Migração de aplicações legadas para o Azure: quando escolher o Microsoft Entra Domain Services ou controladores de domínio IaaS

By Mirko Peters · 2026-08-14

Compare o Microsoft Entra Domain Services com controladores de domínio IaaS no Azure. Conheça as trocas arquiteturais ao migrar aplicações legadas.

Automatically translated with AI from the original post. Read the English original

Ao fazer lift and shift de aplicações Windows legadas para o Azure, os arquitetos enfrentam um dilema crítico de identidade: você deve implantar máquinas virtuais tradicionais de controlador de domínio do Active Directory ou usar serviços gerenciados na nuvem? Este guia analisa as trocas arquiteturais, a sobrecarga operacional e as implicações de custo de escolher o Microsoft Entra Domain Services em vez de controladores de domínio IaaS próprios para cargas de trabalho legadas no Azure.

Principais conclusões

• O Microsoft Entra Domain Services oferece recursos gerenciados de domínio Windows tradicional, sem que a equipe de TI precise implantar, aplicar patches ou recuperar máquinas virtuais de controlador de domínio.
• Implantar controladores de domínio IaaS no Azure dá aos administradores controle total, incluindo acesso por RDP e privilégios de Admin de Domínio, mas aumenta significativamente a carga operacional.
• Cargas de trabalho legadas que dependem de LDAP, Kerberos, NTLM ou Group Policy podem rodar sem problemas no Azure usando uma camada de compatibilidade de domínio gerenciado.
• O Entra Domain Services impõe um modelo de sincronização de identidade estritamente unidirecional, no qual os registros de usuários devem ser gerenciados na fonte autoritativa, e não diretamente no domínio gerenciado.
• A escolha da arquitetura de identidade certa depende fortemente dos requisitos da aplicação, como acesso de gravação LDAP e modificações de esquema.

O dilema da migração de legados para o Azure

Mover uma aplicação de negócio legada de uma sala de servidores local para uma máquina virtual do Azure não torna essa aplicação automaticamente nativa da nuvem. Muitas aplicações Windows consolidadas, como sistemas legados de planejamento de recursos empresariais, plataformas financeiras e aplicações .NET personalizadas, foram arquitetadas com base no Active Directory tradicional. Quando essas cargas de trabalho chegam à nuvem, elas continuam esperando consultar serviços de diretório via LDAP, autenticar usando tickets Kerberos ou aplicar configurações por meio do Group Policy.

Os arquitetos de nuvem são imediatamente forçados a tomar uma decisão estratégica. Você pode conectar sua Azure Virtual Network de volta aos controladores de domínio locais por meio de um túnel VPN híbrido, mas isso introduz latência e cria um ponto único de falha perigoso caso o link de rede caia. Como alternativa, você pode criar máquinas virtuais Windows Server totalmente novas no Azure, promovê-las a controladores de domínio e montar uma floresta ou um domínio de réplica totalmente novo.

Embora criar suas próprias máquinas virtuais de controlador de domínio no Azure dê controle total, isso também transforma a equipe de infraestrutura de nuvem em administradores do Active Directory. Você passa a ser totalmente responsável pelo patching do sistema operacional, pelo monitoramento da replicação do diretório, pelo planejamento de recuperação de desastres e pela proteção de contas de alto privilégio contra roubo de credenciais. Para organizações que buscam reduzir a sobrecarga operacional e, ao mesmo tempo, manter as aplicações legadas em funcionamento, isso costuma ser um peso desnecessário.

Entra Domain Services vs. controladores de domínio IaaS: principais diferenças arquiteturais

Entender a diferença de arquitetura entre usar o Microsoft Entra Domain Services e criar controladores de domínio IaaS próprios é essencial para projetar ambientes de nuvem Azure resilientes. O Entra Domain Services funciona como uma camada de compatibilidade gerenciada. A Microsoft executa e mantém, nos bastidores, a infraestrutura subjacente dos controladores de domínio, garantindo alta disponibilidade, backups automáticos e sincronização em segundo plano com o Entra ID.

Ao consumir o Entra Domain Services, suas máquinas virtuais do Azure podem ingressar no domínio, executar consultas LDAP e processar logons Kerberos ou NTLM sem que sua equipe precise, em nenhum momento, acessar um controlador de domínio por Conexão de Área de Trabalho Remota. No entanto, essa troca típica de serviço gerenciado significa abrir mão do controle administrativo direto. Você não pode acessar o sistema operacional subjacente, não pode modificar o esquema do Active Directory e não recebe os privilégios de Administrador de Domínio ou de Administrador Empresarial.

Por outro lado, implantar controladores de domínio IaaS oferece controle total sobre a arquitetura do diretório. Você pode estender o esquema, configurar relações de confiança personalizadas, adicionar unidades organizacionais arbitrárias e implementar objetos de política de grupo especializados sem restrições. O preço dessa flexibilidade é a manutenção. Sua equipe precisa gerenciar todo o ciclo de vida do domínio, incluindo verificações proativas de integridade, desfragmentação do banco de dados e procedimentos de restauração de emergência caso um controlador de domínio falhe.

