Mobile-Menu

Nicht immer ist die Cloud besser: die Vorteile von On-Premises-AD Diese Active-Directory-Funktionen fehlen in Azure AD

Von Thomas Joos 4 min Lesedauer

Anbieter zum Thema

Microsoft Deutschland GmbH
ALE Deutschland GmbH

Immer mehr Unternehmen gehen den Weg in die Cloud und nutzen beispielsweise Dienste in Azure, inklusive der Anmeldung mit Azure AD. Dennoch bieten lokale AD-Umgebungen nach wie vor Vorteile und Funktionen, die Azure AD vermissen lässt. Eine parallele Nutzung von AD und Azure AD ist daher durchaus sinnvoll.

Azure AD – also das Active Directory in der Cloud – bietet viele Vorteile gegenüber dem On-Premises AD – also dem Active Directory im lokalen Netz. Dennoch gibt es Funktionen und Features, die sich mit dem Cloud-AD nicht abbilden lassen! (Bild: © tiero - stock.adobe.com)
Azure AD – also das Active Directory in der Cloud – bietet viele Vorteile gegenüber dem On-Premises AD – also dem Active Directory im lokalen Netz. Dennoch gibt es Funktionen und Features, die sich mit dem Cloud-AD nicht abbilden lassen!
(Bild: © tiero - stock.adobe.com)

Azure AD bietet viele Vorteile gegenüber On-Premises AD. Dazu gehören die Kontrolle über die Authentifizierung von Cloud-Diensten, Zero-Trust sowie Sicherheitsfunktionen wie Multi-Faktor-Authentifizierung (MFA). Für die Nutzung von Azure AD werden keine Domänencontroller benötigt, der Dienst wird vollständig von Microsoft bereitgestellt. Dies bringt aber auch einige Nachteile gegenüber On-Premises AD-Umgebungen mit sich.

Legacy-Anwendungen kommen mit Azure AD nicht klar

Setzen Unternehmen noch auf Legacy-Anwendungen, ist die Wahrscheinlichkeit sehr hoch, dass die Anwendungen mit Azure AD nicht zurechtkommt. Sobald eine Legacy-Anwendung Zugriff auf LDAP, NTLM oder Kerberos benötigt, ist Azure AD außen vor. Natürlich ist NT-LAN-Manager (NTLM) etwas veraltet und teilweise unsicher. Das ändert aber nichts daran, dass Legacy-Anwendungen dieses Protokoll teilweise noch benötigen.

Bildergalerie
Bildergalerie mit 5 Bildern

Diese Protokolle stehen im Azure AD nicht zur Verfügung. Werden sie dennoch benötigt, müssen parallel Azure AD Domain Services verwendet werden. Diese erfordern jedoch eine zusätzliche Lizenzierung. Azure AD setzt auf Security Assertion Markup Language/SAML und Open Authorization. Zur Bestätigung der Identität unterstützt Azure AD verschiedene MFA-Methoden. Dazu gehören die Microsoft Authenticator App, OAuth Tokens oder FIDO2 Security Keys.

Hinzu kommt, dass die Azure AD Domain Services keinen Zugriff auf die Domänencontroller erlauben, sodass benutzerdefinierte Anpassungen nicht möglich sind. Die Kontrolle über die Domänencontroller verbleibt bei Microsoft, der Kunde selbst hat keinen administrativen Zugriff.

Azure AD Domain Services bringen Active Directory in die Cloud – aber nicht komplett

Azure AD Domain Services erweitern zwar die Möglichkeiten von Azure AD, bringen aber längst nicht alle Funktionen von On-Premises-AD in die Cloud. Es fehlen weiterhin viele Funktionen, die in anderen Umgebungen notwendig sind, Dazu gehören Vertrauensstellungen, Organisationseinheiten oder auch das Active-Directory-Schema. Die Verwaltung des eingesetzten Betriebsmodus, der globale Katalog und die verschiedenen Betriebsmasterrollen sind in Azure AD Domain Services vorgegeben, hier sind keine eigenständigen Verwaltungsarbeiten möglich. In Azure AD gilt das sowieso und auch Gruppenrichtlinien lassen sich mit Azure AD nicht umsetzen – allerdings mit den Azure AD Domain Services, wenn auch eingeschränkt.

Wer diese Funktionen braucht und selbst Zugriff auf die Active Directory-Attribute erhalten will, kommt auch mit Azure AD Domain Services nicht weiter. Es gibt keinerlei Möglichkeiten, solche weitreichenden Verwaltungsaufgaben in Azure AD oder mit den Azure AD Domain Services durchzuführen, wie sie in lokalen AD-Umgebungen vorhanden sind.

