So installieren und verwalten Sie Azure AD Connect für die Verzeichnissynchronisierung

Mit Azure AD Connect können Sie Ihre lokalen Active Directory-Identitäten mit Azure AD oder Microsoft 365 synchronisieren. Dadurch können Sie Ihre Benutzereinstellungen und Identitäten an einem einzigen Ort verwalten und profitieren von vielen weiteren Vorteilen, die wir im Beitrag besprechen werden. Hier erfahren Sie, wie Sie Azure AD Connect in Ihrer lokalen und Azure-Cloud-Umgebung installieren und verwalten.

Seiteninhalt

Was ist Azure AD Connect und wie funktioniert es?

Die Vorteile der Verwendung von Azure AD Connect

So installieren Sie Azure AD Connect

So verwalten Sie Azure AD Connect

So entfernen Sie Azure AD Connect aus Ihrer Umgebung

Zusammenfassung

Was ist Azure AD Connect und wie funktioniert es?

Mit Azure AD Connect können Sie Attribute Ihrer lokalen Active Directory-Benutzer mit Azure Active Directory synchronisieren. Zu diesen Attributen gehören der Benutzername, UserPrincipalName (oder Benutzername), seine E-Mail-Adresse und Aliase, sein Passwort sowie Kontakt-/persönliche Informationen. Die Azure AD Connect-Anwendung wird auf Ihrem lokalen Domänencontroller oder Mitgliedsserver installiert, die Benutzer werden dann zwischen Ihrem lokalen Verzeichnis und der Cloud abgeglichen und dann wird die Synchronisierung aktiviert.

Die Vorteile der Verwendung von Azure AD Connect

Wenn Sie mit der Verwendung von Azure AD Connect beginnen möchten, verfügen Sie wahrscheinlich über eine lokale Active Directory-Umgebung und verfügen auch über eine Azure Active Directory-Umgebung (oder möchten diese implementieren). Es könnte auch ein Szenario geben, in dem Sie, wenn Sie keine Microsoft-Dienste für E-Mail oder Azure nutzen, möglicherweise Microsoft 365 für Ihre Anwendungslizenzierung verwenden, wo es auch sinnvoll wäre, Azure AD Connect zu implementieren. Wenn Sie mehr über Azure Active Directory erfahren möchten, empfehle ich den Artikel „Was ist Azure Active Directory?“

Vorteile für Active Directory-Administratoren

Mit Azure AD Connect können Administratoren ihre Umgebung von einem einzigen Ort aus verwalten, nämlich ihrem lokalen Active Directory. Damit können Sie von einer einzigen Active Directory-Seite aus Benutzer erstellen, Attribute festlegen, Gruppen erstellen und Postfächer freigeben. In Kombination mit dynamischen Gruppenmitgliedschaften wird die Notwendigkeit, sich bei Azure AD anzumelden, wirklich minimiert.

Ihre Passwortrichtlinie wird auch von Ihrem lokalen Standort auf Azure ausgeweitet, da Passwörter mit Azure AD synchronisiert werden können. Sie können den Modus für Gruppenmitgliedschaften erreichen, indem Sie Folgendes lesen: Erstellen und Verstehen von Microsoft 365-Gruppen.

Vorteile für Endbenutzer

Für die Endbenutzer bedeutet die Synchronisierung ihrer Identitäten von vor Ort mit Azure AD, dass sie sich nur das einzige Passwort merken müssen, das für ihr Windows-Anmeldeprofil und Azure AD (oder Microsoft 365) gilt. Dies vereinfacht Aufgaben wie die Verwaltung von Outlook für E-Mails, die Lizenzierung von Office 365-Anwendungen und die Remote-Anmeldung bei Office.com, um online auf SharePoint oder OneDrive zuzugreifen.

So installieren Sie Azure AD Connect

Voraussetzungen

Damit Azure AD Connection wie erwartet funktioniert, müssen Sie in Ihrem lokalen Active Directory ein wenig Vorbereitungsarbeit leisten. Zunächst müssen Sie sicherstellen, dass Ihre Kundendomäne zu Ihrem Active Directory hinzugefügt wurde und dass Ihre Benutzerattribute, die Sie synchronisieren möchten, korrekt sind.

Öffnen Sie zunächst Active Directory-Domänen und -Vertrauensstellungen, klicken Sie mit der rechten Maustaste auf „Active Directory-Domänen und -Vertrauensstellungen“ und geben Sie das alternative UPN-Suffix Ihrer externen Domäne ein. In meinem Fall ist es ourcloudnetwork.com und klicken Sie auf OK.

Gehen Sie nun zu Active Directory-Benutzer und -Computer, klicken Sie mit der rechten Maustaste auf Ihren Benutzer und klicken Sie auf Eigenschaften. Stellen Sie sicher, dass das E-Mail-Feld korrekt ausgefüllt ist, gehen Sie dann zur Registerkarte „Konto“ und ändern Sie die Domäne des Benutzeranmeldenamens in die neue Domäne, die Sie hinzugefügt haben.

Wenn Sie Alias-E-Mail-Adressen für diesen Benutzer hinzufügen möchten, gehen Sie oben auf der Seite „Active Directory-Benutzer und -Computer“ zu Ansicht und wählen Sie Erweiterte Funktionen aus. Klicken Sie erneut mit der rechten Maustaste auf Ihren Benutzer und wählen Sie Eigenschaften aus. Wählen Sie dieses Mal die Registerkarte Attributeditor und scrollen Sie nach unten zu Proxyadressen. Fügen Sie die primäre E-Mail-Adresse im folgenden Format hinzu: SMTP:*E-MAIL-ADRESSEN*. Anschließend müssen alle Aliasadressen in Kleinbuchstaben smtp wie folgt hinzugefügt werden.

Um sich nach der Installation der Anwendung bei Azure AD Connect anzumelden, müssen Sie außerdem die verstärkte IE-Sicherheitskonfiguration im Server-Manager vorübergehend deaktivieren.

Installieren von Azure AD Connect

Stellen Sie zunächst sicher, dass Sie die neueste Version von Azure AD Connect von der offiziellen Microsoft-Website herunterladen: https://www.microsoft.com/en-us/download/details.aspx?id=47594.

Für Version 2 von Azure AD Connect müssen Sie Windows Server 2016 oder höher ausführen. Wenn Sie nicht Server 2016 oder höher ausführen, müssen Sie Version 1 von Azure AD Connect beziehen. Version 2 verwendet außerdem TLS1.2, um die Kommunikation zwischen der Synchronisierungs-Engine und Azure AD zu verschlüsseln. Sie müssen daher sicherstellen, dass dies aktiviert ist. Version 1 verwendet TLS1.1.

Sobald Sie die Anwendung heruntergeladen haben, führen Sie das Installationsprogramm aus und akzeptieren Sie die EULA.

Klicken Sie auf der Seite Express-Einstellungen auf Anpassen, da wir nicht die Standardinstallations- und Synchronisierungseinstellungen verwenden möchten.

Unter Erforderliche Komponenten installieren können Sie Ihren Installationsort ändern, einen vorhandenen SQL-Server verwenden, ein vorhandenes Dienstkonto verwenden, Synchronisierungsgruppen angeben oder Einstellungen importieren. Wir lassen alle Einstellungen deaktiviert und klicken auf Installieren.

Auf der Seite Benutzeranmeldung können wir eine Anmeldemethode für unsere synchronisierten Benutzer auswählen. Wir werden Passwort-Hash-Synchronisierung auswählen, die es unseren Benutzern ermöglicht, sich mit demselben Passwort und ihrem lokalen Konto bei der Cloud anzumelden.

