Microsoft Pass-through-Authentication richtig nutzen SSO zwischen Active Directory und Azure AD / Microsoft 365

Anbieter zum Thema

ALE Deutschland GmbH

Aagon GmbH

Die Passthrough-Authentication (PtA) von Microsoft bringt Single Sign-on (SSO) ins Active Directory und die Cloud. Durch die Verknüpfung von Benutzerkonten im Active Directory und im Azure AD müssen sich Anwender nicht mehrfach anmelden, um auf Cloud-Dienste zuzugreifen.

Passthrough-Authentication (PtA) zwischen lokalen Active Directory-Gesamtstrukturen und Azure Active Directory ermöglichen es Anwender per SSO auf verschiedene Dienste in der Microsoft Cloud zugreifen zu können. Dazu gehören alle Dienste, bei denen eine Authentifizierung mit Azure AD hinterlegt ist, zum Beispiel in Microsoft Azure oder auch Microsoft 365. Zugriffe auf Exchange Online-Postfächer, SharePoint Online, Teams oder auch OneDrive for Business erleichtern sich dadurch deutlich.

Der Vorteil besteht darin, dass in hybriden Netzwerken die Authentifizierung sehr viel einfacher wird und sich Anwender nicht verschiedene Anmeldeinformationen merken müssen. Da in den meisten Fällen Dienste in Microsoft 365 und auch in Azure ohnehin eng mit der lokalen Infrastruktur verknüpft werden, erleichtert das die Arbeit der Anwender und auch von Administratoren deutlich.

Bildergalerie

Bildergalerie mit 9 Bildern

Verknüpfung von Active Directory mit Azure AD Connect

Realisiert wird die Anmeldung per PtA mit Azure AD Connect. Dazu wird auf einem Server, meistens ein Domänencontroller in der lokalen Active Directory-Gesamtstruktur ein Agent installiert, der die Anmeldedaten zwischen lokalen Benutzerkonten und der Cloud synchronisiert. Die Kommunikation zwischen lokalen AD-Umgebungen und Azure AD erfolgt normalerweise über den Port 443. Die Einrichtung ist dadurch sehr einfach. Es sind keine speziellen Server oder Firewallregeln notwendig. Es reicht die Konfiguration von Azure AD Connect. Der Agent dafür steht im Azure-Portal zur Verfügung, die Konfiguration erfolgt im Azure-Portal über den Bereich „Azure Active Directory\Azure AD Connect“.

Die Steuerung der Authentifizierung erfolgt wiederum über die PtA-Agenten, die im Azure-Portal bei „Passthrough-Authentifizierung“ im Bereich Azure AD Connect heruntergeladen werden können. Idealerweise sollte die Installation des PtA-Agenten auf mehreren Servern erfolgen, damit eine Hochverfügbarkeit erreicht wird. Die Agenten kommunizieren nicht miteinander, sondern jeder Server kommuniziert direkt mit Azure AD. Aus diesem Grund sollten sowohl die Server mit dem Azure AD-Connect-Agenten, als auch die Server mit den PtA-Agenten gehärtet werden.

Lokale Authentifizierung und Zugriffskontrolle auf Azure AD nutzen

Bei PtA erfolgt die Authentifizierung lokal an den Domänencontrollern. Es findet dabei keinerlei Austausch von Passtwort-Hashes zu Azure AD statt. Dadurch sind auch Änderungen von Kennwörtern sofort aktiv, da auch diese im lokalen AD verbleiben. Die Kontrolle der Anmeldung erfolgt komplett im lokalen Active Directory. Das bedeutet auch, dass Sperren von lokalen Benutzerkonten eine direkte Auswirkung auf den Zugriff des Benutzers auf die angebundenen Clouddienste hat. Diese sperrt Azure AD dann ebenfalls. Kommen in der Cloud Sicherheitsfunktionen wie Multifaktor-Authentifizerung (MFA) oder Conditional Access zum Einsatz, arbeiten diese mit PtA zusammen. Mit etwas Konfiguration ist es möglich ein Self-Service-Portal aufzubauen, mit dem Anwender über Azure AD ihr lokales Kennwort in AD ändern können.

Will ein Anwender auf einen Dienst in Microsoft 365 oder Azure zugreifen, wird die Anfrage an Azure AD geroutet, da der Clouddienst über Azure AD abgesichert ist und nicht direkt mit dem lokalen AD kommuniziert. Bei der Authentifizierung wir das Kennwort verschlüsselt durch den PtA-Agenten im lokalen Netzwerk übertragen. Die Prüfung der Anmeldedaten erfolgt auf den lokalen Active Directory-Domänencontrollern. Erfolgreiche Anmeldungen überträgt der PtA-Agent an Azure AD.

So erfolgt die Einrichtung von SSO mit Passthrough-Authentication

Für die Verwendung von PtA wird eine vorhandene Azure AD Connect-Infrastruktur benötigt, mit der sich lokale AD-Gesamtstrukturen mit Azure AD verknüpfen. Ist Azure AD Connect noch nicht installiert, besteht der erste Schritt darin die Umgebung einzurichten und Azure AD Connect zu nutzen. Nach der Installation kann bei der Einrichtung des Dienstes auch die SSO-Option gewählt werden. Nach der Authentifizierung mit einem Adminkonto lässt sich die Passthrough-Authentifizierung aktivieren, wichtig ist auch, dass die Option zur Aktivierung von SSO generell aktiviert ist. Parallel zu PtA ist es auch möglich mit der Password-Hash-Synchronisierung zu arbeiten. In diesem Fall können sich Benutzer bei Problemen mit PtA zumindest mit dem gleichen Kennwort an ihrem Azure AD-Konto anmelden.

Bei der Verbindung zwischen AD und Azure AD kann über Azure AD Connect ausgewählt werden, welche Gesamtstruktur genutzt werden soll. Hier muss auch eine Authentifizierung an Active Directory erfolgen. Im Rahmen der Einrichtung lässt sich auch festlegen, welche Domänen oder Organisationseinheiten mit PtA an Azure AD angebunden werden sollen. Sobald Azure AD und AD über Azure AD Connect verbunden sind, lässt sich bei Passthrough-Authentication im Azure-Portal bei Azure Active Directory der Agent für die PtA-Verbindung herunterladen. Auf dem ersten Server ist der PtA-Agent automatisch aktiv, es ist aber sinnvoll mehrere Server zu verwenden, um die Verfügbarkeit zu erhöhen.

Nach der Einrichtung ist im Azure-Portal bei der Konfiguration der Passthrouh-Authentifizierung zu sehen, dass der erste Agent funktioniert. Hier sind später auch die weiteren Server zu sehen. Nach der Einrichtung dauert es aber einige Zeit, bis die Synchronisierung abgeschlossen ist. Die Verwaltung kann darüber hinaus auch im Azure Active Directory Admin Center über die URL https://aad.portal.azure.com erfolgen.

(ID:49035584)