Azure AD Connect und lokale Applikation

bfschmlan
Hallo zusammen,

wir haben aktuell Microsoft 365 Business Basic mit 12 Lizenzen im Einsatz. Die Anmeldung an unseren Unternehmensrechnern erfolgt mit dem Microsoft 365 Account mittels Azure AD. Viele unserer Mitarbeiter arbeiten mobil, aber wir haben noch ein kleine Büro, wo eine On Premise Lösung von Datev läuft. Datev benötigt für die Authentifizierung einen AD Server. Dieser läuft bislang lokal auf dem Datev Server. Die Rechner, welche mit Datev arbeiten wollen, sind in der lokalen Domäne. Alle anderen nutzen Azure AD. Ich würde dies gern vereinheitlichen, damit alle Rechner im Azure AD sind und auch mit Datev arbeiten könnten.

Ist dies mit Azure AD Connect möglich?

Wie ich gelesen habe, würde ich meine Domäne von Microsoft 365 auf dem lokalen Server anlegen und für diese dann Azure AD Connect installieren und konfigurieren. Anschließend würde ich den Datev Server auf die neue Domäne umziehen.

Kann sich ein Nutzer, welcher vor Ort im Büro ist und mit einem Azure AD Account auf seinem Rechner angemeldet ist, dann auch am Datev-Server anmelden?

Content-Key: 1717898127

Url: https://administrator.de/contentid/1717898127

Ausgedruckt am: 28.01.2022 um 07:01 Uhr

Mitglied: Doskias
Doskias 13.01.2022 aktualisiert um 08:21:29 Uhr
Goto Top
Moin,

Zitat von @bfschmlan:
wir haben aktuell Microsoft 365 Business Basic mit 12 Lizenzen im Einsatz. Die Anmeldung an unseren Unternehmensrechnern erfolgt mit dem Microsoft 365 Account mittels Azure AD. Viele unserer Mitarbeiter arbeiten mobil, aber wir haben noch ein kleine Büro, wo eine On Premise Lösung von Datev läuft. Datev benötigt für die Authentifizierung einen AD Server. Dieser läuft bislang lokal auf dem Datev Server.
Auf einem AD sollte nichts weiter laufen, außer einem AD. Schritt 1: Trenne AD und Datev (wirst gleich sehen warum),

Die Rechner, welche mit Datev arbeiten wollen, sind in der lokalen Domäne. Alle anderen nutzen Azure AD. Ich würde dies gern vereinheitlichen, damit alle Rechner im Azure AD sind und auch mit Datev arbeiten könnten.
Kein Problem

Ist dies mit Azure AD Connect möglich?
Theoretisch ja, praktisch kommt gleich was dazu.

Wie ich gelesen habe, würde ich meine Domäne von Microsoft 365 auf dem lokalen Server anlegen und für diese dann Azure AD Connect installieren und konfigurieren. Anschließend würde ich den Datev Server auf die neue Domäne umziehen.
Viel zu kompliziert. Du kannst das ganze als hybride Umgebung laufen lassen und deinen inhouse AD mit dem Azure-Ad synchronisieren. Der Sync muss laut MS allerdings auf einem Server laufen, der kein AD betreibt. Wenn du also im Schritt 1 erfolgreich deine Server getrennt hast, kannst du den AD-Connector zum Syncen auf dem Datev Server mitlaufen lassen. Die Anmeldung erfolgt dann lokal gegen deinen eigenen Server, mobil gegen das Azure AD. Benutzer und Kennwörter werden im 15 Minuten Intervall abgeglichen. Das reicht, denn eigentlich niemand ändert lokal sein Kennwort und meldet sich sofort mobil wieder an. Kein Domänenumzug erforderlich.

