Azure Lighthouse: de ce organizația unui MSP nu este același lucru cu un tenant

Azure Lighthouse este modelul documentat de Microsoft prin care un furnizor de servicii gestionate poate lucra cu resursele Azure ale multor clienți din propriul tenant, fără a fuziona directorul niciunui client în cel al MSP-ului. Microsoft numește acest lucru gestionarea delegată a resurselor Azure: un client deleagă anumite abonamente sau grupuri de resurse către utilizatori și roluri specificate din tenantul MSP-ului și poate revoca acest acces independent, în orice moment.

Cum funcționează de fapt delegarea

În esență, integrarea unui client creează două resurse în interiorul tenantului clientului: o definiție de înregistrare, care descrie ce acces este acordat și cui, și o atribuire de înregistrare, care o activează. Când cineva din tenantul MSP-ului încearcă să acționeze asupra unei resurse delegate, Azure Resource Manager autentifică acea cerere la fel cum autentifică o cerere de la un utilizator nativ din tenantul clientului — utilizatorul MSP nu are nevoie niciodată de un cont în directorul clientului și nu devine niciodată coproprietar al acestuia. Clienții păstrează vizibilitatea asupra a ceea ce a fost delegat și pot vedea acest lucru din propriul portal.

De ce se confundă terminologia

Ghidul oficial al Microsoft este explicit că „organizație” și „tenant” nu sunt interschimbabile: o singură organizație comercială — un singur brand, o singură entitate juridică — poate acoperi mai mulți tenanți Microsoft Entra, câte unul per client, per mediu sau per achiziție. Lighthouse este construit în jurul acestei realități, nu împotriva ei: permite unei organizații să opereze între tenanți, păstrând în același timp fiecare tenant ca o graniță strictă pentru identitate și acces. Prăbușirea acestei distincții — tratarea „organizației noastre” ca și cum ar fi un singur tenant — este greșeala pe care arhitectura Lighthouse este concepută să o prevină, nu doar să o documenteze.

Pentru MSP-urile care construiesc sau cumpără instrumente multi-tenant de orice fel, Azure Lighthouse este un punct de referință util: accesul delegat și revocabil într-un tenant separat este un design diferit și, în general, mai sigur decât gruparea mai multor clienți sub un singur director partajat și diferențierea lor cu indicatori la nivel de aplicație. Distincția este arhitecturală, nu o etichetă de conformitate — merită verificată în modelul real de acces al oricărui furnizor, nu doar în materialele sale de marketing.

Surse: Microsoft Learn — Ce este Azure Lighthouse?, Microsoft Learn — Tenanți, utilizatori și roluri în Azure Lighthouse.