Planen Ihrer Microsoft Entra-Hybridbeitritt-Implementierung

Wenn Sie eine lokale Active Directory Domain Services-Umgebung (AD DS) haben und Ihre in die AD DS-Domäne eingebundenen Computer in Microsoft Entra ID einbinden möchten, kann diese Aufgabe durch eine Microsoft Entra-Hybrideinbindung erfolgen.

Voraussetzungen

Dieser Artikel setzt voraus, dass Sie die Einführung in die Geräteidentitätsverwaltung in Microsoft Entra ID gelesen haben.

In Microsoft Entra eingebundene Hybridgeräte benötigen regelmäßig eine Netzwerk-Sichtverbindung mit Ihren Domänencontrollern. Ohne diese Verbindung werden Geräte unbrauchbar.

Szenarien, die ohne Sichtverbindung zu Ihren Domänencontrollern nicht funktionieren:

• Ändern des Gerätekennworts
• Änderung des Benutzerkennworts (zwischengespeicherte Anmeldeinformationen)
• Trusted Platform Module (TPM)-Zurücksetzung

Planen Ihrer Implementierung

Um die Implementierung Ihrer Microsoft Entra-Hybrideinbindung zu planen, sollten Sie sich mit folgenden Themen vertraut machen:

Überprüfung unterstützter Geräte

Die Microsoft Entra Hybrideinbindung unterstützt eine Vielzahl von Windows-Geräten.

• Windows 11
• Windows 10
• Windows Server 2016
  • Hinweis: Kunden der nationalen Azure-Cloud benötigen Version 1803.
• Windows Server 2019

Als bewährte Methode empfiehlt Microsoft, ein Upgrade auf die aktuelle Windows-Version durchzuführen.

Überprüfung wichtiger Informationen

Nicht unterstützte Szenarien

• Die Microsoft Entra-Hybrideinbindung wird nicht bei Windows Server mit der Domänencontrollerrolle unterstützt.
• Das Server Core-Betriebssystem unterstützt jeden Geräteregistrierungstyp.
• Das Migrationstool für den Benutzerzustand (USMT) funktioniert nicht mit der Geräteregistrierung.

Überlegungen zur Erstellung von Betriebssystemimages

• Wenn Sie das Systemvorbereitungstool (Sysprep) verwenden und ein Image einer Vorversion von Windows 10 1809 für die Installation verwenden, stellen Sie sicher, dass dieses Image nicht von einem Gerät stammt, das bereits als hybrid in Microsoft Entra eingebunden bei Microsoft Entra ID registriert ist.

• Wenn Sie zusätzliche VMs mit einer Momentaufnahme eines virtuellen Computers erstellen, stellen Sie sicher, dass diese Momentaufnahme nicht von einem virtuellen Computer stammt, der bereits als hybrid in Microsoft Entra eingebunden bei Microsoft Entra ID registriert ist.

• Wenn Sie den vereinheitlichten Schreibfilter und ähnliche Technologien verwenden, die Änderungen am Datenträger beim Neustart löschen, müssen diese angewandt werden, nachdem das Gerät hybrid in Microsoft Entra eingebunden wurde. Das Aktivieren solcher Technologien vor dem Abschluss der hybriden Einbindung in Microsoft Entra führt dazu, dass das Gerät bei jedem Neustart getrennt wird.

Behandeln von Geräten mit Microsoft Entra registrierten Status

Wenn Ihre in die Domäne eingebundenen Geräte mit Windows 10 oder höher für Ihren Mandanten bei Microsoft Entra registriert sind, kann dies zu einem Doppelstatus der Microsoft Entra-Hybrideinbindung und der Registrierung bei Microsoft Entra des Geräts führen. Es wird empfohlen, ein Upgrade auf Windows 10 1803 (mit angewandtem KB4489894) oder höher durchzuführen, um dieses Szenario automatisch zu beheben. In Versionen vor 1803 müssen Sie die Registrierung bei Microsoft Entra manuell entfernen, bevor Sie die Microsoft Entra-Hybrideinbindung aktivieren. In Releases ab 1803 wurden die folgenden Änderungen vorgenommen, um diesen Doppelstatus zu vermeiden:

