Kun työntekijä avaa sähköpostin, kirjautuu Teamsiin, käyttää tiedostoja tai ottaa käyttöön uuden kannettavan, taustalla ratkaistaan sama peruskysymys: kuka saa käyttää mitäkin ja millä ehdoin? Mitä Azure AD tarkoittaa tässä arjessa? Se on palvelu, jonka avulla yritys hallitsee käyttäjätunnuksia, kirjautumisia, käyttöoikeuksia ja niiden tietoturvaa keskitetysti.

Azure AD on Microsoftin aiempi nimi palvelulle, jonka virallinen nimi on nykyään Microsoft Entra ID. Vanha nimi elää silti vahvasti puheessa, asetuksissa ja monissa ohjeissa. Kun IT-kumppani puhuu Azure AD:stä, hän tarkoittaa useimmiten juuri Entra ID:tä.

Pienelle tai keskisuurelle yritykselle kyse ei ole pelkästä teknisestä taustapalvelusta. Hyvin hoidettu käyttäjähallinta vähentää käyttökatkoja, helpottaa työntekijöiden aloituksia ja lähtöjä sekä pienentää riskiä, että vanhat tunnukset tai liian laajat oikeudet jäävät voimaan.

Mitä Azure AD tarkoittaa käytännössä?

Perinteisessä toimistoympäristössä käyttäjätunnuksia hallittiin usein yrityksen omalla palvelimella. Tunnus avasi työaseman, pääsyn verkkolevyille ja ehkä muutamaan sisäiseen järjestelmään. Kun työ siirtyi Microsoft 365 -palveluihin, etäyhteyksiin ja pilvessä toimiviin sovelluksiin, identiteetin hallinnan piti seurata mukana.

Azure AD eli Microsoft Entra ID toimii yrityksen digitaalisena henkilökorttirekisterinä. Se kertoo palveluille, kuka käyttäjä on, kuuluuko hän organisaatioon ja mitä hän saa tehdä. Sen kautta hallitaan esimerkiksi Microsoft 365:n sähköpostia, Teamsia, SharePointia, OneDrivea, Intune-laitteiden hallintaa sekä monia ulkopuolisia pilvipalveluja.

Yksi tunnus ei kuitenkaan tarkoita, että kaikilla olisi samat oikeudet. Taloushallinnon käyttäjä voi tarvita pääsyn laskutusjärjestelmään, asentaja kenttätyösovellukseen ja johto luottamuksellisiin asiakirjoihin. Azure AD:n tehtävä on auttaa pitämään nämä oikeudet selkeinä ja tarkoituksenmukaisina.

Käyttäjätunnus on enemmän kuin sähköpostiosoite

Monessa yrityksessä Microsoft 365 -tunnus mielletään sähköpostitunnukseksi. Todellisuudessa se on käyttäjän digitaalinen identiteetti. Jos tunnus joutuu vääriin käsiin, hyökkääjä voi päästä sähköpostin lisäksi yrityksen tiedostoihin, keskusteluihin, asiakastietoihin ja muihin palveluihin, joihin käyttäjällä on oikeus.

Siksi tunnuksen elinkaari kannattaa hoitaa järjestelmällisesti. Uudelle työntekijälle luodaan tunnus, tarvittavat lisenssit ja roolit. Tehtävänkuvan muuttuessa oikeudet tarkistetaan. Työsuhteen päättyessä tunnus suljetaan viivyttelemättä, istunnot katkaistaan ja yrityksen tiedot turvataan.

Tässä kohtaa keskitetty toimintamalli säästää aikaa. Sen sijaan, että tieto uudesta työntekijästä kulkee sähköpostilla usealle taholle, sovitaan vastuista ja käytännöstä etukäteen. Näin tunnukset, laitteet ja tarvittavat käyttöoikeudet ovat valmiina ensimmäisenä työpäivänä.

Kirjautumisen suojaaminen on Azure AD:n tärkeä tehtävä

Pelkkä vahva salasana ei enää riitä. Salasanoja kalastellaan väärennetyillä kirjautumissivuilla, niitä päätyy tietovuotoihin ja samoja salasanoja käytetään helposti useassa paikassa. Tästä syystä monivaiheinen tunnistautuminen eli MFA on yksi tärkeimmistä Azure AD:n käyttöön liittyvistä suojauksista.

MFA tarkoittaa, että käyttäjä vahvistaa kirjautumisen salasanan lisäksi toisella tavalla, esimerkiksi puhelimen tunnistautumissovelluksella. Jos salasana päätyy ulkopuoliselle, pelkkä salasana ei tavallisesti riitä kirjautumiseen. Käytännössä työntekijä hyväksyy kirjautumispyynnön puhelimesta tai käyttää kertakäyttöistä koodia.

Suojausta voidaan tarkentaa ehdollisella käyttöoikeudella. Sen avulla voidaan määrittää, milloin kirjautuminen sallitaan, vaaditaanko lisävahvistusta ja millaiselta laitteelta palveluja saa käyttää. Esimerkiksi hallinnon tunnuksilta voidaan vaatia MFA aina, tai ulkomailta tulevat kirjautumisyritykset voidaan asettaa tiukempaan tarkasteluun.

Asetuksia ei kuitenkaan kannata ottaa käyttöön sokkona. Liian tiukat säännöt voivat estää työnteon matkalla, huollossa olevalla laitteella tai tilanteessa, jossa puhelin on vaihtunut. Toisaalta liian väljä toteutus jättää turhia aukkoja. Toimiva kokonaisuus rakennetaan yrityksen työnteon, käytössä olevien laitteiden ja riskien perusteella.

