So treten Sie Active Directory- oder Azure AD-Domänen bei: Eine vollständige Anleitung

 

Die Einbindung von Computern in eine Domäne, sei es in ein lokales Active Directory oder in Azure (Microsoft Entra ID), bildet die Grundlage für die Zentralisierung von Identitäten, die Durchsetzung von Richtlinien und die Aktivierung von Single Sign-On. Dieser Leitfaden bietet Ihnen alle notwendigen Informationen: Einbindungsoptionen in Windows 10/11, hybride Identitätsverwaltung mit Microsoft Entra Connect, Azure AD Domain Services, AD FS-Bereitstellungen in Azure, Sicherheit mit bedingtem Zugriff und Überwachung sowie Empfehlungen zu Betrieb und Kosten.

Ziel ist es, dass Sie den optimalen Weg (klassisches AD DS, Azure AD/Entra ID, Azure AD DS oder AD FS-Verbund) auswählen, die Verbindungen verstehen und die richtigen Schritte gemäß Best Practices ausführen können. Sie erfahren außerdem, wie Sie UPNs und DNS für die Synchronisierung mit Microsoft 365 vorbereiten , die Skalierung und Hochverfügbarkeit für die Synchronisierung sicherstellen und was Sie im Fehlerfall überprüfen sollten, einschließlich typischer Azure-Netzwerkkonfigurationen.

Domänenbeitrittsoptionen in Windows 10 und 11

Heute existieren vier Hauptszenarien parallel: die Anbindung an lokale Active Directory-Domänendienste (AD DS), die Anbindung an Azure AD (Microsoft Entra ID), Hybridgeräte (Hybrid Azure AD Join) und die Anbindung an Domänen, die mit Azure AD Domain Services verwaltet werden. Jedes Szenario deckt unterschiedliche Anforderungen in Bezug auf Identitätsmanagement, Anwendungskompatibilität oder Remote-Arbeit ab.

Die Einbindung in Azure AD von Windows 10/11 aus erfolgt direkt vom Computer aus: Einstellungen > Konten > Bei der Arbeit oder Schule anmelden > Verbinden > Dieses Gerät mit Azure Active Directory verbinden, melden Sie sich mit Ihren Microsoft-Kontodaten an, starten Sie den Computer neu und melden Sie sich dann erneut mit Ihrem Unternehmensbenutzerkonto an.

Nach der Ersteinrichtung ist in der Regel die Konfiguration von Multi-Faktor-Authentifizierung (MFA) und Windows Hello (PIN) erforderlich, um die Sicherheit zu erhöhen und schnelle Anmeldungen zu ermöglichen. Ab diesem Zeitpunkt wird bei jeder Anmeldung die PIN abgefragt, wodurch die Zwei-Faktor-Authentifizierungsanforderungen vieler Organisationen erfüllt werden.

Wenn Sie einen Zugriffsagenten wie Sophos ZTNA einsetzen, beachten Sie, dass Ihre Anwendungsserver (RDP, CIFS, SSH usw.) zur selben Domäne wie der Agent gehören müssen. Fügen Sie den Computer zunächst zu Azure AD hinzu und installieren Sie anschließend den Agent, damit dieser die korrekte Identität und die richtigen Pfade erbt.

Identitätsarchitektur mit Microsoft Azure AD

Microsoft Entra ID ist ein cloudbasierter Identitäts- und Verzeichnisdienst, der Anwendungen, Benutzer und Geräte zentralisiert und sich über die Synchronisierung in lokale Active Directory-Domänendienste (AD DS) integriert. Eine typische Konfiguration umfasst: einen Entra ID-Mandanten, ein Web-Subnetz mit Anwendungs-VMs, lokales AD DS, einen Server mit Microsoft Entra Connect zur Synchronisierung und gestaffelte Anwendungs-VMs.

Typische Anwendungsfälle: Veröffentlichung von Web- Apps auf Azure für Remote-Benutzer, Ermöglichung von Self-Service (z. B. Zurücksetzen von Passwörtern mit P1/P2-Lizenzen) und Betrieb ohne VPN/ExpressRoute-Konnektivität zwischen lokalen Systemen und Azure Virtual Network, falls dies vom Design gefordert wird.

