Wycofywanie lokalnego AD: przejście na nowoczesną tożsamość z Entra ID

By Mirko Peters · 2026-04-28

Organizacje na dużą skalę przemyślają swoje stare lokalne usługi Active Directory (AD). Świat szybko zmierza w stronę tożsamości opartej przede wszystkim na chmurze, a Microsoft Entra ID znajduje się w samym centrum tego nowego krajobrazu. Wraz z transformacją cyfrową, pracą hybrydową i platformami SaaS, takimi jak Microsoft 365, które stają się nową normą, utrzymywanie leciwych kontrolerów domeny

Automatically translated with AI from the original post. Read the English original

Cover: Fix Microsoft Entra ID Conditional Access and Identity Debt

Ten artykuł przebija się przez szum informacyjny i daje przejrzysty przegląd: dlaczego firmy wycofują lokalne AD, jak Entra ID wpisuje się w te potrzeby i jak wyglądają praktyczne kroki dla liderów IT. Znajdziesz tu konkretny kontekst, krok po kroku opisane strategie i szczere spojrzenie na drogę przed nami – od uzasadnienia biznesowego po życie po ostatecznym wyłączeniu starych kontrolerów domeny.

Dlaczego organizacje wycofują lokalne AD

Więc o co chodzi z odejściem od lokalnego Active Directory? Mówmy szczerze: utrzymywanie w ruchu kontrolerów domeny Windows Server kiedyś było powodem do dumy zespołów IT. Dziś jednak każdy biurowy kąt, każdy pracownik zdalny i każda aplikacja chmurowa domagają się czegoś bardziej zwinnego, tańszego i nowoczesnego.

Po pierwsze, jest silna presja, by przenieść wszystko do chmury. Stare AD powstało w czasach, gdy wszyscy siedzieli w tym samym budynku. Dziś aplikacje, użytkownicy, a nawet drukarki znajdują się w chmurze lub są rozproszone po całym świecie. Logiczne jest, by platforma tożsamości podążała za nimi, zamiast dźwigać za sobą serwerownię pełną przestarzałego sprzętu.

Redukcja kosztów to kolejny mocny argument. Utrzymanie lokalnego AD oznacza płacenie za sprzęt, kopie zapasowe, aktualizacje, odzyskiwanie po awarii oraz specjalistyczne umiejętności. Przechodząc na Entra ID i inne rozwiązania natywne dla chmury, organizacje ograniczają te koszty ogólne i zyskują bardziej przewidywalne wydatki w modelu subskrypcyjnym.

Oczywiście nie sposób zignorować efektu Microsoft 365. Jeśli pracujesz w usługach Teams, SharePoint Online lub Exchange Online, wiązanie się z tradycyjnym AD wygląda na krok wstecz. Nowoczesne SaaS wymaga nowoczesnej tożsamości: uwierzytelniania bez hasła, dostępu warunkowego i bezproblemowej integracji z chmurowymi mechanizmami bezpieczeństwa. Właśnie tu w grę wchodzi Entra ID.

Nie zapominajmy o pracy zdalnej. Pandemia wywróciła reguły do góry nogami. Organizacje muszą umożliwiać pracę z dowolnego miejsca, bezpiecznie i bez kłopotów z VPN. Zarządzanie tożsamościami w chmurze burzy te bariery i pozwala na logowanie jednokrotne z dowolnego miejsca, dowolnego urządzenia i o dowolnej porze.

Krótko mówiąc, wycofywanie lokalnego AD to nie pogoń za błyszczącymi nowinkami technologicznymi. Chodzi o zwinność, bezpieczeństwo, koszty i to, by IT było raczej czynnikiem wspierającym biznes niż wąskim gardłem. Argumentów „dlaczego” przybywa, a jeśli czytasz ten tekst, Twoja organizacja prawdopodobnie też odczuwa tę presję. Pozostała część artykułu prowadzi przez kolejne kroki: od wyborów technicznych po codzienne funkcjonowanie po odejściu od AD.

Entra – określenie celu: wybór przyszłości tożsamości

Wybór między Microsoft Entra ID a Entra Domain Services (Entra DS) decyduje o tym, jak bardzo przyszłościowa będzie Twoja platforma tożsamości. Entra ID, znane wcześniej jako Azure AD, koncentruje się na tożsamości wyłącznie w chmurze i zostało zbudowane z myślą o aplikacjach SaaS, mobilnych i webowych. Jest smukłe, lekkie i pozbyte balastu dawnych protokołów. Czy to jednak wystarczy każdemu?