• Jeder vorhandene Microsoft Entra-Registrierungsstatus für einen Benutzer wird nach der Microsoft Entra-Hybrideinbindung des Geräts und der Anmeldung desselben Benutzers in automatisch entfernt. Wenn Benutzer A beispielsweise einen Microsoft Entra-Registrierungsstatus auf dem Gerät hat, wird der Doppelstatus für Benutzer A nur dann bereinigt, wenn sich Benutzer A beim Gerät anmeldet. Bei mehreren Benutzern auf demselben Gerät wird der Doppelstatus individuell bei der Anmeldung der jeweiligen Benutzer bereinigt. Nachdem ein Administrator den Microsoft Entra-Registrierungsstatus entfernt hat, hebt Windows 10 die Registrierung des Geräts bei Intune oder einer anderen Verwaltung mobiler Geräte (Mobile Device Management, MDM) auf, wenn die Registrierung im Rahmen der Microsoft Entra-Registrierung über die automatische Registrierung erfolgt ist.
• Der Microsoft Entra-Registrierungsstatus für lokale Konten auf dem Gerät ist von dieser Änderung nicht betroffen. Sie gilt nur für Domänenkonten. Der Microsoft Entra-Registrierungsstatus wird für lokale Konten auch nach der Benutzeranmeldung nicht automatisch entfernt, da der Benutzer kein Domänenbenutzer ist.
• Sie können verhindern, dass Ihr in die Domäne eingebundenes Gerät bei Microsoft Entra registriert wird, indem Sie den folgenden Registrierungsschlüssel in „HKLM\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin“ hinzufügen: "BlockAADWorkplaceJoin"=dword:00000001.
• Wenn in Windows 10 1803 jedoch Windows Hello for Business konfiguriert ist, muss der Benutzer Windows Hello for Business nach der Bereinigung des Doppelstatus erneut einrichten. Dieses Problem wurde in  KB4512509 behoben.

Microsoft Entra Hybrideinbindung für einzelne Gesamtstrukturen, mehrere Microsoft Entra-Mandanten

Um Geräte als Microsoft Entra-Hybridverknüpfung bei den jeweiligen Mandanten zu registrieren, müssen Organisationen sicherstellen, dass die Konfiguration des Dienstverbindungspunkts (Service Connection Point, SCP) auf den Geräten und nicht in Microsoft Windows Server Active Directory vorgenommen wird. Weitere Informationen zu dieser Aufgabe finden Sie im Artikel Gezielte Bereitstellung der Microsoft Entra-Hybrideinbindung. Darüber hinaus ist es für Organisationen wichtig zu verstehen, dass bestimmte Microsoft Entra-Funktionen nicht in einer einzelnen Gesamtstruktur mit mehreren Microsoft Entra-Mandantenkonfigurationen funktionieren.

• Geräterückschreiben funktioniert nicht. Diese Konfiguration wirkt sich auf den gerätebasierten bedingten Zugriff für lokale Apps aus, die über AD FS verbunden sind. Diese Konfiguration wirkt sich auch auf die Bereitstellung von Windows Hello for Business mit Verwendung des hybriden Zertifikatvertrauensstellung-Modells aus.
• Gruppenrückschreiben funktioniert nicht. Diese Konfiguration wirkt sich auf das Rückschreiben von Office 365-Gruppen in eine Gesamtstruktur, in der Exchange installiert ist, aus.
• Nahtloses einmaliges Anmelden funktioniert nicht. Diese Konfiguration wirkt sich auf SSO-Szenarien in Organisationen aus, die Browserplattformen wie iOS oder Linux mit Firefox, Safari oder Chrome ohne die Windows 10-Erweiterung nutzen.
• Der lokale Microsoft Entra-Kennwortschutz funktioniert nicht. Diese Konfiguration wirkt sich auf die Fähigkeit aus, Kennwortänderungs- und -zurücksetzungsereignisse für lokale Active Directory Domain Services (AD DS)-Domänencontroller durchzuführen, bei denen dieselben, in Microsoft Entra ID gespeicherten, globalen und benutzerdefinierten Listen gesperrter Kennwörter verwendet werden.

Andere Aspekte

• Wenn in Ihrer Umgebung Virtual Desktop Infrastructure (VDI) verwendet wird, finden Sie unter Geräteidentität und Desktopvirtualisierung weitere Informationen.

• Die Microsoft Entra-Hybridverknüpfung wird für FIPS (Federal Information Processing Standard)-kompatible TPM 2.0 unterstützt, aber nicht für TPM 1.2. Wenn Ihre Geräte über FIPS-konformes TPM 1.2 verfügen, müssen Sie es deaktivieren, bevor Sie die mit der Microsoft Entra-Hybrideinbindung fortfahren. Microsoft stellt keine Tools zum Deaktivieren des FIPS-Modus für TPMs bereit, da dieser vom TPM-Hersteller abhängt. Wenden Sie sich an Ihren Hardware-OEM, um Unterstützung zu erhalten.

• Ab Windows 10 Version 1903 werden TPMs 1.2 nicht mehr für die Microsoft Entra-Hybrideinbindung verwendet, und Geräte mit diesen TPMs werden wie Geräte ohne TPM behandelt.

