Microsoft udostępnia dwa fundamenty zarządzania tożsamością: lokalny Active Directory Domain Services (AD DS) — dojrzały, sprawdzony katalog działający na własnych serwerach — oraz Microsoft Entra ID (dawniej Azure AD) — natywnie chmurową platformę tożsamości, która obsługuje nowoczesne uwierzytelnianie, dostęp warunkowy i integrację z tysiącami aplikacji SaaS. Wybór między nimi nie jest kwestią "który jest lepszy", tylko która architektura pasuje do Twojej organizacji — najczęściej obie działają razem w modelu hybrydowym.
W skrócie
- Active Directory Domain Services (AD DS) = lokalny katalog na Windows Server, oparty na LDAP, Kerberos i NTLM; zarządza komputerami, użytkownikami, politykami grupowymi (GPO) wewnątrz sieci firmowej.
- Microsoft Entra ID = chmurowa usługa tożsamości (dawniej Azure AD); protokoły OAuth 2.0, OpenID Connect, SAML; natywnie łączy się z Microsoft 365, Intune i aplikacjami SaaS.
- Entra ID NIE jest "Active Directory w chmurze" — to zupełnie inna architektura: płaska struktura (flat directory), brak jednostek organizacyjnych (OU), brak GPO w tradycyjnym sensie, brak Kerberos/NTLM (poza Entra Domain Services).
- Tryb hybrydowy to dziś standard — Microsoft Entra Connect Sync (lub Entra Cloud Sync) synchronizuje tożsamości z AD DS do Entra ID, dając jeden login do zasobów lokalnych i chmurowych.
- Windows Server 2025 wciąż aktywnie wspiera AD DS — Microsoft nie ogłosił jego wycofania; Entra ID rośnie, ale nie zastępuje wszystkich zastosowań lokalnego katalogu.
Porównanie techniczne: Entra ID vs Active Directory Domain Services
Poniższa tabela zestawia oba rozwiązania według kluczowych kryteriów — od protokołów i autoryzacji po zarządzanie urządzeniami i bezpieczeństwo.
| Kryterium | Active Directory Domain Services (AD DS) | Microsoft Entra ID |
|---|---|---|
| Model wdrożenia | Lokalny (on-premises) — kontrolery domeny na fizycznych lub wirtualnych serwerach Windows Server | Chmurowy (SaaS) — zarządzany przez Microsoft, dostępny globalnie |
| Protokoły uwierzytelniania | Kerberos v5, NTLM, LDAP v3, LDAPS | OAuth 2.0, OpenID Connect, SAML 2.0, WS-Federation |
| Struktura katalogu | Hierarchiczna: las → domena → jednostki organizacyjne (OU) | Płaska (tenant) — grupy, role administracyjne, jednostki administracyjne |
| Zarządzanie urządzeniami | Domain Join (przyłączanie do domeny) + Group Policy (GPO) | Entra Join / Entra Registered + Intune MDM + Conditional Access |
| Polityki (Group Policy) | Pełne GPO — setki ustawień systemu, aplikacji, zabezpieczeń | Brak GPO; odpowiednik to Intune Configuration Profiles + Conditional Access |
| Schemat katalogu | Rozszerzalny schemat — własne atrybuty i klasy obiektów | Rozszerzenia katalogu (extension attributes) + atrybuty niestandardowe |
| Zależności sieciowe | Wymaga łączności z kontrolerem domeny (sieć LAN/VPN) | Działa wszędzie z internetem; zero zależności od sieci LAN |
| Uwierzytelnianie bezhasłowe | Ograniczone — Windows Hello for Business (klucze związane z urządzeniem) | Pełne: FIDO2/passkeys, Microsoft Authenticator, Windows Hello, certyfikaty CBA, Temporary Access Pass |
| Single Sign-On (SSO) | W obrębie domeny (Kerberos) | SSO do Microsoft 365, Azure, ~3000+ aplikacji SaaS przez galerię |
