von Redaktion IT-A…
Lesezeit
3 Minuten
Seite 2 - Azure AD Connect einrichten und betreiben (1)
Ein Einsatzzweck, viele Varianten
Trickreich wird es für den Administrator, wenn er sowohl die MIM-Synchronisation als auch Azure AD Connect benötigt. Beide Dienste ticken unter der Haube zwar gleich, lassen sich aber nicht zusammen auf einem Server betreiben. Schade eigentlich, handelt es sich doch im Kern um die gleiche Technologie. Besitzen Sie bereits einen MIM-Server und möchten zusätzlich eine Synchronisation mit dem Azure AD einrichten, gäbe es noch die Möglichkeit, den Windows Azure AD Connector auf dem aktuellen MIM-Server zu verwenden. So sparen Sie zwar eine Serverlizenz, müssen aber bedenken, dass der Connector nicht weiterentwickelt wird. Support ist zwar noch gewährleistet, aber auf den Connector zu setzen ergibt trotzdem nicht viel Sinn.
Abgesehen davon flossen bereits die letzten neuen Funktionen nur in Azure AD Connect ein, so zum Beispiel das Zurückschreiben von Passwörtern aus Office 365 ins lokale AD. Bleibt also abzuwarten, wie Microsoft das bunte Software-Portfolio mit Synchronisationswerkzeugen weiter handhabt. Am Ende wartet hoffentlich das Ergebnis auf den Administrator, eine einzige Synchronisationslösung zu haben. Diese ist heute aber noch nicht absehbar.
Die Möglichkeiten von Azure AD Connect variieren, je nachdem welche Edition von Azure AD Sie für Office 365 abonniert haben. Hier gibt es nämlich neben der einfachen Basic-Variante auch Premium-Editionen, deren Nebeneffekt es ist, Azure AD Connect zu mehr zu befähigen als nur dem simplen Transfer von Objekten hinaus in die Cloudwelt von Microsoft. Hierzu zählt beispielsweise das Zurückschreiben von Passwörtern. Keine Sorge, in diesem Konstrukt werden nur die Hashes bewegt. Die Klartextpasswörter bleiben dort, wo sie hingehören. Das Ganze ist freilich nur ein Aspekt, wenn die Benutzer "Same Sign-On" nutzen. Umfasst das Setup eine Infrastruktur mit Verbunddiensten (ADFS), erfolgt kein Login im herkömmlichen Sinne in Office 365. Hierbei läuft die Authentifizierung in Office 365 über Claim-basierte Token, die mittels einer Verbundvertrauensstellung in der lokalen ADFS-Umgebung eingerichtet wird.
Erst aufräumen, dann synchronisieren
Damit die Synchronisation sauber funktioniert, sind einige Voraussetzungen vonnöten. Doppelte E-Mail-Adressen beispielsweise können für negative Effekte sorgen, deren Identifikation und Beseitigung später viel Zeit kosten. Damit Sie sich später nicht die Haare raufen, bietet Microsoft mit IdFix [2] ein Tool zum Download an, das den Objekten auf den Zahn fühlt. Es prüft die Identitäten im AD und weist auf mögliche Probleme hin. Diese lassen sich in der IdFix-GUI direkt korrigieren. Sollten die notwendigen Korrekturen im heimischen AD umfangreicher ausfallen, können Sie die Ergebnisse in eine CSV-Datei exportieren. Über Notepad oder Excel nehmen Sie dann im großen Stil mittels "Suchen und Ersetzen" Änderungen vor. Die letzte Spalte beinhaltet die "Action". Tragen Sie hier analog zur GUI die für das Objekt gewünschte Maßnahme (etwa "EDIT") ein. Achten Sie bei der Schreibweise darauf, dass diese der Anzeige in der GUI entspricht, ansonsten wird der Befehl ohne Fehlermeldung oder Hinweis ignoriert.
Zusätzlich enthält der Download ein Word-Dokument, das die Handhabung des Tools detailliert erörtert. Sind Sie im Besitz eines umfangreichen AD, haben Sie die Möglichkeit, über das unscheinbare Zahnradsymbol oben rechts in der Menüleiste die Suche einzugrenzen. IdFix benötigt kein aufwendiges Setup und auch keine weitreichenden Rechte, abgesehen von OU-Schreibrechten für mögliche Korrekturen. Erwähnenswert in diesem Zusammenhang ist noch ein Artikel unter [3]. Er beschreibt, worauf es beim "Housekeeping" vor der Synchronisation ankommt und ist eine gute Ergänzung zum mitgelieferten Word-Dokument. Unterschätzen Sie nicht, wie wichtig es ist, mit einem aufgeräumten AD zu starten. Relikte aus vergangenen Migrationen haben im Azure AD nichts zu suchen und lassen sich, einmal synchronisiert, oft nur mit hochgekrempelten Ärmeln und der PowerShell entfernen. Sehen Sie den Weg in die Cloud als gute Gelegenheit, um auszumisten.
