Entra ID и безопасность

Entra ID: что это и зачем компании (бывший Azure AD)

Что такое Microsoft Entra ID (бывший Azure AD): идентичности, SSO, MFA, Conditional Access, B2B и лицензии Free, P1, P2 в Microsoft 365.

Tugelbay Konabayev, Marketing Specialist · 12 июня 2026 г.

Короткий ответ

Microsoft Entra ID - это облачный провайдер идентичностей для компании. Это переименованный Azure Active Directory: 11 июля 2023 года Microsoft объявила смену имени, но функциональность осталась прежней. Entra ID управляет учётными записями сотрудников, обеспечивает единый вход (SSO) в облачные приложения, защищает доступ через многофакторную аутентификацию (MFA), условный доступ (Conditional Access), создаёт гостевые учётки для подрядчиков, синхронизирует локальный Active Directory в облако и ведёт журнал всех входов и подозрительной активности.

Entra ID критична для безопасности компании: через неё проходит каждый вход в Microsoft 365 (почта, Teams, SharePoint, Power Platform), облачные приложения и локальные ресурсы (если настроена синхронизация). Без Entra ID нет защиты от фишинга и угонов учёток - это главный вектор атак на облако. Компании нужна Entra ID P1 (входит в Business Premium и E3) с MFA и условным доступом, чтобы защитить администраторов, финансистов и критичные приложения.

Ниже разберём, почему переименовали, что именно делает Entra ID, какие уровни лицензирования существуют (Free, P1, P2), как синхронизировать локальный Active Directory через Entra Connect, почему это критично для филиалов и распределённых команд в Казахстане, ЦА, Кавказе и Украине, и как это всё вмещается в Microsoft 365.

Переименование Azure AD в Microsoft Entra ID

Azure Active Directory (Azure AD) - это старое имя для инструмента управления идентичностями Microsoft. Продукт появился в начале 2010-х, когда основная задача была просто хранить каталог пользователей (поэтому и назывался Directory). За десять лет продукт вырос далеко за пределы каталога.

11 июля 2023 года Microsoft объявила переименование: Azure Active Directory переименована в Microsoft Entra ID. Это не переделка продукта, а переименование: все функции, API, лицензирование, архитектура остаются прежними.

Переименование нужно было из-за того, что продукт стал намного шире, чем каталог:

• SSO (Single Sign-On) - один вход для сотен облачных приложений;
• MFA (Multi-Factor Authentication) - многофакторная аутентификация;
• Conditional Access - умные политики доступа в зависимости от риска, места, устройства;
• Governance - управление правами доступа, утверждение запросов;
• Risk-based authentication - анализ рисков и автоматическая реакция;
• B2B / Guest Access - гостевые учётки для партнёров и подрядчиков;
• Hybrid identity - синхронизация с локальным Active Directory;
• Device management - управление мобильными устройствами и ПК;
• Sign-in и audit logs - полный журнал входов и активности.

Название «Azure AD» было неточным: это не облачный вариант локального AD, а отдельная облачная платформа управления идентичностями. Название «Entra» (новое имя семейства identity-сервисов Microsoft) лучше отражает, что это провайдер идентичностей для облака и гибридных сценариев.

Что изменилось для пользователей и администраторов?

Практически ничего. Если вы уже использовали Microsoft 365, Azure AD, Dynamics 365 или Power Platform - вы уже использовали то, что теперь называется Entra ID:

• Все пароли и учётные записи остались прежними;
• Лицензирование не изменилось;
• API и интеграции продолжают работать;
• Интерфейс админ-центра постепенно обновляется с новыми названиями;
• Сертификаты и ключи не требуют переделки.

Это чисто маркетинговое переименование, которое должно было подчеркнуть, что Entra ID - это провайдер идентичностей для облака, а не просто расширение локального Active Directory.

Что такое Microsoft Entra ID

Microsoft Entra ID - это облачный сервис управления идентичностями и доступом (Identity and Access Management, IAM). Думайте о ней как о главном охраннике Microsoft 365 и облачных приложений компании. Для бизнеса Entra ID - это критический слой, через который проходит каждый вход сотрудника в облако и каждое действие с данными.

Основная задача Entra ID:

Управлять тем, кто работает в компании (пользователи), в какие группы они объединены (группы), какие роли у администраторов, кто может входить в какие приложения и при каких условиях, как защитить вход от фишинга (MFA), как отслеживать все входы и подозрительную активность. Entra ID отвечает за то, чтобы правильные люди получали доступ к правильным ресурсам в правильное время, и никто больше.

Что управляет Entra ID:

1. Пользователи и группы - все учётные записи в компании, объединённые в группы (например, финансовый отдел, IT, руководство). Можно быстро добавить новых сотрудников, удалить уволенных, изменить группу при перемещении между отделами.

