🎯 Mục tiêu chương
Sau chương này, học viên có thể:
- Hiểu vai trò của Microsoft Entra ID trong bảo mật Azure.
- Quản lý user, group, dynamic group và administrative unit.
- Thiết lập nền tảng xác thực và quản lý danh tính.
- Chuẩn bị tenant lab phục vụ toàn bộ khóa học AZ-500.
Azure Active Directory đã đổi tên hoàn toàn thành Microsoft Entra ID. Toàn bộ portal, CLI và tài liệu Microsoft đều dùng tên mới. Kỳ thi AZ-500 dùng tên Entra ID.
📚 Nội dung chi tiết
1.1 Tổng quan Microsoft Entra ID
- • Tenant: tổ chức độc lập trong Entra ID
- • Directory, domain, user, group
- • Azure Subscription ≠ Entra Tenant
- • Vai trò xác thực và phân quyền Azure
- • Entra ID → xác thực danh tính
- • Azure RBAC → phân quyền tài nguyên
- • Microsoft Defender → giám sát & bảo vệ
- • Một tenant có thể có nhiều subscriptions
| Thành phần | Vai trò | Ví dụ |
|---|---|---|
| Tenant | Đơn vị tổ chức, ranh giới bảo mật | contoso.onmicrosoft.com |
| User | Danh tính cá nhân, Member hoặc Guest | [email protected] |
| Group | Nhóm danh tính, gán role/policy đồng thời | GRP-AZ500-SecurityAdmins |
| Subscription | Đơn vị thanh toán, gắn với tenant | AZ500-Lab-Sub-01 |
1.2 Tenant, Domain & Cấu trúc danh tính
- • Default:
*.onmicrosoft.com - • Custom domain: xác thực DNS TXT record
- • Primary domain dùng cho UPN
- • Member: nội bộ tenant
- • Guest (B2B): mời từ ngoài
- • Internal user vs external collaboration
- • Security group
- • Microsoft 365 group
- • Dynamic security group
1.3 Administrative Units
Administrative Unit (AU) cho phép phân quyền quản trị theo phạm vi nhỏ hơn toàn bộ tenant — lý tưởng cho tổ chức nhiều chi nhánh hoặc phòng ban.
Quản trị viên chi nhánh Hà Nội chỉ quản lý user trong AU Hà Nội
IT Helpdesk chỉ reset password cho user trong AU phòng ban mình phụ trách
Admin khu vực APAC quản lý user trong phạm vi địa lý được giao
1.4 Password Protection & SSPR
- • Password policy: độ dài, độ phức tạp
- • Banned password list: chặn mật khẩu yếu phổ biến
- • Custom banned list: thêm từ khóa tổ chức
- • Áp dụng cho cả cloud và on-prem AD
- • User tự reset mật khẩu không cần IT
- • Authentication methods: email, phone, authenticator
- • Audit hoạt động reset mật khẩu
- • Password writeback cho on-prem AD
🧪 Lab trong chương
Chuẩn bị tenant, subscription, resource group và naming convention cho toàn khóa AZ-500.
Xem labTạo bộ danh tính mô phỏng doanh nghiệp: admin01, secops01, dev01, helpdesk01, auditor01 và các security group.
Xem labTự động hóa membership dựa trên thuộc tính user (Department). Rule dynamic membership.
Xem labTạo AU-AZ500-Security, gán user/group và phân quyền quản trị theo phạm vi phòng ban.
Xem lab✅ Checklist cuối chương
Hoàn thành chương 01 khi bạn đã nắm vững tất cả các mục sau: