Microsoft Entra là gì? Một bộ giải pháp toàn diện về bảo mật danh tính và quản lý quyền truy cập

Microsoft Entra là một bộ giải pháp bảo mật danh tính và quản lý quyền truy cập đa đám mây (Identity and Access Management – IAM) toàn diện của Microsoft, được thiết kế để giúp doanh nghiệp kiểm soát và bảo vệ việc truy cập vào ứng dụng, dữ liệu và tài nguyên CNTT. Microsoft Entra bao gồm nhiều sản phẩm “con”, trong đó nổi bật với Microsoft Entra ID, Microsoft Entra ID Governance, Microsoft Entra Internet Access,…

Thực tế cho thấy, danh tính số đang trở thành một trong những mục tiêu hàng đầu của các cuộc tấn công mạng. Do đó, bảo mật trong doanh nghiệp không còn chỉ tập trung vào hạ tầng mạng truyền thống, mà buộc phải mở rộng sang cả tài khoản người dùng, quyền truy cập ứng dụng và dữ liệu.

Bài toán này càng phức tạp hơn khi nhân viên làm việc từ nhiều địa điểm, nhiều ứng dụng và sử dụng nhiều thiết bị. Song song đó, phạm vi quản lý danh tính ngày nay cũng không còn giới hạn trong nội bộ tổ chức, mà còn cần đảm bảo quyền truy cập hợp lệ cho khách hàng, đối tác, các dịch vụ tự động hóa và gần đây là các AI Agent.

Trước những yêu cầu ngày càng “hóc búa” đó, Microsoft xây dựng Microsoft Entra – một hệ sinh thái sản phẩm tập trung vào quản lý danh tính, quyền truy cập và bảo mật trong doanh nghiệp.

Tuy nhiên, đây cũng là một “họ sản phẩm” tương đối phức tạp. Nó phức tạp từ cách đặt tên, định vị vai trò của từng giải pháp cho đến mô hình cấp phép.

Vì vậy, trong bài viết này, MM Technology hệ thống hóa lại những thông tin quan trọng về Microsoft Entra là gì. Đồng thời, chúng tôi sẽ giải thích các khái niệm liên quan theo hướng dễ hiểu nhất.

1. Microsoft Entra là gì?

Microsoft Entra là một bộ giải pháp bảo mật danh tính và quản lý quyền truy cập đa đám mây (Identity and Access Management – IAM). Nhiệm vụ chính là giúp doanh nghiệp xác minh đúng người, đúng thiết bị, đúng quyền khi vào ứng dụng và dữ liệu nói chung.

Trước đây, khi đề cập đến quản lý danh tính trên đám mây của Microsoft, đa số người dùng đều quen thuộc với thương hiệu Azure Active Directory (Azure AD). Tuy nhiên, vào tháng 7 năm 2023, Microsoft đã chính thức đổi tên Azure AD thành Microsoft Entra ID. Đồng thời, Microsoft mở rộng phạm vi sản phẩm để tạo nên bộ giải pháp Microsoft Entra hoàn chỉnh. Bên cạnh đó, Entra cũng là một phần trong hệ sinh thái giải pháp bảo mật Microsoft (Microsoft Security) rộng hơn.

Sự chuyển dịch này không đơn thuần là thay đổi tên gọi thương hiệu. Microsoft Entra đại diện cho một tầm nhìn bảo mật toàn diện hơn. Mục tiêu là bảo vệ mọi loại danh tính trên nhiều môi trường đám mây khác nhau như AWS, Google Cloud Platform (GCP) và các hệ thống tại chỗ (on-premises).

Vậy bạn có thể hiểu đơn giản là, Microsoft Entra không phải là một phần mềm đơn lẻ. Nó là cả một “họ sản phẩm” gồm nhiều sản phẩm “con” bên trong. Microsoft Entra ID là một sản phẩm “con” của nó.

Để dễ hình dung Microsoft Entra là gì, hãy xem nó như một lớp kiểm soát. Lớp này giúp doanh nghiệp xác định: ai đang truy cập, được phép truy cập tài nguyên nào và cần đáp ứng điều kiện bảo mật gì.

2. Microsoft Entra giúp doanh nghiệp giải quyết những thách thức nào?

Microsoft Entra giúp doanh nghiệp quản lý danh tính, kiểm soát quyền truy cập và giảm rủi ro bảo mật trong môi trường làm việc hiện đại. Giải pháp hỗ trợ xử lý nhiều vấn đề, như tài khoản bị xâm phạm, quá nhiều thông tin đăng nhập và quyền truy cập thiếu kiểm soát, v.v.

Dưới đây là những thách thức điển hình mà doanh nghiệp có thể gặp phải. Mức độ ưu tiên và giải pháp phù hợp sẽ phụ thuộc vào quy mô, hạ tầng, yêu cầu bảo mật cụ thể.

2.1 Tài khoản bị đánh cắp

Mật khẩu có thể bị đoán, bị lộ do sử dụng lại trên nhiều dịch vụ hoặc bị đánh cắp qua email giả mạo (phishing). Khi tài khoản nhân viên bị chiếm quyền, kẻ tấn công có thể lợi dụng quyền truy cập sẵn có. Chúng có thể đọc email, khai thác dữ liệu hoặc tiếp tục thực hiện các hành vi trái phép trong hệ thống doanh nghiệp.

Microsoft Entra cung cấp nhiều cơ chế bảo vệ danh tính như xác thực đa yếu tố (MFA), đăng nhập không mật khẩu và phát hiện rủi ro đăng nhập. Tùy theo giấy phép và chính sách được cấu hình, doanh nghiệp có thể yêu cầu xác minh bổ sung.