2. SSO (Single Sign-On) - когда сотрудник входит один раз с паролем в Entra ID, он автоматически попадает в Microsoft 365 (почта, Teams, SharePoint - подробнее в обзоре Microsoft 365), Dynamics 365, Power Platform, тысячи SaaS-приложений (Salesforce, Slack, Zoom и др.) без повторного ввода пароля. Это удобство для пользователя и огромный выигрыш для безопасности - не нужно много паролей, которые люди зарывают на листочке или переиспользуют.

3. MFA (Multi-Factor Authentication) - дополнительная проверка при входе (SMS, код из приложения, отпечаток пальца, Windows Hello, аппаратные ключи) для защиты от фишинга и угонов паролей. Это самая эффективная защита против самого частого вектора атак - компрометации пароля через фишинг. С MFA хакер не сможет войти, даже если украл пароль.

4. Conditional Access - умные политики, которые реагируют на ситуацию. Если сотрудник входит с нового устройства, не с офиса, поздно вечером или с рискованного места - требовать дополнительную проверку (MFA), заблокировать доступ к чувствительным приложениям (например, финансовые данные), разрешить только чтение. Это мощный инструмент для баланса удобства и безопасности - для внедрения его нужна практика, см. гайд по MFA и Conditional Access rollout.

5. Гостевой доступ (B2B) - приглашение подрядчиков, партнёров, консультантов как гостевых пользователей с ограниченным доступом к нужным ресурсам (например, папкам в SharePoint, чатам в Teams). Гостевая учётка может быть из другой компании, из gmail или просто email, не входящим в компанию. Можно легко управлять правами, отключить доступ в любой момент.

6. Синхронизация с локальным AD - если компания использует локальный Active Directory (для файлов, принтеров, локальных приложений), Microsoft Entra Connect Sync (или облегченная Cloud Sync для простых сценариев) синхронизирует пользователей в облако автоматически. Сотрудник входит в локальный AD, и одна и та же учётная запись работает везде - локально и в облаке. Это гибридный сценарий, очень распространённый в регионе.

7. Журналирование и мониторинг - каждый вход, каждое действие администратора, каждая подозрительная активность логируется для аудита и расследования инцидентов. Если произошла утечка или инцидент, можно восстановить, кто что делал, в какой момент. Это критично для соответствия требованиям законодательства (например, закона РК о персональных данных) и отраслевых регуляторов.

8. Управление правами - определение, кто какие роли может иметь, как утверждаются запросы на доступ, как управляются привилегированные учётки (Global Administrator и т.д.). В крупных компаниях нельзя просто дать всем админ-права - нужна система проверки, утверждения, ограничения по времени.

9. Risk-based authentication - анализ рисков при входе (необычное место, новое устройство, боты, аномальное поведение) и автоматическая реакция (потребовать MFA, заблокировать, требовать более строгую аутентификацию). Это относится к уровню P2 лицензирования.

Все это вместе - это фундамент безопасности Microsoft 365 и облака компании. Если Entra ID настроена слабо (нет MFA, нет условного доступа), то облако остаётся открытым для атак. Если правильно - то защита кратно улучшается. По данным Microsoft, многофакторная аутентификация блокирует более 99,9% атак с компрометацией учётных записей.

Уровни Free, P1, P2 и планы Microsoft 365

Entra ID предоставляется на разных уровнях, в зависимости от того, что нужно компании. Выбор уровня зависит от размера компании, архитектуры (облако vs гибрид), требований к безопасности и отраслевых регуляций.

Уровень	Что входит	Где входит в M365	Для кого
Entra ID Free	Управление пользователями, базовая синхронизация, базовый отчёт, API	Любая облачная подписка Microsoft (Microsoft 365, Azure)	Стартапы, всё в облаке, простая структура
Entra ID P1	Free + Conditional Access, гибкие политики MFA, гостевой доступ B2B, SSPR с обратной записью в локальный AD	Microsoft 365 Business Premium, E3	Средний и крупный бизнес, нужна защита от фишинга и гостевой доступ
Entra ID P2	P1 + Risk-based authentication (Identity Protection), PIM, Identity Governance, Access Reviews, управление жизненным циклом идентичностей	Microsoft 365 E5	Регулируемые отрасли, высокие требования безопасности, нужен governance

Расшифровка по планам Microsoft 365:

• Microsoft 365 Business Basic / Standard - Entra ID Free базовые функции (управление пользователями); подходит только для очень малых компаний без требований к MFA;
• Microsoft 365 Business Premium - Entra ID P1 включена: MFA, Conditional Access, гостевой доступ, управление привилегированными ролями; это оптимальный выбор для компаний среднего размера;
• Microsoft 365 E1 - Entra ID Free функции; для крупных организаций без требований к MFA и гостевому доступу;
• Microsoft 365 E3 - Entra ID P1 включена; стандарт для средних и крупных компаний в корпоративном сегменте, добавляет Power BI Pro и расширенные возможности управления;
• Microsoft 365 E5 - Entra ID P2 включена: полная функциональность governance, risk-based controls, управление жизненным циклом; для крупных компаний и регулируемых отраслей (финансы, здравоохранение, госсектор).