Weiter Stellen Sie mit Ihrem globalen Administratorkonto eine Verbindung zu Azure AD her. Sobald Sie fertig sind, werden Sie direkt zur Seite Verbinden Sie Ihre Verzeichnisse weitergeleitet. Stellen Sie sicher, dass Ihre Gesamtstruktur ausgewählt ist, und klicken Sie auf Verzeichnis hinzufügen. Wählen Sie im Popup-Fenster Neues AD-Konto erstellen aus, geben Sie unten die Informationen Ihres Domänenadministratorkontos ein und klicken Sie dann auf OK.

Für die Azure AD-Anmeldekonfiguration kann ich sehen, dass das von mir gewählte UPN-Suffix „ourcloudnetwork.com“ überprüft wurde, und ich werde das Attribut „userPrincipName“ auswählen, das als Azure AD-Benutzername für meine synchronisierten Konten verwendet werden soll. Ich habe außerdem das Kontrollkästchen aktiviert, um fortzufahren, ohne alle UPN-Suffixe verifizierten Domänen zuzuordnen.

Unter Domänen- und OU-Filterung ist es äußerst wichtig, dass Sie nur die angegebenen Organisationseinheiten synchronisieren, die Sie synchronisieren möchten. Andernfalls besteht die Gefahr, dass Daten oder Benutzerkonten gelöscht werden, die sich bereits in Azure AD befinden. Ich habe meine Office 365-Organisationseinheit ausgewählt, die einen einzelnen Benutzer, James Blue, enthält.

Auf der Seite Eindeutige Identifizierung Ihrer Benutzer belasse ich alle Einstellungen auf Standard und klicke auf „Weiter“. Da es sich um eine Neuinstallation von Azure AD Connect handelt, erlaube ich Azure AD Connect, die standardmäßig empfohlenen Synchronisierungsattribute für mich auszuwählen. Das Gleiche werde ich auch für die Seite „Benutzer und Geräte filtern“ tun.

Auf der Seite Optionale Funktionen werden schließlich alle zusätzlichen Funktionen angezeigt, die Sie aktivieren können. Ich werde die Funktion Passwort-Rückschreiben aktivieren. Das heißt, wenn ich ein Benutzerkennwort in Azure AD ändere, wird das Kennwort an den lokalen Verzeichnisbenutzer zurückgeschrieben, mit dem es synchronisiert wird, sodass Benutzerkennwörter in Azure AD oder lokal aktualisiert werden können.

Auf der letzten Seite können Sie die Option Staging-Modus aktivieren aktivieren. Durch die Verwendung des Staging-Modus können Sie alle Änderungen überprüfen, die in Azure AD auftreten, sobald die Synchronisierung aktiviert ist, ohne die Änderungen tatsächlich vorzunehmen. Mit dieser Einstellung können Sie überprüfen, ob die von Ihnen vorgenommenen Änderungen korrekt sind und keine nachteiligen Auswirkungen haben, bevor Sie in Betrieb gehen. Ich werde einfach Installieren auswählen, ohne den Staging-Modus zu aktivieren.

Abschließend können Sie den Status Ihrer Benutzer im Microsoft 365-Portal überprüfen. Hier können Sie sehen, dass mein Benutzer James Blue mit dem richtigen Benutzernamen/der korrekten E-Mail-Adresse hinzugefügt wurde und sein Synchronisierungsstatus „Verzeichnissynchronisiert“ lautet.

So verwalten Sie Azure AD Connect

Ausgehend von den obigen Informationen können Sie ableiten, wie Sie Benutzer hinzufügen/entfernen und die Benutzerinformationen ändern. Die meisten Einstellungen, die Sie am lokalen Benutzerkonto ändern, werden mit Azure AD synchronisiert. Microsoft hat hier einen nützlichen Link: https://docs.microsoft.com/en-us/azure/active-directory/hybrid/reference-connect-sync-attributes-synchronized, der alle Benutzerattribute auflistet, die vorhanden sind und nicht synchronisiert.

