Azure AD Connect einrichten und betreiben (2)
Azure- und Office365-Angebote bieten sich an, um zusätzliche IT-Ressourcen aus der Cloud zu beziehen. Jedoch bleiben sensible Dienste wie das Active Directory meist am heimischen Campus. Aus diesem Grund kommt hybriden Szenarien große Bedeutung zu. In Bezug auf das Active Directory bedeutet dies, Objekte aus dem Verzeichnisdienst mit der Cloud zu synchronisieren. Azure AD Connect baut die Brücke zwischen lokaler IT und der Cloud. Im zweiten Teil des Workshops schauen wir uns das Setup des Diensts an, erklären, wie Sie Synchronisationsintervalle festlegen und diskutieren, ob Hochverfügbarkeit nötig ist.
Neben einem aufgeräumten AD sind für die Inbetriebnahme noch Informationen wichtig, die der Installationsassistent beim Setup abfragt. Um Azure AD Connect auf dem Server einzurichten, benötigen Sie für jede der Domänen, auf die Sie Zugriff nehmen möchten, die jeweiligen Kontoinformationen. Achtung, der Setup-Wizard prüft die Berechtigungen der Konten nicht. Sollte hier etwas nicht passen, bekommen Sie die Quittung erst später, wenn es zu Problemen bei der Synchronisation kommt.
Für eine Standardimplementierung, bei der Objekte lediglich in Richtung Azure AD synchronisiert werden, sind keine speziellen Berechtigungen für diese Dienstkonten nötig. Je nachdem, in welcher Ausprägung Sie Azure AD Connect betreiben, sind weitere Rechte nötig – insbesondere, wenn Informationen zurück in das lokale AD geschrieben werden. Eine Übersicht über die notwendigen Set-up-Konstellationen mit den jeweiligen Rechten finden Sie im TechNet [https://docs.microsoft.com/de-de/azure/active-directory/hybrid/reference-connect-accounts-permissions#create-the-ad-ds-account].
Für Administratoren, die MIM-Know-how besitzen, ist interessant zu wissen, dass es sich hierbei um Konten handelt, in deren Kontext die Management-Agenten für die Verbindung zu den Quell-Verzeichnisdiensten agieren. Auch hier sind die Parallelen von Azure AD Connect zur MIM-Synchronisation ersichtlich. Des Weiteren wird standardmäßig der "userPrinzipalName" für die Anmeldung an Azure AD oder Office 365 benutzt. Wenn gewünscht, lässt sich dies bei der Installation ändern. Sie sollten in dem Fall bedenken, dass es dadurch zu Einschränkungen bei bestimmen Arbeiten in Office 365 kommen kann. Ergänzende Hinweise hierzu liefert ein TechNet-Beitrag [https://docs.microsoft.com/de-de/windows-server/identity/ad-fs/operations/configuring-alternate-login-id].
Mindestens genauso wichtig ist die Art und Weise, wie Benutzer aus ihrer Umgebung eindeutig in Office 365 identifiziert werden. Ein Attribut oder eine Kombination mehrerer Attribute ist für eine eindeutige Verbindung zwischen Objekten aus dem lokalen AD und dem Azure AD zwingend erforderlich. Dies wird spannend, wenn Sie mehrere Gesamtstrukturen haben und einzelne Benutzer dort naturgemäß mehrmals vorkommen. Der Installationsassistent bietet in der GUI weitergehende Informationen darüber, was in welcher Konstellation Sinn ergibt.
Setup von Azure AD Connect
Gehen wir davon aus, das der SQL-Server bereitsteht und Ihre Domäne – in unserem Beispiel KBCORP.DE – in Office 365 registriert ist, können wir uns direkt dem Azure-AD-Connect-Server widmen. Probleme kann eventuell noch das .NET-Framework bereiten, sollte die passende Version nicht installiert sein. Die Anforderungen hängen davon ab, welches Serverbetriebssystem auf dem AD-Connect-Server läuft. Das Setup von Azure AD Connect auf dem Server ist ab da unspektakulär und beinhaltet keine wirklichen Fallstricke. Doch sollten Sie bei der Option für die "Angepasste Variante" abbiegen. Auch wenn Sie hier keine Änderungen an den Einstellungen treffen, so ist es interessant zu sehen, welche Möglichkeiten es gibt und mit welchen Einstellungen diese vorkonfiguriert werden.
Nach dem erfolgreichen Setup finden Sie verschiedene Programme auf dem Server. Da wäre zunächst Azure AD Connect. Es ist quasi das Setup und bietet die Möglichkeit, die aktuelle Konfiguration anzuschauen oder gegebenenfalls abzuändern. Der "Synchronization Rules Editor" eignet sich zum Feintuning, was und wie es synchronisiert wird, auch Transformationen einzelner Attribute sind hier möglich. Ein weiteres Programm ist der "Synchronization Service Manager". Ein alter Bekannter, den es bei der MIM-Synchronisation auch gibt. Hier lässt sich betrachten, wie das Setup die "Management Agents" und die "Run Profiles" eingerichtet hat.