Практика выбора в регионе:

Большинству компаний среднего размера в Казахстане и регионе достаточно Business Premium или E3 (оба включают P1). Это даёт защиту от фишинга через MFA, управление гостевым доступом для подрядчиков, условный доступ для критичных приложений. P2 (входит в E5) нужен редко, в основном регулируемым организациям (финансы, здравоохранение, госсектор) или крупным компаниям с высокими требованиями к governance и управлению рисками.

Для лицензирования Microsoft 365 и подбора конкретного плана рекомендуется консультация с партнёром, который знает требования вашей компании, отрасли и стратегию бюджета.

Практические сценарии для компаний региона

Давайте разберём, как Entra ID решает реальные задачи компаний в Казахстане, ЦА, Кавказе и Украине:

Сценарий 1: Финансовая компания (Казахстан, 50 человек)

Компания занимается управлением инвестициями. У неё есть:

• Офис в Алматы (локальный AD для файлов с финансовыми данными);
• Филиал в Киеве (5 человек, работают с клиентами);
• Подрядчики-аналитики в разных странах.

Проблема: Финансовые данные очень чувствительны, кредиторы требуют защиты. Нужна MFA для всех, особенно для финансистов. Нужно синхронизировать локальный AD в облако, чтобы сотрудники входили везде с одной учётной записью. Подрядчики из других стран должны получить доступ к отчётам в SharePoint.

Решение Entra ID:

• Entra Connect синхронизирует 50 пользователей из локального AD в облако;
• MFA включена для всех администраторов (обязательно) и финансистов;
• Conditional Access требует MFA при входе в финансовые приложения, а также при входе не с офиса;
• Гостевой доступ B2B даёт подрядчикам из других стран доступ к папкам в SharePoint без создания локальных учётных записей;
• Логируются все входы и доступы для аудита (требование кредиторов);
• Используется Microsoft 365 E3 (включает Entra ID P1) - достаточно для финансовой компании среднего размера.

Результат: Финансовые данные защищены от фишинга (MFA), данные отвечают требованиям кредиторов (аудит), сотрудники работают удобно (одна учётная запись везде), подрядчики получили доступ без лишних администраторских действий.

Сценарий 2: Распределённая команда (Украина + Казахстан, 100 человек)

Компания производит ПО. У неё есть:

• Офис разработки в Киеве (60 человек);
• Офис поддержки в Алматы (30 человек);
• Удалённые разработчики в разных странах (10 человек).

Проблема: Сотрудники в Киеве иногда работают без электричества; в Казахстане нужен доступ к общей базе кода и документам; удалённые разработчики из 5 разных стран. Нужна единая структура управления.

Решение Entra ID:

• Один Microsoft 365 тенант для всех 100 человек;
• Киев и Алматы имеют локальные AD, оба синхронизируются в облачный Entra ID через Entra Connect;
• Удалённые разработчики приглашены как гостевые пользователи (B2B);
• MFA включена для администраторов и team leads;
• Conditional Access требует MFA при входе с неизвестного устройства;
• Данные хранятся в облаке (SharePoint, OneDrive), доступны везде;
• Если электричество в Киеве отключается, сотрудники продолжают работать через облако (Teams, документы);
• Бюджет: Microsoft 365 E3 для основных сотрудников (около 90 человек), Business Premium для удалённых (10 человек).

Результат: Команда работает как одна целое, несмотря на разные страны и часовые пояса. Облако обеспечивает надёжность во время перебоев с электричеством. Удалённые разработчики легко подключены без лишней административной нагрузки.

Сценарий 3: Государственное учреждение (Казахстан, 200 человек)

Учреждение подчиняется требованиям защиты данных (закон РК о персональных данных, отраслевые требования). Нужна строгая аудит-способность, управление привилегиями, ограничение доступа.

Проблема: Высокие требования к безопасности и соответствию, нужно логировать каждое действие администратора, нужны role-based access control (RBAC), нужна возможность быстро отключить доступ при уходе сотрудника.

Решение Entra ID:

• Microsoft 365 E5 (включает Entra ID P2) для всех сотрудников - для governance и risk-based controls;
• Privileged Identity Management (PIM) - администраторы получают привилегированные роли на ограниченное время (например, на 4 часа для плановой работы);
• Risk-based authentication (P2) - анализирует риск при каждом входе и требует дополнительные действия;
• Access Reviews - периодическая проверка, кто какие права имеет (каждые 3 месяца);
• Подробное логирование (audit logs) - каждое действие администратора записывается;
• Conditional Access policies - блокировка входов с неизвестных мест, требование MFA при входе во время нерабочих часов;
• Гостевой доступ отключен или очень ограничен (только для одобренных партнёров).

