Azure Lighthouse: dlaczego organizacja MSP to nie to samo co dzierżawa

Azure Lighthouse to udokumentowany wzorzec Microsoftu, który pozwala dostawcy usług zarządzanych pracować na zasobach Azure wielu klientów z poziomu własnej dzierżawy, bez scalania katalogów klientów z katalogiem MSP. Microsoft nazywa to delegowanym zarządzaniem zasobami platformy Azure: klient deleguje określone subskrypcje lub grupy zasobów do wskazanych użytkowników i ról w dzierżawie MSP, a dostęp ten może w każdej chwili samodzielnie cofnąć.

Jak faktycznie działa delegowanie

Od strony technicznej dołączenie klienta tworzy w jego własnej dzierżawie dwa zasoby: definicję rejestracji, która opisuje, jaki dostęp jest przyznawany i komu, oraz przypisanie rejestracji, które ten dostęp aktywuje. Gdy użytkownik z dzierżawy MSP próbuje wykonać działanie na delegowanym zasobie, usługa Azure Resource Manager uwierzytelnia to żądanie tak samo, jak uwierzytelniałaby żądanie użytkownika natywnego dla dzierżawy klienta — użytkownik MSP nigdy nie potrzebuje konta w katalogu klienta i nigdy nie staje się jego współwłaścicielem. Klienci zachowują wgląd w to, co zostało delegowane, i mogą to zobaczyć we własnym portalu.

Dlaczego terminologia bywa myląca

Własne wytyczne Microsoftu jasno mówią, że „organizacja” i „dzierżawa” nie są pojęciami zamiennymi: jedno przedsiębiorstwo — jedna marka, jeden podmiot prawny — może obejmować wiele dzierżaw Microsoft Entra, po jednej na klienta, na środowisko lub na przejętą firmę. Lighthouse jest zbudowany wokół tej rzeczywistości, a nie wbrew niej: pozwala jednej organizacji działać w wielu dzierżawach, zachowując przy tym każdą dzierżawę jako twardą granicę tożsamości i dostępu. Zacieranie tego rozróżnienia — traktowanie „naszej organizacji” tak, jakby była jedną dzierżawą — to błąd, któremu architektura Lighthouse ma zapobiegać, a nie tylko go dokumentować.

Dla dostawców MSP, którzy budują lub kupują jakiekolwiek narzędzia wielodzierżawne, Azure Lighthouse jest użytecznym punktem odniesienia: delegowany, odwoływalny dostęp do osobnej dzierżawy to inny — i zwykle bezpieczniejszy — projekt niż łączenie kilku klientów w jednym współdzielonym katalogu i rozróżnianie ich za pomocą flag na poziomie aplikacji. To rozróżnienie ma charakter architektoniczny, a nie jest etykietą zgodności — warto je sprawdzić w rzeczywistym modelu dostępu każdego dostawcy, a nie tylko w materiałach marketingowych.

Źródła: Microsoft Learn — Czym jest Azure Lighthouse?, Microsoft Learn — Dzierżawy, użytkownicy i role w Azure Lighthouse.