Latest / M365.FM – Microsoft 365, Copilot & KI Podcast auf Deutsch / Microsoft Entra Domain Services einfach erklärt: Legacy-Apps in Azure ohne eigene Domain-Controller (KI-Synchronfassung)

Transcript

Microsoft Entra Domain Services einfach erklärt: Legacy-Apps in Azure ohne eigene Domain-Controller (KI-Synchronfassung) · M365.FM – Microsoft 365, Copilot & KI Podcast auf Deutsch

0:00
Bereit für zehn Tage voller Microsoft 365, Co-Pilot, KI-Azure und den Menschen, die die Zukunft der Arbeit gestalten, gestalten.
0:07
Diesen Januar ist die M365 Conference zurück und wir legen noch eins drauf, eins drauf.
0:12
Seien Sie dabei bei Live-Sessions, Praxis-Demos und Expertenwissen von MVPs und Branchenprofis weltweit.
0:18
Keine generischen Folien, kein endloses Buzzword-Bingo.
0:21
Wir gehen die echten Herausforderungen an.
0:23
Co-Pilot Studio, KI-Agenten, Fabrik, Sicherheit, Governance und Automatisierung.
0:28
Egal ob IT-Profi, Entwickler oder Führungskraft, es gibt Sessions, die speziell für Sie gemacht sind.
0:35
In zehn vollen Tagen können Sie zahlreiche Technologien erkunden und sich mit einer globalen Community vernetzen.
0:40
Schauen Sie live zu und nehmen Sie praktische Erkenntnisse mit in Ihr Unternehmen.
0:45
Januar 2027. Zehn Tage. Eine Microsoft-Community. Die Registrierung ist jetzt geöffnet.
0:51
Besuchen Sie m365.con.net und sichern Sie sich noch heute Ihren Platz.
0:55
Das ist m395.con.net.
1:00
Melden Sie sich unter m355.net an und wir sehen uns live im Januar.
1:04
Hallo zusammen und willkommen zu einer weiteren Folge der Microsoft Knowledge Nuggets hier auf m365.fm.
1:09
M. Bin Mirko Peters.
1:11
Stellen Sie sich vor, Sie verschieben eine alte Unternehmensanwendung von einem Server in Ihrem Büro auf eine Azure-VM.
1:15
Die App ist nun in der Cloud, verlangt aber immer noch nach einer Windows-Domäne.
1:19
Sie möchte der Domäne beitreten, Personen über LDP suchen, Benutzer mit Kaberos anmelden und Gruppenrichtlinien anwenden.
1:24
Die meisten Leute nehmen an, dass EntraID jede Aufgabe von Active Directory ersetzt. Das tut es nicht.
1:29
Moderne Cloud-Apps können Sie über EntraID anmelden, aber ältere Windows-Apps erwarten dieselbe Domäne wie damals im Serverraum.
1:35
Am Ende dieser Folge werden Sie verstehen, wo EntraID, Active Directory und Entra-Domain-Services hingehören.
1:41
Und es gibt ein Detail, das die gesamte Verwaltung verändert.
1:45
Identitätsinformationen fließen nur in eine Richtung.
1:48
Warum EntraID allein nicht jede Legacy-App ausführen kann.
1:50
Beginnen wir damit, was EntraID gut macht.
1:52
Es ist der Empfangstresen für Ihre Cloud-Dienste.
1:55
Es weiß, wer Sie sind, prüft Ihre Anmeldung und entscheidet, ob Sie Zugriff auf Microsoft 365, Teams, SharePoint oder eine Business-App in der Cloud erhalten.
2:01
Sie melden sich einmal an und wechseln dann zwischen Diensten, ohne Ihr Passwort immer wieder neu einzugeben.
2:06
Das ist Single Sign-On.
2:08
EntraID kann auch eine zweite Anmeldeprüfung per Multifaktor-Authentifizierung verlangen.
2:12
Das verwendete Gerät prüfen den Standort und die Zugriffsregeln Ihres Unternehmens.
2:17
Für eine moderne App funktioniert dieses Muster hervorragend.
2:19
Sie öffnen einen Browser.
2:20
Die App leitet Sie zu EntraID weiter.