Ein großer Unterschied zwischen Active Directory und Azure AD liegt im strukturellen Aufbau. Lokale Umgebungen mit Active Directory unterstützen mehrere Domänen, Strukturen (Trees) und Gesamtstrukturen (Forests). Wer eine solche Umgebung benötigt, zum Beispiel wegen organisatorischen Aufteilungen im Unternehmen, muss in Azure AD mit verschiedenen Modellen arbeiten, denn hier gibt es keine umfassende Aufteilung, wie in Active Directory. Durch die flache Hierarchie befinden sich alle Azure AD Konten in der gleichen Domäne.

Bei größeren Unternehmen führt das oft zu Problemen, da sich dadurch verschiedene Standorte kaum darstellen lassen. Hier ist beim Einsatz von Azure AD ein komplettes Umdenken im Rollenmodell notwendig. Das ändert aber immer noch nichts daran, dass sich vorhandene Strukturen und Berechtigungsmodelle nicht einfach übernehmen lassen. Es ist immer eine Umkonfiguration und eine Neuplanung der Umgebung notwendig. Das kann zu einem Problem für größere Organisationen werden, die unterschiedliche Standorte und Zweigstellen separat verwalten möchten.

Active Directory ist die Grundlage von Infrastruktur-Diensten wie DNS und DHCP

Viele Systemdienste in lokalen Netzwerken nutzen Berechtigungen aus Active Directory und setzen dabei auf die verschiedenen Funktionen von AD. Diese sind in Azure AD nicht verfügbar. Beispiele dafür sind DNS, zum Beispiel durch Active-Directory-integrierte DNS-Zonen, DHCP, aber auch VPN, NPS, IPSec und viele weitere Dienste. Kommen diese Dienste im lokalen Netzwerk zum Einsatz, können Azure AD und Azure AD Domain Services in diesem Szenario keine Unterstützung bieten, hier ist die Verwendung von AD notwendig.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Netzwerktechnik, IP-Kommunikation und UCC

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Im Fokus von AD stehen lokale Microsoft-Netzwerke

Klar ist, dass der Fokus von On-Premises Active Directory auf dem Betrieb von lokalen Microsoft-Netzwerken liegt. Wenn lokale Geräte und Benutzer benötigt werden, ist Active Directory die ideale Umgebung. Das bleibt auch im Cloud-Zeitalter so. Kommt aber parallel noch die Cloud zum Einsatz, zum Beispiel über Dienste in Microsoft Azure, kann parallel auf Azure AD gesetzt werden.

In diesem Fall laufen die beiden Umgebungen parallel zueinander. Es ist jetzt möglich Benutzerkonten aus lokalen AD-Umgebungen zu Azure AD zu synchronisieren. Dadurch lassen sich SSO-Szenarien abbilden. In einem solchen Szenario können sich Anwender mit ihrem lokalen AD-Konto auch mit Ressourcen in Azure verbinden. Das erfolgt über die Synchronisierung der lokalen Benutzerkonten in die Cloud.

Umgekehrt ist es allerdings nicht möglich, dass sich Benutzer mit ihrem Konto von Azure AD am lokalen Computer anmelden und Dienste nutzen, die durch AD-Berechtigungen abgesichert werden. Es ist zwar durchaus möglich, einen lokalen Computer mit Azure AD zu verknüpfen und die Anmeldung an Azure AD vorzunehmen, allerdings ohne die Möglichkeit, die oben erwähnten Dienste oder andere Berechtigungen im lokalen AD zu nutzen. Dazu ist immer noch ein parallel vorhandenes Active Directory notwendig und Benutzerkonten, welche diese Berechtigungen steuern.

Alles, was Sie wissen müssen!

Active Directory & Domain Networking im Fokus

Active Directory & Domain Networking ist seit vielen Jahren ein Schwerpunktthema bei IP-Insider. Neben zahlreichen Fachartikeln finden Sie auch viele Definitionen und Begriffserklärungen aus diesem Themenkomplex auf unserer Website. Am Artikelende der Begriffserläuterung „Was ist Active Directory?“ haben wir als Service für Sie jetzt alle auf IP-Insider erschienenen Artikel rund um die Themen Active Directory, Entra ID und Domain Networking für Sie zusammengefasst. Viel Spaß beim Schmökern!

(ID:49640877)

Weiterführende Inhalte