| Multi-Factor Authentication (MFA) | Zewnętrzne — AD FS + serwer MFA lub rozwiązania firm trzecich | Wbudowane — Microsoft Entra MFA, Conditional Access, ryzyko w czasie rzeczywistym |
| Zarządzanie dostępem | Grupy zabezpieczeń, ACL na obiektach, delegacja uprawnień | Role RBAC, Conditional Access, Privileged Identity Management (PIM), Identity Governance |
| Replikacja i HA | Multi-master między kontrolerami domeny; administrator odpowiada za infrastrukturę | Globalna replikacja zarządzana przez Microsoft; SLA 99,99% |
| Koszty infrastruktury | Serwery fizyczne/wirtualne + licencje Windows Server + CAL (Client Access License) + utrzymanie | Subskrypcja — Entra ID Free (podstawowa), P1/P2 (zaawansowana); brak własnych serwerów |
| Hybrydowość | Może być źródłem tożsamości dla Entra ID (przez Entra Connect Sync) | Może synchronizować tożsamości z wielu lasów AD; Entra Cloud Sync dla prostszych scenariuszy |
Głębiej: Active Directory Domain Services (AD DS)
AD DS to dojrzały, hierarchiczny katalog wprowadzony wraz z Windows 2000 Server. Przez ponad 25 lat stał się kręgosłupem tożsamości w firmach każdej wielkości — od małych biur po korporacje z setkami tysięcy użytkowników.
Kluczowe cechy AD DS
- Hierarchiczna struktura: las → drzewo → domena → jednostki organizacyjne (OU). Pozwala odwzorować strukturę firmy i delegować uprawnienia administracyjne na poziomie OU.
- Kerberos v5: podstawowy protokół uwierzytelniania w domenie — bilety (TGT, ST) zapewniają SSO do zasobów sieciowych bez przesyłania hasła.
- LDAP: standardowy protokół odczytu/zapisu obiektów katalogowych — integracja z aplikacjami firm trzecich, systemami HR, serwerami poczty.
- Group Policy (GPO): jeden z najsilniejszych atutów AD — scentralizowane zarządzanie konfiguracją tysięcy komputerów: ustawienia bezpieczeństwa, instalacja oprogramowania, mapowanie dysków, polityki haseł i blokady konta.
- Schemat rozszerzalny: możliwość dodawania własnych klas i atrybutów — kluczowe przy integracji z aplikacjami wymagającymi niestandardowych pól (np. systemy ERP, PKI).
- Zaufania między domenami/lasami: skomplikowane relacje zaufania (one-way, two-way, transitive, forest trusts) umożliwiają dostęp między różnymi katalogami organizacji partnerskich.
W 2026 roku AD DS w Windows Server 2025 pozostaje w pełni wspierany. Microsoft nie ogłosił planów jego wycofania — zbyt wiele krytycznych aplikacji korporacyjnych polega na Kerberos, GPO i przyłączaniu do domeny.
Ograniczenia AD DS
AD DS nigdy nie był projektowany na erę chmury. Nie obsługuje natywnie protokołów OAuth/OpenID Connect, nie integruje się bezpośrednio z SaaS, a dostęp spoza sieci firmowej wymaga dodatkowej infrastruktury (VPN, DirectAccess, AD FS). Zarządzanie kontrolerami domeny — patchowanie, backup, replikacja, odzyskiwanie po awarii — to stały koszt operacyjny.
Głębiej: Microsoft Entra ID
Entra ID (rebrandowany z Azure AD w 2023) to chmurowa platforma tożsamości i dostępu. Nie jest ewolucją AD DS, lecz odpowiedzią na świat, w którym użytkownicy pracują zdalnie, aplikacje są w chmurze, a hasła stają się przeżytkiem.
Co wyróżnia Entra ID
- Protokoły nowoczesne (OAuth 2.0, OpenID Connect, SAML): natywna integracja z Microsoft 365, Azure, Salesforce, ServiceNow i tysiącami innych aplikacji SaaS. Jedno konto — jeden login do wszystkiego.