2:22
Sie melden sich an, bestätigen vielleicht eine Aufforderung auf dem Handy und EntraID sendet der App eine sichere Anmeldebestätigung im Hintergrund.
2:28
Die App liest diese Nachricht und gewährt den Zugriff.
2:30
Bei diesem Muster ist kein Domain-Beitritt erforderlich, es sind keine alten Windows-Server im Spiel
2:34
und die App muss kein klassisches Firmenverzeichnis durchsuchen.
2:37
Doch ältere Anwendungen stammen aus einer anderen Welt.
2:39
Stellen Sie sich eine Finanz-App vor, die seit Jahren auf einem Windows-Server läuft, auf dem sich Benutzer von Domain-verbundenen PCs aus anmelden.
2:45
Die App sucht Mitarbeiter Details über LDAP, eine gängige Methode für ältere Software, um ein Firmenverzeichnis zu durchsuchen.
2:51
Sie verwendet möglicherweise Kerberos, ein älteres Windows-Anmeldeverfahren, mit dem Sie Systeme gegenseitig vertrauen.
2:55
Sie stützt sich möglicherweise auf Gruppenrichtlinien, die Sammlung von Unternehmensregeln zur Steuerung von Einstellungen auf Windows-Computern.
3:00
Diese App weiß nicht, wie sie eine moderne Cloud-Anmeld-Nachricht lesen soll.
3:03
Sie erwartet, dass Sie über das Netzwerk eine Verbindung herstellt und eine traditionelle Windows-Domain finden.
3:07
Und wenn Sie keine findet, kann die App-Benutzer eventuell nicht anmelden, ein Dienstkonto nicht finden oder sich einfach weigern zu starten.
3:12
Sie haben dieses Muster wahrscheinlich auch schon außerhalb der IT gesehen.
3:15
Eine neue Steckdose hilft nicht, wenn der Stecker eines alten Geräts nicht passt.
3:18
Der Strom ist vorhanden, aber die Verbindung ist falsch.
3:20
Stellen Sie sich nun vor, das Unternehmen verschiebt diese Finanz-App und Ihre Datenbank auf Virtual-Dirage-Maschen.
3:25
Die Server sind umgezogen, aber die alten Anforderungen nicht.
3:27
Sie könnten Active Directory im Büro belassen und Azure über ein VPN, einen privaten Netzwerk-Tunnel, damit verbinden.
3:32
Die App in Azure sendet also Anfragen über diese Verbindung, wann immer sie die Domain benötigt.
3:37
Das kann funktionieren, aber die App ist nun davon abhängig, dass die Netzwerkverbindung und der lokale Domain-Controller verfügbar bleiben.
3:42
Wenn es ein Problem mit dieser Verbindung gibt, hat möglicherweise auch die Cloud-App ein Problem.
3:46
Eine weitere Möglichkeit ist die Erstellung eigener virtueller Domain-Controller-Maschinen in Azure.
3:49
Ein Controller ist der Server, der die traditionelle Active Directory-Domain betreibt und das Verzeichnis, Anmeldungen und andere Domain-Aufgaben verwaltet.
3:55
Das funktioniert ebenfalls, aber jetzt besitzt Ihr Team mehr Server.
3:58
Jemand muss Sie patchen und überwachen.
4:00
Sie benötigen Backups, Wiederherstellungspläne, einen Plan zur Synchronisierung der Domain-Controller
4:04
und Sie müssen die mächtigen Administrator-Konten schützen, die die Domain steuern.
4:07
Für manche Unternehmen ergibt diese Kontrolle durchaus.
4:09
Für andere ist es zusätzliche Arbeit, nur um eine ältere App zufriedenzustellen.
4:13
Die Lücke ist also recht schmal, aber sie ist real.
4:15
Eine App lebt in Azure, spricht aber immer noch die alte Active Directory-Sprache.
4:18
Was Microsoft Entra Domain Services eigentlich ist?
4:21
Microsoft Entra Domain Services ist eine verwaltete Windows-Domain, die in Ihrem Azure-Netzwerk läuft.
4:26
Das ist die einfache Definition.