Bên cạnh đó, doanh nghiệp cũng có thể hạn chế hoặc chặn những phiên đăng nhập bất thường, qua đó giảm nguy cơ tài khoản bị sử dụng trái phép.

2.2 Quá nhiều ứng dụng và mật khẩu

Nhân viên thường phải sử dụng nhiều ứng dụng trong công việc như email, CRM, phần mềm kế toán, công cụ quản lý dự án và nền tảng họp trực tuyến. Khi mỗi ứng dụng có một tài khoản riêng, người dùng dễ đặt mật khẩu đơn giản hoặc dùng lại mật khẩu cũ. Trong khi đó, bộ phận IT phải xử lý thêm các yêu cầu đặt lại mật khẩu và quản lý tài khoản.

Microsoft Entra ID hỗ trợ đăng nhập một lần (SSO), cho phép người dùng truy cập nhiều ứng dụng được tích hợp thông qua một phiên đăng nhập.

Khi kết hợp với các khả năng quản lý danh tính phù hợp, doanh nghiệp có thể đơn giản hóa trải nghiệm đăng nhập và giảm khối lượng công việc quản trị tài khoản.

2.3 Khó kiểm soát truy cập từ xa

Nhân viên có thể làm việc tại văn phòng, ở nhà hoặc khi đi công tác. Trong khi ứng dụng và dữ liệu được lưu trữ trên cả nền tảng đám mây lẫn hệ thống tại chỗ. Trong môi trường này, chỉ dựa vào việc người dùng đã kết nối mạng nội bộ sẽ không đủ để bảo đảm mọi yêu cầu truy cập đều an toàn.

Microsoft Entra hỗ trợ xây dựng chính sách truy cập dựa trên danh tính, thiết bị và các tín hiệu rủi ro. Với những nhu cầu chuyên biệt, Microsoft Entra Private Access giúp kiểm soát kết nối đến các tài nguyên riêng tư theo chính sách được thiết lập.

2.4 Quyền truy cập “tích tụ” và khó kiểm toán

Khi nhân viên chuyển bộ phận, quyền truy cập cũ có thể chưa được thu hồi kịp thời. Tài khoản của người đã nghỉ việc hoặc quyền quản trị có phạm vi quá rộng cũng có thể tạo ra rủi ro bảo mật. Những trường hợp này còn gây khó khăn khi doanh nghiệp cần rà soát, giải trình quyền truy cập.

Microsoft Entra cung cấp các khả năng quản trị danh tính và quyền truy cập, trong đó Entra ID Governance hỗ trợ quản lý vòng đời danh tính, rà soát quyền và quy trình cấp quyền phù hợp. Privileged Identity Management (PIM) giúp doanh nghiệp kiểm soát quyền quản trị đặc quyền.

Chẳng hạn, người dùng chỉ kích hoạt quyền trong thời gian cần thiết thay vì duy trì quyền cao liên tục. Các khả năng này cần được triển khai theo giấy phép và chính sách tương ứng.

2.5 Khó quản lý quyền của khách hàng và đối tác

Doanh nghiệp thường cần chia sẻ tài nguyên với nhà cung cấp, nhà thầu, đại lý hoặc đối tác kinh doanh. Những người này chỉ nên được truy cập vào phạm vi công việc liên quan, thay vì mặc nhiên có quyền tương đương nhân viên nội bộ.

Song song đó, với doanh nghiệp phát triển ứng dụng cho khách hàng, việc tổ chức đăng ký, đăng nhập và quản lý tài khoản cũng đặt ra yêu cầu riêng về bảo mật và trải nghiệm sử dụng.

Microsoft Entra External ID hỗ trợ các kịch bản danh tính bên ngoài, bao gồm cộng tác với đối tác và xây dựng trải nghiệm danh tính cho khách hàng. Nhờ đó, doanh nghiệp có thể quản lý quyền truy cập của bên thứ ba một cách phù hợp với từng nhóm người dùng. Việc cấp và thu hồi quyền cũng được thực hiện theo nhu cầu hợp tác.

2.6 Ứng dụng và dịch vụ cần được quản lý danh tính

Không chỉ con người mới cần đăng nhập vào hệ thống. Các ứng dụng, script và dịch vụ chạy nền cũng cần truy cập API, cơ sở dữ liệu hoặc tài nguyên đám mây để làm việc tự động. Nếu thông tin xác thực bị quản lý lỏng lẻo, doanh nghiệp sẽ khó kiểm soát những danh tính này. Chẳng hạn, khóa bí mật có thể tồn tại quá lâu hoặc bị lưu không an toàn trong mã nguồn.

Microsoft Entra có giải pháp “con” tập trung quản lý và bảo vệ danh tính của ứng dụng, dịch vụ và các workload. Tùy kịch bản triển khai, doanh nghiệp có thể chọn cơ chế xác thực và kiểm soát quyền phù hợp. Nhờ đó, quyền truy cập của từng workload được giới hạn đúng phạm vi cần thiết.

2.7 AI Agent cần danh tính và quyền truy cập riêng

Khi AI Agent được giao nhiệm vụ đọc email, tổng hợp dữ liệu hoặc gọi API, doanh nghiệp cần xác định ba điều. Thứ nhất là agent nào đang hoạt động. Thứ hai là agent được phép truy cập tài nguyên nào. Thứ ba là ai chịu trách nhiệm quản lý.

Thực tế, agent có thể dùng chung danh tính hoặc thông tin xác thực với người dùng hay hệ thống khác. Khi đó, việc phân định quyền hạn và xử lý sự cố sẽ phức tạp hơn.

Vì vậy, Microsoft Entra có sản phẩm con là Agent ID. Sản phẩm này hướng đến việc quản lý danh tính cho AI Agent. Nhờ đó, doanh nghiệp từng bước đưa các tác nhân AI vào cơ chế quản trị danh tính và truy cập.