Eines der nützlichsten Tools zum Verwalten von Azure AD Connect ist der Synchronisation Server Manager, der zusammen mit Azure AD Connect vor Ort installiert wird. Öffnen Sie die Anwendung und Ihnen wird der folgende Bildschirm angezeigt.

Wenn Sie einen der Connector-Vorgänge in der Liste auswählen, wird unten die Exportstatistik angezeigt. Hier habe ich meinen ersten Export ausgewählt und Sie können sehen, dass es einen weiteren zu meinem Azure Active Directory gab.

Wenn Sie auf die 1 klicken, die ich oben eingekreist habe, und dann auf den Distinguished Name doppelklicken, werden alle Informationen angezeigt, die zur Fehlerbehebung oder zur Verwaltung von Änderungen erforderlich sind. Genau so würden wir die Staging-Modus-Funktion verwenden. Sie können diese Informationen sehen, ohne dass die Änderungen tatsächlich in Azure AD kopiert werden.

So entfernen Sie Azure AD Connect aus Ihrer Umgebung

Das Entfernen von Azure AD Connect umfasst zwei wichtige Schritte. Der erste Schritt besteht darin, alle Ihre Konten von der Verzeichnissynchronisierung auf nur in der Cloud zu konvertieren. Dadurch werden alle Links zu Azure AD Connect aus Ihrer Cloud-Umgebung entfernt. Es ist gut zu wissen, dass bei diesem Vorgang weder vor Ort noch in der Cloud Passwörter geändert werden.

Die nächsten Schritte bestehen einfach darin, Azure AD Connect über die Systemsteuerung von Ihrem Server zu deinstallieren (was ich jetzt hier mit Ihnen durchgehen werde, da es ziemlich selbsterklärend sein sollte).

Konzentrieren wir uns auf die Deaktivierung von Azure AD Connect von Ihrem Azure AD-Mandanten. Wir werden PowerShell für diesen Prozess verwenden.

Führen Sie zunächst PowerShell als Administrator aus und installieren Sie das MSOnline PowerShell-Modul mit dem folgenden Code. Wählen Sie bei den Eingabeaufforderungen Ja aus.

install-module msonline

Sobald das Modul installiert ist, müssen Sie eine Verbindung zu Ihrer Microsoft-Cloud-Umgebung herstellen. Führen Sie den folgenden Code aus. Anschließend werden Sie aufgefordert, sich mit Ihrem globalen Administratorkonto anzumelden.

connect-msolservice

Um Ihren aktuellen Synchronisierungsstatus anzuzeigen, gehen Sie wie folgt vor. Sie werden sehen, dass das Ergebnis einfach Wahr ist.

(Get-MsolCompanyInformation).DirectorySynchronizationEnabled

Um die Verzeichnissynchronisierung zu deaktivieren, führen Sie Folgendes aus und wählen Sie Ja.

Set-MsolDirSyncEnabled -EnableDirSync $false

Es kann nun bis zu 72 Stunden dauern, bis die Verzeichnissynchronisierung vollständig deaktiviert ist. Sie können den vorherigen Befehl oben ausführen, um den Status erneut anzuzeigen, in dem er als falsch angezeigt wird. Sie können die Spalte „Synchronisierungsstatus“ Ihrer Benutzer auch im Microsoft 365-Portal anzeigen. Sobald der Vorgang abgeschlossen ist, wird dort das Cloud-Symbol angezeigt.

Zusammenfassung

Wir hoffen, dass Sie diesen Beitrag informativ fanden. Jetzt sollten Sie in der Lage sein, Azure AD Connect zu installieren, Azure AD Connect zu verwalten und es auch aus Ihrer Umgebung zu entfernen, wenn es nicht mehr benötigt wird. Wenn Sie Fragen haben, können Sie diese gerne unten posten. Wir werden Ihnen dann antworten.