Active Directory e Azure AD são frequentemente tratados como sinônimos — não são. Um é a identidade do mundo Windows on-premises; o outro é a identidade do mundo cloud. Confundir os dois leva a arquiteturas que não funcionam como esperado.
O que é o AD DS tradicional
Imagine a estrutura de identidade de uma empresa com 300 funcionários há 15 anos: todos os computadores são Windows, entram no domínio, têm login com usuário e senha corporativa, acessam servidores de arquivo por GPO, e o TI gerencia tudo pelo Active Directory Users and Computers. Isso é AD DS — Active Directory Domain Services.
AD DS é um serviço de diretório instalado em Domain Controllers (servidores Windows), usando os protocolos LDAP, Kerberos e NTLM. Tudo que existe dentro do domínio — computadores, usuários, grupos, impressoras, políticas — é gerenciado ali.
O AD DS é excelente para:
- Autenticação de máquinas Windows ingressadas no domínio
- Aplicação de Group Policy (GPO) em toda a frota de estações e servidores
- Acesso a recursos internos: servidores de arquivo, impressoras, sistemas legados com autenticação Windows
- Integração com aplicações que falam LDAP ou Kerberos
O AD DS não foi feito para:
- Aplicações SaaS e cloud (Salesforce, Slack, ServiceNow, Microsoft 365)
- Autenticação moderna via navegador com OAuth 2.0 / OpenID Connect
- Usuários externos, parceiros, clientes (B2B/B2C)
- Dispositivos não-Windows (smartphones, Macs, Linux)
O que é Microsoft Entra ID
Microsoft Entra ID — antigo Azure AD, renomeado em 2023 — é a plataforma de identidade cloud-native da Microsoft. Não é uma versão cloud do AD DS. É um produto diferente, com protocolos diferentes, para um mundo diferente.
Enquanto AD DS fala LDAP e Kerberos, Entra ID fala OAuth 2.0, SAML 2.0 e OpenID Connect — os protocolos padrão de identidade cloud. Toda aplicação moderna que suporta SSO usa esses protocolos.
O Entra ID é excelente para:
- SSO (Single Sign-On) para aplicações cloud e SaaS
- MFA (autenticação multifator) para todos os usuários e aplicações
- Conditional Access: políticas de acesso baseadas em usuário, dispositivo, localização e risco
- Gestão de identidade para Microsoft 365, Azure e qualquer aplicação com suporte SAML/OIDC
- B2B: convidar parceiros externos com acesso controlado
- B2C: identidade para usuários finais de aplicações públicas
O Entra ID não substitui o AD DS para:
- Máquinas Windows ingressadas em domínio tradicional (embora Entra Join seja uma alternativa para novos dispositivos)
- Aplicações legadas que dependem de LDAP ou Kerberos diretamente
- Group Policy para gerenciamento de configuração de estações Windows
A diferença prática no dia a dia
Na prática, a distinção mais importante é esta:
- AD DS: quando um funcionário liga o notebook, faz login no Windows — o AD DS autentica esse login no domínio.
- Entra ID: quando o mesmo funcionário abre o Chrome e acessa o Microsoft 365, Salesforce ou qualquer app SaaS — o Entra ID é quem autentica.
Muitas empresas brasileiras operam os dois em paralelo, com sincronização via Entra ID Connect (antes chamado Azure AD Connect): usuários e senhas do AD DS são sincronizados para o Entra ID, criando uma identidade híbrida. O usuário tem o mesmo login para o notebook e para as aplicações cloud.
Azure AD DS: AD como serviço gerenciado
Existe ainda uma terceira opção que confunde: Microsoft Entra Domain Services (antigo Azure AD DS). É o AD DS como serviço gerenciado no Azure — sem precisar operar Domain Controllers.
Quando faz sentido usar Azure AD DS:
- Você precisa ingressar VMs Azure em domínio tradicional (para aplicações legadas que exigem Kerberos/NTLM)
- Não quer operar Domain Controllers manualmente
- Quer mover workloads para cloud sem refatorar aplicações que dependem de autenticação Windows clássica
Azure AD DS é sincronizado a partir do Entra ID — não substitui o Entra ID, funciona ao lado dele para dar suporte a workloads legados.
Tabela de comparação
| Critério | AD DS (on-premises) | Microsoft Entra ID | Azure AD DS |
|---|---|---|---|
| Onde roda | Domain Controllers on-premises | Nuvem Microsoft | Azure (gerenciado) |
| Protocolos | LDAP, Kerberos, NTLM | OAuth, SAML, OIDC | LDAP, Kerberos (no Azure) |
| Caso principal | Domínio Windows corporativo | SSO apps cloud, MFA | Domínio Windows no Azure |
| Group Policy | Sim | Não (usa Intune) | Sim (limitado) |
| Gerenciamento de dispositivos | GPO | Intune / Entra Join | GPO (limitado) |
| Usuários externos (B2B) | Não | Sim | Não |
| Custo | Incluso no Windows Server | Planos Free, P1, P2 | Pago por hora no Azure |
Migração para cloud-only: quando e como
Empresas que estão modernizando a infraestrutura frequentemente se perguntam: “posso me livrar do AD DS e ir direto para Entra ID?”
A resposta depende do ambiente. Se as estações são modernas (Windows 10/11), as aplicações são todas SaaS ou Azure-native, e não há sistemas legados que dependam de Kerberos/NTLM, a resposta é sim — você pode usar Entra Join nos dispositivos e Entra ID como único diretório, gerenciando configurações de estações via Intune.
Se existem aplicações legadas (ERP em servidor Windows, sistemas com autenticação LDAP, impressoras de rede com autenticação Windows), o AD DS vai continuar necessário por mais tempo — ou você usa Azure AD DS para manter compatibilidade enquanto moderniza as aplicações.
Estruturar identidade para cloud exige entender quando o AD DS ainda é necessário e quando o Entra ID já resolve. Se você está planejando modernização de infraestrutura, fale com um arquiteto da Adentro para mapear o caminho certo para o seu ambiente.