3. Những tính năng nổi bật của Microsoft Entra là gì?

Microsoft Entra có nhiều tính năng giúp doanh nghiệp bảo vệ tài khoản nhân viên và kiểm soát quyền truy cập vào hệ thống. Nổi bật gồm: đăng nhập một lần (SSO), xác thực đa yếu tố (MFA), truy cập có điều kiện (Conditional Access), bảo vệ danh tính (Identity Protection) và quản lý danh tính bên ngoài (External Identities).

Đây là những tính năng tiêu biểu trong hệ sinh thái Microsoft Entra. Khả năng sử dụng thực tế còn phụ thuộc vào sản phẩm cụ thể, giấy phép doanh nghiệp đang sở hữu và cách cấu hình hệ thống. Vì vậy, doanh nghiệp cần xác định nhu cầu bảo mật trước khi lựa chọn giải pháp phù hợp.

3.1 Đăng nhập một lần (Single Sign-On – SSO)

Trong công việc, nhân viên thường phải sử dụng nhiều phần mềm như email, CRM và công cụ quản lý dự án. Nếu mỗi phần mềm yêu cầu đăng nhập riêng, người dùng phải nhớ nhiều mật khẩu và bộ phận IT cũng mất thêm thời gian hỗ trợ khi phát sinh sự cố đăng nhập.

SSO giúp giải quyết vấn đề này bằng cách cho phép nhân viên dùng tài khoản công ty để truy cập nhiều ứng dụng đã được tích hợp. Chẳng hạn, sau khi đăng nhập Microsoft 365, nhân viên có thể mở hệ thống CRM mà không cần nhập lại thông tin tài khoản nếu ứng dụng đã được cấu hình SSO phù hợp.

Nhờ đó, doanh nghiệp có thể:

• Giảm số lượng mật khẩu nhân viên phải ghi nhớ
• Hạn chế các yêu cầu hỗ trợ liên quan đến đăng nhập
• Quản lý việc truy cập ứng dụng thuận tiện hơn khi kết hợp với quy trình cấp và thu hồi quyền

SSO chỉ hoạt động với các ứng dụng được hỗ trợ và cấu hình tích hợp. Khi nhân viên nghỉ việc, bộ phận IT vẫn cần thu hồi quyền truy cập trên những ứng dụng liên quan để tránh bỏ sót tài khoản.

3.2 Xác thực đa yếu tố (Multi-Factor Authentication – MFA)

Mật khẩu có thể bị lộ khi nhân viên truy cập vào trang web giả mạo hoặc sử dụng cùng một mật khẩu cho nhiều dịch vụ. Nếu chỉ dựa vào mật khẩu, doanh nghiệp sẽ khó bảo vệ tài khoản khi thông tin đăng nhập rơi vào tay kẻ gian.

MFA bổ sung một bước xác minh danh tính ngoài mật khẩu. Tùy theo phương thức được thiết lập, nhân viên có thể xác nhận đăng nhập qua ứng dụng Microsoft Authenticator, sử dụng khóa bảo mật hoặc passkey.

Chẳng hạn, dù kẻ gian biết mật khẩu của một nhân viên, chúng vẫn có thể bị ngăn truy cập nếu không đáp ứng được yêu cầu xác thực bổ sung.

MFA giúp doanh nghiệp:

• Giảm nguy cơ tài khoản bị chiếm đoạt khi mật khẩu bị lộ
• Tăng cường bảo vệ email và dữ liệu công việc
• Từng bước chuyển sang các phương thức đăng nhập không cần mật khẩu

Với tài khoản quản trị hoặc tài khoản có quyền truy cập dữ liệu quan trọng, doanh nghiệp nên ưu tiên các phương thức chống phishing như passkey hoặc khóa bảo mật FIDO2. MFA giúp tăng cường bảo mật nhưng không thể ngăn chặn mọi hình thức tấn công.

3.3 Truy cập có điều kiện (Conditional Access)

Không phải mọi lần đăng nhập đều có mức độ rủi ro như nhau. Nhân viên truy cập email trên máy tính công ty đã đáp ứng yêu cầu bảo mật có thể áp dụng một chính sách. Trường hợp đăng nhập từ thiết bị lạ hoặc có dấu hiệu bất thường cần áp dụng chính sách khác.

Conditional Access cho phép doanh nghiệp đặt ra các điều kiện trước khi cấp quyền truy cập. Dựa trên người đăng nhập, ứng dụng đang sử dụng, tình trạng thiết bị và các tín hiệu rủi ro, hệ thống có thể cho phép truy cập, yêu cầu xác minh thêm hoặc chặn đăng nhập.

Doanh nghiệp có thể áp dụng tính năng này để:

• Yêu cầu MFA khi truy cập các ứng dụng quan trọng
• Hạn chế truy cập từ thiết bị không đáp ứng yêu cầu bảo mật
• Đặt quy định nghiêm ngặt hơn đối với tài khoản quản trị

Trước khi áp dụng chính sách chính thức, bộ phận IT có thể dùng chế độ Report-only để xem chính sách sẽ ảnh hưởng đến những lần đăng nhập nào. Cách này giúp phát hiện vấn đề trước khi chính sách được thực thi.

Conditional Access thường yêu cầu Microsoft Entra ID P1 hoặc gói có bao gồm tính năng này. Các chính sách dựa trên rủi ro cần giấy phép phù hợp cho Identity Protection.

3.4 Bảo vệ danh tính người dùng (Identity Protection)

Một tài khoản có thể bị đánh cắp trước khi người dùng hoặc bộ phận IT phát hiện. Vì vậy, doanh nghiệp cần kết hợp xác minh danh tính với việc phát hiện các hoạt động đăng nhập bất thường.

