Microsoft Entra ID'yi zaten biliyorsanız, bu kılavuz kavramları, mimariyi ve iş akışlarını Alibaba Cloud RAM ile eşleştirerek benzer özellikleri bulmanıza ve terminoloji farklarından kaynaklanan kafa karışıklığını önlemenize yardımcı olur.
Bu kılavuza neden ihtiyacınız var
RAM ve Microsoft Entra benzer hedeflere sahip olsa da terminoloji ve mimari açısından farklılık gösterirler. Azure deneyiminizi doğrudan uygulamak kafa karışıklığına yol açabilir. Üç yaygın örnek şunlardır:
"Rol" farklı anlamlara gelir: Azure'da rol, izinlerin bir koleksiyonudur. Alibaba Cloud'da ise RAM rolü, diğer kimliklerin üstlendiği bir kimlik varlığıdır.
Birleşik ve ayrılmış kontrol: Azure, kimlik yönetimini (Microsoft Entra) kaynak erişim kontrolünden (Azure RBAC) ayırır. Alibaba Cloud RAM ise her ikisini tek bir hizmet içinde yönetir.
Hizmet sorumlusu kavramı yok: Alibaba Cloud'un programatik kimlik türü olarak ayrılmış bir hizmeti yoktur. Bunun yerine, uzun süreli kimlik bilgileri için AccessKey içeren bir RAM kullanıcısı kullanılır veya geçici erişim için bir RAM rolü üstlenilir.
Bu kılavuz, kavramları ve senaryoları sistematik bir şekilde eşleştirerek Azure/Microsoft Entra'dan Alibaba Cloud erişim kontrolüne geçiş yaparken zihinsel bir model oluşturmanıza yardımcı olur.
Bu kılavuzda
Bu kılavuz şunları kapsar:
Ürün eşlemesi: Temel Azure hizmetlerinin Alibaba Cloud hizmetleriyle nasıl eşleştiği ve tasarım felsefelerinin nerede farklılaştığı.
Temel kavram eşlemesi: Kaynak hiyerarşileri, kimlik varlıkları ve izin modellerinin yan yana karşılaştırılması.
Senaryo rehberi: Kimlik doğrulama, hesaplar arası erişim, denetim ve geliştirme gibi yaygın Azure iş akışları için Alibaba Cloud eşdeğerleri.
Ürün eşlemesi
Aşağıdaki tabloda temel Microsoft Entra hizmetleri Alibaba Cloud eşdeğerleriyle eşleştirilmiştir.
|
|
|
|
|
|
||
|
RAM, bir hesap içindeki tüm kaynakları yönetmek için ilkeleri kullanır. İzin kavramı eşlemesi. |
||
|
|
||
|
|
Tasarım felsefesi farkları
Her iki platform da IAM sağlar ancak farklı mimari yaklaşımlar benimser:
Microsoft Entra ID, bağımsız bir kimlik hizmetidir. Bir Entra ID kiracısı, Azure kaynak aboneliklerinden ayrı olarak özel bir kimlik sınırı görevi görür. Kullanıcılar, uygulamalar ve erişim ilkeleri bu kiracı içinde bulunur.
Alibaba Cloud RAM, Alibaba Cloud hesabına dahildir. Hesap hem bir kimlik sınırı hem de bir kaynak sınırı olarak hizmet verir. RAM kullanıcıları, rolleri ve ilkeleri hesap kapsamı içinde tanımlanır; bu da kimlikler ile kaynaklar arasındaki ilişkiyi daha doğrudan hale getirir.
Temel kavram eşlemesi
Bu bölüm, kaynak mimarisi, kimlik varlıkları ve izin modelleri genelinde iki platform arasındaki terminolojiyi ve temel farkları eşleştirir.
Kaynak yönetimi mimarisi
Her iki platform da kaynakları bir hiyerarşi içinde düzenler ancak her düzeyin adları ve rolleri farklıdır.
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
-
Azure kaynak hiyerarşisi
Azure beş düzeyli bir hiyerarşi kullanır: kiracı > yönetim grubu > abonelik > kaynak grubu > kaynak. Kiracı kimlik sınırını oluşturur. Yönetim grupları, abonelikler arasında uyumluluğu zorunlu kılar. Abonelik, temel faturalama ve yalıtım birimidir.
-
Alibaba Cloud kaynak hiyerarşisi
Alibaba Cloud şu hiyerarşiyi kullanır: yönetim hesabı > klasör > üye hesap > kaynak grubu > kaynak. Yönetim hesabı Kaynak Dizininin sahibidir. Klasörler üye hesapları organize eder ve üye hesaplar kaynak yalıtım sınırlarıdır.