Hinsichtlich der Verfügbarkeit ist Microsoft Entra global bereitgestellt und verfügt über ein automatisches Failover zwischen Rechenzentren, wodurch der Zugriff auf Verzeichnisdaten an verschiedenen geografischen Standorten gewährleistet wird. Dieses Design minimiert Ausfallzeiten und unterstützt verteilte Workloads.

Hybride Identität mit Microsoft Entra Connect: Synchronisierung und SSO

Microsoft Entra Connect synchronisiert AD DS-Identitäten mit Entra ID und ermöglicht die Auswahl der Authentifizierungsmethode: Kennworthash-Synchronisierung (Standard), Passthrough-Authentifizierung oder Verbundauthentifizierung mit AD FS oder einem anderen Identitätsanbieter. Die Wahl hängt von den Sicherheitsrichtlinien, dem gewünschten SSO-Erlebnis und bereits bereitgestellten Komponenten ab.

• Unterstützte Synchronisierungstopologien: Ein einzelner Forest für einen einzelnen Mandanten; mehrere Forests für einen einzelnen Mandanten (mit Identitätskonsolidierung); mehrere unabhängige Forests; mehrere Entra-Verzeichnisse (mit Synchronisierungsservern, die exklusive Objektsätze herausfiltern); und ein Staging-Server für hohe Verfügbarkeit, Tests oder Migrationen.
• Best Practices für die Bereitstellung von Entra Connect: Definieren Sie, was synchronisiert werden soll, einschließlich Domänen und Häufigkeit. Filtern Sie (nach Gruppen, Domänen, Organisationseinheiten oder Attributen), um die Synchronisierung inaktiver Konten zu vermeiden. Wenn viele Objekte vorhanden sind, ziehen Sie die Verwendung des vollständigen SQL Servers anstelle von LocalDB in Betracht und passen Sie die Kapazität an.
• Hohe Verfügbarkeit: Verwenden Sie einen zweiten Server im Staging-Modus, um bei Bedarf die aktive Rolle zu übernehmen. Wenn Sie LocalDB nicht verwenden, ziehen Sie SQL-Clustering für Ihre Datenbank in Betracht (Spiegelung und AlwaysOn werden für Entra Connect nicht unterstützt) und planen Sie eine Notfallwiederherstellung.

Konfigurieren der Benutzerauthentifizierungsmethode

Passwort-Hash-Synchronisierung: Standardoption, einfach und für viele Organisationen ausreichend; der Benutzer authentifiziert sich mit demselben lokalen Passwort, aber nur ein sicherer Hash wird in die Cloud übertragen.

Pass-Through-Authentifizierung: Wenn Ihre Richtlinie die Synchronisierung von Hashes mit der Cloud untersagt, validieren Agenten das Passwort im lokalen AD, ohne den Hash in Entra ID zu speichern, wodurch SSO erhalten bleibt.

Verbund mit AD FS oder einem anderen Anbieter: Wenn Sie bereits AD FS oder einen Nicht-Microsoft-Identitätsanbieter (IdP) verwenden, können Sie die Authentifizierung und SSO an diese Infrastruktur delegieren und dabei die Kontrolle und erweiterte Anpassungsmöglichkeiten beibehalten.

Objekte und Regeln synchronisieren

Die Standardkonfiguration von Entra Connect wendet Regeln auf Benutzer-, Kontakt-, Gruppen-, Computer- und andere Objekte an. Dabei sind Attribute wie sourceAnchor oder sAMAccountName erforderlich, reservierte Präfixe (wie Azure AD_ oder MSOL_) werden vermieden. Zum Ändern von Regeln verwenden Sie den mit dem Tool installierten Synchronisierungsregel-Editor.

Zusätzlich zur Domänen-/OU-Filterung können Sie komplexere benutzerdefinierte Filter implementieren, um die synchronisierte Menge auf die relevanten Daten zu reduzieren. Dies verbessert Leistung, Sicherheit und Verwaltungskosten.

Überwachung und Integrität der Identitätsumgebung

Microsoft Entra Connect Health stellt Agents zur Überwachung der Synchronisierung, von AD DS und AD FS bereit und bietet Dashboards im Azure-Portal zur Überprüfung von Status und Leistung. Es ist entscheidend für die Erkennung von Vorfällen, bevor diese sich auf Benutzer auswirken.

Im Hinblick auf den Schutz wendet Identity Protection (P2) maschinelles Lernen und Heuristiken an, um Anmeldeanomalien und Risikoereignisse (ungewöhnliche Standorte, verdächtige IPs, kompromittierte Geräte) zu erkennen und daraus umsetzbare Warnungen und Berichte zu generieren.

Ergänzen Sie dies durch bedingten Zugriff, um die Multi-Faktor-Authentifizierung (MFA) an nicht vertrauenswürdigen Standorten auszulösen, den Zugriff je nach Plattform-/Gerätestatus einzuschränken und statische oder dynamische Gruppenzugehörigkeiten für Zugriffsentscheidungen zu nutzen. Dies verbessert Ihre Sicherheitslage erheblich.

Bereitstellen von AD FS in Azure: Design, Netzwerk und Hochverfügbarkeit

Für Organisationen, die sich für eine Verbundlösung entscheiden, bietet die Bereitstellung von AD FS in Azure hohe Verfügbarkeit und Skalierbarkeit mit geografischer Redundanz und einfacher Verwaltung über das Azure-Portal. Die empfohlene Topologie trennt AD FS und WAP, verwendet eine DMZ für WAP und Load Balancer (intern für AD FS und öffentlich für WAP).

• Netzwerk und Sicherheit: Erstellen Sie ein virtuelles Netzwerk mit zwei Subnetzen (INT und DMZ), wenden Sie NSG pro Subnetz mit Regeln wie diesen an: Erlauben Sie HTTPS 443 von DMZ zu INT (z. B. 10.0.1.0/24 > 10.0.0.0/24, Priorität 1010), verweigern Sie ausgehenden Datenverkehr ins Internet, außer wenn nötig (z. B. verweigern Sie ausgehenden Datenverkehr 80 mit Priorität 100) und öffnen Sie in DMZ nur das, was für eingehenden Datenverkehr unbedingt erforderlich ist.
• Vor-Ort-Konnektivität: Wenn Sie lokale Domänencontroller erreichen müssen, verwenden Sie S2S VPN, P2S oder ExpressRoute (empfohlen, wenn Sie suchen nach Zuverlässigkeit, hohe Latenz und Sicherheit).
• Verfügbarkeitsgruppen: Verwenden Sie in Verfügbarkeitsgruppen mindestens zwei VMs pro Rolle (AD FS und WAP). Belassen Sie die Standardwerte (2 Fehlerdomänen, 5 Updatedomänen) für eine unterbrechungsfreie Wartung.
• Interner Ausgleich (ILB) für AD FS: konfiguriert eine statische IP, einen Back-End-Pool mit AD FS-Servern und einen HTTP-Integritätstest für /adfs/probe auf Port 80; veröffentlicht 443 an Back-End 443 und erstellt den internen DNS-Eintrag des Verbunddienstes, der auf den ILB verweist.

WAP, öffentlicher Lastenausgleich und AD FS-Tests

Web Application Proxy-Server sind nicht Teil der Domäne und befinden sich in der DMZ. Sie stellen AD FS über einen öffentlichen Load Balancer auf Port 443 mit dem Befehl `/adfs/probe` im Internet bereit. Weisen Sie der öffentlichen IP-Adresse ein DNS-Label zu, um die Namensauflösung zu vereinfachen.

• DNS aktualisieren: Erstellen Sie ein internes A für den Verbunddienst (z. B. fs.company.com) zum ILB und hosten Sie Einträge im WAP, wenn Sie die ILB-IP intern in den Verbund-FQDN auflösen müssen.
• Zertifikate: Verwenden Sie ein Serverzertifikat mit entsprechendem CN/SAN (Federation Service, Enterprise Registration, ggf. Platzhalter) und exportieren Sie es in PFX, um es in AD FS und WAP zu installieren.
• Test: Aktivieren Sie die IdP-initiierte Seite mit Powershell Set-AdfsProperties -EnableIdPInitiatedSignOnPage $true und bestätigen Sie, indem Sie zu https://tu-adfs/adfs/ls/IdpInitiatedSignon.aspx.

