Active Directory Domain Services (AD DS) to dojrzały, lokalny serwer katalogowy oparty o LDAP, Kerberos i NTLM, który od ponad dwóch dekad zarządza tożsamościami, komputerami i politykami w sieciach firmowych. Microsoft Entra ID (do lipca 2023 znany jako Azure AD) to jego chmurowy odpowiednik — w pełni zarządzana usługa IAM, która używa nowoczesnych protokołów (OAuth 2.0, OpenID Connect, SAML 2.0) i jest fundamentem uwierzytelniania dla Microsoft 365, Azure oraz tysięcy aplikacji SaaS.
Werdykt w 30 sekund
- Masz infrastrukturę lokalną, serwery Windows, stare aplikacje korporacyjne i potrzebujesz Kerberos/NTLM? → Active Directory on-prem
- Twoja organizacja działa w chmurze, używa Microsoft 365, zarządza urządzeniami mobilnymi i potrzebuje dostępu z dowolnego miejsca? → Entra ID
- Masz jedno i drugie (hybryda)? → synchronizuj AD z Entra ID przez Microsoft Entra Connect Sync — to najczęstszy model w 2026 roku
W skrócie
- Active Directory on-prem (AD DS) — usługa katalogowa działająca na Windows Server (fizycznie lub na VM), wymaga własnych kontrolerów domeny, zarządzana ręcznie. Protokoły: LDAP, Kerberos, NTLM. Działa tylko w sieci lokalnej (chyba że przez VPN).
- Microsoft Entra ID — chmurowa usługa tożsamości, w pełni zarządzana przez Microsoft, dostępna z internetu. Protokoły: OAuth 2.0, OpenID Connect, SAML 2.0, WS-Federation. Brak natywnego LDAP i Kerberos (chyba że przez Entra Domain Services).
- Od lipca 2023 Azure AD nosi nazwę Microsoft Entra ID — to ta sama usługa, tylko pod nową marką w ramach rodziny produktów Microsoft Entra.
- Nie zastępują się nawzajem 1:1 — to dwa różne narzędzia do różnych scenariuszy. Często działają razem (hybryda).
- AD DS jest płatny pośrednio (licencje Windows Server + CAL), Entra ID ma darmowy plan (Free) i płatne (P1, P2, Suite).
Porównanie techniczne: Active Directory on-prem vs Entra ID
| Cecha | Active Directory (on-prem) | Microsoft Entra ID |
|---|---|---|
| Typ usługi | Lokalny serwer katalogowy (LDAP) | Chmurowa usługa IAM (Identity as a Service) |
| Model wdrożenia | Self-managed — stawiasz i utrzymujesz kontrolery domeny | W pełni zarządzana przez Microsoft (SaaS) |
| Protokoły uwierzytelniania | Kerberos, NTLM, LDAP, LDAPS | OAuth 2.0, OpenID Connect, SAML 2.0, WS-Federation |
| LDAP | ✅ Pełne wsparcie (odczyt, zapis) | ❌ Brak natywnego — potrzebne Entra Domain Services |
| Kerberos / NTLM | ✅ Natywne | ❌ Brak — tylko przez Entra Domain Services |
| Struktura hierarchiczna (OU) | ✅ Dowolne jednostki organizacyjne, lasy, domeny | ❌ Płaska struktura — grupy, jednostki administracyjne |
| Rozszerzenia schematu | ✅ Pełna kontrola | ❌ Ograniczone — atrybuty rozszerzeń katalogu |
| Group Policy (GPO) | ✅ Pełne wsparcie | ❌ Zastąpione przez Intune (MDM) i Configuration Manager |
| Zaufania domen / lasów | ✅ Tak | ❌ Tylko przez federację (AD FS) lub Entra Domain Services |
| Przyłączanie do domeny (domain join) | ✅ Tradycyjne | ✅ Microsoft Entra join (nowoczesne) |
| Zarządzanie urządzeniami | Group Policy | Microsoft Intune (MDM) |
| Dostęp z internetu | ❌ Wymaga VPN / DirectAccess | ✅ Natywny dostęp z dowolnego miejsca |
| Single Sign-On (SSO) | W obrębie domeny Windows (Kerberos) | Do tysięcy aplikacji SaaS + Microsoft 365 |
