Mobile-Menu

Active Directory mit Entra ID synchronisieren Microsoft Entra Cloud Sync einrichten

Von Thomas Joos 5 min Lesedauer

Anbieter zum Thema

Microsoft Deutschland GmbH
ALE Deutschland GmbH

Unternehmen, die parallel zu lokalen Active Directory-Umgebungen noch auf Entra ID, ehemals Azure AD setzen, können mit Bordmitteln aus Azure die lokalen Benutzerkonten mit der Cloud synchronisieren. Dazu kommt Entra Cloud Sync zum Einsatz, die Synchronisierung erfolgt über einen Agenten, der im Azure-Portal zur Verfügung steht.

Installieren des Entra Cloud Sync Agents auf einem Domänencontroller in Active Directory.(Bild: Microsoft | Joos)
Installieren des Entra Cloud Sync Agents auf einem Domänencontroller in Active Directory.
(Bild: Microsoft | Joos)

Unternehmen, die ihre Benutzerkonten zwischen Entra ID (ehemals Azure AD) und lokalen Active Directory-Umgebungen synchronisieren wollen, setzen am besten Entra Cloud Sync. Die Synchronisierung lässt sich komplett über das Azure-Portal und das Entra Admin Center steuern. Für die Einrichtung ist der Entra Cloud Sync Agent notwendig, der im Entra Admin Center kostenlos zum Download bereitsteht.

Alles, was Sie wissen müssen!

Active Directory & Domain Networking im Fokus

Active Directory & Domain Networking ist seit vielen Jahren ein Schwerpunktthema bei IP-Insider. Neben zahlreichen Fachartikeln finden Sie auch viele Definitionen und Begriffserklärungen aus diesem Themenkomplex auf unserer Website. Am Artikelende der Begriffserläuterung „Was ist Active Directory?“ haben wir als Service für Sie jetzt alle auf IP-Insider erschienenen Artikel rund um die Themen Active Directory, Entra ID und Domain Networking für Sie zusammengefasst. Viel Spaß beim Schmökern!

Entra Cloud Sync Agent lokal installieren

Die Basis für die Synchronisierung zwischen AD und Entra ID ist der Entra Cloud Sync Agent. Dieser steht über das Entra Admin Center (entra.microsoft.com) im Bereich Hybridverwaltung -> Microsoft Entra Connect -> Cloudsynchronisierung zur Verfügung. Über den Menüpunkt Agents -> Lokalen Agent herunterladen wird die Installationsdatei für den Agenten heruntergeladen. Die Installation kann zum Beispiel auf einem Domänencontroller erfolgen. Nach der Installation des Agenten erfolgt die Anbindung des Servers an Microsoft Azure und Entra ID. Auf der Seite „Select Extension“ sollte „HR-driven provisioning Workday and SuccessFactors) / Microsoft Entra Cloud Sync” ausgewählt werden.

Bildergalerie
Bildergalerie mit 12 Bildern

Danach erfolgt die Anmeldung mit einem Adminkonto an Entra ID. Über dieses Konto erfolgt später auch die Synchronisierung. Parallel zur Anmeldung an Entra ID muss sich der Agent auch am lokalen Active Directory anmelden können. Dazu ist ein Dienst notwendig, der die Synchronisierung steuert. Hier empfiehlt Microsoft die Verwendung eines „gMSA“.

Bei der Installation des Agenten auf mehreren Servern, kann der gMSA auf mehreren Servern genutzt werden. Group Managed Service Accounts in Active Directory-Umgebungen und ihre Rolle bei Entra Cloud Sync. Group Managed Service Accounts (gMSA) ist ein speziell verwaltetes Konto, das für Dienste oder Anwendungen genutzt wird, die in Domänen eingebunden sind.

Es unterscheidet sich von klassischen Dienstkonten dadurch, dass keine manuelle Passwortpflege notwendig ist. Die Passwörter werden automatisch durch das Active Directory generiert, regelmäßig rotiert und auf den berechtigten Hosts verfügbar gemacht. Dadurch entfällt der Verwaltungsaufwand, der bei traditionellen Dienstkonten oft zu Sicherheitsrisiken führt.

Der Agent benötigt Lesezugriff auf die relevanten Benutzer- und Gruppenobjekte, idealerweise ohne dass dabei sensible Passwörter in Skripten oder Konfigurationsdateien hinterlegt werden müssen. Die Verwendung eines gMSA erfüllt genau dieses Sicherheitsziel. Zudem bleibt der administrative Aufwand minimal, da Windows die Pflege des Passworts übernimmt und alle autorisierten Server jederzeit auf die notwendigen Anmeldeinformationen zugreifen können.