AD FS-Bereitstellungsvorlage und typische Parameter

Es gibt Vorlagen, die sechs Maschinen (zwei Domänencontroller, zwei Active Directory-Dateisysteme und zwei WLAN-Zugangspunkte) orchestrieren und Parameter für Region, Speicherkonten , virtuelle Netzwerke (vorhanden oder neu), INT/DMZ-Subnetze, statische IPs für VMs und den ILB, VM-Größen und Administratoranmeldeinformationen akzeptieren. Zu den Parametern gehören: Standort, Speicherkontotyp, Nutzung/Name/Adressbereich des virtuellen Netzwerks, Subnetznamen und -bereiche, NIC-IPs pro VM, private IP-Adresse des ADFS-LoadBalancers, Namenspräfixe für jede Rolle, VM-Größen und Anmeldeinformationen.

Dieser Ansatz beschleunigt konsistente und wiederholbare Bereitstellungen und dokumentiert gleichzeitig Netzwerkkonfiguration und -sicherheit. Passen Sie die Bereiche stets an, um Überschneidungen mit bestehenden Netzwerken zu vermeiden.

Azure AD Domain Services: Einbinden einer VM in eine verwaltete Domäne

Azure AD Domain Services (AADD DS) bietet verwalteten Domänenbeitritt, LDAP und Kerberos/NTLM in Azure, ohne dass Sie eigene Domänencontroller einrichten müssen. Dies ist nützlich, wenn Sie Kompatibilität mit älteren Anwendungen und Domänenauthentifizierung in Azure benötigen.

• Anforderungen: Aktives Abonnement, Mandanten-ID eingeben (nur Cloud oder synchronisiert), verwaltete Domäne aktiviert, Benutzerkonto in der verwalteten Domäne (mit synchronisiertem Kennwort-Hash oder SSPR) und Azure Bastion für RDP-Zugriff ohne öffentliche IPs.
• Prozess: Erstellen Sie eine Windows Server-VM in einem Subnetz, das mit dem verwalteten Domänensubnetz kommunizieren kann (vorzugsweise in einem separaten Subnetz), mit Remote-Ports, die für das Internet geschlossen sind (verwenden Sie Bastion), und treten Sie der Domäne über die Systemeigenschaften bei, indem Sie den FQDN angeben (z. B. aaddscontoso.com).
• Anmeldeinformationen: Verwenden Sie das empfohlene UPN-Format ([E-Mail geschützt] oder benutzerdefiniert), oder SAMAccountName, falls zutreffend; das Konto muss zur verwalteten Domäne oder zum Mandanten gehören. ID eingeben.
• Problemlösung: Wenn keine Anmeldeinformationen angefordert werden, liegt der Fehler normalerweise an der Konnektivität/DNS: Überprüfen Sie die Netzwerkpaarung, pingen Sie den FQDN oder die IPs der verwalteten Domäne an und leeren Sie den DNS-Cache mit ipconfig /flushdns.

Sollte nach der Eingabe der Anmeldeinformationen ein Fehler auftreten, überprüfen Sie, ob das Konto zur verwalteten Domäne gehört, die Kennwortsynchronisierung aktiviert ist und seit der letzten Kennwortänderung genügend Zeit vergangen ist, damit der Hashwert repliziert werden konnte. Um die Zuordnung aufzuheben, kehren Sie zur Arbeitsgruppe zurück und löschen Sie anschließend die VM, falls Sie mit dem Tutorial nicht fortfahren.

Vorbereiten des lokalen AD und Synchronisieren mit Microsoft 365/Azure AD

Wenn Sie bereits Microsoft 365 nutzen, ermöglicht die Synchronisierung Ihres lokalen Active Directory mit Entra ID die Vereinheitlichung von Cloud- und lokalen Anmeldeinformationen und bietet weit verbreitete Hybridoptionen. Stellen Sie sicher, dass Ihre lokalen UPN-Suffixe routingfähig sind (nicht .local/.test) und mit Ihren verifizierten Domänen in Microsoft 365/Entra ID übereinstimmen.