Результат: Соответствие требованиям законодательства, полная auditability (можно восстановить, кто что делал), управление привилегиями (админ не имеет постоянных прав, только по необходимости), защита от инсайдеров.

Таблица: возможности по уровням лицензирования

Вот подробнее, что именно отличает уровни:

Возможность	Free	P1	P2
Управление пользователями и группами	✓	✓	✓
SSO в облачные приложения	✓	✓	✓
Синхронизация с локальным AD	✓	✓	✓
Базовая аналитика и отчёты	✓	✓	✓
MFA (многофакторная аутентификация)	✓ (базово, через security defaults)	✓ (гибкие политики)	✓
Conditional Access (условный доступ)	✗	✓	✓
Гостевой доступ B2B	✗	✓	✓
SSPR (Self-Service Password Reset)	✗	✓	✓
PIM (Privileged Identity Management)	✗	✗	✓
Risk-based authentication	✗	✗	✓
Identity Governance	✗	✗	✓
Access Reviews	✗	✗	✓
Управление жизненным циклом идентичностей	✗	✗	✓

Практика компаний:

• Компания из 10-50 человек, всё в облаке - Business Premium: управление пользователями, MFA для администраторов, гостевой доступ (если есть подрядчики).
• Компания из 50-300 человек с локальным AD - E3: синхронизация через Entra Connect, MFA для всех, Conditional Access для критичных приложений.
• Компания с высокими требованиями к безопасности (финансы, МВД, больница) - E5: включает P2 с governance, риск-аналитикой, управлением привилегиями.

Гибридный сценарий: Entra Connect и локальный Active Directory

Многие компании в Казахстане, ЦА и Украине имеют гибридную архитектуру, потому что не все системы можно сразу перенести в облако:

• Локально: файл-серверы, принтеры, локальные приложения (может быть 1С для бухгалтерии, старые приложения), локальный Active Directory (AD);
• В облаке: Microsoft 365 (почта, Teams, SharePoint, Power Platform), облачные приложения, данные в OneDrive.

Сотрудник входит в локальный AD с одной учётной записью (для доступа к файлам и принтерам в офисе), но обычно нужно, чтобы он также входил в облако (Teams, SharePoint) с той же учётной записью, без отдельного пароля. Нет смысла поддерживать две разные учётные записи - это сложно, люди путаются, легче возникают ошибки.

Для этого существует Microsoft Entra Connect Sync (или облегченная Microsoft Entra Cloud Sync для новых развёртываний) - инструменты синхронизации, которые автоматически синхронизируют пользователей из локального AD в облачный Entra ID.

Как работает Microsoft Entra Connect Sync (или Cloud Sync):

1. Установка локального агента (для Connect Sync - на локальный сервер, обычно на domain controller; для Cloud Sync - облачный агент, не требует сложной инфраструктуры);
2. Синхронизация пользователей из локального AD в облачный Entra ID (автоматически, примерно каждые 30 минут или по расписанию);
3. Синхронизация групп, контактов, других атрибутов - вся структура компании отражается в облаке;
4. Управление паролями: пользователь меняет пароль локально - он синхронизируется в облако (или наоборот, в зависимости от конфигурации). Есть разные режимы: синхронизация хеша пароля, pass-through authentication, федерация с локальным сервером;
5. Запуск Conditional Access политик: когда пользователь входит в облачное приложение, Entra ID применяет политики MFA, условного доступа и т.д. Это работает, даже если пользователь синхронизирован из локального AD.

Типичный сценарий для региона:

Казахстанская компания с офисом в Алматы (локальные файлы, принтеры, 1С для бухгалтерии) и филиалом в Украине (Teams, SharePoint для совместной работы). Локально 100 пользователей синхронизируются в облачный Entra ID через Microsoft Entra Connect Sync (или Cloud Sync для более простых сценариев). Все сотрудники (локально + облако) входят с одной учётной записью: локально для файлов, в облаке для Teams и SharePoint. Синхронизация происходит автоматически - новый сотрудник в локальном AD появляется в облаке за полчаса. MFA защищает администраторов от фишинга.

Распределённая команда (Алматы, Киев, Баку) работает в одном Microsoft 365 тенанте, но локальный AD есть только в Алматы - остальные филиалы используют облачные учётные записи или синхронизируют из своего локального AD (если есть). Можно смешивать оба подхода.

Локальный Active Directory vs облачный Entra ID:

Многие руководители путают эти два продукта. Они служат разным целям:

• Локальный Active Directory (AD) - это сервер, который хранит учётные записи людей, групп, компьютеров в локальной сети. Используется для доступа к файлам, принтерам, локальным приложениям.
• Облачный Entra ID - это облачный сервис, который управляет идентичностями в облаке и облачных приложениях (Microsoft 365, SaaS).

