Active Directory & Entra ID

Das Active Directory, kurz AD, bildet in lokalen Infrastrukturen die Kernkomponente zur Verwaltung von Nutzern und Objekten. Auch in hybriden Infrastrukturen ist das lokale AD häufig weiterhin das führende System zur Anlage von Nutzern, der Vergabe von Berechtigungen und der Zugriffsverwaltung auf angebundene lokale Dienste. Durch die Kompatibilität mit Diensten, die sich zur Authentifizierung und Autorisierung Protokolle wie LDAP oder Kerberos benötigen, wird das Active Directory auch mittelfristig ein relevanter Bestandteil von IT-Infrastrukturen bleiben. Umso wichtiger ist es, dass die Umgebung nach modernsten Sicherheitsempfehlungen gehärtet und zyklisch auf veraltete Nutzeridentitäten und Objekte überprüft wird. Eine gepflegte lokale Umgebung ist die Voraussetzung für eine reibungslose Synchronisation von Nutzern und Objekten in die sich im Einsatz befindliche Microsoft Cloud.

Vor allem in den letzten Jahren wird ein verstärktes Aufkommen nach Verbindungen unterschiedlicher Active Directories wahrgenommen. Dies tritt vor allem dort auf, wo sich Gruppen beginnen zu bilden, Unternehmen gekauft oder verkauft werden und zeitnah auf Dienste der neuen Hauptinfrastruktur zugegriffen werden muss. Gerade wenn es einen gemeinsamen Microsoft Tenant gibt, in den Anwender aus einer bisher unabhängigen Unternehmung überführt werden sollen, ist die Verbindung lokaler Umgebungen eine Voraussetzung für einen reibungslosen Zugriff auf gemeinsam genutzte Cloud-Ressourcen. Der Aufbau einer AD-Trust-Architektur kann flexibel den Bedürfnissen und der Zugriffsstrategie entsprechend aufgebaut und angepasst werden. Unabhängig davon, ob der Zugriff bi- oder eindirektional erfolgen soll, empfiehlt es sich, Experten für lokale Infrastrukturen für eine erste, unabhängige Beratung zu kontaktieren und das geplante Vorhaben technisch bewerten zu lassen.

In Abhängigkeit von der Zielsetzung kann auch eine Migration eines lokalen Active Directory der richtige Ansatz sein, um durch Ressourcenbündelung Anwender identische Zugriffsmöglichkeiten zu verleihen und die parallele Pflege zweier Systeme zu vermeiden. Gestützt durch Werkzeuge wie das Active Directory Migration Tool (ADMT) können Ressourcengruppen, deren Attribute und verwaltete Objekte einfach in eine gemeinsame Zielumgebung überführt werden. Grundsätzlich kann es lohnenswert sein, vor der Durchführung einer Migration das Active Directory initial mit Expertenbegleitung zu säubern, Strukturen vorzubereiten und gemeinsam die Migration in die gewünschte Zielumgebung durchzuführen.

Entra ID, vormals als Azure Active Directory bekannt, ist die zentrale Verwaltungsplattform für Nutzer, die auf Microsoft 365-Dienste zugreifen möchten. Über Entra ID können Nutzer initial angelegt, Lizenzen und Dienste bereitgestellt sowie Berechtigungen für Anwender vergeben werden. Es ist der administrative Dreh- und Angelpunkt in der Cloud, ist jedoch wegen des Aufbaus und der Administration nicht so vertraut wie das klassische Active Directory. Darüber hinaus kann Entra ID als Identitätsprovider für den Zugriff auf weitere cloudbasierte Lösungen außerhalb der nativen Microsoft-Umgebung angebunden werden.

Der Entra Connect, bis 2024 als Azure Active Directory Connect bezeichnet, stellt die Brücke zwischen dem lokalen Active Directory und Entra ID dar. Diese Verbindung bringt erhebliche administrative Vorteile mit sich, die jedoch noch nicht bei allen Unternehmen erkannt und umgesetzt wurden. Durch die Verbindung der lokalen und Cloud-Infrastruktur erhalten Administratoren die Möglichkeit, Anwender in vertrauter Weise lokal anzulegen und deren Attribute sowie zugewiesene Objekte zu pflegen. Durch die Verknüpfung und den Entra Sync werden in einem definierten Turnus neue Anwender sowie Änderungen bei bestehenden Nutzern mit der Cloud synchronisiert. Durch die Konfiguration von dynamischen Gruppen können Nutzer gezielt in Gruppen in Entra ID synchronisiert und mit den dazugehörigen Lizenzen und Berechtigungen ausgestattet werden. Wichtig zu betonen ist, dass der Entra Connect als Einbahnstraße fungiert. Das lokale AD meldet freigegebene Nutzer und deren Informationen an den Tenant, der Tenant wiederum hat nicht die Möglichkeit, auf das lokale Active Directory zuzugreifen, um dort Informationen und Daten zu erfahren. Neben diesem administrativen Vorteil bietet der Entra Connect noch weitere Möglichkeiten, die täglichen Aufgaben der IT durch geschickte Automatisierung und erweiterte Nutzerberechtigungen stark zu reduzieren.

Neben den Richtlinien für den Zugriff auf Microsoft 365 und die dort bereitgestellten Daten kann Entra ID auch als Identitätsprovider für weitere Anwendungen dienen. Voraussetzung ist, dass die benötigten Cloud-Dienste zur Nutzer-Authentifizierung und Zugriffsauthorisierung SAML (Security Assertion Markup Language) und OAuth (Open Authorization) beherrschen. Somit kann ein auf Zero-Trust-Architektur aufbauender Zugriffsmechanismus entwickelt werden, der einem authentifizierten und autorisierten Nutzer über eine erfolgreiche Anmeldung bei Microsoft 365 auch den Zugriff auf weitere benötigte Services gewährt. Dies reduziert das durch verschiedene Passwörter und unterschiedliche Authentifizierungsprozesse auftretende Sicherheitsrisiko und erhöht gleichermaßen den Komfort der Anwender in deren täglichen Arbeitsweise, da keine Medienbrüche bei der Authentifizierung auftreten und sie nach erfolgreicher Erstaktivierung uneingeschränkt auf weitere Dienste zugreifen können.