Identidade de Clientes (CIAM): Entra External ID e Entra Domain Services

Gerenciar a identidade de colaboradores internos de uma empresa exige controles estritos de conformidade corporativa e integração com folha de pagamento. Já a gestão de identidade de clientes externos (conhecida como Customer Identity and Access Management - CIAM) opera sob requisitos totalmente distintos: escala de milhões de usuários concorrentes, onboarding sem atrito, login social com Google/Apple e autoatendimento de redefinição de senhas.

flowchart TD
  subgraph PublicoExterno["Usuários Externos e Clientes"]
    Consumidor["Clientes Finais (B2C)"]
    Parceiro["Fornecedores e Parceiros (B2B)"]
  end

  subgraph PlataformaCIAM["Microsoft Entra External ID (CIAM)"]
    UserFlows["User Flows Customizados<br/>(Cadastro, Login, MFA, Reset)"]
    Federacao["Federação Social (Google, Apple, SAML/OIDC)"]
    APIExt["Custom Extensions (Validações HTTP via Webhooks)"]
  end

  subgraph Apps["Aplicações Consumidoras"]
    AppMobile["App Mobile React Native"]
    PortalWeb["Portal Web de Autoatendimento"]
    LegadoVM["Sistemas Legados (VMs com LDAP/Kerberos)<br/>via Microsoft Entra Domain Services"]
  end

  Consumidor --> UserFlows
  Parceiro --> UserFlows
  UserFlows --> Federacao
  UserFlows --> APIExt
  PlataformaCIAM --> AppMobile
  PlataformaCIAM --> PortalWeb
  PlataformaCIAM -. "Sincronização Unidirecional" .-> LegadoVM

A Convergência para o Microsoft Entra External ID

Historicamente, o ecossistema Azure oferecia o Azure AD B2C como uma plataforma isolada para clientes, enquanto o Azure AD corporativo gerenciava colaboração B2B. O Microsoft Entra External ID unifica essas abordagens em uma plataforma moderna e nativa do desenvolvedor:

• Fluxos Customizáveis de Usuário: Telas de cadastro e autenticação customizadas visualmente com a identidade da marca.
• Custom Authentication Extensions: Possibilidade de disparar chamadas REST para APIs internas durante o fluxo de login (por exemplo, consultando o CRM para enriquecer os claims do token com o nível de fidelidade do cliente).

Microsoft Entra Domain Services: Ponte para Aplicações Legadas

Muitos sistemas corporativos herdados e servidores em máquinas virtuais foram desenvolvidos décadas atrás exigindo protocolos legados como LDAP, Kerberos e ingresso tradicional em domínio Active Directory (Domain Join).

O Microsoft Entra Domain Services cria um ambiente gerenciado de controladores de domínio na nuvem que sincroniza os usuários do Entra ID de forma unidirecional, permitindo que aplicações legadas executem autenticação Kerberos e consultas LDAP seguras (LDAPS) sem a necessidade de manter e patchear servidores Windows Server Domain Controllers dedicados.

Com essa separação limpa, a arquitetura garante segurança corporativa rígida para funcionários internos enquanto oferece experiências fluidas e ágeis para o público consumidor externo.