| Conditional Access (dostęp warunkowy) | ❌ Brak | ✅ Rozbudowane polityki (lokalizacja, ryzyko, urządzenie) |
| MFA / bezhasłowe | Ograniczone (AD FS, zewnętrzne rozwiązania) | ✅ Wbudowane (Microsoft Authenticator, FIDO2, Windows Hello) |
| Identity Protection (ryzyko) | ❌ Brak | ✅ AI-based detekcja ryzyka (P2) |
| Synchronizacja z chmurą | Przez Entra Connect Sync (do Entra ID) | ✅ Przyjmuje z AD on-prem + innych źródeł |
| Wysoka dostępność | Ręczna — wiele kontrolerów, replikacja | ✅ Automatyczna — SLA 99,9% |
| Koszty infrastruktury | Serwery fizyczne / VM + licencje Windows Server + CAL | Subskrypcja (Free / P1 / P2 / Suite) — bez serwerów |
| Backup / DR | Ręczny (Windows Server Backup, repliki) | Wbudowany — zarządzany przez Microsoft |
| DNS | ✅ Zintegrowany serwer DNS | ❌ Brak (używa zewnętrznego DNS) |
| Certyfikaty (PKI / AD CS) | ✅ Wbudowane usługi certyfikatów (AD CS) | ❌ Brak natywnego PKI |
| Dojrzałość rynkowa | 25+ lat (od Windows 2000) | 17 lat (od 2008 jako Azure AD; rebranding 2023) |
Active Directory on-prem — kiedy wciąż jest niezbędny
Active Directory Domain Services to fundament tysięcy organizacji na całym świecie. Mimo ekspansji chmury, AD on-prem nie zniknie w najbliższych latach — są scenariusze, w których pozostaje niezastąpiony.
Typowe zastosowania AD on-prem
- Aplikacje legacy — systemy ERP, księgowe, produkcyjne, które używają Kerberos lub NTLM do uwierzytelniania. Entra ID nie obsługuje tych protokołów bez Entra Domain Services.
- Zarządzanie serwerami Windows — domain join dla serwerów plików, print serverów, SQL Server w sieci lokalnej.
- Group Policy Objects (GPO) — precyzyjne polityki bezpieczeństwa dla stacji roboczych: blokady USB, mapowanie dysków, polityki haseł, instalacja oprogramowania. Intune potrafi coraz więcej, ale w wielu firmach GPO wciąż rządzi.
- Środowiska izolowane — placówki bez stałego internetu, sieci OT (operational technology), laboratoria.
- Pełna kontrola nad danymi — katalog na własnych serwerach, zero zależności od chmury Microsoftu.
Wymagania techniczne
- Windows Server (2019, 2022 lub 2025) z rolą AD DS
- Fizyczny serwer lub maszyna wirtualna
- Licencje CAL (Client Access License) dla każdego użytkownika lub urządzenia
- Administracja: promowanie DC, replikacja, backup, patching — wszystko po stronie IT
💡 Windows Server 2025 (wydany jesienią 2024) przynosi ulepszenia w zabezpieczeniach AD, w tym lepszą ochronę przed atakami kerberoasting i rozszerzone możliwości audytu.
Microsoft Entra ID — chmurowa tożsamość dla ery zero-trust
Entra ID to nie „AD w chmurze” — to nowoczesna platforma IAM zaprojektowana od podstaw dla świata aplikacji webowych, urządzeń mobilnych i pracy zdalnej. Każda organizacja korzystająca z Microsoft 365, Azure lub Dynamics 365 już używa Entra ID — nawet jeśli nie zdaje sobie z tego sprawy.
Kluczowe możliwości Entra ID
- Single Sign-On do tysięcy aplikacji — Microsoft 365, Salesforce, ServiceNow, Slack, własne aplikacje firmowe.
- Conditional Access — dopuszczaj użytkowników tylko z zaufanych urządzeń, lokalizacji i przy niskim poziomie ryzyka. Np. „jeśli logowanie z kraju wysokiego ryzyka → zablokuj”.