- Bezhasłowe uwierzytelnianie w 2026: Entra ID wspiera pełen wachlarz metod phishing-resistant: passkeys (FIDO2), Microsoft Authenticator, Windows Hello for Business, Certificate-Based Authentication (CBA) oraz Temporary Access Pass (TAP). Hasło może być całkowicie wyeliminowane.
- Conditional Access (dostęp warunkowy): decyzje o dostępie w czasie rzeczywistym na podstawie sygnałów — lokalizacji, stanu urządzenia, ryzyka sesji, aplikacji docelowej. Silnik, którego AD DS nie ma.
- Identity Protection: wykrywanie podejrzanych logowań, wycieków haseł, niemożliwych podróży (impossible travel) — wszystko zasilane przez Microsoft Intelligence.
- Zarządzanie urządzeniami przez Intune: zamiast GPO — profile konfiguracyjne dla Windows, macOS, iOS, Androida; wymuszanie szyfrowania, kontroli aplikacji, aktualizacji.
- Płaska struktura: tenant to kontener dla użytkowników, grup i aplikacji. Brak hierarchii OU — zamiast tego jednostki administracyjne (administrative units) i role RBAC.
Czego Entra ID NIE potrafi
Entra ID nie zastąpi AD DS w scenariuszach, gdzie potrzebne są:
- Przyłączanie serwerów do domeny z Kerberos/NTLM dla legacy aplikacji (bez Entra Domain Services)
- GPO do konfiguracji tysięcy stacji roboczych
- Rozszerzalny schemat dla aplikacji wymagających niestandardowych klas obiektów
- Lokalne uwierzytelnianie bez dostępu do internetu
Kiedy wybrać które rozwiązanie — praktyczny decyzyjnik
Wybierz AD DS (lub utrzymaj go), gdy:
- Masz aplikacje legacy wymagające Kerberos, NTLM lub przyłączenia do domeny
- Zarządzasz setkami/tysiącami stacji roboczych i potrzebujesz GPO
- Wymagasz pełnej kontroli nad katalogiem (schemat, fizyczny dostęp do serwerów)
- Działasz w środowisku air-gapped lub z ograniczonym dostępem do internetu
- Twoje standardy compliance wymagają, by dane tożsamości nie opuszczały własnej infrastruktury
Wybierz Entra ID jako podstawę, gdy:
- Jesteś organizacją cloud-first — Microsoft 365, aplikacje SaaS, praca zdalna
- Nie masz istniejącej infrastruktury AD i zaczynasz od zera w 2026
- Chcesz wykorzystać dostęp warunkowy, Identity Protection i bezhasłowe MFA
- Zarządzasz różnorodnymi urządzeniami (Windows, Mac, iOS, Android) przez Intune
- Priorytetem jest uproszczenie IT i eliminacja serwerów lokalnych
Model hybrydowy — realny standard
W praktyce większość firm z istniejącym AD DS działa hybrydowo. Microsoft Entra Connect Sync (lub nowszy Entra Cloud Sync) replikuje tożsamości z lokalnego AD do Entra ID. Użytkownicy logują się tym samym hasłem — raz do stacji roboczej (Kerberos), raz do Microsoft 365 (OAuth/OpenID Connect przez Entra ID). To pomost, który pozwala stopniowo przenosić obciążenia do chmury bez rewolucji.
Częste pytania
Czy Entra ID zastąpi całkowicie Active Directory?
Nie w przewidywalnej przyszłości. Microsoft rozwija Entra ID jako platformę chmurową, ale AD DS pozostaje fundamentem dla aplikacji legacy i zarządzania GPO. Windows Server 2025 aktywnie wspiera AD DS i nie ogłoszono daty jego wycofania. Najbardziej prawdopodobny scenariusz to długoterminowa koegzystencja obu rozwiązań w modelu hybrydowym.
Czym różni się Microsoft Entra ID od Azure AD?