Temel farklar
Kimlik ve kaynak sınırları: Bir Entra ID kiracısı, kimlik verilerini (kullanıcılar, uygulamalar, ilkeler) yalıtır ve doğrudan Azure kaynaklarını içeremez. Bir Alibaba Cloud yönetim hesabı aynı zamanda bir Alibaba Cloud hesabıdır ve kaynakları doğrudan barındırabilir; ancak yönetim hesabı altında iş kaynakları oluşturulması önerilmez.
İsteğe bağlı Kaynak Dizini: Bir Azure aboneliği mutlaka bir kiracıya ve yönetim grubu hiyerarşisine ait olmalıdır. Alibaba Cloud'un Kaynak Dizini isteğe bağlıdır. Yönetim hesabı ve klasör hiyerarşisi yalnızca etkinleştirildikten sonra kullanılabilir hale gelir. Kaynak Dizini olmadan, bir hesap bağımsız bir üst düzey kapsayıcı olarak çalışır.
Kimlik kavramı eşlemesi
Aşağıdaki tabloda iki platform arasındaki kimlik varlıkları eşleştirilmiştir.
|
|
|
|
|
|
|
|
||
|
|
|
||
|
|
|
||
|
|
|
||
|
|
|
|
|
Temel farklar
İnsan kimliği tasarımı: Entra ID, insan ve programatik kimlikleri kesinlikle ayırır. RAM kullanıcısı ise genel amaçlı bir kimliktir; insan erişimi için konsol parolası ekleyebilir veya programatik erişim için AccessKey oluşturabilirsiniz.
Programatik kimlik tasarımı: Entra ID, uygulama kimlik doğrulaması için ayrılmış bir hizmet sorumlusuna sahiptir. Alibaba Cloud'da buna eşdeğer bir varlık türü yoktur. Hem RAM kullanıcıları (AccessKey ile) hem de RAM rolleri programatik iş yüklerine hizmet edebilir. Daha güvenli ve geçici erişim için bir program, uzun süreli AccessKey kullanmak yerine bir RAM rolü üstlenebilir.
Hesap yalıtımı farkları: Microsoft Entra ID, kiracılar arası misafir kullanıcıları (B2B işbirliği) destekler. Bir kiracı, başka bir kiracıdan bir kullanıcıyı misafir olarak kendi kaynaklarına erişmesi için davet edebilir. Alibaba Cloud RAM ise hesaplar arası misafir kimliklerini desteklemez. Bir RAM kullanıcısı, onu oluşturan Alibaba Cloud hesabına kesinlikle bağlıdır ve RAM kullanıcıları Alibaba Cloud hesapları arasında tamamen yalıtılmıştır. Alibaba Cloud A hesabıyla oturum açarsanız, Alibaba Cloud B hesabının RAM kullanıcılarını görüntüleyemez veya yönetemezsiniz. Bir RAM kullanıcısının hangi hesaba ait olduğunu doğrulamak için
acs:ram::<Account ID>:user/<Username>biçimini kullanan ARN'sini kontrol edin. Belirli bir RAM kullanıcısını yönetmek için onu oluşturan Alibaba Cloud hesabıyla oturum açın. Farklı sitelerdeki Alibaba Cloud hesapları da birbirinden bağımsızdır ve RAM kullanıcıları siteler arasında çalışmaz.
İzin kavramı eşlemesi
Aşağıdaki tabloda iki platform arasındaki izin kavramları eşleştirilmiştir.
|
|
|
|
|
|
||
|
|
||
|
|
||
|
|
||
|
|
Temel farklar
-
Roller ve ilkeler arasındaki anlamsal farklar
Bu en önemli kavramsal farktır. Azure rolü bir kimlik değil, izinlerin bir kapsayıcısıdır. Bir RAM rolü ise bir kimlik varlığıdır ve hareket etmeden önce üstlenilmesi ve bir ilke atanması gerekir. Azure'un "rol" olarak adlandırdığı şey, Alibaba Cloud'da "ilke" olarak adlandırılır.
-
İlke kapsamındaki farklar
Microsoft ekosistemi izinleri böler: Entra RBAC rolleri kiracı kaynaklarını (kullanıcılar, gruplar, uygulamalar) kontrol ederken Azure RBAC cloud kaynaklarını (VM'ler, depolama) kontrol eder. Alibaba Cloud ise birleşik bir model kullanır — tek bir RAM ilkesi, bir hesap altındaki tüm hizmetleri ve kaynakları kapsar. Bir RAM ilkesi, hizmet düzeyinden tek tek eylemlere ve kaynaklara kadar granülerlik sağlar.