Vielseitige Synchronisationsmöglichkeiten
Ein Server, auf dem Azure AD Connect installiert ist, sollte in Ihrem Netzwerk ausreichen. Denn Sie können dem Server eine ganze Liste an Domänen mitgeben, die er mit Office 365 synchronisiert. Wichtig an dieser Stelle ist, dass das Benutzerkonto, das Sie im Installationsassistenten für die jeweilige Domäne angeben, einen Domänencontroller (DC) finden und ansprechen kann. Dieser darf wegen des schreibenden Zugriffs kein RODC (Read Only Domain Controller) sein.
Der Synchronisationsserver muss auch nicht zwingend als Mitgliedserver in einer der Domänen laufen. Ein Standalone-Server ist genauso denkbar wie eine Installation von Azure AD Connect auf einem DC. Das wiederum dürfte durchaus für ein Setup in kleinen Umgebungen interessant sein.
Ein weiterer Aspekt ist der SQL-Server: Dieser kann auf dem Azure-AD-Connect-Server laufen. Wenn gewünscht, richtet das Setup ihn gleich fix und fertig ein. Werkelt in Ihrem Netzwerk bereits ein SQL-Server, sollten Sie diesen nutzen. Das spart Ressourcen auf dem Azure-AD-Connect-Server und operative Prozesse für SQL sind in Ihrem Haus ohnehin schon etabliert. Kümmert sich das Setup um SQL, ist die installierte Version ein Microsoft SQL Server 2012 Express LocalDB. Dieser Vorgang ist aber transparent. Mit dem SQL-Server kommen Sie aus Sicht von Azure AD Connect nicht weiter in Berührung. Wichtig in dem Zusammenhang ist übrigens, dass Sie bei Nutzung der MIM-Synchronisation den gleichen SQL-Server verwenden können, da die Datenbanken unterschiedliche Namen tragen. Das ist ein durchaus positiver Nebeneffekt.
Eine Liste mit Software- und HardwareAnforderungen für AD Connect, die auch auf die Szenarien mit unterschiedlichen Domänen und Funktionsebenen des AD eingeht, finden Sie im TechNet [4].
Seite 1: Eigenes Active Directory für Office 365
Seite 2: Erst aufräumen, dann synchronisieren
Im zweiten Teil schauen wir uns das Setup des Diensts an, erklären, wie Sie Synchronisationsintervalle festlegen und diskutieren, ob Hochverfügbarkeit nötig ist. Im dritten Teil geben wir Tipps, wie Sie die Synchronisation im Auge behalten und welche Grundregeln Sie bei der Konfiguration stets beachten sollten.
dr/ln/Klaus Bierschenk
Trickreich wird es für den Administrator, wenn er sowohl die MIM-Synchronisation als auch Azure AD Connect benötigt. Beide Dienste ticken unter der Haube zwar gleich, lassen sich aber nicht zusammen auf einem Server betreiben. Schade eigentlich, handelt es sich doch im Kern um die gleiche Technologie. Besitzen Sie bereits einen MIM-Server und möchten zusätzlich eine Synchronisation mit dem Azure AD einrichten, gäbe es noch die Möglichkeit, den Windows Azure AD Connector auf dem aktuellen MIM-Server zu verwenden. So sparen Sie zwar eine Serverlizenz, müssen aber bedenken, dass der Connector nicht weiterentwickelt wird. Support ist zwar noch gewährleistet, aber auf den Connector zu setzen ergibt trotzdem nicht viel Sinn.
Abgesehen davon flossen bereits die letzten neuen Funktionen nur in Azure AD Connect ein, so zum Beispiel das Zurückschreiben von Passwörtern aus Office 365 ins lokale AD. Bleibt also abzuwarten, wie Microsoft das bunte Software-Portfolio mit Synchronisationswerkzeugen weiter handhabt. Am Ende wartet hoffentlich das Ergebnis auf den Administrator, eine einzige Synchronisationslösung zu haben. Diese ist heute aber noch nicht absehbar.
Die Möglichkeiten von Azure AD Connect variieren, je nachdem welche Edition von Azure AD Sie für Office 365 abonniert haben. Hier gibt es nämlich neben der einfachen Basic-Variante auch Premium-Editionen, deren Nebeneffekt es ist, Azure AD Connect zu mehr zu befähigen als nur dem simplen Transfer von Objekten hinaus in die Cloudwelt von Microsoft. Hierzu zählt beispielsweise das Zurückschreiben von Passwörtern. Keine Sorge, in diesem Konstrukt werden nur die Hashes bewegt. Die Klartextpasswörter bleiben dort, wo sie hingehören. Das Ganze ist freilich nur ein Aspekt, wenn die Benutzer "Same Sign-On" nutzen. Umfasst das Setup eine Infrastruktur mit Verbunddiensten (ADFS), erfolgt kein Login im herkömmlichen Sinne in Office 365. Hierbei läuft die Authentifizierung in Office 365 über Claim-basierte Token, die mittels einer Verbundvertrauensstellung in der lokalen ADFS-Umgebung eingerichtet wird.