4:28
Die Domain-Controller laufen im Hintergrund vollständig verwaltet von Microsoft,
4:31
während Ihre Azure-4Ms und älteren Apps die gewohnten Domain-Dienste nutzen, die Sie erwarten, die Sie erwarten.
4:36
Stellen Sie sich Ihr Cloud-Setup wie ein Bürogebäude vor.
4:38
Entra ID ist die Rezeption im Eingangsbereich.
4:40
Sie prüft bei der Anmeldung im Microsoft 365 oder anderen Cloud-Apps, wer Sie sind,
4:44
und wendet die Unternehmensrichtlinien für diese Anmeldung an.
4:46
Entra Domain Services befindet sich in einem verschlossenen Büro hinter dem Büro.
4:49
Ältere Systeme müssen diese Rezeption nicht so aufsuchen wie eine moderne Cloud-App.
4:53
Sie benötigen ein Verzeichnis im alten Stil, in der Nähe, dass Ihre Sprache versteht und Ihre Anfragen beantworten kann.
4:58
Dieses hintere Büro ist die verwaltete Domain.
5:00
Die Sache ist die, Sie müssen die Domain-Controller nicht selbst aufbauen.
5:03
Sie melden sich nicht per Remote-Desktop bei Ihnen an.
5:05
Sie entscheiden nicht, wie viele laufen sollen, patchen kein Windows auf Ihnen und verwalten nicht die Verbindung dazwischen.
5:08
Microsoft kümmert sich um all das.
5:09
Ihre Aufgabe ist es, die richtigen Azure VMs und Apps mit der verwalteten Domäne zu verbinden.
5:14
Sobald Sie verbunden sind, können Sie vertraute Active Directory-Dienste nutzen.
5:17
Eine Windows VM kann der Domäne beitreten.
5:19
Und ältere Apps können LDAP nutzen, um Personengruppen und Verzeichnisdetails abzurufen.
5:23
Sie können Care-Bowers nutzen, die Anmeldemethode, die ältere Geschäftsanwendungen oft erwarten, wenn ein Server einem anderen vertrauen muss.
5:29
Sie können auch ein TLM verwenden, eine weitere ältere Windows-Anmeldemethode, die manche Apps noch benötigen.
5:33
Die verwaltete Domäne stellt auch DNS bereit, was Systemen hilft, den richtigen Server über den Namen statt über eine Zahlenfolge zu finden.
5:38
Außerdem unterstützt Sie Gruppenrichtlinien, sodass Sie bestimmte Windows-Einstellungen auf Computer und Benutzer in dieser verwalteten Domäne anwenden können.
5:45
Die Liste klingt technisch, ich weiß.
5:46
Stellen Sie sich stattdessen als Dolmetscher-Büro vor.
5:48
Ihre App fragt in der alten Windows-Sprache, wer ist dieser Benutzer?
5:52
Kann dieser Server jedem Server vertrauen?
5:54
Wo befindet sich die Datenbank?
5:55
Welche Einstellung sollte dieser Computer verwenden?
5:58
Entra Domain Services versteht diese Fragen und gibt die Antwort, die die App erwartet.
6:01
Er stellt aber keine zweite Hauptliste der Mitarbeiter.
6:04
Der primäre Identitätsdatensatz bleibt in Entra-ID.
6:06
Benutzer und Gruppen aus Entra-ID werden in die verwaltete Domäne kopiert, damit ältere Apps Sie in einer verständlichen Form sehen und nutzen können.
6:13
Wenn Ihr Unternehmen auch ein lokales Active Directory hat, gelangen Identitäten von dort möglicherweise bereits nach Entra-ID, bevor sie in Domainservices kopiert werden.
6:19
Die Richtung spielt hier eine Rolle.
6:20
Identitätsdetails fließen in Entra-Domainservices hinein.
6:23
Sie fließen nicht wieder zurück.
6:24
Wenn ein Benutzer also aus Entra-ID stammt, verwalten Sie diesen Benutzer auch in Entra-ID.
6:28
Wenn der Benutzer ursprünglich aus Ihrem lokalen Active Directory stammt, verwalten Sie den Benutzer dort.