Microsoft Entra ID Protection giúp phát hiện và đánh giá rủi ro liên quan đến tài khoản. Hệ thống có thể nhận diện các dấu hiệu như thông tin đăng nhập bị rò rỉ hoặc hoạt động đăng nhập đáng ngờ.

Ví dụ, một tài khoản vừa đăng nhập từ Việt Nam nhưng chỉ vài phút sau lại xuất hiện hoạt động đăng nhập từ châu Âu. Nếu phát hiện các dấu hiệu bất thường, hệ thống có thể đánh giá lần đăng nhập này là một rủi ro cần kiểm tra.

Khi kết hợp với Conditional Access, doanh nghiệp có thể yêu cầu xác minh bổ sung hoặc chặn truy cập theo chính sách đã thiết lập.

Khả năng phát hiện và xử lý rủi ro phụ thuộc vào tính năng, giấy phép và cách cấu hình. Các chức năng đánh giá rủi ro nâng cao thường yêu cầu Microsoft Entra ID P2 hoặc gói có bao gồm tính năng tương ứng.

3.5 Quản lý danh tính bên ngoài (External Identities)

Doanh nghiệp không chỉ cấp quyền truy cập cho nhân viên. Trong quá trình hoạt động, doanh nghiệp còn cần làm việc với đối tác, nhà cung cấp và khách hàng. Mỗi nhóm có nhu cầu sử dụng hệ thống khác nhau nên cần được quản lý quyền truy cập phù hợp.

Microsoft Entra External ID hỗ trợ hai nhu cầu chính. Với đối tác, doanh nghiệp có thể mời người dùng bên ngoài truy cập tài liệu trên SharePoint và chỉ cấp quyền đối với những nội dung cần thiết. Với khách hàng, giải pháp có thể hỗ trợ xây dựng chức năng đăng ký và đăng nhập vào ứng dụng của doanh nghiệp.

Quản lý danh tính bên ngoài giúp doanh nghiệp sẽ:

• Cho phép đối tác truy cập tài nguyên phục vụ công việc mà không cần cấp quyền như nhân viên nội bộ
• Quản lý việc mời người dùng, phân quyền và thu hồi quyền khi kết thúc hợp tác
• Hỗ trợ xây dựng quy trình đăng nhập cho khách hàng trên ứng dụng

4. Microsoft Entra bao gồm những nhóm sản phẩm nào?

“Họ sản phẩm” Microsoft Entra được chia thành 5 nhóm giải pháp chính. Gồm: Quản lý danh tính và quyền truy cập (Entra ID, Domain Services, ID Governance, ID Protection, Verified ID); Bảo mật truy cập cho nhân viên (Private Access, Internet Access); Quản lý danh tính đối tác và khách hàng (External ID); Danh tính ứng dụng và dịch vụ (Workload ID); và Danh tính AI Agent (Agent ID).

Chúng tôi gọi đây là họ sản phẩm (product family) vì Microsoft Entra không phải một công cụ đơn lẻ, như đã đề cập ở đầu bài viết. Có thể hiểu Microsoft Entra là sản phẩm “cha”, và ngay bên dưới đây là các sản phẩm “con”.

Trước khi đi vào chi tiết, hãy cùng MM Technology phân loại nhanh.

Nhóm	Sản phẩm tiêu biểu	Nhu cầu chính
Quản lý danh tính và quyền truy cập	Microsoft Entra Entra ID, Domain Services, ID Governance, ID Protection, Verified ID	Quản lý tài khoản, xác thực, phân quyền và bảo vệ danh tính
Bảo mật truy cập cho nhân viên	Microsoft Entra Private Access, Microsoft Entra Internet Access	Kiểm soát kết nối đến ứng dụng nội bộ, Internet và dịch vụ SaaS
Danh tính đối tác và khách hàng	Microsoft Entra External ID	Quản lý việc đăng nhập và truy cập của người dùng bên ngoài tổ chức
Danh tính ứng dụng và dịch vụ	Microsoft Entra Workload ID	Quản lý danh tính dùng để xác thực giữa các ứng dụng, dịch vụ và hệ thống tự động
Danh tính AI Agent	Microsoft Entra Agent ID	Quản lý danh tính, quyền truy cập và vòng đời của AI Agent

4.1 Nhóm quản lý danh tính và quyền truy cập

Nhóm này giúp doanh nghiệp quản lý tài khoản, xác minh danh tính, kiểm soát quyền truy cập và giảm rủi ro liên quan đến người dùng. Mỗi sản phẩm giải quyết một khía cạnh riêng, từ xác thực khi đăng nhập đến quản trị quyền và xác minh thông tin danh tính.

4.1.1 Microsoft Entra ID

Microsoft Entra ID là sản phẩm nền tảng của hệ sinh thái Microsoft Entra. Trước đây, sản phẩm có tên Azure Active Directory (Azure AD) và được Microsoft đổi tên thành Microsoft Entra ID vào năm 2023.

Đây là dịch vụ quản lý danh tính và quyền truy cập trên nền tảng đám mây. Entra ID giúp xác thực người dùng, kiểm soát việc đăng nhập và quản lý quyền truy cập vào Microsoft 365, Azure cùng nhiều ứng dụng được tích hợp.

Có thể hình dung Entra ID là nơi doanh nghiệp quản lý danh tính số của nhân viên và thiết lập quy tắc để quyết định họ được phép truy cập những tài nguyên nào.