Fügen Sie ein UPN-Suffix in Active Directory-Domänen und -Vertrauensstellungen hinzu und aktualisieren Sie Benutzer in ADUC oder über PowerShell, um in großen Mengen von @domain.local zu @domain.com zu wechseln. zum Beispiel mit: $LocalUsers = Get-ADUser -Filter "UserPrincipalName -like '*domain.local'" -Properties userPrincipalName -ResultSetSize $null y $LocalUsers | foreach {$newUpn = $_.UserPrincipalName.Replace("@domain.local","@domain.com"); $_ | Set-ADUser -UserPrincipalName $newUpn}.

Bei Office 365 überprüfen Sie im Attribut-Editor für jeden Benutzer/jede Gruppe die proxyAddresses (SMTP in Großbuchstaben für die primäre Adresse), indem Sie die Ansicht „Erweiterte Funktionen“ in ADUC aktivieren, um die Alias-Sammlung ordnungsgemäß bearbeiten zu können.

Installieren Sie Azure AD Connect: offizieller Download, wählen Sie die benutzerdefinierte Installation, definieren Sie die Anmeldemethode (PHS, PTA oder Verbund), stellen Sie eine Verbindung mit dem globalen Administratorkonto in der Anmelde-ID/M365 her, fügen Sie die AD-Gesamtstruktur hinzu, wählen Sie userPrincipalName als Anmeldeattribut aus und filtern Sie gegebenenfalls Domänen/OUs.

Optionale Funktionen: Passwortrückschreibung (P1/P2), Regeländerungen und Zeitplaner; aktivieren Sie "Synchronisierung nach Abschluss starten" oder starten Sie sie bei Bedarf manuell.

Synchronisierungsvorgang: Nützliche Befehle und Konfigurationsmigration

Mit dem ADSync PowerShell-Modul können Sie den Scheduler abfragen und Zyklen erzwingen: Import-Module ADSync, Get-ADSyncScheduler, Start-ADSyncSyncCycle -PolicyType Delta o Initialund passen Sie das Intervall mit an Set-ADSyncScheduler -CustomizedSyncCycleInterval 00:10:00.

Die Azure AD Connect-Konfiguration wird im JSON-Format unter %ProgramData%\AADConnect gespeichert; Sie können sie exportieren/importieren, um Bereitstellungen zu klonen, und außerdem das Skript MigrateSettings.ps1 (im Ordner Tools) verwenden, um von einem Server auf einen anderen zu migrieren.

Beachten Sie, dass die Synchronisierung kein Backup- System ist : Manche Attribute existieren nur in der Cloud (z. B. Lizenzen), und wenn sie dort gelöscht werden, können sie nicht durch die Synchronisierung wiederhergestellt werden. Verwenden Sie für Backups von lokalen Active Directory- und Microsoft 365-Daten spezielle Lösungen.

Anforderungen und Netzwerk: Windows Server 2012/2016/2019 mit GUI zur Installation von Entra Connect, .NET 4.5.1+, PowerShell 3.0+, TLS 1.2 aktiviert und ausgehender TCP-Verkehr über 80/443 zu Microsoft-Diensten; Essentials/Core wird für den Tool-Server nicht unterstützt.

Bedingter Zugriff, Sicherheit und Regierung

Ergänzen Sie die Anmeldung durch bedingte Zugriffsrichtlinien für unerwartete Quellen, nicht kompatible Plattformen oder deaktivierte Geräte und nutzen Sie Gruppen (einschließlich dynamischer Gruppen) zur Segmentierung des Zugriffs. So können Sie Zero Trust mit minimalem Aufwand implementieren.

Identity Protection (P2) ergänzt die Richtlinien um risikobasierte Richtlinien, die auf ungewöhnliche Anmeldesignale reagieren, und Entra-Berichte helfen bei der Diagnose und Überprüfung relevanter Aktivitäten.