Auch haben Sie von hier Zugriff auf die "Connector Spaces" und die "Metaverse". Um hier Änderungen vorzunehmen, sollten Sie aber genau wissen was Sie tun, denn für Modifikationen stehen eigentlich Azure AD Connect oder der Synchronization Rule Editor parat, die den Synchronization Service bei Anpassungen getriggert durch die GUI fix und fertig konfigurieren. Azure AD Connect ist nach dem Setup überhaupt nicht codelastig, auch wenn unter der Haube ein MIM tickt. Bei einem reinen MIM-Setup sieht das anders aus, hier geht ohne programmiertes Regelwerk fast gar nichts. In diesem Fall bleiben Ihnen bei Azure AD Connect Codeanpassungen initial erspart und Sie können direkt loslegen.
Synchronisationsintervalle festlegen
Microsoft entwickelt permanent an Versionen von Azure AD Connect weiter. Die Versionshistorie [https://docs.microsoft.com/de-de/azure/active-directory/hybrid/reference-connect-version-history] offenbart die engen Produktzyklen und für Administratoren, die bereits mit Vorgängerversionen der Synchronisation Kontakt hatten, sind diverse Neuerungen interessant.
Der Aufgabendienst für die Synchronisationsintervalle ist seit Version 1.1 in Azure AD Connect integriert. Ältere Versionen nutzten hierfür noch den Task Scheduler von Windows Server. Hier werden Sie nach dem Setup nicht mehr fündig. Einblick, um zu sehen, in welchen Intervallen aktuell synchronisiert wird, erhalten Sie mit dem Cmdlet "Get-ADSyncScheduler". Hier sehen Sie auch, das das Intervall nicht mehr drei Stunden ist wie früher, sondern dass nun alle 30 Minuten ein Abgleich mit der Cloud erfolgt. Das Gegenstück, um die Zeitplanung anzupassen, lautet übrigens "Set-ADSyncScheduler".
Wenn Sie nicht bis zur nächsten zeitgesteuerten Synchronisation warten möchten, sondern sofort einen Abgleich wünschen, können Sie dies mit dem Cmdlet "Start-ADSyncSyncCycle" herbeiführen. Das Kommando "DirectorySyncClient-CMD.exe", das früher hierzu diente, ist nicht mehr im Produkt enthalten. Am besten stöbern Sie hierzu in der Versionshistorie. Dabei erhalten Sie zugleich einen guten Überblick über die Funktionen der aktuellen Version.
Hochverfügbarkeit nicht unbedingt nötig
Eine Frage, die sich ein Administrator beantworten muss, ist die Frage nach Hochverfügbarkeit. Zwar ist AD Connect kein kritischer Dienst und wenn er ausfällt, bedeutet dies nicht sogleich Produktionsstillstand. Im schlimmsten Fall werden keine Objekte mehr synchronisiert. Ist der Server später wieder online, gibt es dann etwas mehr zu tun, weil Versäumtes aufzuholen ist. Aber nichtsdestotrotz ist Ausfallsicherheit für das eine oder andere Netzwerk ein Thema. Hier lautet das Schlagwort "Staging Mode". Diesen schalten Sie über den Konfigurationsassistenten von Azure AD Connect ein oder aus, denn dafür gibt es derzeit kein Cmdlet.
Auch wenn das Cmdlet "Get-ADSyncScheduler" Aufschluss über den derzeitigen Zustand des Staging Modes gibt, führt der Weg zur Aktivierung oder Deaktivierung nur über das Setup von Azure AD Connect. Der Staging Mode bedeutet, dass der Server aus den angebundenen Datenquellen (Connectorspaces) – in unserem Fall den ADs – Objekte in die Datenbank importiert und diese intern mit der MIM-Metaverse abgleicht, also synchronisiert. Ein Export erfolgt jedoch nicht. Soviel zum MIM- und FIM-Jargon. Mit anderen Worten: Bei aktiviertem Staging Mode werden die ADs ausgelesen und mit der Datenbank synchron gehalten. Änderungen werden aber in keines der ADs geschrieben. Auf diese Art können Sie einen Stand-by-Server vorhalten, der permanent läuft. Macht der aktive Server Ärger, nehmen Sie ihn vom Netz und aktivieren den geparkten Server, in dem Sie dort ganz einfach den Staging Mode ausschalten.
Ein Hinweis am Rande: Rufen Sie das Setup von Azure AD Connect auf, weist der Willkommensdialog darauf hin, dass die Synchronisierung angehalten ist. Dies gilt, solange diese geöffnet ist. Das ergibt durchaus Sinn und Sie sollten bedenken, dass das Setup nicht aus Versehen im Hintergrund geöffnet bleibt. Der "Staging Mode" bietet übrigens mehr als nur Hochverfügbarkeit. Aktivieren Sie ihn, wenn Sie neue Regeln einer Konfiguration testen oder auch, um ein Update auf einem Server einzuspielen. Ohne dass der Server irgendetwas exportiert, passiert in der Produktion noch nichts.
Im dritten Teil geben wir Tipps, wie Sie die Synchronisation im Auge behalten und welche Grundregeln Sie bei der Konfiguration stets beachten sollten.
Autor: Klaus Bierschenk