Active Directory Domain Services (Windows Server / On-Prem)
-
Standard-Active-Directory-Rolle auf einem herkömmlichen Windows-Server, der mit Tools wie Active Directory-User und -Computer, Sites und Diensten, Domänen und Vertrauensstellungen verwaltet wird.
-
Enthält User-, Gruppen-, Kontakt- und Computerobjekte.
-
Herkömmliche Windows-Desktops und -Server treten diesem AD bei.
-
User und Gruppen können mithilfe von Entra ID Connect mit Entra ID synchronisiert werden.
Entra ID – Microsoft Cloud Directory-Dienste
-
Trotz des ähnlichen Namens wie beim herkömmlichen Active Directory handelt es sich um einen anderen Dienst, der von Microsoft gehostet wird und das Objekt der obersten Ebene im Microsoft Cloud Directory-Dienst (O365, D365 und Azure) darstellt.
-
Enthält User-, Gruppen- und Kontaktobjekte.
-
Windows 10- und 11-Computer können Entra ID beitreten, während dies bei Computern mit älteren Betriebssystemen nicht möglich ist.
-
Kann über das ADConnect-Tool mit einem herkömmlichen AD synchronisiert werden, sodass für beide derselbe Benutzername und dasselbe Passwort verwendet werden können (bei aktivierter Passwort-Hash-Synchronisierung).
Entra Domain Services
-
An Azure-hosted, Microsoft-managed AD DS.
-
Die meisten der gleichen Funktionen wie bei herkömmlichem, On-Prem AD DS, mit einigen Einschränkungen aufgrund des fehlenden administrativen Zugriffs auf den eigentlichen Domänencontroller, der von Microsoft verwaltet wird.
-
Synchronisiert automatisch mit Entra ID, das mit einem On-Prem AD DS synchronisiert werden kann, und ermöglicht es VMs, die in Azure ausgeführt werden, diesem beizutreten, unabhängig vom Typ des Windows-Betriebssystems (zum Beispiel Windows 11/10/8/7 oder Server 2008/2012/2016/2019).
Entra ID ist erforderlich, um einen der Microsoft Cloud-Dienste (Office 365, Azure Virtual Desktop (AVD), Dynamics 365 usw.) zu nutzen. Wenn Benutzer auf diese Cloud-Dienste zugreifen, beginnt die gesamte Benutzerauthentifizierung in Entra ID.
Für Organisationen mit „Cloud-native“-Bereitstellungen befinden sich die Benutzerinformationen (zum Beispiel Benutzername, Passwort, Gruppenmitgliedschaft, etc.) nur in Entra ID und werden nicht mit einem anderen Verzeichnis synchronisiert. Wenn der Kunde keine lokalen Branchenanwendungsserver (LOB) hat und nicht beabsichtigt, virtuelle Desktops in Azure zu implementieren, kann dieses reine Entra ID-Szenario ausreichen und recht einfach sein.
Die meisten Kunden beginnen mit bestehenden LOB-Anwendungen, die lokal ausgeführt werden, und möchten diese Workloads nach Azure migrieren, sie auf neuen VMs in Azure neu installieren oder virtuelle Desktops in Azure mit AVD implementieren. Vor dem Winter 2021 reichte AAD allein nicht aus, da LOB-Server und virtuelle Desktop-VMs einer Entra Domain Services-Domäne beitreten müssen, um zu funktionieren und verwaltbar zu sein. Microsoft unterstützt jetzt Entra ID Joined für AVD-Sitzungshosts, wobei die Unterstützung für Entra ID Joined für Azure Files in Kürze erwartet wird (Stand November 2021).
Die folgenden Methoden stehen zur Verfügung, um AD-Funktionalität in Azure zu aktivieren:
-
Do-it-yourself-AD in Azure.
-
Entra Domain Services PaaS.
Konzeptionell ist der einfachste Weg, eine Azure-Bereitstellung zu erstellen:
-
Verbindung zum lokalen Netzwerk mit einem Site-to-Site-VPN herstellen.
-
Eine neue VM in Azure bereitstellen.
-
Binden Sie sie über das VPN in die bestehende AD-Domäne ein.
-
Stufen Sie sie zu einem Domänencontroller herauf und konfigurieren Sie die entsprechenden Standorte, Subnetze etc.
Das Ergebnis ist eine AD-Bereitstellung, die sowohl das lokale Netzwerk als auch die Azure-Bereitstellung umfasst und es ermöglicht, Server-VMs von On-Prem nach Azure zu verschieben, ohne dass sie einer neuen Domäne erneut beitreten müssen und ohne die Konnektivität der Benutzer zu diesen VMs zu unterbrechen.