• UPN-Änderungen werden erst ab dem Windows 10-Update 2004 unterstützt. Bei Geräten, auf denen Windows 10 vor dem Update 2004 ausgeführt wird, haben Benutzer möglicherweise Probleme mit dem nahtlosen einmaligen Anmelden (SSO) und dem bedingten Zugriff. Zum Beheben des Problems müssen Sie das Gerät von Microsoft Entra ID trennen (indem Sie „dsregcmd /leave“ mit erhöhten Rechten ausführen) und sich wieder anmelden (was automatisch geschieht). Allerdings tritt das Problem bei Benutzern, die sich mit Windows Hello for Business anmelden, nicht auf.

Überprüfung des gezielten Microsoft Entra-Hybridbeitritts

Organisationen sollten einen gezielten Rollout der Microsoft Entra-Hybrideinbindung ausführen, bevor sie für die gesamte Organisation aktiviert wird. Lesen Sie den Artikel Gezielte Bereitstellung der Microsoft Entra-Hybrideinbindung, um zu verstehen, wie Sie dies erreichen.

Auswählen Ihres Szenarios, basierend auf Ihrer Identitätsinfrastruktur

Microsoft Entra Hybrid-Join funktioniert sowohl in verwalteten als auch in Verbundumgebungen, je nachdem, ob der UPN routingfähig ist. Eine Tabelle mit unterstützten Szenarien finden Sie unten auf der Seite.

Verwaltete Umgebung

Eine verwaltete Umgebung kann entweder durch Kennworthashsynchronisierung (Password Hash Sync, PHS) oder Pass-Through-Authentifizierung (Pass Through Authentication, PTA) mit nahtlosem einmaligem Anmelden bereitgestellt werden.

In diesen Szenarien müssen Sie keinen Verbundserver für die Authentifizierung (AuthN) konfigurieren.

Verbundumgebung

Bei Verbundumgebungen sollte ein Identitätsanbieter verwendet werden, der die folgenden Anforderungen erfüllt. Wenn Sie eine Verbundumgebung besitzen, die Active Directory-Verbunddienste (AD FS) verwendet, werden die nachfolgend genannten Anforderungen bereits unterstützt.

WS-Trust-Protokoll: Dieses Protokoll ist erforderlich, um aktuelle hybrid in Microsoft Entra eingebundene Windows-Geräte mit Microsoft Entra ID zu authentifizieren. Bei Verwendung von AD FS müssen Sie die folgenden WS-Trust-Endpunkte aktivieren:

/adfs/services/trust/2005/windowstransport /adfs/services/trust/13/windowstransport /adfs/services/trust/2005/usernamemixed /adfs/services/trust/13/usernamemixed /adfs/services/trust/2005/certificatemixed /adfs/services/trust/13/certificatemixed

Ab Version 1.1.819.0 bietet Microsoft Entra Connect einen Assistenten für die Konfiguration der Microsoft Entra-Hybrideinbindung. Mit dem Assistenten können Sie den Konfigurationsprozess erheblich vereinfachen. Wenn das Installieren der erforderlichen Version von Microsoft Entra Connect keine Option für Sie ist, informieren Sie sich über die Manuelle Konfiguration der Geräteregistrierung. Wenn contoso.com als bestätigte benutzerdefinierte Domäne registriert ist, können Benutzer ein primäres Aktualisierungstoken (Primary Refresh Token, PRT) erhalten, auch wenn sich ihr synchronisiertes lokales AD DS-UPN-Suffix in einer Unterdomäne wie test.contoso.com befindet.

Überprüfen des UPN-Supports für lokale Microsoft Windows Server Active Directory-Benutzer für die Microsoft Entra-Hybridverknüpfung

• Routingfähige UPNs: Ein routingfähiger UPN verfügt über eine gültige überprüfte Domäne, die bei einer Domänenregistrierungsstelle registriert ist. Ist beispielsweise „contoso.com“ die primäre Domäne in Microsoft Entra ID, ist „contoso.org“ die primäre Domäne im lokalen Active Directory, die Contoso gehört und in Microsoft Entra ID überprüft wird.
• Nicht routingfähige Benutzerprinzipalnamen: Ein nicht routingfähiger UPN hat keine überprüfte Domäne und ist nur innerhalb des privaten Netzwerks Ihrer Organisation anwendbar. Ist beispielsweise „contoso.com“ die primäre Domäne in Microsoft Entra ID, ist „contoso.local“ die primäre Domäne im lokalen Active Directory, aber keine überprüfbare Domäne im Internet und wird nur innerhalb des Contoso-Netzwerks verwendet.

Die folgende Tabelle enthält Details zur Unterstützung dieser lokalen Microsoft Windows Server Active Directory-UPNs in der Windows 10 Microsoft Entra-Hybridverknüpfung:

Nächster Schritt

• Konfigurieren des Microsoft Entra-Hybridbeitritts