Compensações operacionais e salvaguardas administrativas

Antes de se comprometer com uma abordagem de domínio gerenciado no Azure, os administradores de nuvem precisam avaliar cuidadosamente como as operações do dia a dia mudam. Com controladores de domínio IaaS próprios, sua equipe tem controle granular sobre todos os aspectos do diretório. Você pode escrever scripts personalizados em PowerShell para automatizar tarefas administrativas, instalar agentes de segurança de terceiros diretamente nos controladores de domínio e solucionar erros de replicação usando utilitários nativos como o repadmin.

O Microsoft Entra Domain Services substitui essa abordagem prática por salvaguardas gerenciadas. A administração é feita por meio de um grupo dedicado chamado Entra Domain Services Administrators, usando utilitários de gerenciamento instalados em uma máquina virtual Windows separada e ingressada no domínio. Embora você possa criar unidades organizacionais personalizadas, gerenciar registros DNS e aplicar configurações compatíveis de Política de Grupo, você fica estritamente isolado da infraestrutura principal.

Além disso, o gerenciamento de identidades segue um modelo de sincronização estritamente unidirecional. As identidades de usuários e grupos fluem da sua fonte autoritativa, seja de usuários somente em nuvem no Entra ID ou de identidades sincronizadas de um Active Directory local, para o domínio gerenciado. Você nunca deve tentar usar o Entra Domain Services como diretório primário para modificar atributos de usuários, porque essas alterações não serão sincronizadas de volta para a origem e acabarão sendo sobrescritas.

Estrutura de decisão: como fazer a escolha arquitetônica certa

Selecionar a abordagem correta exige avaliar os requisitos técnicos específicos da sua organização e a estratégia de nuvem de longo prazo. Se seu principal objetivo é migrar cargas de trabalho legadas para o Azure eliminando o custo operacional de executar máquinas virtuais do Windows Server como controladores de domínio, um serviço gerenciado quase sempre é o caminho preferido.

Use o Microsoft Entra Domain Services quando:

• Você estiver migrando aplicações legadas para o Azure que exigem consultas de leitura LDAP, Kerberos, NTLM ou recursos de ingresso no domínio.
• Sua organização quiser evitar a sobrecarga de aplicar patches, monitorar e recuperar máquinas virtuais de controladores de domínio personalizados no Azure.
• Você opera uma organização cloud-first ou somente em nuvem e precisa de serviços de diretório tradicionais para um pequeno subconjunto de cargas de trabalho do Azure, sem construir uma infraestrutura local.
• As aplicações exigirem aplicação padrão de política de grupo ou gerenciamento de contas de serviço dentro de uma rede virtual segura.

Escolha controladores de domínio IaaS próprios quando:

• Suas aplicações legadas exigirem acesso de gravação LDAP ou depender de modificações no esquema do Active Directory.
• A arquitetura corporativa exigir florestas com vários domínios complexos, configurações de confiança personalizadas ou acesso direto aos sistemas operacionais dos controladores de domínio.
• Sua equipe de segurança exigir controle administrativo total, incluindo privilégios de Administrador Empresarial e a implantação direta de ferramentas especializadas de auditoria de diretório.

Conclusão e próximos passos

Projetar uma arquitetura de identidade robusta no Azure exige associar cada carga de trabalho ao modelo de autenticação exato que ela precisa. Enquanto aplicações modernas na nuvem utilizam o Microsoft Entra ID para logon único seguro baseado em tokens e autenticação multifator, cargas de trabalho legadas costumam depender dos tradicionais serviços de domínio do Windows. A decisão entre implantar serviços gerenciados na nuvem ou construir sua própria infraestrutura IaaS define a carga operacional contínua da sua equipe.

Para explorar este tema com mais profundidade e ouvir a visão de especialistas sobre segurança do ambiente de trabalho moderno, arquitetura em nuvem e estratégias do Microsoft 365, ouça a discussão completa no podcast. Ouça o episódio completo para aprofundar seus conhecimentos sobre gerenciamento de identidades da Microsoft.

Perguntas frequentes

Posso usar RDP nos controladores de domínio ao usar o Microsoft Entra Domain Services?

Não. A Microsoft gerencia totalmente a infraestrutura subjacente dos controladores de domínio, o que significa que você não tem acesso administrativo ao sistema operacional nem a possibilidade de se conectar por área de trabalho remota aos controladores de domínio.

O que acontece com as senhas dos usuários ao habilitar o Microsoft Entra Domain Services?

Para que a autenticação Kerberos e NTLM funcione, o Microsoft Entra Domain Services exige dados de hash especializados. Para usuários somente na nuvem, isso normalmente significa que os usuários precisam alterar a senha depois que o domínio gerenciado for habilitado, para que os hashes criptográficos necessários sejam gerados.

Posso modificar o esquema do Active Directory no Microsoft Entra Domain Services?

Não. Por ser um serviço de nuvem totalmente gerenciado, os administradores não podem alterar o esquema subjacente do Active Directory nem realizar operações de gravação LDAP que modifiquem as estruturas centrais do diretório.

Como as identidades são sincronizadas com o Microsoft Entra Domain Services?

As identidades fluem em uma única direção, da fonte autoritativa (Microsoft Entra ID para usuários na nuvem, ou Active Directory local via Microsoft Entra Connect) para o domínio gerenciado. Alterações feitas diretamente no domínio gerenciado não são sincronizadas de volta para a origem.