Erst aufräumen, dann synchronisieren
Damit die Synchronisation sauber funktioniert, sind einige Voraussetzungen vonnöten. Doppelte E-Mail-Adressen beispielsweise können für negative Effekte sorgen, deren Identifikation und Beseitigung später viel Zeit kosten. Damit Sie sich später nicht die Haare raufen, bietet Microsoft mit IdFix [2] ein Tool zum Download an, das den Objekten auf den Zahn fühlt. Es prüft die Identitäten im AD und weist auf mögliche Probleme hin. Diese lassen sich in der IdFix-GUI direkt korrigieren. Sollten die notwendigen Korrekturen im heimischen AD umfangreicher ausfallen, können Sie die Ergebnisse in eine CSV-Datei exportieren. Über Notepad oder Excel nehmen Sie dann im großen Stil mittels "Suchen und Ersetzen" Änderungen vor. Die letzte Spalte beinhaltet die "Action". Tragen Sie hier analog zur GUI die für das Objekt gewünschte Maßnahme (etwa "EDIT") ein. Achten Sie bei der Schreibweise darauf, dass diese der Anzeige in der GUI entspricht, ansonsten wird der Befehl ohne Fehlermeldung oder Hinweis ignoriert.
Bild 1: IdFix fühlt dem AD auf den Zahn. Ein wichtiger Schritt vor dem Setup von Azure AD Connect.
Zusätzlich enthält der Download ein Word-Dokument, das die Handhabung des Tools detailliert erörtert. Sind Sie im Besitz eines umfangreichen AD, haben Sie die Möglichkeit, über das unscheinbare Zahnradsymbol oben rechts in der Menüleiste die Suche einzugrenzen. IdFix benötigt kein aufwendiges Setup und auch keine weitreichenden Rechte, abgesehen von OU-Schreibrechten für mögliche Korrekturen. Erwähnenswert in diesem Zusammenhang ist noch ein Artikel unter [3]. Er beschreibt, worauf es beim "Housekeeping" vor der Synchronisation ankommt und ist eine gute Ergänzung zum mitgelieferten Word-Dokument. Unterschätzen Sie nicht, wie wichtig es ist, mit einem aufgeräumten AD zu starten. Relikte aus vergangenen Migrationen haben im Azure AD nichts zu suchen und lassen sich, einmal synchronisiert, oft nur mit hochgekrempelten Ärmeln und der PowerShell entfernen. Sehen Sie den Weg in die Cloud als gute Gelegenheit, um auszumisten.
Vielseitige Synchronisationsmöglichkeiten
Ein Server, auf dem Azure AD Connect installiert ist, sollte in Ihrem Netzwerk ausreichen. Denn Sie können dem Server eine ganze Liste an Domänen mitgeben, die er mit Office 365 synchronisiert. Wichtig an dieser Stelle ist, dass das Benutzerkonto, das Sie im Installationsassistenten für die jeweilige Domäne angeben, einen Domänencontroller (DC) finden und ansprechen kann. Dieser darf wegen des schreibenden Zugriffs kein RODC (Read Only Domain Controller) sein.
Der Synchronisationsserver muss auch nicht zwingend als Mitgliedserver in einer der Domänen laufen. Ein Standalone-Server ist genauso denkbar wie eine Installation von Azure AD Connect auf einem DC. Das wiederum dürfte durchaus für ein Setup in kleinen Umgebungen interessant sein.
Ein weiterer Aspekt ist der SQL-Server: Dieser kann auf dem Azure-AD-Connect-Server laufen. Wenn gewünscht, richtet das Setup ihn gleich fix und fertig ein. Werkelt in Ihrem Netzwerk bereits ein SQL-Server, sollten Sie diesen nutzen. Das spart Ressourcen auf dem Azure-AD-Connect-Server und operative Prozesse für SQL sind in Ihrem Haus ohnehin schon etabliert. Kümmert sich das Setup um SQL, ist die installierte Version ein Microsoft SQL Server 2012 Express LocalDB. Dieser Vorgang ist aber transparent. Mit dem SQL-Server kommen Sie aus Sicht von Azure AD Connect nicht weiter in Berührung. Wichtig in dem Zusammenhang ist übrigens, dass Sie bei Nutzung der MIM-Synchronisation den gleichen SQL-Server verwenden können, da die Datenbanken unterschiedliche Namen tragen. Das ist ein durchaus positiver Nebeneffekt.
Eine Liste mit Software- und HardwareAnforderungen für AD Connect, die auch auf die Szenarien mit unterschiedlichen Domänen und Funktionsebenen des AD eingeht, finden Sie im TechNet [4].
Seite 2: Erst aufräumen, dann synchronisieren
Im zweiten Teil schauen wir uns das Setup des Diensts an, erklären, wie Sie Synchronisationsintervalle festlegen und diskutieren, ob Hochverfügbarkeit nötig ist. Im dritten Teil geben wir Tipps, wie Sie die Synchronisation im Auge behalten und welche Grundregeln Sie bei der Konfiguration stets beachten sollten.
| << Vorherige Seite | Seite 2 von 2 |
dr/ln/Klaus Bierschenk