Azure AD, Microsoft 365 ja Intune – mikä niiden ero on?

Nämä nimet menevät helposti sekaisin, koska ne toimivat usein samassa kokonaisuudessa. Microsoft 365 on palvelupaketti, johon voi kuulua sähköposti, Teams, Office-sovellukset, tiedostopalvelut ja tietoturvaominaisuuksia. Azure AD eli Microsoft Entra ID hallitsee käyttäjien identiteettejä ja pääsyä näihin palveluihin.

Intune puolestaan on laitehallintapalvelu. Sen avulla voidaan esimerkiksi ottaa uusi Windows-tietokone käyttöön valmiilla asetuksilla, asentaa tarvittavat ohjelmat, vaatia levyn salausta ja poistaa yrityksen tiedot kadonneesta laitteesta. Entra ID ja Intune toimivat hyvin yhdessä: käyttäjän oikeudet ja laitteen vaatimukset voidaan tarkistaa samalla, kun hän kirjautuu palveluun.

Esimerkiksi myyjän kannettava voidaan määrittää niin, että se liittyy yrityksen Entra ID -ympäristöön käyttöönotossa. Kun myyjä kirjautuu omalla tunnuksellaan, hän saa työpöydälleen oikeat sovellukset ja pääsyn niihin tietoihin, joita hän tarvitsee. Jos laite katoaa, sen yritystiedot voidaan suojata etähallinnan avulla.

Kaikki yritykset eivät tarvitse samanlaista laitehallinnan tasoa. Muutaman käyttäjän toimistossa tärkeintä voi olla MFA, selkeä käyttäjähallinta ja varmistettu sähköposti. Kun käytössä on etätyötä, liikkuvia työntekijöitä, asiakastietoa tai useita laitteita käyttäjää kohden, hallitun laiteympäristön tarve yleensä kasvaa.

Tyypilliset ongelmat eivät johdu itse palvelusta

Azure AD:n ongelmiksi kutsutaan usein tilanteita, joissa käyttäjä ei pääse kirjautumaan, uusi työntekijä ei näe tarvitsemiaan tiedostoja tai vanha puhelin pyytää jatkuvasti vahvistusta. Usein syy ei ole palvelun viassa, vaan puutteellisissa asetuksissa, epäselvissä vastuissa tai aiemmin tehdyissä muutoksissa.

Yleinen esimerkki on yritys, jossa käyttäjiä on lisätty vuosien mittaan ilman yhtenäistä mallia. Osalla on useita tunnuksia, joillakin on tarpeettomia järjestelmänvalvojan oikeuksia ja entisten työntekijöiden tunnuksia ei ole poistettu. Tällainen ympäristö toimii usein siihen asti, kunnes tapahtuu kiireellinen henkilöstömuutos, laitevaihto tai tietoturvapoikkeama.

Toinen tavallinen tilanne liittyy lisensseihin. Käyttäjälle on voitu hankkia väärä Microsoft 365 -lisenssi, tarvittava turvaominaisuus puuttuu tai lisenssejä jää maksamaan, vaikka käyttäjä ei enää työskentele yrityksessä. Lisenssien säännöllinen läpikäynti tuo sekä kustannusten hallintaa että varmuutta siitä, että suunnitellut suojaukset ovat todella käytössä.

Näin Azure AD -ympäristö pidetään hallinnassa

Hyvä lähtökohta on selvittää, mitä yrityksessä jo on. Kuinka monta käyttäjää ja ylläpitäjää ympäristössä on, mitkä lisenssit ovat käytössä, käytetäänkö MFA:ta kaikilla ja millä laitteilla yrityksen tietoja käsitellään? Samalla kannattaa tarkistaa, onko yrityksellä selkeä toimintatapa uusien työntekijöiden aloituksiin, laitevaihtoihin ja työsuhteiden päättämiseen.

Järjestelmänvalvojan oikeudet vaativat erityistä huomiota. Niitä ei pidä jakaa varmuuden vuoksi, sillä ylläpitäjä voi tehdä laajoja muutoksia käyttäjiin, lisensseihin ja tietoturva-asetuksiin. Tavallinen työ vaatii harvoin pysyviä pääkäyttäjäoikeuksia. Myös ylläpitotunnuksille tulee käyttää monivaiheista tunnistautumista ja harkittuja suojauskäytäntöjä.

Käytännön ylläpito koostuu pienistä mutta olennaisista tehtävistä: kirjautumislokien seurannasta, käyttöoikeuksien tarkastamisesta, vanhojen tunnusten poistosta, lisenssien hallinnasta ja uusien suojausominaisuuksien arvioinnista. Näitä ei tarvitse tehdä yrityksen omin voimin, mutta jonkun on oltava niistä selkeästi vastuussa.

Karjalan Datahuolto voi ottaa kokonaisuudesta vastuuta laitehankinnoista ja käyttöönotosta Azure- ja Microsoft 365 -asetuksiin, etätukeen sekä jatkuvaan ylläpitoon asti. Asiakkaalle tämä näkyy yhtenä yhteyshenkilönä ja käytännön apuna silloin, kun käyttäjä, laite tai kirjautuminen vaatii toimenpiteitä.

Kun tunnukset, laitteet ja käyttöoikeudet ovat hallinnassa, IT ei poista kaikkia häiriöitä, mutta se ei myöskään muodostu työnteon esteeksi. Juuri siihen Azure AD:n järkevä käyttö tähtää: oikea ihminen pääsee oikeaan palveluun turvallisesti, ja ongelmatilanteessa tiedetään, kuka ottaa asian hoitaakseen.