Trả lời nhanh: Công ty không có máy chủ và nhân viên làm việc phân tán thì chọn Entra ID. Công ty đã có máy chủ miền và nhiều phần mềm cũ phụ thuộc vào nó thì giữ domain. Có mô hình kết hợp cho phép máy vừa vào miền vừa vào Entra ID, dùng khi đang chuyển đổi.
Đây là quyết định nền tảng cho cách quản lý máy của cả công ty. Bài này so sánh thẳng hai hướng.
- Entra ID hợp với công ty không có máy chủ, nhân viên phân tán.
- Domain hợp khi đã có máy chủ và phần mềm cũ phụ thuộc vào nó.
- Có mô hình kết hợp, dùng trong giai đoạn chuyển đổi.
- Entra ID quản được máy ở bất cứ đâu, không cần trong văn phòng.
- Đổi hướng sau khi đã triển khai rất tốn công, nên quyết kỹ.
Hai mô hình khác nhau thế nào
Domain truyền thống. Công ty có một máy chủ chạy dịch vụ thư mục. Máy nhân viên gia nhập vào miền đó. Người dùng đăng nhập bằng tài khoản của miền.
Quản trị viên áp chính sách qua chính sách nhóm, và mọi thứ đi qua máy chủ trong văn phòng.
Điều kiện: máy phải liên lạc được với máy chủ. Nhân viên làm ở nhà cần kết nối riêng ảo về văn phòng.
Entra ID. Danh tính nằm trên đám mây của Microsoft. Máy gia nhập trực tiếp vào đó. Người dùng đăng nhập bằng chính tài khoản Microsoft 365 của công ty.
Quản trị viên áp chính sách qua Intune, và mọi thứ đi qua internet.
Điều kiện: máy chỉ cần có internet. Nhân viên ở đâu cũng được quản lý như nhau.
Khác biệt cốt lõi: domain đòi máy phải về được văn phòng, Entra ID thì không. Với cách làm việc hiện nay, đó là khác biệt lớn.
Khi nào chọn Entra ID
Năm dấu hiệu.
- Công ty chưa có máy chủ miền và đang cân nhắc dựng một cái. Với công ty mới, dựng máy chủ chỉ để quản lý máy nhân viên là khoản đầu tư không cần thiết.
- Nhân viên làm việc phân tán, ở nhà, ở nhiều chi nhánh, hoặc hay đi công tác.
- Công ty đã dùng Microsoft 365. Danh tính đã nằm sẵn trên Entra ID, việc đưa máy vào là bước tự nhiên tiếp theo.
- Không có đội kỹ thuật chuyên trách để vận hành máy chủ.
- Muốn quản lý được cả máy tính lẫn điện thoại trong một chỗ.
Bốn thứ Entra ID làm được mà domain khó làm: quản lý máy ở bất cứ đâu không cần kết nối riêng ảo, xóa dữ liệu công ty từ xa khi mất máy, đăng nhập một lần cho cả máy lẫn các dịch vụ đám mây, và triển khai máy mới tự động khi bật lần đầu.
Khi nào giữ domain
Bốn tình huống mà domain vẫn là lựa chọn đúng.
- Đã có máy chủ miền đang chạy tốt và không có lý do cụ thể để đổi. Chuyển đổi tốn công, và công đó phải đổi lấy lợi ích rõ ràng.
- Có phần mềm nghiệp vụ yêu cầu xác thực theo cơ chế của miền. Nhiều phần mềm kế toán và phần mềm quản lý đời cũ ở Việt Nam thuộc nhóm này.
- Có nhiều máy in mạng, thiết bị lưu trữ mạng và tài nguyên nội bộ đã gắn với miền.
- Nhân viên chủ yếu làm tại văn phòng và mạng nội bộ ổn định.
Về máy chủ miền chạy trên máy chủ vật lý trong văn phòng: có rủi ro cần biết. Máy chủ hỏng hoặc bị mã độc mã hóa thì toàn bộ việc đăng nhập của công ty dừng. Cần ít nhất hai máy chủ điều khiển miền và một phương án sao lưu đã thử khôi phục.
Rất nhiều doanh nghiệp Việt Nam chạy một máy chủ miền duy nhất không có dự phòng, và đó là rủi ro lớn hơn nhiều so với việc chọn sai mô hình.
Mô hình kết hợp
Có cách để máy vừa vào miền vừa được đăng ký với Entra ID. Đây là mô hình phổ biến nhất ở các công ty đang chuyển đổi.
Cách hoạt động: tài khoản vẫn quản lý ở máy chủ miền, và được đồng bộ lên Entra ID. Máy vào miền như cũ, đồng thời đăng ký với Entra ID để dùng được các dịch vụ đám mây và để quản lý bằng Intune.
Ba lợi ích:
- Giữ nguyên mọi thứ đang chạy trên miền.
- Có thêm khả năng quản lý máy khi ở ngoài văn phòng.
- Chuyển đổi dần thay vì cắt một lần.