- Bezhasłowe logowanie — Windows Hello for Business, klucze FIDO2, Microsoft Authenticator.
- Identity Protection (P2) — AI analizuje każde logowanie pod kątem ryzyka (np. niemożliwa podróż, wyciek credentiali).
- B2B / B2C — bezpieczne udostępnianie zasobów partnerom i klientom bez tworzenia kont w lokalnym AD.
- Microsoft Entra ID Governance — automatyzacja cyklu życia tożsamości, recertyfikacje dostępu.
Licencjonowanie Entra ID
| Plan | Cena (2026, orientacyjnie) | Kluczowe funkcje |
|---|---|---|
| Free | 0 zł (wbudowany w Azure/M365) | SSO, MFA podstawowe, do 500 tys. obiektów |
| P1 | ~$6/użyt./mies. | Conditional Access, grupy dynamiczne, Microsoft Entra Connect Sync zaawansowane |
| P2 | ~$9/użyt./mies. | Identity Protection, Privileged Identity Management (PIM), recertyfikacje dostępu |
| Microsoft Entra Suite | ~$12/użyt./mies. | P2 + Private Access (ZTN), Internet Access, Verified ID |
Kiedy wystarczy Entra ID, a kiedy potrzebujesz AD on-prem?
Wybierz Entra ID (cloud-only), jeśli:
- Jesteś firmą bez infrastruktury lokalnej lub dopiero startujesz
- Używasz Microsoft 365 i aplikacji SaaS
- Twoi pracownicy pracują zdalnie i na urządzeniach mobilnych
- Nie masz aplikacji wymagających Kerberos/NTLM
- Chcesz zero utrzymania serwerów tożsamości
Wybierz Active Directory on-prem, jeśli:
- Masz aplikacje legacy, które nie działają bez Kerberos/NTLM
- Zarządzasz farmą serwerów Windows w sieci wewnętrznej
- Potrzebujesz GPO do szczegółowej kontroli stacji roboczych
- Działasz w środowisku z ograniczonym dostępem do internetu
- Wymagania compliance wymagają, by dane katalogowe były lokalnie
Wybierz hybrydę (AD + Entra ID), jeśli:
- Masz już AD on-prem i chcesz rozszerzyć tożsamości do chmury
- Używasz Microsoft 365, ale aplikacje legacy wymagają AD
- Chcesz mieć to samo hasło wszędzie (synchronizacja hashów haseł przez Entra Connect)
- Potrzebujesz Conditional Access i MFA dla użytkowników z lokalnym AD
W 2026 roku model hybrydowy to wciąż najczęstszy scenariusz w średnich i dużych organizacjach w Polsce. Microsoft Entra Connect Sync synchronizuje użytkowników, grupy i hashe haseł z AD do Entra ID, dając to, co najlepsze z obu światów.
Microsoft Entra Domain Services — pomost dla aplikacji legacy
Wiele organizacji chce przenieść aplikacje do Azure, ale te aplikacje wymagają Kerberos, LDAP lub domain join. Rozwiązaniem jest Microsoft Entra Domain Services — zarządzana domena w chmurze, która udostępnia:
- Domain join dla VM w Azure
- Kerberos i NTLM
- LDAP (odczyt + ograniczony zapis)
- Group Policy (podstawowe)
To nie jest pełny zamiennik AD on-prem — nie masz dostępu do Domain Admin, nie rozszerzysz schematu — ale dla lift-and-shift aplikacji do Azure jest wystarczające i eliminuje potrzebę zarządzania własnymi kontrolerami domeny.
| Cecha | AD on-prem | Entra Domain Services |
|---|---|---|
| Domain Admin | ✅ | ❌ |
| Schema extensions | ✅ | ❌ |
| Zaufania lasów | ✅ | ✅ (Enterprise SKU) |
| LDAP write (pełny) | ✅ | ❌ (tylko w ramach zarządzanej domeny) |
| Zarządzanie przez Microsoft | ❌ | ✅ |
Częste pytania
Czy Entra ID zastąpi Active Directory on-prem?
