Was ist Azure AD Connect: Funktionsweise und Best Practices

Organisationen, die Microsoft-Clouddienste wie Microsoft 365, Teams, SharePoint Online und OneDrive for Business nutzen, müssen möglicherweise auch eine lokale Active Directory-Umgebung unterhalten.

Möglicherweise verwenden sie immer noch veraltete Software und die Migration auf eine andere Plattform würde zu lange dauern und zu viele Ressourcen erfordern.

Alternativ könnten sie sich nicht wohl dabei fühlen, große Mengen geheimer Informationen in der Cloud zu speichern. Was auch immer der Grund sein mag, es ist für sie nicht wirklich praktikabel, von ihren Benutzern die Beibehaltung zweier separater Identitäten zu verlangen. Hier kommt Azure AD Connect ins Spiel.

Was ist Azure AD Connect?

Azure AD Connect ist ein Microsoft-Tool, das Unternehmen mit hybriden IT-Umgebungen unterstützen soll. Es ermöglicht Organisationen, Identitätsdaten (einschließlich Benutzerkonten, Gruppen, Anmeldeinformations-Hashes, Benutzerprinzipalnamen und Sicherheitskennung) automatisch zwischen ihrer lokalen Active Directory-Umgebung und Azure AD zu synchronisieren. Dies ermöglicht eine einmalige Anmeldung, da Benutzer mit denselben Anmeldeinformationen sowohl auf lokale Anwendungen als auch auf Cloud-Dienste wie Microsoft 365 zugreifen können.

Azure AD Connect umfasst die folgenden Technologien:

• Azure AD Connect Health: Dies bietet eine End-to-End-Analyse und Überwachung von Azure AD Connect zusammen mit anderen Hybridumgebungen im gesamten Active Directory.
• Azure ADConnect Sync: Die Hauptkomponente von Azure AD Connect. Azure AD Connect-Synchronisierungsdienste (Sync) kümmern sich um alle Vorgänge im Zusammenhang mit der Verknüpfung von Benutzeridentitätsdaten vor Ort und in der Cloud.
• Active Directory Federated Services (ADFS): ADFS vereinheitlicht Identitäts- und Zugriffsverwaltungsdienste plattformübergreifend.
• PHS/PTA/SSSO-Bereitstellungs-Connector: Dazu gehören Authentifizierungsmethoden wie Passwort-Hashing-Dienste, Pass-Through-Authentifizierung und nahtlose Single-Sign-On-Dienste, die zur Bestätigung der Benutzeridentität erforderlich sind.

Wie funktioniert Azure AD Connect?

Die Standardinstallationsoption für Azure AD Connect ist Express, die für das häufigste Szenario verwendet wird, in dem der Benutzer über eine Single-Forest-Topologie und weniger als 100.000 Objekte in seinem lokalen Active Directory verfügt. Es ist eine benutzerdefinierte Installationsoption verfügbar, die mehr Installationsszenarien bietet und beispielsweise verwendet werden kann, wenn Sie mehrere Gesamtstrukturen oder mehr als 100.000 Objekte in Ihrem Active Directory haben.

Standardmäßig erfolgt die Synchronisierung in eine Richtung: von On-Premise AD zu Azure AD. Sie können die Rückschreibfunktion jedoch so konfigurieren, dass Änderungen umgekehrt synchronisiert werden. Wenn ein Benutzer beispielsweise sein Passwort mithilfe der Self-Service-Passwortverwaltungsfunktion von Azure AD ändert, wird das Passwort im lokalen AD aktualisiert.

Best Practices für die Verwendung von Azure AD Connect

1. Schützen Sie den Server, auf dem Azure AD Connect ausgeführt wird

Stellen Sie sicher, dass der Server, auf dem der Azure AD Connect-Agent ausgeführt wird, ordnungsgemäß gesichert ist. Beschränken Sie, welche Konten sich am Server anmelden können, insbesondere solche mit lokalen Administratorrechten. Sie müssen außerdem den physischen Zugriff auf den Server kontrollieren und eine Richtlinie für sichere Passwörter durchsetzen. Wenn Sie anderen Benutzern den Zugriff auf das Azure AD Connect-Synchronisierungstool erlauben müssen, können Sie sie der ADSyncAdmins-Gruppe auf dem lokalen Server hinzufügen. Überprüfen Sie wie immer, ob sie wirklich Zugriff auf das Tool benötigen, bevor Sie dies tun.