Ba chi phí: phức tạp hơn cả hai mô hình đơn lẻ, cần công cụ đồng bộ chạy liên tục, và cần hiểu cả hai bên khi chẩn đoán sự cố.
Nên dùng khi: bạn có domain đang chạy và muốn tiến dần lên đám mây mà không cắt đứt. Không nên dùng khi bạn bắt đầu từ đầu, vì khi đó chọn thẳng Entra ID đơn giản hơn nhiều.
Quyết định và chuẩn bị
Bốn câu hỏi để chốt hướng.
- Công ty đã có máy chủ miền chưa? Chưa thì gần như luôn nên chọn Entra ID.
- Có phần mềm nào bắt buộc xác thực theo cơ chế của miền không? Hỏi từng nhà cung cấp phần mềm, đừng đoán.
- Nhân viên làm việc ở đâu? Càng phân tán thì Entra ID càng hợp.
- Ai vận hành? Không có đội kỹ thuật thì Entra ID nhẹ việc hơn hẳn.
Bốn việc chuẩn bị trước khi triển khai:
- Kiểm giấy phép: quản lý máy bằng Intune cần giấy phép phù hợp, kiểm gói Microsoft 365 công ty đang mua có bao gồm không.
- Thử trên vài máy trước, gồm cả máy có phần mềm nghiệp vụ.
- Chuẩn bị cách xử lý máy in mạng và ổ mạng chung, vì cách kết nối tới chúng có thể đổi.
- Viết hướng dẫn cho người dùng về cách đăng nhập mới.
Một cảnh báo: đổi hướng sau khi đã triển khai cho cả công ty rất tốn công, thường phải cài lại máy. Nên dành thời gian quyết cho kỹ và thử trên vài máy thật trước.
Bảng quyết định theo hoàn cảnh công ty
| Công ty của bạn | Chọn | Vì sao |
|---|---|---|
| Mới lập, chưa có máy chủ nào | Danh tính đám mây | Không cần máy chủ, nhân viên làm việc ở đâu cũng quản được |
| Nhân viên làm từ xa hoặc đi công trường nhiều | Danh tính đám mây | Máy không cần về văn phòng để nhận chính sách |
| Đang có máy chủ miền và phần mềm nội bộ phụ thuộc nó | Giữ miền tại chỗ | Máy in mạng, ổ đĩa chia sẻ, phần mềm kế toán thường gắn với miền |
| Có cả hai nhóm trên | Mô hình kết hợp | Máy vẫn vào miền, đồng thời đăng ký lên đám mây |
| Máy dùng chung ở xưởng, không gắn với người cụ thể | Giữ miền tại chỗ | Quản theo máy dễ hơn quản theo người |
Kiểm máy hiện đang ở trạng thái nào
:: Cho biet may dang vao mien, dang ky dam may, hay ca hai dsregcmd /status :: Doc ba dong dau tien la du: :: AzureAdJoined : YES -> da vao danh tinh dam may :: DomainJoined : YES -> dang vao mien tai cho :: ca hai YES -> mo hinh ket hop :: Kiem chinh sach quan ly thiet bi da nhan chua dsregcmd /status | findstr /i "MDMUrl TenantName"
Điều cần chuẩn bị trước khi đổi
- Máy phải chạy bản Pro trở lên. Bản Home không tham gia được cả hai mô hình, đây là rào cản hay bị phát hiện muộn.
- Kiểm phần mềm nội bộ có phụ thuộc miền không: phần mềm kế toán, phần mềm quản lý kho và máy in mạng là ba thứ hay vướng nhất.
- Đổi mô hình thường phải cài lại máy hoặc tạo hồ sơ người dùng mới. Lên kế hoạch chuyển dữ liệu người dùng trước, đừng làm giữa tuần bận.
- Làm thử trên vài máy trước, giữ nguyên phần còn lại một tháng, rồi mới nhân rộng.
Về giấy phép Windows cho máy tham gia danh tính đám mây, xem bài về Windows 11 Pro và máy tham gia Entra ID.
Câu hỏi thường gặp
Công ty nhỏ không có máy chủ có quản lý máy được không
Được, bằng Entra ID cộng Intune. Đây thực ra là mô hình hợp lý nhất với công ty nhỏ vì không cần đầu tư máy chủ và không cần đội vận hành.
Đưa máy vào Entra ID có cần bản Windows Pro không
Có. Việc gia nhập vào Entra ID hoặc vào miền cần bản Pro trở lên. Bản Home không làm được.
Nhân viên làm ở nhà có quản lý được không
Với Entra ID thì được, máy chỉ cần có internet. Với domain truyền thống thì máy phải kết nối riêng ảo về văn phòng để nhận chính sách.
Đang dùng domain có chuyển sang Entra ID được không
Được, và mô hình kết hợp cho phép chuyển dần thay vì cắt một lần. Nhưng cần lên kế hoạch kỹ, nhất là với các phần mềm phụ thuộc vào xác thực của miền.