6:32
Sie sollten Domainservices nicht als Ort betrachten, an dem der Haupteintrag für Mitarbeiter bearbeitet wird.
6:37
Dadurch wird verhindert, dass die verwaltete Domäne zu einem zweiten Aktenschrank mit unterschiedlichen Versionen derselben Person wird.
6:41
Nun gibt es einen Punkt, der bei der Einrichtung viele Nutzer vor Herausforderungen stellt.
6:44
Und ja, eine Cloud-Anmeldung und ältere Windows-Anmeldungen verwenden im Hintergrund nicht exakt dieselbe Art der Passwortverarbeitung.
6:50
Da mit Kerberos und NTLM funktionieren, benötigt Domainservices eine geschützte Form der Passwortdaten, die diese älteren Methoden unterstützt.
6:55
Microsoft speichert Ihr Passwort niemals im Klartext.
6:58
Stattdessen benötigt der Dienst die korrekten, geschützten Passwortinformationen,
7:01
bevor sich ein Benutzer über die verwaltete Domäne an einem in die Domäne eingebundenen VM oder einer älteren App anmelden kann.
7:06
Für eine Cloud-Benutzer bedeutet dies oft, dass Sie Ihr Passwort ändern müssen, nachdem Domainservices aktiviert wurde.
7:11
Diese Passwortänderung erzeugt die für die verwaltete Domäne erforderliche geschützte Form.
7:15
Bis dies geschieht, kann sich der Benutzer zwar problemlos bei Microsoft 365 anmelden,
7:19
scheitert jedoch beim Versuch, die Domäne im alten Stil zu nutzen.
7:22
Das kann anfangs verwirren.
7:24
Der Benutzer hat bereits ein Konto, das Passwort funktioniert, doch die Legacy-App kann es dennoch nicht verwenden.
7:29
Das fehlende Teil ist nicht das Benutzerkonto.
7:31
Es ist die geschützte Passwortform, die von jenen älteren Anmeldemethoden benötigt wird.
7:34
Domainservices hat zudem eine klare Grenze, innerhalb der es funktioniert.
7:37
Es läuft innerhalb eines virtuellen Azure-Netzwerks oft als VNet bezeichnet.
7:40
Ihre Azure-VMs benötigen Netzwerkzugriff auf dieses VNet und müssen die DNS-Einstellungen der verwalteten Domäne verwenden, um sie zu finden.
7:47
Dies ist kein öffentliches Verzeichnis, das jedes Gerät im Internet kontaktieren kann.
7:50
Es ist ein privater Domändienst für Workloads, die mit dem richtigen Azure-Netzwerk verbunden sind.
7:54
Wenn also eine App altes Active Directory-Verhalten in Azure benötigt,
7:57
bietet Domainservices Ihr einen verwalteten Ort, um dieses Verhalten zu finden.
8:00
Das führt uns zur nächsten Frage.
8:02
Wo steht dies im Vergleich zu EntraID und Ihrer bestehenden Active Directory-Domäne?
8:05
Die Namen klingen ähnlich, aber Ihre Aufgaben sind sehr verschieden.
8:09
EntraID, Active Directory und Domain Services.
8:12
Unterschiede Aufgaben.
8:13
Die Namen liegen nahe beieinander, daher behandelt man sie leicht als unterschiedliche Versionen des selben Produkts.
8:17
Das sind sie nicht.
8:18
Jedes davon deckt einen anderen Teil des Identitätsbildes Ihres Unternehmens ab.
8:21
Und sobald Sie die jeweilige Aufgabe sehen, wird die Wahl viel klarer.
8:24
EntraID verwaltet die Cloud-Identität.
8:26
Wenn Sie Microsoft 365 Teams, SharePoint oder eine moderne Geschäftsanwendung öffnen,
8:30
prüft EntraID Ihre Anmeldung und steuert, worauf Sie zugreifen können.
8:33
Es unterstützt zudem die Multifaktor-Authentifizierung und Zugriffsregeln,
8:36
etwa die Aufforderung zu einer strengen Anmeldeüberprüfung, wenn Sie von einem unbekannten Gerät aus arbeiten.
8:40
Es wurde für Cloud-Dienst entwickelt.