Một số khả năng tiêu biểu của Microsoft Entra ID gồm:

• Quản lý danh tính người dùng. Tạo, cập nhật và quản lý tài khoản, nhóm người dùng
• Xác thực và đăng nhập. Hỗ trợ SSO, MFA và các phương thức đăng nhập không mật khẩu
• Kiểm soát quyền truy cập. Áp dụng chính sách để cho phép, yêu cầu xác minh bổ sung hoặc chặn truy cập theo điều kiện
• Tích hợp ứng dụng. Quản lý việc đăng nhập vào Microsoft 365 và các ứng dụng đám mây được hỗ trợ

Chẳng hạn, khi một nhân viên mới gia nhập công ty, bộ phận IT có thể tạo tài khoản Entra ID, cấp quyền sử dụng Microsoft 365 và thiết lập các chính sách xác thực phù hợp. Xem chi tiết về tính năng và các bước triển khai Microsoft Entra ID.

4.1.2 Microsoft Entra Domain Services

Microsoft Entra Domain Services cung cấp các dịch vụ miền do Microsoft quản lý trên đám mây. Dịch vụ này hỗ trợ những ứng dụng và hệ thống vẫn cần cơ chế xác thực truyền thống của Active Directory.

Sản phẩm cung cấp các khả năng như tham gia miền (domain join), Group Policy, LDAP và xác thực Kerberos/NTLM. Nhờ đó, doanh nghiệp không phải tự triển khai, vá lỗi và duy trì bộ điều khiển miền (domain controller) theo cách truyền thống.

Sản phẩm này phù hợp khi doanh nghiệp cần chuyển một số ứng dụng cũ lên Azure. Những ứng dụng đó chưa thể chuyển sang cơ chế xác thực hiện đại.

Ví dụ, một ứng dụng nội bộ cần xác thực Kerberos và áp dụng Group Policy cho máy chủ. Entra Domain Services có thể cung cấp môi trường miền được quản lý cho ứng dụng đó trên Azure.

4.1.3 Microsoft Entra ID Governance

Microsoft Entra ID Governance tập trung vào việc quản trị vòng đời danh tính và quyền truy cập, giúp doanh nghiệp đảm bảo người dùng được cấp đúng quyền, vào đúng thời điểm và được thu hồi quyền khi không còn nhu cầu.

Trong thực tế, tài khoản nhân viên có thể thay đổi theo quá trình tuyển dụng, chuyển bộ phận hoặc nghỉ việc. Nếu các thay đổi này không được xử lý đồng bộ, doanh nghiệp có nguy cơ để lại những quyền truy cập không còn phù hợp.

Entra ID Governance hỗ trợ các hoạt động như:

• Quản lý vòng đời danh tính. Tự động hóa một số bước cấp và thu hồi tài khoản, quyền truy cập theo quy trình
• Yêu cầu và phê duyệt quyền. Cho phép người dùng yêu cầu quyền truy cập tài nguyên theo chính sách
• Rà soát quyền truy cập. Hỗ trợ người quản lý kiểm tra người dùng còn cần quyền đã được cấp hay không
• Quản trị quyền đặc quyền. Kết hợp với Privileged Identity Management (PIM) để kiểm soát việc cấp và kích hoạt quyền quản trị có thời hạn

Chẳng hạn, khi nhân viên chuyển từ phòng kinh doanh sang phòng kế toán, doanh nghiệp cần cấp quyền cho các hệ thống mới và rà soát quyền cũ. Governance giúp chuẩn hóa quy trình này thay vì phụ thuộc hoàn toàn vào việc xử lý thủ công của bộ phận IT.

4.1.4 Microsoft Entra ID Protection

Microsoft Entra ID Protection giúp doanh nghiệp phát hiện, đánh giá và xử lý rủi ro liên quan đến danh tính người dùng và hoạt động đăng nhập.

Khác với việc chỉ xác minh thông tin đăng nhập, ID Protection phân tích các tín hiệu rủi ro để hỗ trợ bộ phận IT nhận biết tài khoản hoặc phiên đăng nhập có dấu hiệu bất thường.

Các khả năng chính Microsoft Entra ID Protection gồm:

• Phát hiện và đánh giá rủi ro liên quan đến người dùng hoặc lần đăng nhập
• Hỗ trợ điều tra những tài khoản có dấu hiệu bị xâm phạm

Kết hợp với Conditional Access để áp dụng biện pháp bảo vệ theo mức độ rủi ro và chính sách đã thiết lập.

Ví dụ, hệ thống có thể phát hiện một tài khoản bị lộ thông tin đăng nhập hoặc có hoạt động bất thường. Khi đó, bộ phận IT có thể kiểm tra mức độ rủi ro và thiết lập yêu cầu xác thực bổ sung hoặc biện pháp xử lý phù hợp.

4.1.5 Microsoft Entra Verified ID

Microsoft Entra Verified ID hỗ trợ phát hành và xác minh thông tin xác thực số có thể kiểm chứng (verifiable credentials). Sản phẩm hướng đến những tình huống doanh nghiệp cần xác minh thông tin về cá nhân hoặc tổ chức. Cách này không phải phụ thuộc hoàn toàn vào việc lưu trữ và đối chiếu dữ liệu tập trung.

Microsoft Entra Verified ID có thể phục vụ các nhu cầu như:

• Xác minh thông tin danh tính hoặc thuộc tính đã được tổ chức phát hành xác nhận
• Hỗ trợ quy trình xác minh thông tin trong tuyển dụng, hợp tác hoặc cung cấp dịch vụ
• Tạo điều kiện cho các kịch bản xác minh danh tính số có kiểm soát quyền riêng tư

4.2 Nhóm bảo mật truy cập cho nhân viên

Nhóm này tập trung bảo vệ kết nối của nhân viên đến ứng dụng nội bộ, dịch vụ đám mây và tài nguyên Internet. Hai sản phẩm tiêu biểu là Microsoft Entra Private Access và Microsoft Entra Internet Access.