2. Bestimmen Sie, welche Benutzer- und Gruppenobjekte mit Azure AD synchronisiert werden können

Standardmäßig werden alle Benutzer- und Gruppenobjekte mit Azure AD synchronisiert. Viele lokale Gruppen müssen jedoch nicht wirklich mit der Cloud synchronisiert werden. Tatsächlich sind viele von ihnen möglicherweise nicht mehr erforderlich. Es empfiehlt sich, alle redundanten Gruppen aus Ihrem lokalen AD zu entfernen, unabhängig davon, ob Sie Azure AD Connect verwenden oder nicht. Sie können auch die Filterfunktionen der Synchronisierungs-Engine nutzen, um alle nicht relevanten Gruppen auszuschließen. Es empfiehlt sich außerdem, die geplante Synchronisierungsaufgabe vorübergehend zu deaktivieren, bevor Sie wichtige Änderungen vornehmen, da dadurch verhindert wird, dass Fehler automatisch zwischen Azure AD und Ihrer lokalen Umgebung synchronisiert werden.

3. Synchronisieren Sie lokale Admin-Gruppen nicht mit Azure AD

Es gibt keinen Grund, Administratorgruppen mit Azure AD zu synchronisieren, da sie spezifisch für Ihre lokale Umgebung sind und daher für Ihre Cloud-Umgebung nicht relevant sind. Tatsächlich führt dies nur zu unnötigen Risiken, da mehr potenzielle Gegner wissen, welche Gruppen (und damit Administratoren) sie angreifen müssen.

4. Stellen Sie sicher, dass der Synchronisierungszyklus mindestens alle 7 Tage ausgeführt wird

Standardmäßig wird alle 30 Minuten ein Synchronisierungszyklus ausgeführt. Wenn Sie den Synchronisierungszyklus aus irgendeinem Grund ändern möchten, empfiehlt Microsoft, sicherzustellen, dass er mindestens alle 7 Tage ausgeführt wird. Andernfalls kann es zu Problemen kommen, die durch eine vollständige Synchronisierung behoben werden müssen. Dies kann lange dauern.

5. Gehen Sie nicht davon aus, dass AD Connect als zuverlässige Backup- und Wiederherstellungslösung dient

Zwar synchronisiert Azure AD Connect Ihre Cloud-Daten mit Ihrer lokalen AD-Umgebung, es sollte jedoch nicht als zuverlässige Sicherungs- und Wiederherstellungslösung angesehen werden. Das Problem besteht darin, dass Azure AD-Objekte bestimmte Attribute enthalten, die spezifisch für die Cloud-Dienste sind, die sie verwenden.

Würden Sie versehentlich ein Objekt in Azure AD löschen und somit versuchen, eine Sicherung aus Ihrer lokalen Umgebung wiederherzustellen, würden diese Attribute verloren gehen. In diesem Fall wären die wiederhergestellten Objekte für Microsoft 365, Teams, SharePoint Online, OneDrive und andere cloudbasierte Dienste nicht zugänglich. Das gleiche Problem entsteht, wenn Sie die Attribute eines Objekts löschen, im Gegensatz zum Objekt selbst. Daher ist es von entscheidender Bedeutung, dass Sie eine Sicherungs- und Wiederherstellungslösung der Enterprise-Klasse verwenden, anstatt sich auf Azure AD Connect zu verlassen.

6. Schützen Sie Azure AD-Konten mit Berechtigungen auf Administratorebene

Stellen Sie sicher, dass alle Administratorkonten vordefinierten Rollen zugewiesen sind. Da ein globales Administratorkonto Zugriff auf alle Verwaltungseinstellungen in Ihrer Azure AD-Umgebung hat, stellen Sie sicher, dass dieser Rolle nicht mehr als fünf Personen zugewiesen sind. Nutzen Sie Multi-Faktor-Authentifizierung (MFA), Identity Access Management (IAM) und eine Echtzeit-Änderungsüberwachungslösung, um das globale Administratorkonto und andere Konten mit Administratorrechten zu schützen.

Wenn Sie sehen möchten, wie der Azure AD-Prüfer von Lepide Azure Active Directory-Änderungen prüfen kann, vereinbaren Sie eine Demo mit einem unserer Techniker oder starten Sie noch heute Ihre kostenlose Testversion.