8:42
Eine moderne App muss sich nicht im selben Netzwerk wie EntraID befinden,
8:45
da sie webbasierte Anmeldemethoden verwendet.
8:47
Sie melden sich über einen Browser oder eine App an, EntraID bestätigt Ihre Identität
8:50
und die App erhält den Nachweis, dass Sie zugelassen sind.
8:53
Das ist das Standardmodell für neue Cloud-Apps.
8:55
Active Directory Domain Services, oft verkürzt auf Active Directory, erfüllt eine andere Aufgabe.
9:00
Dies ist die traditionelle Windows-Domäne, die viele Unternehmen in ihren eigenen Büros,
9:03
Rechenzentren oder Serverräumen betreiben.
9:05
Das Unternehmen besitzt die Domain-Controller, legt deren Einrichtung fest
9:08
und verwaltet die gesamte Domäne vom Grund auf.
9:10
Sie kann Windows-PCs steuern, lokale Server unterstützen
9:13
und die älteren Anmeldemethoden bereitstellen, die langjährige Geschäftsanwendung erwarten.
9:16
Dieses Maß an Kontrolle bringt auch Verantwortung mit sich.
9:19
Ihr IT-Team betreibt die Domäne, betreut die Server
9:20
und entscheidet, wie das Verzeichnis für das Unternehmen funktionieren soll.
9:24
Entra Domain Services liegt genau zwischen diesen beiden Welten.
9:27
Es bietet Azure Workloads eine verwaltete Windows-Domäne,
9:29
wenn sie älteres Active Directory-Verhalten benötigen,
9:31
wobei Microsoft den Domain-Controller teilübernimmt.
9:34
Sie nutzen die Domäne für Azure VMs und ältere Apps,
9:36
ohne die komplette Aufgabe des Betriebs einer traditionellen Active Directory-Domäne selbst zu übernehmen.
9:41
Stellen Sie sich wie ein Aktenschrank-System vor.
9:42
Entra ID enthält die Haupteinträge der Mitarbeiter für die Arbeit in der Cloud.
9:46
Dort speichert das Unternehmen die Datensätze,
9:47
die für Microsoft 365 und moderne Cloud-Anmeldungen verwendet werden.
9:50
Domain Services stellt älteren Azure-Apps eine kompatible Kopie der benötigten Datensätze zur Verfügung.
9:55
Diese Apps können den vertrauten Aktenschrank öffnen
9:57
und Benutzer, Gruppen- sowie Anmeldedaten im alten Format finden, das sie verstehen.
10:01
Sie müssen die App nicht neu erstellen, nur weil sie in Azure verschoben wurde.
10:04
Auch ein reines Cloud-Unternehmen kann dieses Setup nutzen.
10:07
Stellen Sie sich ein Unternehmen vor, das noch nie lokale Domain-Controller betrieben hat.
10:10
Jeder meldet sich über Entra ID bei Microsoft 365 an
10:12
und das Unternehmen beginnt, Azure VMs für eine ältere Windows-App zu verwenden.
10:16
Dieses Unternehmen muss keine lokale Active Directory-Domäne nur für diese eine App aufbauen.
10:21
Stattdessen kann es Entra Domain Services für die Azure VMs nutzen, die Domäneverhalten erfordern,
10:25
während der Rest des Unternehmens für die normale Cloud-Arbeit bei Entra ID bleibt.
10:28
Ein hybrides Unternehmen hat einen anderen Ausgangspunkt.
10:30
Betreibt möglicherweise bereits Active Directory im Büro mit Benutzern und Gruppen,
10:33
die mit Entra ID synchronisiert werden.
10:35
Diese Personen können dann in Entra Domain Services für Workloads erscheinen, die in Azure ausgeführt werden.
10:39
Der Ablauf sieht wie folgt aus.
10:41
Das bestehende Active Directory des Unternehmens sendet Identitätsdaten an Entra ID
10:44
und Entra ID stellt die kompatible Kopie für Domain Services bereit.
10:48
Das bedeutet nicht, dass Domain Services die ursprüngliche lokale Domäne ersetzen.
10:52
Das Büro benötigt möglicherweise weiterhin eine eigene Active Directory-Domäne für lokale PCs,
10:56
Server, Fabrikssysteme oder Anwendungen, die vor Ort verbleiben.