Если компания имеет оба - Entra Connect синхронизирует между ними.

Две основные линии синхронизации:

1. Microsoft Entra Connect Sync (классический, полнофункциональный) - полная синхронизация, требует локального сервера, поддерживает все сценарии гибридной архитектуры.

2. Microsoft Entra Cloud Sync (новое поколение, рекомендуется для новых развёртываний) - облегченная облачная синхронизация, не требует полноценного локального сервера (работает через облачного агента). Microsoft рекомендует Cloud Sync для новых deployments, постепенно вытесняет Connect Sync. Преимущество: проще развёртывание для компаний с лёгкой гибридной архитектурой. Недостаток: пока не полностью функциональна как Connect Sync для сложных сценариев.

Почему Entra ID критична для безопасности

Главный вектор атак на облако - это фишинг и угон пароля: точку входа почти всегда даёт скомпрометированная учётная запись. Вот как типичный сценарий выглядит:

1. Сотрудник получает поддельное письмо: «Проверьте почту», «Подтвердите пароль», «Срочно обновите данные в системе» (выглядит как от Microsoft, Директора, HR, бухгалтерии);
2. Сотрудник нажимает на ссылку в письме, попадает на поддельный сайт (выглядит точно как настоящий, даже адрес похож);
3. Вводит свой пароль (или пароль украдён через утечку, покупка в даркнете, перебор);
4. Если нет MFA - хакер тут же входит в облако через Entra ID: почта открыта, файлы в SharePoint доступны, Teams скомпрометирован, Power BI с финансовыми данными, конкурентные материалы украдены;
5. Если есть MFA - хакер не может войти, потому что нужен второй фактор (код из приложения Authenticator, отпечаток пальца, аппаратный ключ, Windows Hello). Даже если украл пароль - входу помешает MFA.

Это основной риск для облака. Компании без MFA в Entra ID регулярно становятся жертвами:

• Украдены письма руководства (спуфинг для подрядчиков, раскрытие стратегии компании, договоры);
• Украдены финансовые данные из Power BI, SharePoint (бюджеты, переговоры, цены);
• Скомпрометированы локальные системы через синхронизированную учётную запись (если есть Entra Connect, хакер может выбраться из облака в локальную сеть);
• Распространен malware и вредоносные скрипты через Teams и OneDrive (заражение других пользователей);
• Созданы новые администраторские учётки для постоянного доступа (backdoor, что позволяет хакеру вернуться позже);
• Переведены деньги со счётов (если доступ к банк-сервисам через облако);
• Удалены важные данные (шантаж, требование выкупа).

Как Entra ID защищает:

1. MFA для администраторов - обязательно, это мишень номер один для хакеров. Если хакер не может войти как Global Administrator, ущерб сильно ограничен.

2. MFA для финансистов и HR - их учётки содержат данные о зарплате, документы, переводы денег, кадровые решения. Защитить их - означает защитить самые ценные данные компании.

3. MFA для критичных приложений - если финансовое приложение, HR-система, CRM требуют MFA при входе, это затрудняет выход из облака в случае взлома.

4. Conditional Access - требует дополнительную проверку, если что-то странное (новое место, время суток, неизвестное устройство, рискованный паттерн входа). Если сотрудник обычно входит из Алматы в 9 утра, а в 3 ночи входит из Москвы - это красный флаг, требуется дополнительная проверка.

5. Sign-in logs - каждый вход логируется в Entra ID, можно увидеть, был ли неудачный вход из странного места, и быстро реагировать. Если видим 100 неудачных входов подряд - это атака подбора пароля, нужно быстро сменить пароль или заблокировать учётку.

6. Risk-based authentication (P2) - Entra сама анализирует риск при каждом входе и автоматически требует действие (MFA, блокировка, более строгая аутентификация) без необходимости ручной настройки политик администратором.

Без Entra ID и без MFA - облако открыто для фишинга. Это не вопрос “может ли быть атака”, а вопрос “когда она будет”. Для начала защиты и baseline требований рекомендуется включить MFA на всех администраторов и финансистов в первую очередь.

Частые вопросы о покупке и интеграции Entra ID с M365

Перед тем как выбрать и покупать Entra ID, компании в регионе часто задают вопросы:

1. Нужно ли покупать Entra ID отдельно, или он уже входит в Microsoft 365?

Entra ID базовый уровень (Free) входит в любой Microsoft 365 план. Для MFA, Conditional Access и гостевого доступа нужна P1 - она входит в Business Premium и E3. Для риск-аналитики и governance нужна P2 - входит в E5. Отдельно лицензии на Entra ID покупают редко.