Jeśli Twoja firma wciąż uruchamia aplikacje wymagające tradycyjnego uwierzytelniania (np. Kerberos lub NTLM), Entra DS stanowi kompromis hybrydowy. Zapewnia wystarczająco wiele znanych funkcji kontrolera domeny, bez starych serwerów w szafie rackowej. Entra DS w zasadzie oferuje zarządzane usługi domenowe, co oznacza mniej problemów, ale nie pozbywasz się w pełni przestarzałych protokołów.

Kluczowe pytanie brzmi: ile starego potrzebujesz? Wyłącznie chmurowa tożsamość z Entra ID zapewnia uproszczone zabezpieczenia, łatwiejszą zgodność z przepisami i potężne mechanizmy kontroli, takie jak dostęp warunkowy. Jeśli jednak jesteś związany ze starszym oprogramowaniem, klasycznymi aplikacjami lub zależnościami drukarek, które nie są jeszcze gotowe do wycofania, Entra DS zapewni Ci potrzebne zabezpieczenie.

To nie jest rozwiązanie uniwersalne. Trzeba zinwentaryzować każdą aplikację i każdy system biznesowy – od czego są zależne? Które z nich dobrze współpracują z SAML, OAuth lub nowoczesnym uwierzytelnianiem? Czy w sieci nie ma „duchów” korzystających z LDAP lub NTLM, o których nikt nie mówi? Stan docelowy sprowadza się do dopasowania potrzeb biznesowych do rzeczywistości uwierzytelniania. A jeśli zmagasz się z nadmiarem zasad w chmurze albo martwisz się lukami, zajrzyj, jak w praktyce działają mechanizmy kontroli tożsamości i dostępu, w materiałach takich jak ta szczegółowa analiza zarządzania zasadami w Entra ID albo dowiedz się więcej o atakach na zgody OAuth w erze chmury.

Architektura struktury tożsamości dla bezpiecznych przejść do chmury

Tu robi się ciekawie: pojawia się „struktura tożsamości”. To nie jest modne hasło marketingowe – to sposób, w jaki organizacje łączą wszystko w całość w chmurze i w ewentualnych pozostałościach lokalnych podczas odchodzenia od AD. Struktura tożsamości działa jak cyfrowa straż graniczna, egzekwując zasady niezależnie od tego, gdzie znajdują się użytkownicy, urządzenia czy dane.

Potraktuj ją jak nowy perymetr: zamiast zapór sieciowych i bram budynku bezpieczeństwo podąża za użytkownikiem i aplikacją, a nie za siecią. Dzięki solidnej strukturze tożsamości możesz w bezpieczny i łatwy w zarządzaniu sposób połączyć urządzenia mobilne, zdalne biura, aplikacje w chmurze i ten jeden przypadkowy system legacy.

Nie da się przełączyć z AD na chmurę z dnia na dzień? Potrzebujesz pomostu – na przykład Azure AD Connect lub uwierzytelniania pass-through – żeby wszyscy mogli się logować bez zakłóceń podczas przejścia. Dołączenie hybrydowe pozwala urządzeniom z systemem Windows łączyć zalety obu światów, a synchronizacja katalogu gwarantuje, że nikt nie zostanie pominięty na drodze do dostępu w modelu „najpierw chmura”.

Model Zero Trust też jest wbudowany. Zamiast zakładać, że użytkownicy „wewnątrz” są bezpieczni, każda próba dostępu jest ponownie weryfikowana. Chcesz zbudować rygorystyczne, ale sprawiedliwe zasady? Zajrzyj do praktycznych wskazówek dotyczących warunkowego dostępu w tej analizie problemów z zaufaniem w zasadach Microsoft albo dowiedz się, jak zaprojektować Zero Trust w całej organizacji, dzięki praktycznym wskazówkom dotyczącym strategii i architektury. Najważniejszy wniosek: chmurocentryczna struktura tożsamości daje fundament odporności, elastyczności i silniejszego bezpieczeństwa, którego nie zapewnią zakurzone serwerownie.

Plan migracji: jak tam dotrzeć?

Nie da się po prostu wejść do serwerowni, odłączyć AD i uznać sprawę za załatwioną. Potrzebujesz solidnego planu – najlepiej takiego, który niczego nie zepsuje, nie zirytuje użytkowników i nie wywoła kolejnej awaryjnej akcji działu IT. Droga od lokalnego AD do tożsamości w chmurze polega na przemyślanych etapach i stopniowym postępie, a nie na wielkich skokach w przepaść.