10:59
Domain Services deckt nur den Azure-Teil ab, bei dem das verwaltete Verhalten klassischer Domänen zur Arbeitslast passt.
11:04
Und es macht aus Entra ID auch kein vollständiges Active Directory.
11:07
Entra ID bleibt ein Cloud-Identitätsdienst.
11:09
Domain Services fügt eine verwaltete Domäne für bestimmte ältere Anforderungen hinzu,
11:14
bietet aber nicht alle Optionen und Kontrollmöglichkeiten wie beim eigenständigen Betrieb eines Active Directory.
11:19
Stellen Sie sich also drei separate Aufgabenbereiche vor.
11:21
Entra ID verwaltet moderne Cloud-Anmeldungen.
11:23
Active Directory verwaltet die Windows-Domäne, die Ihr Unternehmen selbst betreibt.
11:26
Entra Domain Services verwaltet Azure-Legacy-Workloads, die noch eine Windows-Domäne benötigen,
11:31
ohne dass Sie die Domänen-Controller selbst betreiben müssen.
11:33
Sie können eine weitaus bessere Frage stellen.
11:35
Wann eignet sich Domain Services für die Arbeitslast und wann sollten Sie etwas anderes wählen?
11:40
Wann Domain Services passt und wann nicht?
11:42
Beginnen Sie mit der Anwendung, nicht mit dem Produkt.
11:45
Wenn eine ältere App LDRP verwendet eine alte Sprache zur Überprüfung von Benutzernamen und Kennwörtern,
11:49
Sie diese nach Azure verschieben, kann Domain Services hervorragend geeignet sein.
11:52
Die App nutzt weiterhin das, was Sie bereits kennt, ohne dass eine vollständige Neuentwicklung erforderlich ist.
11:56
Das ist wichtig, wenn die App noch funktioniert, das Unternehmen Sie benötigt
11:58
und eine Neufassung des Anwältecodes für Zeit oder Geld kosten wird.
12:01
Ein weiteres häufiges Szenario. Eine Gruppe von virtuellen Azure-Maschinen muss sich wie normale Domänen-Computer verhalten.
12:07
Mitarbeiter müssen sich möglicherweise mit ihrem Arbeitskonto bei Windows an.
12:09
Ein Dienst benötigt eventuell ein Dienstkonto, das eine Anwendung verwendet,
12:12
um eine Verbindung zu einem anderen System wie einer Datenbank herzustellen.
12:14
Sie benötigen möglicherweise Gruppenrichtlinien, um Unternehmenseinstellungen auf diese virtuellen Maschinen anzuwenden.
12:18
In diesen Fällen bietet Domain Services den Azure-Maschinen das Domänenverhalten, das sie erwarten.
12:23
Remote Desktop-Services passen hier ebenfalls gut dazu.
12:24
Denn Sie sich vom Mitarbeiter verbinden sich mit gemeinsam genutzten Windows-Desktops oder Apps in Azure.
12:28
Diese Systeme sind oft von einer Windows-Domäne für die Benutzeranmeldung und Computerverwaltung abhängig.
12:34
Domain Services stellt diese Domänebene bereit, ohne dass Ihr Team virtuelle Domain-Controller von Grund auf neu aufbauen muss.
12:39
Ältere Anwendungen bestehen oft aus mehreren Teilen.
12:41
Es könnte einen Web-Server an der Front, einen App-Server in der Mitte und eine Datenbank im Hintergrund geben.
12:45
Der App-Server muss seine Identität nachweisen, bevor die Datenbank eine Verbindung akzeptiert.
12:49
Wenn dieses Vertrauensverhältnis auf Windows-Dienstkonten basiert, sorgt Domain Services dafür, dass diese Verbindung nach dem Umzug weiterhin funktioniert.
12:54
Der Punkt ist, Ihr Team erhält das ältere Domänenverhalten, das die Arbeitslast erfordert,
12:59
während Microsoft die Arbeit der Domänen-Controller übernimmt, die sonst auf Ihrer Serverliste stehen würde.