Nach der Authentifizierung erfolgt die Auswahl der Domäne, die mit Entra ID synchronisiert werden kann. Mit „Confirm“ wird die Einrichtung abgeschlossen und der Agent installiert.

Erste Schritte mit Entra Cloud Sync

Sobald der Agent für Entra Cloud Sync auf dem Server installiert ist, erscheint er im Entra Admin Center bei „Agents“. Hier ist der Name des Servers zu sehen, und auch ob die Synchronisierung aktiv ist. Auf dem Server sind in den Diensten die beiden Dienste „Microsoft Azure AD Connect Provisioning Agent“ und „Microsoft Azure AD Connect Agent Updater“ zu sehen. Es ist zu erwarten, dass Microsoft auch hier in Zukunft die Namensgebung an Entra ID anpasst. Beide Dienste müssen gestartet sein, damit die Synchronisierung über den Agenten stattfinden kann. Die erfolgreiche Einrichtung des Agenten stellt sicher, dass die Synchronisierung jetzt eingerichtet werden kann.

Dazu erfolgt ein Klick auf „Konfiguration -> Neue Konfiguration -> AD-zu-Microsoft-Entra-ID-Synchronisierung“. Auf der darauffolgenden Seite zeigt das Fenster die angebundenen Agenten und die damit verbundenen AD-Domänen an. Die Option „Kennworthashsynchronisierung aktivieren“ sollte gesetzt bleiben. Die Option spielt in diesem Kontext eine zentrale Rolle, da sie es ermöglicht, die gehashten Passwörter der lokalen Benutzerkonten sicher an Entra ID zu übertragen.

Diese Funktion ist erforderlich, wenn sich Benutzer direkt bei cloudbasierten Diensten wie Microsoft 365 anmelden sollen, ohne dass dabei eine direkte Abhängigkeit von der lokalen Active Directory-Struktur besteht. Auch wenn Entra Cloud Sync selbst keine Authentifizierung übernimmt, sondern lediglich Objekte synchronisiert, sorgt die aktivierte Kennworthashsynchronisierung dafür, dass synchronisierte Benutzerkonten in Entra ID tatsächlich anmeldefähig sind.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Netzwerktechnik, IP-Kommunikation und UCC

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Nachdem die Einrichtung bestätigt ist, erscheint die erfolgreich eingerichtete Konfiguration. Damit die Synchronisierung funktioniert, ist es wichtig, dass der Status der installierten Agents aktiv ist und die Konfiguration als fehlerfrei angezeigt wird.

Synchronisierungseinstellungen anpassen und aktivieren

Sobald die Konfiguration zur Synchronisierung eingerichtet ist, erfolgt die Anpassung der zu synchronisierenden Daten innerhalb der Konfiguration. An dieser Stelle können Bereiche gefiltert, Attribute konfiguriert und die Synchronisierung getestet werden. Bereichsfilter legen fest, welche Objekte Entra Cloud Sync zwischen AD und Entra ID synchronisieren soll. Standardmäßig werden alle Benutzerkonten synchronisiert. Es ist an dieser Stelle auch möglich die Synchronisierung auf einzelne Organisationseinheiten zu begrenzen.

Sind alle Einstellungen gesetzt, erfolgt ein Klick auf „Überprüfen und aktivieren“. Danach wird die Synchronisierung abschließend aktiviert. Abschließend muss dazu noch ein Klick „ Konfiguration aktivieren“ erfolgen. Danach wird die aktivierte Konfiguration als „Fehlerfrei“ im Entra Admin Center angezeigt. Über das Menü mit den drei Punkten kann eine nicht funktionierende Konfiguration auch gelöscht und jederzeit wieder neu erstellt werden. Durch ein Klick auf die Konfiguration lassen sich die Einstellungen jederzeit anpassen.

Alles, was Sie wissen müssen!

Active Directory & Domain Networking im Fokus

Active Directory & Domain Networking ist seit vielen Jahren ein Schwerpunktthema bei IP-Insider. Neben zahlreichen Fachartikeln finden Sie auch viele Definitionen und Begriffserklärungen aus diesem Themenkomplex auf unserer Website. Am Artikelende der Begriffserläuterung „Was ist Active Directory?“ haben wir als Service für Sie jetzt alle auf IP-Insider erschienenen Artikel rund um die Themen Active Directory, Entra ID und Domain Networking für Sie zusammengefasst. Viel Spaß beim Schmökern!

(ID:50473089)

Weiterführende Inhalte