Kann sich ein Nutzer, welcher vor Ort im Büro ist und mit einem Azure AD Account auf seinem Rechner angemeldet ist, dann auch am Datev-Server anmelden?
Wenn die Konfiguration stimmt ja. Allerdings solltest du beachten, dass bei einer reinen Cloud-Lösung dein Datev nur dann funktioniert, wenn du online bist. Bricht deine Internetverbindung weg, kann mit Datev nicht mehr gearbeitet werden. HAst du die Hybridlösung mit AD und Datevserver und syncst lediglich mit dem Azure-Ad, dann hat der Datev-Server beim Internetausfall immer noch den lokalen DC zur Verfügung und du kannst offline weiterarbeiten.

Gruß
Doskias
Mitglied: Ex0r2k16
Ex0r2k16 13.01.2022 um 08:36:14 Uhr
Goto Top
Zitat von @Doskias:
Der Sync muss laut MS allerdings auf einem Server laufen, der kein AD betreibt. [...]
Gruß
Doskias

Ähm nö. :) face-smile Läuft bei mir seit Jahren aufm DC. Ohne Probs.
Mitglied: bfschmlan
bfschmlan 13.01.2022 um 08:47:34 Uhr
Goto Top
Ok, danke für euren Input!

Zitat von @Doskias:

Wenn die Konfiguration stimmt ja. Allerdings solltest du beachten, dass bei einer reinen Cloud-Lösung dein Datev nur dann funktioniert, wenn du online bist. Bricht deine Internetverbindung weg, kann mit Datev nicht mehr gearbeitet werden. HAst du die Hybridlösung mit AD und Datevserver und syncst lediglich mit dem Azure-Ad, dann hat der Datev-Server beim Internetausfall immer noch den lokalen DC zur Verfügung und du kannst offline weiterarbeiten.

Was ich technisch noch nicht ganz verstehe: Ich kann die Rechner alle ins Azure AD umziehen und sobald ich im lokalen Büro-Netz bin kann ich dann Datev nutzen, obwohl Datev ja voraussetzt, dass ich mit einem lokalen AD-Account am Rechner angemeldet bin?
Mitglied: Doskias
Doskias 13.01.2022 aktualisiert um 08:53:17 Uhr
Goto Top
Zitat von @Ex0r2k16:
Zitat von @Doskias:
Der Sync muss laut MS allerdings auf einem Server laufen, der kein AD betreibt. [...]
Gruß
Doskias
Ähm nö. :) face-smile Läuft bei mir seit Jahren aufm DC. Ohne Probs.

Ok stimmt. ich nehme das MUSS zurück. Laut MS bzw. https://www.active-directory-faq.de/2021/01/azure-ad-connect-installiere ... gilt:
Hier empfiehlt Microsoft die Verwendung eines Mitgliedsservers. Die Installation sollte aus Sicherheitsgründen nicht direkt auf einem Domänencontroller erfolgen, ist aber möglich.

Ich glaube ich muss jetzt hier nicht auflisten welche Vorteile es hat, wenn der Connector nicht auf dem AD liegt. Kurz gesagt: ja du hast recht, geht auf dem AD und muss nicht separat laufen, ist aber empfohlen. Aber ich denke, dass Datev und das AD nicht auf einem Server laufen sollten, bedarf keiner Diskussion, oder? ;-) face-wink

Nachtrag:
Was ich technisch noch nicht ganz verstehe: Ich kann die Rechner alle ins Azure AD umziehen und sobald ich im lokalen Büro-Netz bin kann ich dann Datev nutzen, obwohl Datev ja voraussetzt, dass ich mit einem lokalen AD-Account am Rechner angemeldet bin?

Achte auf die Wortwahl. Du machst keinen Umzug ins Azure Ad sondern einen Sync. Das ist ein unterschied. Die daten werden im lokalen und Azure identich vorgehalten, genau wie wenn du mehrere lokale Ads hast. je nachdem wo du dich dann befindest antwortet der erreichbare AD. Mobil unterwegs wird das Azure sein, lokal einer von beiden.