13:04
Aber wählen Sie Domain Services nicht nur deshalb, weil Sie Azure verwenden.
13:07
Eine neue Cloud-App sollte sich direkt über EntraID anmelden.
13:10
Wenn Sie moderne Anmeldemethoden unterstützt, sendet Sie Benutzer an EntraID,
13:13
erhält einen Anmeldennachweis und profitiert von Cloud-Zugriffsregeln sowie der Multifaktor-Authentifizierung.
13:19
Das ist der sauberere Weg für neue Software.
13:21
Domain Services helfen einer App, die die alte Sprache spricht.
13:23
Es ist jedoch kein Grund, neuen Apps diese alte Sprache beizubringen.
13:26
Es gibt auch feste Grenzen, die Sie zuerst prüfen müssen.
13:29
Einige Apps lesen nicht nur aus Active Directory, sie schreiben auch zurück hinein.
13:32
Zum Beispiel möchte eine App möglicherweise Verzeichniseinträge als Teil ihrer normalen Arbeit erstellen oder ändern.
13:38
Domain Services sind nicht geeignet, wenn die App LDAP-Schreibzugriff benötigt.
13:42
Dieselbe Warnung gilt, wenn eine App das Active Directory-Schema ändern muss, also die Felder.
13:45
Die definieren, was das Verzeichnis speichern kann.
13:48
Einige ältere Software verlangt, dass sie eigene Felder hinzufügen, bevor sie ausgeführt werden.
13:51
Eine verwaltete Domäne lässt sich dieses grundlegende Design nicht ändern.
13:55
Sie sollten auch innehalten, wenn Ihr Team die volle Kontrolle über die Domäne selbst benötigt.
13:58
Vielleicht benötigen Sie direkten Zugriff auf Domain-Controller.
14:01
Vielleicht benötigen Sie Domain-Administrator-Rechte, die sehr weitreichende Kontrolle bieten.
14:04
Oder vielleicht benötigen Sie ein kompliziertes Verzeichnis-Design, das Sie auf Ihre eigene Weise aufbauen und betreiben möchten.
14:08
Das deutet darauf hin, Active Directory selbst zu betreiben.
14:11
Entweder lokal oder auf virtuellen Maschinen in Azure.
14:14
Domain Services geben Ihnen absichtlich weniger Kontrolle, da Microsoft den Kern-Domain-Dienst betreibt.
14:18
Stellen Sie also eine einfache Frage, bevor Sie einen Weg wählen.
14:21
Benötigt diese Arbeitsleist die alte Active Directory-Sprache oder kann Sie das moderne Entra-ID sprechen?
14:26
Wenn Sie das moderne Entra-ID verwenden kann, beginnen Sie.
14:28
Wenn Sie das alte Domain-Verhalten benötigt, aber nicht erfordert, dass Sie jeden Teil der Domäne besitzen, können Domain-Services sehr gut passen.
14:34
Und wenn die App das Verzeichnis umschreiben, sein Schema ändern oder Ihrem Team die vollständige Domain-Kontrolle geben muss, benötigt Sie ein anderes Zuhause.
14:40
Die Wahl einer verwalteten Domäne bedeutet, einen Kompromiss einzuhalten.
14:43
Microsoft kümmert sich um die Domain-Controller und Sie geben einen Teil der Kontrolle auf, die mit dem eigenen Betrieb einhergeht.
14:48
Die Kompromisse bei verwalteten Diensten, die Sie kennen müssen.
14:50
Dieser verwaltete Ansatz spart Arbeit, ändert aber auch, was Ihr IT-Team steuern kann.
14:55
Microsoft betreibt die Domain-Controller, hält sie synchron, wendet Patches an und kümmert sich im Hintergrund um die Verfügbarkeit.
15:00
Sie müssen nicht planen, wo jeder Domain-Controller steht oder einen nach einem Server-Ausfall wiederherstellen.
15:05
Deshalb wählen viele Teams diesen Ansatz, aber Sie können sich nicht per Remote-Desktop auf diese Domain-Controller schalten
15:09
und erhalten keine Domain- oder Unternehmensadministrator-Rechte, da diese Kontrolle über die von Microsoft verwalteten Bereiche geben würden.