4.2.1 Microsoft Entra Private Access

Microsoft Entra Private Access giúp nhân viên truy cập an toàn vào ứng dụng và tài nguyên riêng tư của doanh nghiệp. Kể cả khi làm việc từ xa hoặc kết nối từ những mạng bên ngoài văn phòng.

Thay vì chỉ cấp kết nối vào mạng nội bộ như một số mô hình VPN truyền thống, Private Access hỗ trợ kiểm soát truy cập đến tài nguyên theo danh tính và chính sách được thiết lập.

Sản phẩm này có thể giúp doanh nghiệp:

• Bảo vệ việc truy cập ứng dụng nội bộ từ nhiều địa điểm
• Kiểm soát quyền truy cập đến tài nguyên riêng tư trong môi trường hybrid và đa đám mây
• Kết hợp với các chính sách truy cập để giới hạn quyền theo người dùng và ứng dụng

Chẳng hạn, nhân viên làm việc tại nhà cần truy cập một ứng dụng nghiệp vụ đang chạy trong hệ thống nội bộ. Private Access có thể hỗ trợ thiết lập kết nối an toàn đến ứng dụng đó. Doanh nghiệp không nhất thiết phải mở rộng quyền truy cập vào toàn bộ mạng.

4.2.2 Microsoft Entra Internet Access

Microsoft Entra Internet Access tập trung bảo vệ hoạt động truy cập Internet, ứng dụng SaaS và các tài nguyên trực tuyến theo chính sách bảo mật của doanh nghiệp.

Sản phẩm thuộc nhóm giải pháp Security Service Edge (SSE), giúp doanh nghiệp mở rộng kiểm soát bảo mật từ danh tính và ứng dụng sang lưu lượng truy cập mạng phù hợp.

Một số khả năng tiêu biểu gồm:

• Kiểm soát truy cập website và ứng dụng theo chính sách
• Hỗ trợ lọc nội dung web và hạn chế truy cập đến các địa chỉ không phù hợp
• Tăng cường bảo vệ hoạt động truy cập dịch vụ Internet và SaaS
• Cung cấp khả năng quan sát, kiểm soát truy cập dựa trên danh tính và ngữ cảnh được hỗ trợ

Ví dụ, doanh nghiệp muốn hạn chế nhân viên truy cập những nhóm website không phục vụ công việc. Hoặc doanh nghiệp cần áp dụng chính sách truy cập thống nhất khi nhân viên làm việc ở nhiều địa điểm. Internet Access có thể hỗ trợ triển khai các quy tắc này theo cấu hình và phạm vi dịch vụ được cấp phép.

4.3 Nhóm quản lý danh tính đối tác và khách hàng

Microsoft Entra External ID giúp doanh nghiệp quản lý danh tính người dùng bên ngoài tổ chức. Nhóm này bao gồm đối tác, nhà cung cấp và khách hàng. Doanh nghiệp cũng có thể kiểm soát quyền truy cập của họ vào các tài nguyên cần thiết.

Giải pháp đáp ứng hai nhu cầu chính:

• Cộng tác B2B: Hỗ trợ doanh nghiệp làm việc với đối tác bên ngoài
• Quản lý danh tính khách hàng (CIAM): Hỗ trợ quản lý tài khoản khách hàng trên các ứng dụng và dịch vụ

Với nhu cầu cộng tác, doanh nghiệp có thể mời đối tác truy cập tài liệu hoặc ứng dụng liên quan. Quyền truy cập được giới hạn theo phạm vi công việc.

Ví dụ, doanh nghiệp có thể cho đơn vị tư vấn truy cập thư mục dự án trên SharePoint. Đơn vị này không cần được cấp quyền như nhân viên nội bộ.

Với ứng dụng bán hàng trực tuyến, Microsoft Entra External ID hỗ trợ xây dựng quy trình đăng ký và đăng nhập cho khách hàng. Doanh nghiệp cũng có thể quản lý tài khoản người dùng trên ứng dụng.

4.4 Nhóm quản lý danh tính ứng dụng và dịch vụ

Microsoft Entra Workload ID tập trung quản lý danh tính của các workload kỹ thuật số. Ví dụ như ứng dụng, dịch vụ, script và container cần xác thực để truy cập tài nguyên khác.

Trong môi trường công nghệ, không chỉ nhân viên mới cần danh tính. Một ứng dụng có thể cần gọi API, một quy trình tự động hóa có thể cần truy cập tài nguyên Azure. Hoặc một dịch vụ có thể cần kết nối đến cơ sở dữ liệu. Các hoạt động này đều cần cơ chế xác thực và cấp quyền phù hợp.

Microsoft Entra Workload ID hỗ trợ doanh nghiệp quản lý những danh tính phi con người này. Bao gồm:

• Xác định danh tính của ứng dụng và dịch vụ khi kết nối đến tài nguyên
• Kiểm soát quyền truy cập theo nhu cầu thực tế của từng workload
• Hỗ trợ giảm rủi ro từ thông tin xác thực được quản lý không an toàn
• Áp dụng các chính sách bảo vệ phù hợp với loại workload và môi trường triển khai

4.5 Nhóm quản lý danh tính AI Agent

Microsoft Entra Agent ID mở rộng khả năng quản lý danh tính và bảo mật truy cập của Microsoft Entra sang các AI Agent. Sản phẩm giúp doanh nghiệp quản lý danh tính của agent, kiểm soát quyền truy cập và quản trị vòng đời khi triển khai AI vào quy trình công việc.