Gruß
Doskias
Mitglied: Ex0r2k16
Ex0r2k16 13.01.2022 um 09:05:13 Uhr
Goto Top
Zitat von @Doskias:
[...] Aber ich denke, dass Datev und das AD nicht auf einem Server laufen sollten, bedarf keiner Diskussion, oder? ;-) face-wink


korrekt. Übliches no Go. Aber sind wir ja inzwischen gewöhnt hier ;)
Mitglied: bfschmlan
bfschmlan 13.01.2022 aktualisiert um 21:20:46 Uhr
Goto Top
Zitat von @Doskias:
Achte auf die Wortwahl. Du machst keinen Umzug ins Azure Ad sondern einen Sync. Das ist ein unterschied. Die daten werden im lokalen und Azure identich vorgehalten, genau wie wenn du mehrere lokale Ads hast. je nachdem wo du dich dann befindest antwortet der erreichbare AD. Mobil unterwegs wird das Azure sein, lokal einer von beiden.

Gruß
Doskias
Ok, danke! Wenn ich es richtig verstehe, muss jeder Rechner, welcher die Hybride Infrastruktur verwenden will in die lokale Domäne aufgenommen werden? Derzeit gibt es Rechner, die ausschließlich am Azure AD hängen und wenige, welche an der lokalen Domäne angemeldet sind
Mitglied: bfschmlan
bfschmlan 14.01.2022 um 07:55:26 Uhr
Goto Top
Für meinen Use Case muss ich die Kennwort-Hashsynchronisierung aktivieren?
Mitglied: Doskias
Doskias 14.01.2022 um 08:03:20 Uhr
Goto Top
Moin
Zitat von @bfschmlan:
Ok, danke! Wenn ich es richtig verstehe, muss jeder Rechner, welcher die Hybride Infrastruktur verwenden will in die lokale Domäne aufgenommen werden?
Ich kenn die Hybrid-Umgebung leider nur in der Theorie. Praktisch nutzen wir Azure-Ad ausschließlich für M365 Lizenzen, aber nicht für die Verwaltung der Domäne, da wir keine externen Geräte haben.

Derzeit gibt es Rechner, die ausschließlich am Azure AD hängen und wenige, welche an der lokalen Domäne angemeldet sind
Laut https://frankeisel.de/hybrid-azure-ad-join-konfiguration/ sollte das aber nicht nötig sein. Wenn ich die Konfiguration richtig verstehe kannst du (was auch das einzig sinnvolle bei einer Synchronisation ist) den Connector so konfigurieren, dass er bidirektional arbeitet. In dem Fall musst du also nur den Connector richtig konfigurieren und die Daten aus dem Azure sollen in dein lokales AD übernommen werden.

Aber wie gesagt: Nur theoretisches Wissen aus verschiedenen Dokumentationen. Keine praktische Erfahrung.

Gruß
Doskias
Mitglied: bfschmlan
bfschmlan 14.01.2022 um 08:14:26 Uhr
Goto Top
Ok, danke dir für deine Hinweise. Ich werde mal testen ;)
Mitglied: Ex0r2k16
Ex0r2k16 14.01.2022 um 09:11:18 Uhr
Goto Top
Vorsicht bitte. Bidirektional würde ich nicht verwenden. Kopiere dein lokales AD einfach in die Cloud und fertig. Ansonsten gibt das schnell Chaos wenn du in der Cloud was änderst und das dann ins AD gespielt wird und anders rum. One Way ist hier deutlich einfacher. Bedenke aber, dass der Kennwortsync nur alle 30min läuft. Das kann je nach User ganz schön lang sein. Die Lösung hierfür heißt ADFS. Damit wird eine Anmeldung über die Cloud in Echtzeit mit deinem AD geprüft. Sind die Credentials ok, gehts weiter.
Mitglied: Doskias
Doskias 14.01.2022 um 09:30:18 Uhr
Goto Top
Zitat von @Ex0r2k16:

Vorsicht bitte. Bidirektional würde ich nicht verwenden. Kopiere dein lokales AD einfach in die Cloud und fertig. Ansonsten gibt das schnell Chaos wenn du in der Cloud was änderst und das dann ins AD gespielt wird und anders rum.
Generell bin ich bei dir. Aber um die jetzigen Cloud-Only-Rechner einmalig mit dem lokalen AD abzugleichen, würde ich hier kein großes Chaos sehen.