Na początek odkrywanie: dokładnie zmapuj każdego użytkownika, grupę, drukarkę i wiekową aplikację, która wciąż korzysta z AD. Ten etap to czas na odnalezienie zapomnianych kont usługowych i zrozumienie, kto od czego zależy – traktuj go jak przygotowanie do archeologicznych wykopalisk w AD, które pozwala uniknąć nieprzyjemnych niespodzianek w trakcie migracji.

Mając gotową inwentaryzację, uruchom pilotaż z niewielką grupą. Zobacz, co się psuje. Ucz się szybko, szybko naprawiaj i udoskonalaj podejście. Następnie wdróż synchronizację katalogów przy użyciu narzędzi takich jak Azure AD Connect – dzięki temu tożsamości w chmurze i lokalne pozostają zgodne, podczas gdy planujesz przełączenie.

Planowanie przełączenia to sprawa krytyczna. To właśnie w tym momencie uwierzytelnianie przechodzi z lokalnego środowiska do chmury. Komunikacja jest kluczowa – użytkownicy muszą wiedzieć, co się dzieje, dlaczego i jak uzyskać pomoc. Dopiero gdy masz pewność, że wszystko działa poprawnie, bezpiecznie jest wycofać stare AD.

Przez cały czas miej pod ręką plan wycofania. Wykonaj kopię zapasową stanu AD, zachowaj okno odzyskiwania i sprawdź, czy nie ma zmian typu „punkt bez powrotu” – na przykład przełączeń DNS czy masowych usunięć obiektów. Jeśli krytyczna aplikacja nie działa po przełączeniu, możliwość cofnięcia zmian jest bezcenna. Ten etapowy plan oszczędza nerwów, przestojów i sprawia, że interesariusze są zadowoleni, gdy wspinasz się ku tożsamości w chmurze.

Życie bez DC: uwierzytelnianie i dostęp w świecie wyłącznie chmurowym

Witamy po drugiej stronie – w życiu bez kontrolerów domeny pracujących w serwerowni. Jak to właściwie wygląda? Użytkownicy logują się teraz przez uwierzytelnianie w chmurze. Koniec z archaicznymi monitami o hasło i przywiązaniem do serwerów on-premises. Pewnie trzeba trochę się przestawić, ale dla większości osób sprowadza się to do płynniejszego, spójnego logowania jednokrotnego z dowolnego miejsca i dowolnego urządzenia.

Zmienia się także zarządzanie urządzeniami. Stare zasady grupy (Group Policy) odchodzą do lamusa. Ich miejsce zajmują narzędzia takie jak Microsoft Intune, które pozwalają egzekwować zgodność urządzeń, wdrażać ustawienia i obsługiwać scenariusze BYOD z mniejszym napięciem. Jeśli chodzi o bezpieczeństwo, to reguły dostępu warunkowego (Conditional Access) decydują o wszystkim – kto ma dostęp do czego, kiedy i skąd.

Tutaj utrzymanie porządku jednocześnie staje się łatwiejsze i trudniejsze. Każde urządzenie, od laptopa służbowego po telefon komórkowy, musi być prawidłowo zarejestrowane i zgodne z wymaganiami. Chodzi mniej o ufanie urządzeniu tylko dlatego, że znajduje się „wewnątrz sieci”, a bardziej o sprawdzanie tożsamości i stanu przy każdym dostępie.

Chcesz uniknąć luk w zabezpieczeniach i sytuacji, w której użytkownicy mają zbyt szeroki dostęp? Oprzyj się na sprawdzonych praktykach – dopracuj swoje zasady dostępu warunkowego, aby zamknąć furtki związane z zaufaniem, albo zajrzyj do przewodników o zabezpieczeniach Microsoft 365, gdzie znajdziesz praktyczne wskazówki dotyczące równowagi między ochroną a przyjaznym dla użytkownika doświadczeniem. Dzięki odpowiednim narzędziom natywnym dla chmury działanie bez lokalnego AD może naprawdę ułatwić pracę działu IT – i to znacznie bezpieczniej niż wcześniej.

Zarządzanie Exchange Server i Microsoft 365 po wycofaniu AD

Gdy lokalne AD przestaje działać, zarządzanie Exchange zmienia tryb pracy. Jeśli korzystasz z Exchange Server, będziesz musiał przenieść skrzynki pocztowe do Exchange Online lub odpowiednio zadbać o koegzystencję obu środowisk. Kluczowe jest, aby własność skrzynek pocztowych i uprawnienia były zgodne z nowym modelem tożsamości w chmurze, zwłaszcza w okresie przejściowym.