To ta sama usługa — Microsoft przemianował Azure Active Directory na Microsoft Entra ID w 2023 roku w ramach rodziny produktów tożsamościowych "Microsoft Entra". Zmiana dotyczy wyłącznie nazwy — wszystkie funkcje, API, endpointy i integracje pozostały bez zmian.
Czy mogę używać Entra ID bez żadnych serwerów lokalnych?
Tak. Entra ID działa w pełni w chmurze i nie wymaga żadnej infrastruktury lokalnej. Urządzenia przyłączane są przez Entra Join (a nie domain join), aplikacje uwierzytelniają się przez OpenID Connect/OAuth, a zarządzanie odbywa się przez Intune. To model coraz popularniejszy wśród firm zakładanych po 2020 roku i organizacji w pełni korzystających z Microsoft 365.
Co z Kerberos i NTLM w Entra ID?
Natywnie Entra ID nie obsługuje Kerberos ani NTLM — używa wyłącznie nowoczesnych protokołów (OAuth 2.0, OpenID Connect, SAML). Jeśli potrzebujesz Kerberos w chmurze (np. do aplikacji wymagających Windows Integrated Authentication), rozwiązaniem jest Microsoft Entra Domain Services — zarządzana domena w Azure, która wystawia Kerberos, LDAP i NTLM, synchronizując się z Entra ID.
Czy Entra ID obsługuje Group Policy (GPO)?
Nie w tradycyjnej formie. Odpowiednikiem GPO w świecie Entra ID są Microsoft Intune Configuration Profiles oraz Conditional Access Policies. Intune pozwala wymuszać ustawienia urządzeń (szyfrowanie, firewall, kontrola aplikacji), a Conditional Access decyduje, kto i z jakiego urządzenia ma dostęp do zasobów. Nie jest to pełny 1:1 odpowiednik GPO — wiele zaawansowanych ustawień AD DS nie ma bezpośredniego przełożenia na chmurę.
Ile kosztuje Entra ID w porównaniu z AD DS?
AD DS wymaga licencji Windows Server (np. Windows Server 2025 Standard/Datacenter) oraz Client Access Licenses (CAL) dla każdego użytkownika lub urządzenia — plus koszty sprzętu, utrzymania i administracji. Entra ID ma darmową warstwę (Free) z podstawowymi funkcjami; warstwy P1 i P2 (z Conditional Access, PIM, Identity Protection) są płatne per user/month. W dłuższej perspektywie Entra ID eliminuje koszty serwerów, ale subskrypcje dla dużych organizacji mogą być znaczące. Najczęściej firmy łączą oba modele — AD DS na miejscu, Entra ID P1/P2 dla zaawansowanego bezpieczeństwa.
Co z urządzeniami niezwiązanymi z Windows w Entra ID?
Entra ID natywnie wspiera macOS, iOS i Androida — rejestracja urządzeń, dostęp warunkowy, profile Intune i bezhasłowe uwierzytelnianie (passkeys w Microsoft Authenticator, Platform Credential for macOS) działają poza ekosystemem Windows. AD DS z kolei wymaga zewnętrznych rozwiązań do zarządzania urządzeniami spoza Windows, co czyni Entra ID zdecydowanie wygodniejszym wyborem w środowiskach wieloplatformowych.
Gdy potrzebujesz nowego Windows Server pod AD DS
Jeśli planujesz wdrożenie lub odświeżenie infrastruktury Active Directory, potrzebujesz legalnych licencji na Windows Server 2025. W KluczeSoft znajdziesz sprawdzone, w pełni aktywowalne klucze — w cenach niższych niż retail, z natychmiastową dostawą na e-mail:
→ Licencje Windows Server — sprawdź dostępne warianty
Artykuł powstał niezależnie od Microsoft Corporation. Microsoft, Windows, Windows Server, Active Directory, Microsoft Entra ID i Microsoft 365 są zastrzeżonymi znakami towarowymi firmy Microsoft. KluczeSoft jest niezależnym sprzedawcą używanego oprogramowania na podstawie wyroku Trybunału Sprawiedliwości UE w sprawie UsedSoft (C-128/11).