Microsoft Entra Agent ID hỗ trợ những nhu cầu như:

• Tạo và quản lý danh tính riêng cho AI Agent
• Xác định chủ sở hữu hoặc người chịu trách nhiệm đối với agent
• Quản lý vòng đời và quyền truy cập của agent theo chính sách
• Kết hợp các cơ chế bảo vệ, quản trị và kiểm soát truy cập phù hợp

Chẳng hạn, một AI Agent hỗ trợ bộ phận kinh doanh cần truy cập dữ liệu khách hàng để tổng hợp báo cáo. Doanh nghiệp có thể xác định danh tính của agent, giới hạn quyền truy cập vào tài nguyên cần thiết và quản lý việc sử dụng theo chính sách đã thiết lập.

Agent ID có liên quan đến Workload ID nhưng không hoàn toàn đồng nhất. Workload ID phục vụ danh tính của ứng dụng và dịch vụ nói chung. Trong khi Agent ID bổ sung các cơ chế được thiết kế riêng cho nhu cầu quản lý danh tính và quyền truy cập của AI Agent.

5. Microsoft Entra được cấp phép như thế nào?

Mô hình cấp phép của Microsoft Entra vừa linh hoạt và cũng vừa phức tạp. Cơ bản bao gồm các gói có thể tích hợp trong Microsoft 365 (gói Free, P1, P2), gói giải pháp toàn diện Microsoft Entra Suite và các giấy phép bổ sung độc lập (Stand alone) dành cho Governance, Workload ID, External ID, v.v.

Với giá, các gói trả phí của Microsoft Entra (tùy phiên bản) hiện được niêm yết tại hãng ở mức $3 đến 12$ cho mỗi người dùng/tháng.

Lưu ý là phần này chỉ mang tính hướng dẫn tổng quan. Điều kiện cấp phép, tính năng trong từng gói và mức giá có thể thay đổi theo thời điểm, khu vực và hợp đồng. Doanh nghiệp nên đối chiếu thông tin giấy phép trên trang Microsoft hoặc liên hệ với MM Technology – Đối tác CSP cấp 1 của Microsoft để được tư vấn cụ thể.

5.1 Microsoft Entra ID Free

Microsoft Entra ID Free là bản miễn phí, đi kèm khi doanh nghiệp sử dụng các dịch vụ đám mây của Microsoft như Microsoft 365 hoặc Azure.

Gói này đáp ứng các nhu cầu quản lý danh tính cơ bản, phù hợp với doanh nghiệp muốn bắt đầu quản lý tài khoản tập trung cở bản.

Một số khả năng tiêu biểu của Microsoft Entra ID Free gồm:

• Tạo và quản lý người dùng, nhóm người dùng
• Hỗ trợ đăng nhập một lần (SSO) với các ứng dụng được hỗ trợ
• Cung cấp các tính năng quản lý danh tính và báo cáo cơ bản
• Sử dụng Security Defaults để áp dụng một số thiết lập bảo mật mặc định cho tenant

Tuy nhiên, phiên bản Free không bao gồm toàn bộ tính năng nâng cao của Entra ID P1 và P2. Nếu doanh nghiệp cần Conditional Access theo điều kiện tùy chỉnh, phát hiện rủi ro danh tính nâng cao hoặc quản trị quyền đặc quyền, hãy kiểm tra yêu cầu cấp phép tương ứng.

5.2 Microsoft Entra ID P1

Ngoài các khả năng cơ bản, P1 cung cấp những tính năng tiêu biểu như:

• Conditional Access. Thiết lập chính sách truy cập dựa trên các điều kiện.
• MFA và xác thực không mật khẩu. Hỗ trợ các phương thức xác thực nhằm tăng cường bảo vệ.
• SSO và quản lý truy cập ứng dụng. Giúp quản lý việc đăng nhập vào các ứng dụng được tích hợp
• Quản lý danh tính kết hợp. Hỗ trợ các kịch bản quản lý danh tính giữa môi trường tại chỗ và đám mây

Microsoft Entra ID P1 có thể được mua riêng hoặc đã nằm trong một số gói Microsoft 365, chẳng hạn Microsoft 365 E3 và Microsoft 365 Business Premium. Vì vậy, trước khi mua thêm, doanh nghiệp nên kiểm tra gói Microsoft 365 hiện có để xác định những quyền lợi đã được bao gồm.

5.3 Microsoft Entra ID P2

Microsoft Entra ID P2 bao gồm các khả năng của P1 và bổ sung những tính năng chuyên sâu về phát hiện rủi ro danh tính, kiểm soát truy cập theo rủi ro và quản trị quyền đặc quyền.

Các tính năng nổi bật gồm:

• Microsoft Entra ID Protection. Phát hiện và đánh giá rủi ro liên quan đến người dùng, hoạt động đăng nhập
• Risk-based Conditional Access. Hỗ trợ áp dụng chính sách truy cập dựa trên mức độ rủi ro
• Privileged Identity Management (PIM). Kiểm soát việc cấp và kích hoạt quyền quản trị đặc quyền
• Các khả năng quản trị quyền truy cập nâng cao. Hỗ trợ một số hoạt động rà soát và quản lý quyền theo phạm vi.

Microsoft Entra ID P2 có thể được mua riêng hoặc nằm trong một số gói Microsoft 365. Chẳng hạn Microsoft 365 E5. Doanh nghiệp cần đối chiếu quyền lợi của gói đang sử dụng với các tính năng thực tế cần triển khai trước khi quyết định mua bổ sung.

5.4 Microsoft Entra Suite

Microsoft Entra Suite là gói gộp năm thành phần: Private Access, Internet Access, ID Governance, ID Protection và Verified ID. Mục tiêu là giúp doanh nghiệp triển khai Zero Trust cho người dùng từ lớp danh tính đến lớp mạng trong cùng một giấy phép.