2. Если мы уже использовали Azure AD, нужны ли какие-то действия для переименования в Entra ID?

Нет. Это только переименование. Все существующие политики, пользователи, интеграции продолжают работать. Никаких действий на стороне компании не требуется. Дата переименования: 11 июля 2023 года.

3. Сколько времени занимает внедрение Entra ID + MFA в компании из 100 человек?

В зависимости от текущего состояния:

• Если всё уже в облаке (Microsoft 365) - MFA можно включить на администраторов за день;
• Если нужна синхронизация через Entra Connect - несколько дней на настройку и тестирование;
• Если нужен rollout MFA для всех 100 человек - 2-4 недели (волнами: администраторы, пилот-группа, остальные);
• Если нужны Conditional Access политики - ещё 1-2 недели на тестирование и fine-tuning.

4. Какой уровень Entra ID нужен для компании в Казахстане?

Для большинства компаний среднего размера (50-300 человек) достаточно P1 (входит в Business Premium или E3). Это даёт MFA, Conditional Access, гостевой доступ. P2 (входит в E5) нужен редко, в основном для регулируемых отраслей (финансы, госсектор, здравоохранение) или очень крупных компаний.

5. Можно ли использовать Entra ID для локального Active Directory?

Нет, Entra ID - это облачный сервис. Для синхронизации локального AD в облако используется Entra Connect. Для управления локальным AD остаётся локальный Active Directory (это отдельный сервер в сети).

6. Если у компании есть локальный AD, нужна ли Entra Connect?

Если компания использует локальный AD и Microsoft 365 облако одновременно - да, нужна Entra Connect, чтобы пользователи входили везде с одной учётной записью. Если всё уже в облаке - Entra Connect не нужна.

Entra ID для филиалов в Казахстане и регионе

Для распределённых компаний в регионе - Казахстане, Кыргызстане, Узбекистане, Азербайджане, Грузии, Армении и Украине - Entra ID решает несколько проблем:

1. Единый тенант для разных стран

Одна компания, филиалы в нескольких странах, один Microsoft 365 тенант. Все сотрудники (из Алматы, Бишкека, Киева, Тбилиси) входят в одну Entra ID:

• Одна база пользователей и групп;
• Единые политики безопасности (MFA, Conditional Access);
• Общие файлы в SharePoint (но с контролем доступа по группам);
• Единый журнал входов и аудита.

2. Гостевой доступ для подрядчиков

Региональные подрядчики, интеграторы, консультанты могут быть приглашены как гостевые пользователи в Entra ID (B2B):

• Подрядчик входит с собственной учётной записью (из его компании или gmail);
• Получает доступ к папкам в SharePoint, чатам в Teams, документам;
• Может быть заблокирован одной командой, без удаления из Entra ID;
• Может работать параллельно в нескольких тенантах (у нескольких клиентов).

3. Синхронизация локальных AD в разных странах

Если компания имеет локальные серверы в Казахстане, Украине, Кавказе:

• Каждый офис может иметь локальный AD (для файлов, принтеров);
• Все синхронизируются в единую облачную Entra ID через Entra Connect;
• Сотрудник из Алматы входит в локальный AD, попадает в Teams, используется общая база данных;
• Сотрудник из Киева - то же самое, одна учётная запись для всего.

4. Украина: спрос и сценарии

В Украине спрос на Entra ID очень высок (по Ahrefs июнь 2026: 200 поисков в месяц - крупнейший в регионе, в 6 раз выше, чем в Казахстане). Компании ищут:

• Защиту от фишинга и атак - MFA и Conditional Access критичны для любых компаний, работающих с облаком и удалённо. Украинские компании не исключение.
• Управление распределённой работой - сотрудники в разных городах и временных зонах, требуется надёжный доступ к данным независимо от локальной инфраструктуры. Облако обеспечивает высокую доступность.
• Синхронизацию с локальными системами - часть инфраструктуры может остаться локальной. Entra Connect позволяет синхронизировать в облако и работать, если локальный AD недоступен.
• Быстрый switchover между дата-центрами - если один регион дата-центра недоступен, сотрудники продолжают работать через другой регион.
• Управление гостевым доступом для подрядчиков, партнёров и команд-волонтёров - много подрядчиков, партнёров нужны на время проектов и инициатив.
• Готовность к AI-агентам - для быстрого масштабирования операций с ограниченным штатом. Entra ID управляет доступом к Copilot Studio и AI-агентам, которые могут помочь автоматизировать процессы.

Entra ID для украинских компаний - это инфраструктура для надёжной и безопасной работы распределённых команд.

5. Регион в целом: Ahrefs спрос

По данным Ahrefs (июнь 2026):

• Entra ID - UA 200/мес (самый высокий), KZ 30, AZ 30, GE 20, AM 20 (суммарно ~300/мес).
• Azure AD (старое имя) - поиски постепенно мигрируют на Entra ID, но ещё есть.
• MFA Microsoft 365 - спрос в UA выше, в KZ умеренный.