Nie całkowicie. Entra ID nie obsługuje protokołów Kerberos, NTLM ani natywnego LDAP — są one niezbędne dla tysięcy aplikacji legacy, serwerów plików, systemów przemysłowych i sieci wewnętrznych. Microsoft rozwija oba produkty równolegle. W 2026 roku Windows Server 2025 wciąż otrzymuje aktualizacje AD DS, a model hybrydowy (AD + Entra ID) pozostaje rekomendowanym rozwiązaniem dla firm posiadających infrastrukturę lokalną.
Czy muszę płacić za Entra ID?
Podstawowa wersja (Free) jest całkowicie bezpłatna i zawiera uwierzytelnianie, SSO do aplikacji Microsoft i podstawowe MFA. Wersje P1 i P2 są płatne (~$6 i ~$9/użyt./mies.) i dodają Conditional Access, Identity Protection oraz Privileged Identity Management. Każdy abonent Microsoft 365 i Azure automatycznie otrzymuje Entra ID Free.
Czy mogę używać Entra ID bez posiadania serwera Active Directory?
Tak. Coraz więcej firm — szczególnie tych założonych w ostatnich latach — działa wyłącznie na Entra ID (tzw. cloud-native). Komputery z Windows 10/11 mogą być przyłączone bezpośrednio do Entra ID (Entra Join), a zarządzanie odbywa się przez Microsoft Intune. Jeśli nie masz aplikacji wymagających Kerberos, AD on-prem jest zbędny.
Czym się różni Entra ID od Azure AD?
To ta sama usługa. W lipcu 2023 Microsoft zmienił nazwę z „Azure Active Directory” na „Microsoft Entra ID” w ramach ujednolicenia marki Microsoft Entra obejmującej całe portfolio tożsamości. Funkcjonalność się nie zmieniła — każdy tenant Azure AD stał się tenantem Entra ID automatycznie i bez przestoju.
Czy mogę zsynchronizować lokalne AD z Entra ID?
Tak — za pomocą bezpłatnego narzędzia Microsoft Entra Connect Sync (dawniej Azure AD Connect). Synchronizuje użytkowników, grupy, kontakty i hashe haseł. Opcjonalnie można użyć federacji (AD FS) do przekazywania uwierzytelnienia do AD on-prem w czasie rzeczywistym, ale większość organizacji wybiera prostszy model synchronizacji hashów haseł (PHS).
Jak wygląda bezpieczeństwo Entra ID vs AD on-prem?
Oba rozwiązania mają różne profile bezpieczeństwa. AD on-prem jest podatne na ataki lateral movement (Pass-the-Hash, Kerberoasting, DCSync) i wymaga starannego hartowania przez administratora. Entra ID korzysta z nowoczesnych protokołów (OAuth 2.0), ma wbudowaną analizę ryzyka SI opartą na AI (Identity Protection), Conditional Access i natywne MFA. Z drugiej strony AD on-prem daje pełną kontrolę nad danymi, co jest kluczowe dla niektórych branż regulowanych. Najsilniejsze zabezpieczenia osiąga się łącząc oba rozwiązania — np. używając Entra ID jako warstwy dostępu warunkowego przy jednoczesnym zachowaniu AD dla krytycznych systemów wewnętrznych.
Czy do korzystania z Entra ID potrzebuję licencji na Windows Server?
Nie. Entra ID działa całkowicie w chmurze — nie potrzebujesz serwerów Windows, kontrolerów domeny ani licencji CAL. Jeśli jednak potrzebujesz również Active Directory on-prem (model hybrydowy), wtedy wymagane są standardowe licencje Windows Server i CAL. Dla firm, które chcą zredukować koszty infrastruktury serwerowej, przejście na model cloud-only z Entra ID może być atrakcyjne finansowo.
Niezależnie od tego, czy planujesz migrację do chmury, czy rozbudowujesz swoją infrastrukturę lokalną — potrzebujesz w pełni aktywowanego systemu Windows Server. W KluczeSoft znajdziesz legalne, wtórne licencje Microsoft w atrakcyjnych cenach, zgodne z prawem UE (wyrok Trybunału Sprawiedliwości UE w sprawie UsedSoft). → Licencje Windows Server — sprawdź dostępne oferty