Connect Health-Agenten stellen Verbindungen her, um die Synchronisierung, AD DS und AD FS zu überwachen und Metriken und Status im Azure-Portal bereitzustellen. Dadurch wird es zu einer der Säulen für ein effizientes Management.

Leistung, Kosten und Bedienbarkeit (Well-Architected)

• Performance: Entra ID basiert auf einer primären Replik und schreibgeschützten sekundären Replikaten mit letztendlicher Konsistenz und effektiver Skalierung, da es sich primär um einen Lesevorgang handelt. Entra Connect skaliert SQL, wenn Sie ca. 100.000 Objekte überschreiten.
• Kosten: Verwenden Sie den Azure-Rechner zur Schätzung. Optimieren Sie, indem Sie die Synchronisierung auf das Notwendige beschränken und Authentifizierungsmethoden auswählen, die die Infrastruktur reduzieren (z. B. ohne AD FS, wenn nicht unbedingt erforderlich).
• Zuverlässigkeit: Erwägen Sie einen zweiten Entra Connect-Server im Staging für Failover, Disaster Recovery-Planung und kümmern Sie sich um die Datenbanken- Vermeiden Sie nicht unterstützte Technologien wie Spiegelung oder AlwaysOn für die Datenbanksynchronisierung.
• Bedienbarkeit: Mit den Entra Connect-Tools (Konsole, Synchronization Service Manager und Regeleditor) können Sie die Synchronisierung mit präziser Steuerung und Diagnose verwalten und anpassen, was in komplexen Umgebungen oder mit benutzerdefinierten Regeln unerlässlich ist.

Integration mit Citrix und SAML (SSO mit Azure AD)

Um Desktops oder Anwendungen mit Citrix und SSO über Azure AD zu veröffentlichen, integrieren Sie Citrix Gateway und StoreFront mithilfe von SAML 2.0 als Azure AD IdP. So können sich Azure AD-Benutzer einfach über myapps.microsoft.com anmelden. Erstellen Sie in Azure AD eine Unternehmens-App, konfigurieren Sie SAML mit dem Bezeichner und der Antwort-URL /cgi/samlauth, laden Sie das Signaturzertifikat herunter und kopieren Sie die Anmelde- und Abmelde-URLs. Weisen Sie die App Benutzern zu und verwenden Sie die SSO-URL in Verknüpfungen.

Importieren Sie in Citrix Gateway das Zertifikat, konfigurieren Sie die SAML-Richtlinie, fügen Sie den Azure IdP mit Metadaten hinzu und verknüpfen Sie ihn mit StoreFront (idealerweise über HTTPS). Überprüfen Sie, ob die Authentifizierung korrekt funktioniert und die Trust- und STA-Richtlinien korrekt sind. Wenn Sie AD FS als zwischengeschalteten IdP verwenden, denken Sie an den CNAME-Eintrag für die Verbundauthentifizierung (z. B. enterpriseregistration.<UPN-Suffix>), um den Datenfluss beim Beitritt zu Azure AD aufzulösen. Stellen Sie außerdem sicher, dass das entsprechende Stammzertifikat auf den Rechnern installiert ist.

Was Plattformen betrifft: Konsultieren Sie Quellen wie Reddit mit Vorsicht, da deren Empfehlungen nicht offiziell sind, und vergleichen Sie sie immer mit der offiziellen technischen Dokumentation, bevor Sie Änderungen vornehmen.

Diese Einführung führt Sie von den Grundlagen bis hin zu fortgeschrittenen Themen und deckt alles ab – von einfachen Azure AD-Integrationen bis hin zu Hybridarchitekturen mit hoher Verfügbarkeit, Verbundauthentifizierung und Single Sign-On (SSO) für moderne und traditionelle Anwendungen, inklusive ausgefeilter Sicherheitskontrollen und effizientem Betrieb. Durch die sorgfältige Planung von UPN und DNS, die angemessene Filterung von Synchronisierungen und die Implementierung von Sicherheitsmaßnahmen wie Multi-Faktor-Authentifizierung (MFA) und bedingtem Zugriff wird die Identitätsverwaltung in Windows 10/11 und die Verwaltung von Workloads in Azure effizient, skalierbar und wartungsfreundlich.