Окно возможности: в регионе это тема не объехана так, как на RU (там есть масса статей про Azure AD), что даёт возможность лидировать в поиске для KZ/UA с хорошим гайдом.

Процесс входа в Entra ID и типичное путешествие пользователя

Давайте разберём, как работает вход в облако через Entra ID, на примере реального дня сотрудника:

Утро. Сотрудник приходит в офис в Алматы.

1. Включает компьютер, входит в локальный AD своим паролем (это локальный вход в Windows, для доступа к файлам и принтерам);
2. Если компания использует Entra Connect - в фоне синхронизация обновляет его учётную запись в облаке;
3. Открывает браузер, идёт на outlook.com (веб-почта);
4. Entra ID требует пароль (ввод первого фактора);
5. Если включена MFA для финансистов - требует второй фактор (код из Authenticator, SMS, отпечаток);
6. Успешный вход - почта открыта;
7. Сотрудник открывает Teams - автоматический вход (SSO), без повторного ввода пароля;
8. Открывает SharePoint - опять автоматический вход.

День. Сотрудник работает из кофе-шопа.

1. Включает ноутбук, входит в облако (локальный AD неактуален);
2. Открывает Teams через веб-версию;
3. Entra ID видит, что вход из неизвестного места (не из офиса), могут быть данные GPS показывают другой город;
4. Если включена Conditional Access - требует дополнительное подтверждение (MFA с Authenticator);
5. Сотрудник подтверждает на телефоне;
6. Успешный вход - Teams открыт.

Вечер. Сотрудник приглашает подрядчика.

1. Сотрудник идёт в Microsoft 365 Admin Center, дает подрядчику гостевой доступ к папке в SharePoint;
2. Подрядчик получает приглашение на email;
3. Подрядчик кликает на ссылку в приглашении, входит со своего gmail или со своей компании Entra ID (если есть);
4. Entra ID подтверждает личность подрядчика через его существующий аккаунт;
5. Подрядчик получает доступ только к той папке, которую ему дали, в других местах доступа нет;
6. Компания может в любой момент отозвать доступ в Admin Center, не трогая саму учётную запись подрядчика.

Это типичный сценарий, который обрабатывает Entra ID каждый день для миллионов пользователей.

Типичные ошибки при внедрении Entra ID

1. Не включить MFA и считать, что пароля достаточно. Это главная ошибка. Пароли компрометируются через фишинг, утечки данных, перебор. Без MFA облако остаётся открытым. Большинство взломов облака начинаются с компрометации пароля. По данным Microsoft, MFA блокирует более 99,9% таких атак (источник - в конце гайда).

2. Дать всем Entra ID Free и забыть о гостевом доступе. Если у компании есть подрядчики, партнёры, консультанты - нужна P1 для B2B гостевого доступа. Иначе приходится создавать локальные учётные записи, что усложняет управление. Гостевой доступ - очень удобная и безопасная фишка: гость видит только то, что ему дали, нет админ-нагрузки на управление, доступ легко отозвать.

3. Настроить Microsoft Entra Connect Sync с паролем в открытом виде. Connect Sync синхронизирует пользователей между локальной и облачной Entra ID. Если настроить его неправильно - можно случайно экспортировать пароли. Нужно использовать secure методы аутентификации (managed identities или service account с ограниченными правами). На практике: часто можно увидеть компании, где пароль от Connect account хранится в примечаниях в Excel. Это плохо. Правильно - использовать Managed Identities в Azure или сервис-аккаунт с минимальными правами.

4. Не протестировать Conditional Access перед rollout. Если включить Conditional Access политику “блокировать все входы не с офиса” без тестирования - заблокируются все удалённые работники, все, кто работает из кофе-шопа. Сначала включить в report-only mode (режим отчёта, политика не блокирует, только логирует), потом включить для пилот-группы (50-100 человек), потом для всех. Это занимает 2-3 недели, но сохраняет облако от случайного lockout.

5. Не иметь break-glass аккаунта (emergency access). Если Conditional Access политика случайно заблокирует всех администраторов - нужен хотя бы один аккаунт, который может войти везде. Это break-glass аккаунт (аккаунт скорой помощи). Он не должен использоваться обычно, только в чрезвычайных ситуациях. Без него можно потерять доступ к тенанту полностью - и тогда спасает только звонок в техподдержку Microsoft (восстановление - несколько часов).

