Conditional Access | לא זמין | עם Entra ID P1 |
| תמיכה באפליקציות ישנות | מובנית | דרך Application Proxy או Domain Services |
מתי Active Directory עדיין מצדיק את מקומו
Entra ID הוא התשובה הנכונה לרוב העסקים הקטנים. Active Directory עדיין הגיוני במספר מקרים אמיתיים:
| מצב | מה לעשות |
|---|---|
| הכול Microsoft 365 ואפליקציות ענן אחרות | Entra ID בלבד |
| שרת קבצים או שרת הדפסה מקומי עדיין בשימוש | להשאיר AD עד שהשירותים האלה עוברים |
| אפליקציה שיודעת להתאמת רק דרך LDAP | להשאיר AD, או להשתמש ב-Entra Domain Services |
| ציוד רשת תעשייתי או מבודד | להשאיר AD, להריץ היברידי |
| עסק חדש, שום דבר עדיין לא הותקן | Entra ID, בלי לקנות שרת |
רוב העסקים במעבר מריצים את שניהם במקביל. Entra Connect מסנכרן משתמשים, קבוצות וגיבובי סיסמאות מ-Active Directory אל Entra ID, כך שאנשים נכנסים פעם אחת עם קבוצת פרטים אחת, בזמן שהשירותים המקומיים עדיין קיימים[2]. מצב היברידי כזה הוא נורמלי למשך 6 עד 12 חודשים, ולא כישלון.
מה שאתם מקבלים ו-Active Directory לא יכול לתת
Conditional Access
זו הסיבה לעבור. Conditional Access בוחן מי מתחבר, מאיפה, מאיזה מכשיר ובאיזו רמת סיכון, ואז מחליט האם לאפשר, לאתגר או לחסום[3]. Group Policy יכול להגביל מהיכן מישהו מתחבר. הוא לא יכול לקבל החלטה דינמית כזו על סמך תאימות המכשיר, המיקום והסיכון ברגע הכניסה עצמה.
איפוס סיסמה עצמי
איפוס סיסמאות היא בקשת התמיכה הנפוצה ביותר ברוב העסקים הקטנים. Entra ID כולל איפוס עצמי, והנחיית הפריסה של Microsoft עצמה מתייחסת לזה כפריסה סטנדרטית ולא כפרויקט נוסף[4]. ב-Active Directory זה דורש מוצר נוסף ורישיון נוסף.
כניסה ללא סיסמה
Entra ID תומך במפתחות גישה (passkeys), ב-Windows Hello ובמפתחות אבטחה מסוג FIDO2 כשיטות כניסה לגיטימיות, כך שחשבון יכול להתקיים בלי סיסמה שאפשר לגנוב[5]. Active Directory זקוק לסיסמה. זו לא בחירת תצורה.
מצב המכשיר כקלט להחלטת גישה
Intune מדווח האם מכשיר רשום, מוצפן, מעודכן ותואם, ו-Conditional Access יכול לדרוש תאימות לפני מתן גישה[6]. Active Directory יודע רק שהמכשיר נמצא ברשת. זו הצהרה הרבה יותר חלשה.
מה זה עולה עבור 15 אנשים
| שורה | Active Directory | Entra ID עם Microsoft 365 |
|---|---|---|
| חומרת שרת | 3,000-5,000 אירו חד פעמי | 0 אירו |
| רישיונות Windows Server ולקוח | 1,200+ אירו חד פעמי, בתוספת לכל משתמש | 0 אירו |
| גיבוי לבקר התחום | 40-60 אירו לחודש | 0 אירו |
| עדכונים ותחזוקה | 4-8 שעות בחודש | 0 אירו |
| MFA ואיפוס עצמי | מוצרים נוספים | כלול |
| Conditional Access | לא זמין | Entra ID P1 |
Entra ID מגיע עם כל תוכנית עסקית של Microsoft 365; שכבת ה-Conditional Access היא Entra ID P1, שנמכרת כתוספת וגם כלולה ב-Microsoft 365 Business Premium[7][8]. על פני שלוש שנים, בקר תחום עבור צוות של 15 אנשים עולה כמה אלפי € בחומרה, רישיונות ותחזוקה, כדי לספק פחות ממה שאתם כבר משלמים עליו ברישיון הקיים.
תהליך המעבר, בסדר שבו הוא באמת קורה
| שלב | מה קורה | זמן משוער |
|---|---|---|
| 1 | Entra Connect מסנכרן את המשתמשים הקיימים שלכם | 1-2 ימים |
| 2 | איפוס סיסמה עצמי עולה לאוויר | יום 1 |
| 3 | מדיניות Conditional Access עולה במצב דיווח בלבד, ואז נאכפת | 1-2 ימים |
| 4 | שיתופי קבצים עוברים ל-SharePoint ול-OneDrive | 1-4 שבועות |
| 5 | שרת הדפסה מוחלף בהדפסה מהענן | כשבוע |
| 6 | אפליקציות פנימיות שנותרו מתפרסמות דרך Application Proxy | 1-2 שבועות |
| 7 | בקר התחום מוצא משימוש | יום 1 |
שלבים 1 עד 3 בדרך כלל מתבצעים בתוך החודש הראשון, כי הם מוסיפים יכולת בלי להסיר שום דבר. שלבים 4 עד 6 לוקחים כמה חודשים ועוסקים בעיקר בהעברת קבצים והרגלים. Application Proxy הוא מה שמאפשר את שלב 6: הוא מפרסם אפליקציית אינטרנט פנימית דרך Entra ID בלי לפתוח פורט בחומת האש ובלי לדרוש VPN[9]. אם אפליקציה באמת לא יכולה לעבוד בשום דרך אחרת, Entra Domain Services מספק ספריה מנוהלת ב-Azure שדוברת LDAP ו-Kerberos, בעלות חודשית ששווה לבדוק לפני שמתחייבים אליה[10].
שלב 7 אינו דחוף. הוא קורה כשהחומרה מגיעה לסוף חייה ופשוט לא מחליפים אותה.
בפועל
אם אתם מתחילים עסק היום, אל תקנו שרת. Entra ID כלול ברישיון שאתם צריכים ממילא, והוא עושה יותר ממה שבקר תחום אי פעם עשה.
אם אתם כבר מריצים Active Directory, המעבר אינו דחוף אבל הוא חד-כיווני. התחילו עם Entra Connect ו-Conditional Access, ואז תנו לכל שירות מקומי לעבור כשהוא מגיע לחידוש. אם תרצו את הרצף הזה ממופה מול מה שיש לכם בפועל בארון, קבעו שיחה חינם של 30 דקות.