W przypadku Microsoft 365 uwierzytelnianie opiera się teraz w pełni na Entra ID lub na synchronizacji katalogów hybrydowych. Zgodność z przepisami nie kończy się na tym – korzystaj z ujednoliconych narzędzi audytu, takich jak Microsoft Purview Audit, aby objąć działania administracyjne, monitorować przepływ poczty i zachować zapis na potrzeby dochodzeń. Wraz z przenoszeniem środowiska Exchange pamiętaj, aby doświadczenie użytkowników i zgodność były na pierwszym planie.

Implikacje dla bezpieczeństwa i zgodności wynikające z wycofania lokalnego AD

Wyłączenie lokalnego AD wiąże się z nowymi wyzwaniami w zakresie bezpieczeństwa i zgodności. Zacznijmy od zapisów audytowych: działy prawne i audytorzy uwielbiają historyczne dzienniki uwierzytelniania, dlatego potrzebujesz planu archiwizowania i udostępniania starych danych AD przez wiele lat. Przepisów takich jak RODO, HIPAA czy SOX nie można ignorować – zgodność zależy od prawidłowego przechowywania danych i łatwego dostępu do nich na potrzeby analiz śledczych.

Zmienia się także krajobraz zagrożeń. Przy tożsamościach działających wyłącznie w chmurze, takich jak Entra ID, ataki ewoluują – warto pamiętać o kradzieży tokenów, błędnie skonfigurowanym dostępie warunkowym i eskalacji uprawnień, jeśli nie zachowasz czujności. Bezpieczeństwo platformy chmurowej sprowadza się do monitorowania tego, kto, skąd i jak często wykonuje konkretne działania. Twoje monitorowanie musi być oparte na solidnych narzędziach i alertach w czasie rzeczywistym.

Od teraz liczy się przede wszystkim ład i nadzór (governance). Dbaj o to, aby Twoje mechanizmy kontroli nie były jedynie formalnymi punktami do odhaczenia – zwracaj uwagę na dryf zgodności spowodowany nowymi formami współpracy i wersjami plików. Wdrażaj ciągłe monitorowanie za pomocą rozwiązań takich jak Defender for Cloud, aby zyskać wgląd w czasie rzeczywistym w całe środowisko, i połącz wszystko w czytelne raporty, na podstawie których zarząd może podejmować decyzje.

Nie zapominaj też o ładzie tożsamości. Korzystaj z zaawansowanych dzienników audytu i prawidłowo przeprowadzanych przeglądów dostępu – zobacz Microsoft Purview Audit – aby uprawnienia nie wymknęły się spod kontroli. Najważniejsza myśl: po wycofaniu AD stawiaj na nowoczesne zarządzanie, inteligentne zasady i silne monitorowanie, aby utrzymać bezpieczeństwo i zgodność organizacji oraz chronić ją przed nowym pokoleniem zagrożeń tożsamościowych.

Podsumowanie: refleksja nad punktem zwrotnym

Wycofanie lokalnego AD to nie tylko punkt do odhaczenia na liście zadań. To prawdziwy kamień milowy w modernizacji całego środowiska IT. Ta zmiana przynosi wyraźne korzyści: niższe koszty infrastruktury, szybszą reakcję na potrzeby biznesu i lepiej zintegrowane mechanizmy bezpieczeństwa oparte na chmurze.

Poznałeś już przebieg tej drogi i to, na co warto zwrócić uwagę, od migracji, przez zgodność z przepisami, po codzienną eksploatację. Praca jednak nie kończy się po przełączeniu. Ciągła optymalizacja, uważne zarządzanie tożsamościami i regularny przegląd procesów pozwolą Twojej organizacji być gotową na to, co przyniesie przyszłość. Ta transformacja to coś więcej niż zakończenie etapu. To nowy, lepszy początek.

Komentarze, aplikacje podcastowe i wiedza społeczności

Podziel się doświadczeniem: Jakie jest Twoje największe wyzwanie przy wycofywaniu lokalnego AD? Napisz o swoich doświadczeniach lub najlepszych wskazówkach w komentarzach poniżej.
Posłuchaj i poznaj więcej: Sprawdź powiązane odcinki podcastu o tożsamości i bezpieczeństwie w chmurze Microsoft, w których znajdziesz wnioski i rozmowy z ekspertami z praktyki.
Bądź na bieżąco ze społecznością: Śledź ekspertów technicznych na LinkedIn lub Twitterze, aby być na bieżąco z najnowszymi wskazówkami i wnioskami z migracji.
Dołącz do dyskusji: Uczestnicz w forach internetowych, webinarach lub grupach społeczności technicznej Microsoft, aby zobaczyć, jak inni radzą sobie z podobnymi wyzwaniami.