6. Игнорировать гибридный сценарий и синхронизацию. Если компания использует локальный AD - без Microsoft Entra Connect Sync (или Cloud Sync) пользователи имеют две разные учётные записи в разных местах: одну локально для файлов, одну в облаке для Teams. Путаница, управление-кошмар, утечки при смене пароля (человек меняет пароль локально, забывает обновить в облаке, потом не может войти в Teams). Нужно планировать синхронизацию с начала, сразу при покупке Microsoft 365. Если синхронизацию добавляют позже - это больно, требует миграции данных и переделки процессов.

7. Не обучить пользователей и не подготовить helpdesk. Если включить MFA без объяснения - пользователи будут звонить в поддержку с жалобами “не могу войти, это медленно, это сложно”. Нужна коммуникация, обучение, готовность helpdesk ответить на вопросы. На практике: за день до включения MFA отправить письмо с объяснением (“вот новая защита, вот как входить, вот номер справки для вопросов”), потом за час до включения - напоминание, потом каждый день первой недели - готовить helpdesk к звонкам (в первые дни их заметно больше обычного). Со второй недели - успокаивается.

8. Забыть про governance и регулярную проверку доступа. Сотрудник уходит, доступ закрыли. Но через год в компании 100 новых сотрудников, каждый имеет доступ к 10-20 ресурсам, никто не знает, кто куда имеет доступ. Нужна регулярная проверка (Access Review в Entra ID P2): каждые 3 месяца менеджер просит подтвердить, кто в его команде какие права имеет. Это предотвращает случайное скопление привилегий.

Куда идти дальше

Это гайд про основы - что такое Entra ID и зачем. Если вы уже знаете о Entra ID и готовы действовать, вот следующие шаги:

Немедленно: Включить MFA на всех администраторов (Global Administrator, Privileged Role Administrator). Это самый быстрый шаг с наибольшим эффектом: делается за день, без больших затрат.

Затем: Разработать план rollout MFA и Conditional Access - гайд про rollout: как делать поэтапно, как не заблокировать пользователей, как настроить break-glass accounts, как связать с тендером или закупкой. Этот гайд подробно описывает, как делать это безопасно.

Параллельно: Выбрать правильный Microsoft 365 план с нужным уровнем Entra ID - лицензирование Microsoft 365: какой план под какую компанию, как считать стоимость, гибкость управления. Для большинства компаний это Business Premium или E3 (включают P1).

Для регулируемых отраслей: Проверить security baseline для финансистов, госсектора, здравоохранения: что минимум настроить, чтобы соответствовать требованиям. Это включает Entra ID, MFA, Conditional Access, governance, logging.

Для современных компаний: Изучить AI-агенты в облаке без программистов - Copilot Studio и её интеграцию с Entra ID (управление доступом к знаниям, DLP-политики, governance данных).

Для автоматизации: Разобраться, какие 10 процессов можно автоматизировать в Power Automate - при чём здесь Entra ID: roles, approval workflows, гостевой доступ для системных процессов.

Полная экосистема: Прочитать обзор Microsoft 365 - архитектура, компоненты, сценарии использования для региона. Entra ID - только один кирпич, но фундаментальный.

Если у вас есть локальный Active Directory: Более подробно про синхронизацию и гибридные сценарии - как документы и учётные записи хранятся и синхронизируются между локалью и облаком через Microsoft Entra Connect Sync или Cloud Sync.

Для подбора лицензий и архитектуры: Обсудить вашу ситуацию - контакты: скажите число сотрудников, количество филиалов, требования к безопасности, наличие локального AD - поможем подобрать уровень Entra ID и план Microsoft 365.

Источники и границы

Фактические формулировки о Microsoft Entra ID опираются на официальные материалы:

• Новое имя Azure Active Directory (Microsoft Learn) — дата переименования (11 июля 2023), официальное объяснение, почему переименовали.
• Лицензирование Microsoft Entra ID (Microsoft Learn) — уровни Free, P1, P2, включение в планы Microsoft 365.
• Microsoft Entra Connect Sync (Microsoft Learn) — синхронизация с локальным Active Directory, гибридные сценарии.
• Что такое Entra ID (Microsoft Learn) — полное описание функций, концепции, сценарии использования.
• One simple action you can take to prevent 99.9 percent of attacks on your accounts (Microsoft Security Blog) — статистика «MFA блокирует более 99,9% атак с компрометацией учётных записей».

Гайд не публикует цены на лицензии (они меняются и зависят от региона, плана и числа пользователей), не заменяет подбор конкретной архитектуры под компанию и юридическую проверку требований (особенно для госсектора и персональных данных в Казахстане). Состав функций и планов может меняться - проверяйте актуальный состав на официальном сайте Microsoft. Данные о частоте поисковых запросов - Ahrefs, июнь 2026.

Следующий шаг

Если у вас уже есть пример отчета, выгрузка из 1С или спорные цифры между отделами, начните с короткого BI-разбора. Для коммерческого scope используйте Power BI/Fabric маршрут, а этот гайд оставьте как подготовку вводных.