Notİzin granülerliği Alibaba Cloud hizmetine göre değişir. RAM'i destekleyen Alibaba Cloud hizmetleri.
Senaryo rehberi
Bu bölüm, kimlik doğrulama, hesaplar arası erişim, denetim ve geliştirme için Azure/Microsoft Entra iş akışlarını Alibaba Cloud eşdeğerleriyle eşleştirir.
Kimlik doğrulama ve uygulama entegrasyonu
Her iki platform da MFA, kurumsal SSO ve uygulama entegrasyonunu destekler ancak tasarım ve uygulama açısından farklılık gösterirler.
|
|
|
|
|
|
|
|
|
|
|
|
|
||
|
|
|
||
|
|
|
||
|
|
|
|
|
|
|
|
Temel farklar
-
Kimlik birleşimi
Entra ID hem bir IdP hem de hizmet sağlayıcı (SP) olarak hareket edebilir. Alibaba Cloud RAM ise öncelikli olarak bir hizmet sağlayıcı olarak hareket eder ve kurumsal IdP'nize güvener.
-
Belirteç hizmetleri
Entra ID, OAuth 2.0 ve OIDC'yi yerel olarak destekleyen tek bir belirteç uç noktası kullanır. Alibaba Cloud ise bunu iki hizmete böler:
STS: Rol üstlenme ve rol tabanlı SSO için geçici güvenlik kimlik bilgileri yayınlıyor.
OAuth hizmeti: Resmi araçlar (Alibaba Cloud CLI gibi) ve RAM'de kayıtlı OIDC/OAuth uygulamaları için JWT erişim belirteçleri yayınlıyor.
Hesaplar/kiracılar arası erişim
Her iki platform da hesaplar arası erişimi (Entra ID'de kiracılar arası) destekler ancak farklı mekanizmalar kullanırlar.
|
|
|
|
|
|
|
|
||
|
|
|
||
|
|
|
Temel farklar
Entra ID'de, kiracılar arası erişim B2B işbirliğini kullanır: hedef kiracı harici bir kullanıcıyı misafir olarak davet eder, onu dizinine ekler ve roller atar. Bu işlem, hedef kiracıda kalıcı bir kimlik oluşturur.
Alibaba Cloud'da ise hesaplar arası erişim, hedef hesapta herhangi bir kimlik oluşturmadan rol üstlenmeyi kullanır. Bir kullanıcı veya program, hedef hesapta bir RAM rolünü geçici olarak üstlenmek için STS'yi (AssumeRole, AssumeRoleWithSAML veya AssumeRoleWithOIDC) çağırır.
RAM rol üstlenmenin ötesinde, Alibaba Cloud belirli ürünler için kaynak tabanlı hesaplar arası yetkilendirme (OSS Paket İlkesi veya Kaynak Paylaşımı gibi) de sağlar.
Günlük ve denetim
Her iki platform da operasyonel denetim ve günlük kaydı sağlar.
|
|
|
|
|
|
||
|
|
|
|
|
|
Temel farklar
Günlük kategorizasyonu: Entra ID, oturum açma günlüklerini denetim günlüklerinden ayırır. Alibaba Cloud ise tüm olayları ActionTrail'de birleştirir.
Denetim kapsamı: Entra ID denetim günlükleri yalnızca kimlik işlemlerini kapsar; cloud kaynak işlemleri ise Azure etkinlik günlüklerine gider. Alibaba Cloud ActionTrail ise RAM kimlik işlemleri ve cloud kaynak işlemlerinin her ikisini de tek bir hizmette kapsar.
Geliştirme ve SDK'lar
Her iki platform da geliştirme araçları ve SDK'lar sağlar.
|
|
|
|
|
|
|
|
||
|
|
|
||
|
|
|
||
|
|
|
|
Yalnızca bazı Alibaba Cloud OpenAPI işlemleri Bearer Token (erişim belirteci) kimlik doğrulamasını destekler. Kimlik bilgileri. Tüm Azure REST API ve Microsoft Graph işlemleri, Entra belirteç hizmetinden alınan erişim belirteçlerini kullanır.
Temel farklar
-
API mimarisi: Microsoft Entra tek bir giriş noktası kullanır — tüm kimlik, uygulama ve ilke işlemleri Microsoft Graph API üzerinden gerçekleştirilir. Alibaba Cloud RAM ise üç bağımsız API uç noktası kullanır:
IMS (Identity Management Service): Kimlik yaşam döngüsünü (kullanıcılar, gruplar), SSO yapılandırmasını ve OAuth uygulama kaydını yönetir.
RAM: İlke yönetimi ve yetkilendirme.
STS (Security Token Service): Rol üstlenme ve geçici kimlik bilgisi yayınlama.