15:15
Stattdessen stellt Microsoft eine Gruppe namens Intra-Domain-Services-Administrators bereit.
15:19
Fügen Sie die Person, die die Domäne verwalten müssen, dieser Gruppe hinzu und nutzen Sie dann eine virtuelle Verwaltungsmaschine, die mit der Verwaltungsmaschine, die mit der verbunden ist.
15:25
Von diesem Computer aus können Sie bekannte Active Directory Tools verwenden, um die von Microsoft zugelassenen Bereiche zu verwalten.
15:30
Sie können beispielsweise eigene Organisationseinheiten, kurz OUs, erstellen.
15:32
Betrachten Sie diese als Ordner für Domänenobjekte wie Computer oder Dienstkonten.
15:36
Sie können DNS-Einträge verwalten sowie Gruppenrichtlinien für unterstützte Einstellungen in der Stellung anwenden.
15:41
Sie können auch die Computer verwalten, die der Domäne beitreten, oft der Hauptgrund für die Existenz des Dienstes.
15:45
Diese Einschränkungen Sie beabsichtigen.
15:47
Sie können keine weiteren Domain-Controller hinzufügen, das Active Directory-Schema ändern oder die verwaltete Domäne als Ort nutzen, von dem Änderungen zurück in Entra-ID fließen.
15:54
Behalten Sie daher die Benutzer- und Gruppenverwaltung im Quellverzeichnis.
15:57
Für ein reines Cloud-Unternehmen ist diese Quelle Entra-ID.
15:59
Für ein Hybrid-Unternehmen ist es das lokale Active Directory, das mit Entra-ID synchronisiert wird.
16:05
Diese Regel verhindert einen häufigen Fehler.
16:07
Jemand sieht einen Benutzer in der verwalteten Domäne und ändert ihn dort in der Annahme, dass dies dauerhaft übernommen wird.
16:11
Doch diese Änderung wird nicht zum Unternehmensdatensatz in Entra-ID oder im lokalen Active Directory.
16:16
Halten Sie die verwaltete Domäne innerhalb des Azure-Netzwerks bewahren.
16:19
Sie sollte nur die benötigten Workloads unterstützen und kein allgemeines Unternehmensverzeichnis werden.
16:22
Begrenzen Sie den Netzwerkzugriff, schützen Sie die Verwaltungsmaschine und gewähren Sie Admin-Zugriff nur den Personen, die ihn benötigen.
16:29
Sie entscheiden sich für einen Dienst mit Leitplanken.
16:30
Diese Leitplanken nehmen Ihnen Arbeit ab, verhindern aber gleichzeitig Änderungen an den von Microsoft verwalteten Bereichen.
16:36
Eine einfache Azure-Migrationsgeschichte.
16:38
Stellen Sie sich ein Finanzunternehmen vor, das eine alte Anwendung auf Servern im eigenen Büro betreibt.
16:42
Diese Anwendung verlässt sich auf LDRP mit der weiterzuführen.
16:44
Sie verwendet Kerberos bei der Anwendung der Benutzung.
16:46
Und Ihr Server authentifiziert sich mit einem Dienstkonto, um auf die Finanzdatenbank zuzugreifen.
16:50
Das Unternehmen möchte sowohl die Anwendung als auch die Datenbank auf virtuelle Azure-Maschinen verschieben.
16:54
Eine Option ist es, die App über ein VPN mit der Bürodomäne verbunden zu lassen.
16:58
Aber dann ist die Azure-App täglich von dieser Netzwerkverbindung und den lokalen Domänencontrollern abhängig.
17:02
Eine andere Option ist das Ausführen neuer virtueller Domänencontroller-Maschinen in Azure.
17:06
Dadurch bleibt mehr Datenverkehr innerhalb von Azure.
17:08
Aber es kommen Windows-Server hinzu, die das IT-Team patchen, überwachen, sichern und wiederherstellen müssen.
17:11
Das Team wählt einen anderen Weg.
17:13
Ihre Benutzer und Gruppen werden bereits mit Entra-ID synchronisiert.
17:16
Sie aktivieren Entra-Domain-Services, verbinden das virtuelle Azure-Netzwerk.