One Way ist hier deutlich einfacher.
Das auf jeden Fall. Man sollte sich für ein primären Verwaltungstool entscheiden. Entweder den lokalen AD oder den Azure Ad und von dort zum anderen Syncen.

Bedenke aber, dass der Kennwortsync nur alle 30min läuft. Das kann je nach User ganz schön lang sein. Die Lösung hierfür heißt ADFS. Damit wird eine Anmeldung über die Cloud in Echtzeit mit deinem AD geprüft. Sind die Credentials ok, gehts weiter.

Ansonsten für kurzfristige sofortige Syncronisationen:
Heiß diskutierte Beiträge
general
Generator für endlose, kostenlose Energie? Ein gut gemachter Schwindel? gelöst beidermachtvongreyscullVor 1 TagAllgemeinOff Topic34 Kommentare

Mahlzeit Kollegen! Wenn ich mich strikt an physikalische Grundsätze halte, müsste ich sagen: Nein. Es ist nicht möglich. Ich stieß aber im Internet auf ein ...

general
FYI: In zwei Tagen zieht LetsEncrypt zahlreiche Zertifikate zurückipzipzapVor 1 TagAllgemeinVerschlüsselung & Zertifikate1 Kommentar

Hallo, zur Info, falls bei Euch übermorgen was knallt: Ruhiges Wochenende! ipzipzap ...

question
"minimale" Cloud-Telefonanlage gesuchtDatenreiseVor 1 TagFrageVoice over IP13 Kommentare

Hallo zusammen, ich bin auf der Suche nach einer Cloud-Telefonanlage, die sich für einen einzelnen Arbeitsplatz eignet und wollte hier fragen, ob jemand dazu einen ...

question
Abschätzung Nutzungsdauer von neuer Serverhardware gelöst lcer00Vor 21 StundenFrageHardware9 Kommentare

Hallo zusammen, bei uns stehen 2022 Neuanschaffungen an. Dabei geht es um einen Backupserver (das Cloud-Konzept überzeugt mich immer noch nicht vollständig ) und demnächst ...

tutorial
IKEv2 VPN Server für Windows und Apple Clients mit Raspberry PiaquiVor 1 TagAnleitungLAN, WAN, Wireless1 Kommentar

Einleitung Das folgende Tutorial erhebt keinen Anspruch auf Vollständigkeit und ist ein einfaches Framework was die Funktion eines IPsec VPN Servers im groben Rahmen aufzeigt. ...

question
Vorkehrungen für einen StromausfallahussainVor 21 StundenFrageNetzwerke10 Kommentare

Hallo, wir betreiben ein Netzwerk mit 8 Clients, Router, Switches, IP-Telefonen, NAS und einem kleinen Anwendungsserver. Unsere einzige Vorkehrung gegen einen Stromausfall/Blackout ist aktuell eine ...

question
PfSense: nach 27-stündigem Ausfall der Deutschen Telekom streiken IPSec + OpenVPN gelöst vafk18Vor 1 TagFrageNetzwerke9 Kommentare

Einen Gruß aus der Eifel, nachdem wir wieder mal von einer großflächigen Störung der Telekom-Anschlüsse (Ausfall eines DSLAM mit mehreren Tausend Teilnehmern) heimgesucht wurden, deren ...

question
Backup Software für PostgreSQLDaniVor 1 TagFrageDatenbanken11 Kommentare

Moin, für eine Anwendung kommt PostgreSQL 13.5 zum Einsatz. Leider nicht unter Linux, sondern läuft unter Windows Server 2019. Nun gibt es für jeden Kollegen ...