Die Herausforderung bei dieser Bereitstellung liegt in der Schwierigkeit der Implementierung, der Notwendigkeit, neue Domänencontroller zu verwalten, und den Kosten für zusätzliche VMs zum Ausführen dieser Domänencontroller. Der Vorteil ist die leicht verständliche Bereitstellung für jeden, der bereits Active Directory verwaltet hat, sowie die vollständige Flexibilität mit uneingeschränktem administrativen Zugriff.
Um die Herausforderungen bei der Do-it-yourself-AD-Methode in Azure zu bewältigen, hat Microsoft Entra Domain Services eingeführt – nicht zu verwechseln mit Entra ID.
Entra Domain Services ist ein PaaS-Angebot in Azure, das von Microsoft betrieben, überwacht und aktualisiert wird, wobei Administratoren nur eingeschränkten Zugriff haben. Der Vorteil von Entra Domain Services besteht darin, dass keine VMs bereitgestellt und verwaltet werden müssen und dass keine VPN-Verbindung zur Synchronisierung mit einer On-Prem-Domäne erforderlich ist.
Wenn Entra Domain Services in einem Azure-Abonnement bereitgestellt wird, erstellt Microsoft ein Paar hochverfügbarer Domänencontroller und synchronisiert die User-Daten aus Entra ID.
Entra Domain Services ist eine neue Domäne, die schreibgeschützte Kopien von Usern, Gruppen und Kennworthashes enthält, die sich in Entra ID befinden. Es synchronisiert diese Daten in 20-Minuten-Intervallen. Azure-VMs können dieser neuen Domäne hinzugefügt werden, und vorhandene Benutzernamen und Passwörter können verwendet werden, um eine Verbindung zu diesen VMs herzustellen, da die Anmeldedaten mit Entra ID synchronisiert werden, das wiederum mit einem On-Prem AD unter Verwendung von Entra ID Connect synchronisiert werden kann.
Weitere Informationen zu Entra ID Connect finden Sie in diesem Microsoft Artikel.
Achtung
-
Microsoft stellt ein Active Directory für Sie bereit und verwaltet es, sodass Sie keinen administrativen Zugriff darauf haben, es jedoch mit herkömmlichen AD-Verwaltungstools (zum Beispiel Active Directory-Benutzer und -Computer oder Gruppenrichtlinienverwaltung) verwalten können.
-
Entra Domain Services ist eine neue Domäne, die die User-Objekte Ihrer vorhandenen Domäne enthält, sofern diese mit Entra ID Connect synchronisiert wurden.
-
User-Objekte, die von Entra ID in diese neue Domäne synchronisiert werden, sind schreibgeschützt. Sie können nur im Quell-AD (falls Entra ID Connect verwendet wird) oder in Entra ID (falls der Kunde ausschließlich Cloud nutzt) geändert werden.
-
Wenn Sie VMs in Azure erstellen, treten diese dieser neuen Domäne bei. Sie sind nicht Teil Ihrer vorhandenen On-Prem-Domäne, sondern nur der neuen Domäne, die sich in Azure befindet.
-
Server, die Ihrer vorhandenen On-Prem-Domäne angehören, sind nicht Teil der neuen Entra Domain Services-Domäne – nur User-Objekte werden repliziert. Es gibt keine Vertrauensstellung, die eine Authentifizierung zwischen den Entra Domain Services- und den On-Prem AD DS-Umgebungen ermöglicht.
-
Wenn Sie eine Lift-and-Shift-Migration eines Servers von einer On-Prem-Umgebung zu Azure mit aktiviertem Entra Domain Services durchführen, müssen Sie den Server der neuen Domäne hinzufügen, und dann können bestehende User für den Zugriff darauf berechtigt werden. Dies erfordert Änderungen am Server.
-
Sie benötigen eine „Management-VM“, die in Azure mit installiertem RSAT ausgeführt wird, um Ihre neue Entra Domain Services-Domäne zu verwalten.
-
Die Funktionalität der Active Directory-Verbunddienste (AD_FS), die das einmalige Anmelden bei Office 365 ermöglicht, wird nicht unterstützt.
-
Directory-Schemaerweiterungen werden nicht unterstützt.
-
Es gibt keine Möglichkeit, die Entra Domain Services-Domäne bei einem regionalen Ausfall auf eine andere Azure-Region umzuschalten.
-
Nach dem Deployment gibt es keine Möglichkeit, Entra Domain Services zu pausieren, um Kosten zu sparen, ohne das Deployment zu löschen.
Kommentare (0 Kommentare)