Azure Active Directory Cloud Sync ist eine Software, welche Objekte aus dem Active Directory nach Azure Active Directory synchronisiert.
Bei der Azure AD Connect-Cloudsynchronisierung wird die Bereitstellung von AD Objekten zu Azure AD in Microsoft Online Services orchestriert. Lokal wird nur noch ein einfacher Agent benötigt.

Die gesamte Synchronisierungskonfiguration wird im Azure Portal (https://portal.azure.com) eingerichtet. Azure AD Cloud Sync kann durch die Installation des Agents auf mehreren Servern hochverfügbar bereitgestellt werden.

Dieses Tutorial beschreibt die Installation und Konfiguration von Azure AD Cloud Sync.

Voraussetzungen und Lizenzierung

Für das Feature „Azure AD Cloud Sync“ ist keine Lizenz notwendig.

  • Windows Server 2016 oder höher
  • Ausgehender Port 80 (CRL, Certificate Revocation Lists)
  • Ausgehender Port 443 (ausgehende Kommunikation zum Microsoft Online Service)
  • Zugriff auf die folgenden URLs
    – *.msappproxy.net
    – *.servicebus.windows.net
    – login.windows.net
    – login.microsoftonline.com
    – mscrl.microsoft.com
    – crl.microsoft.com
    – ocsp.msocsp.com
    – www.microsoft.com

Azure AD Cloud Sync weist noch nicht alle Features auf, welche von Azure AD Connect bekannt sind. Die folgende Tabelle zeigt die unterstützen Features an: https://docs.microsoft.com/en-us/azure/active-directory/cloud-sync/what-is-cloud-sync

Azure AD Cloud Sync Agent

Installation Agent

Im Azure Portal (https://portal.azure.com) unter „Azure Active Directory“ > „Azure AD Connect“ > „Manage Azure AD cloud sync“ anklicken

Agent herunterladen

Installation der heruntergeladenen Datei mit Doppelklick starten

Konfiguration Agent

Nach der erfolgreichen Installation kann der „AAD Connect Provisioning Agent Wizard“ gestartet werden.

Die Verbindung zum Azure AD mit einem globalen Administrator herstellen

Der Service setzt ein gruppenverwaltetes Dienstkonto voraus.
Es kann entweder ein neues Dienstkonto angelegt werden oder ein bestehendes verwendet werden.

Verbindung zur lokalen Active Directory Domain herstellen

Agent Konfiguration prüfen und bestätigen

Nach wenigen Minuten ist der Agent installiert.

Um eine hohe Verfügbarkeit zu erreichen, kann der Agent auf die gleiche Weise auf weiteren Servern installiert werden.

Agent Status kontrollieren

Azure Portal

Im Azure Portal (https://portal.azure.com) unter „Azure Active Directory“ > „Azure AD Connect“ > „Manage Azure AD cloud sync“ > „Review all agents“ wird der soeben installierte Agent als Aktiv angezeigt.

Lokaler Server (Dienste)

Auf dem Server mit dem installierten Agent sind unter „Dienste“ („services.msc“) die folgenden Dienste ersichtlich und gestartet:

  • Microsoft Azure AD Connect Agent Updater
  • Microsoft Azure AD Connect Provisioning Agent

Bereitstellungsoptionen

Konfiguration

Für die Bereitstellung wird eine neue Konfiguration im Azure Portal (https://portal.azure.com) unter „Azure Active Directory“ > „Azure AD Connect“ > „Manage Azure AD cloud sync“ > „New configuration“ erstellt.

Im nächsten Schritt wird die Active Directory Domain ausgewählt (1).
Es ist empfohlen, Password Hash Sync (2) zu aktivieren damit Vorteile wie

  • Authentifizierung vollumfänglich in Azure durchführen
  • geleakte Passwörter erkennen und entsprechende Warnungen erhalten
  • Seamless SSO

zu nutzen.

Nun können die Details der Cloud Synchronisation konfiguriert werden.

  1. Bereich, der aus dem Active Directory synchronisiert werden soll.
    Der Filter kann auf AD-Sicherheitsgruppen oder AD-Organisationeinheiten gelegt werden.
  2. Aktivieren / Deaktivieren der Password Hash Synchronisation und Mapping zusätzlicher Attribute, falls dies benötigt wird
  3. Vor der Aktivierung der Cloud Synchronisation kann hier ein Test durchgeführt werden.
  4. Emailadresse welche benachrichtigt wird, wenn die Synchronisation nicht fehlerfrei läuft.
    Nach erreichen des Schwellenwerts (Anzahl gelöschte Objekte) wird die Synchronisation angehalten
  5. Aktivieren der Bereitstellung

Nach ein paar Minuten wird der Status der Bereitstellung in der Übersicht angezeigt.

Bereitstellung kontrollieren

In den Logs unter „Azure Active Directory“ > „Azure AD Connect“ > „Manage Azure AD cloud sync“ > „Logs“ wird detailliert aufgelistet, welche Synchronisationen durchgeführt werden.