Phạm vi tính năng cụ thể cần được đối chiếu với điều khoản cấp phép hiện hành. Để sử dụng Microsoft Entra Suite, doanh nghiệp cần có Microsoft Entra ID P1 hoặc một gói thuê bao bao gồm P1 theo yêu cầu của Microsoft.

5.5 Các giấy phép độc lập cho External ID, Workload ID và ID Governance

Một số sản phẩm không nằm trong các bậc Free, P1, P2 mà có cách cấp phép riêng:

• External ID. Tính theo số người dùng hoạt động hằng tháng (MAU), có hạn mức miễn phí ban đầu
• Workload ID. Mua riêng cho các tính năng nâng cao như Conditional Access và ID Protection cho danh tính ứng dụng. Riêng managed identities cho tài nguyên Azure không yêu cầu giấy phép
• ID Governance. Giấy phép bổ sung theo người dùng, cần nền P1 hoặc P2 và cũng nằm trong Entra Suite.
• …

6. Doanh nghiệp nên chọn giải pháp Microsoft Entra nào? Khi nào nên triển khai?

Doanh nghiệp nên chọn Microsoft Entra dựa trên quy mô, mức độ phức tạp của hạ tầng và yêu cầu tuân thủ. Doanh nghiệp nhỏ có thể bắt đầu với gói Free, hoặc P1. Trong khi các tập đoàn lớn, nhiều quy trình làm việc từ xa nên triển khai P2 hoặc Microsoft Entra Suite ngay lập tức.

Không có một gói duy nhất phù hợp với mọi doanh nghiệp. Cách chọn hiệu quả là đi từ nhu cầu thực tế, thay vì mua theo tên gói.

6.1 Gợi ý chọn giải pháp theo tình huống

• Doanh nghiệp nhỏ, dùng Microsoft 365: Bắt đầu với Entra ID Free và bật security defaults; cân nhắc mua bổ sung Microsoft Entra ID.
• Doanh nghiệp vừa, có Active Directory tại chỗ: Entra ID P1 để đồng bộ danh tính, bật Conditional Access và tự phục vụ đặt lại mật khẩu.
• Ngành có yêu cầu tuân thủ cao (tài chính, y tế): Entra ID P2 cùng ID Governance để có PIM, rà soát quyền và bảo vệ theo rủi ro.
• Muốn thay VPN và kiểm soát truy cập web: Private Access và Internet Access, hoặc trọn bộ Entra Suite.
• Có ứng dụng cho khách hàng hoặc đối tác: Entra External ID.
• Có ứng dụng tự phát triển hoặc AI Agent: Workload ID và Agent ID.

6.2 Dấu hiệu đã đến lúc triển khai hoặc nâng cấp

• Nhân viên đang dùng nhiều ứng dụng đám mây, mỗi ứng dụng một mật khẩu
• Có người làm việc từ xa hoặc dùng thiết bị cá nhân
• Từng gặp tài khoản bị chiếm quyền hoặc email giả mạo
• Không ai biết chính xác ai đang có quyền vào hệ thống nào
• Cần đáp ứng kiểm toán hoặc tiêu chuẩn bảo mật của đối tác
• Bắt đầu cho AI Agent truy cập dữ liệu công ty
• ….

6.3 Lộ trình triển khai Microsoft Entra tham khảo

• Bước 1. Kiểm kê. Rà soát tài khoản, ứng dụng và giấy phép hiện có. Sau đó trang bị giấy phép phù hợp.
• Bước 2. Thiết lập ban đầu. Bật MFA cho toàn bộ người dùng, ưu tiên tài khoản quản trị.
• Bước 3. Kiểm soát truy cập. Thiết lập SSO và các chính sách Conditional Access cơ bản, nên chạy thử bằng chế độ Report-only.
• Bước 4. Mở rộng. Bổ sung ID Protection, ID Governance và các sản phẩm khác theo nhu cầu thực tế.

7. Câu hỏi thường gặp (FAQ)

8. Kết luận

Qua bài viết, chúng ta đã cùng tìm hiểu Microsoft Entra là gì. Bài viết cũng nêu những thách thức bảo mật mà hệ sinh thái này có thể giải quyết. Đồng thời, MM Technology đã chỉ ra các tính năng nổi bật, nhóm sản phẩm và giấy phép. Bạn cũng đã biết cách lựa chọn giải pháp phù hợp với nhu cầu doanh nghiệp.

Tóm lại, Microsoft Entra là nền tảng danh tính giúp doanh nghiệp kiểm soát ai được truy cập vào đâu. Đối tượng gồm nhân viên, đối tác, ứng dụng và AI Agent. Bạn có thể bắt đầu với Entra ID. Sau đó, hãy mở rộng sang các sản phẩm khác khi nhu cầu bảo mật tăng lên. Cách làm này vừa kiểm soát chi phí, vừa đúng hướng Zero Trust, tức luôn xác thực và không mặc định tin tưởng ai.

Nhìn chung, doanh nghiệp nên cân nhắc sử dụng Microsoft Entra khi cần chuẩn hóa quản lý tài khoản, tăng cường bảo mật đăng nhập hoặc kiểm soát quyền truy cập từ xa. Giải pháp cũng phù hợp để quản lý danh tính trong môi trường CNTT ngày càng phức tạp. Việc lựa chọn sản phẩm và giấy phép cần dựa trên nhu cầu thực tế. Bạn cũng nên xét đến hệ thống hiện có và ngân sách triển khai.

Nếu cần tư vấn lựa chọn giải pháp Microsoft Entra phù hợp, doanh nghiệp có thể liên hệ MM Technology. Chúng tôi là Đối tác Microsoft CSP cấp 1 của Microsoft tại Việt Nam, sẵn sàng hỗ trợ bạn trong quá trình triển khai.