Azure AD Connect: Das steckt dahinter und so konfigurieren Sie es

Azure AD Connect ist das Microsoft-Tool, das ein lokales Active Directory mit Azure Active Directory synchronisiert und Benutzer:innen damit eine einheitliche Identität für lokale und Cloud-Dienste gibt. Bei der Konfiguration wählen Sie zwischen einer Express- und einer benutzerdefinierten Einrichtung, verbinden das Tool mit Active Directory und prüfen die Synchronisierung. Alle Schritte finden Sie weiter unten.

Was ist Azure AD Connect?

Azure AD Connect, inzwischen Microsoft Entra Connect genannt, ist ein Microsoft-Tool, das ein lokales Active Directory mit Microsoft Entra ID (früher Azure Active Directory) synchronisiert. Unternehmen, die noch eine Installation vor Version 2.5.79.0 betreiben, müssen bis zum 30. September 2026 ein Upgrade durchführen, sonst stoppt die Synchronisierung. Die aktuelle Anforderung finden Sie in Microsofts Versionsverlauf. Das Tool verknüpft die Identitäten und Zugriffskontrollen Ihres lokalen Netzwerks mit den Cloud-Diensten von Microsoft und sorgt so für eine zentralisiertes Benutzererlebnis über lokale und Cloud-Verzeichnisdienste hinweg. Diese Integration ist eine Grundvoraussetzung dafür, eine Hybrid-Cloud-Strategie aufzubauen sowie eine Infrastruktur, die die Stärken lokaler und cloudbasierter Identitätslösungen vereint. Azure AD Connect bietet Integration, Verbundauthentifizierung, Zustandsüberwachung und Synchronisierung.

Die Vorteile hybrider Identitäten

Hybride Identitäten sind der Kern einer modernen Strategie für Identitäts- und Zugriffsmanagement (IAM): Benutzer:innen und Ressourcen werden lokal und in der Cloud einheitlich verwaltet. Dieser Ansatz erhöht nicht nur die Sicherheit, sondern vereinfacht auch die Benutzererfahrung. Die Vorteile sind beträchtlich:

• Mehr Sicherheit: Eine durchgängige Strategie für das Identitätsmanagement senkt Sicherheitsrisiken, weil Zugriffskontrollen und Authentifizierung für lokale und cloudbasierte Ressourcen einheitlich greifen.
• Komfort für Benutzer:innen: Mit Azure AD Connect nutzen Benutzer:innen einen einzigen Satz Anmeldeinformationen für lokale und Cloud-Dienste. Das Ergebnis ist eine einfache, intuitive Erfahrung.
• Höhere Produktivität: Zentrales Identitätsmanagement vereinfacht das Anlegen und Entfernen von Benutzerkonten und steigert so die IT-Effizienz.
• Geringere Kosten: Hybride Identitäten machen eine redundante Identitätsinfrastruktur überflüssig und senken damit die Betriebskosten.
• Compliance und Audits: Einheitliche Identitätsrichtlinien über alle Umgebungen hinweg vereinfachen die Compliance, und die Audit-Funktionen laufen zentral zusammen.
• Reibungsloser Cloud-Umstieg: Hybride Identitäten machen den Weg in die Cloud reibungslos, weil Störungen durch veraltete Anbindungen entfallen.

Die wichtigsten Funktionen von Azure AD Connect

Azure AD Connect bietet Funktionen, die es zu einem unverzichtbaren Bestandteil einer Infrastruktur für Identitätsintegration machen, darunter:

Synchronisierung von Benutzer:innen und Gruppen

Azure AD Connect synchronisiert Identitäten zwischen dem lokalen Active Directory und Azure Active Directory und sorgt dafür, dass Benutzerkonten, Gruppen und Attribute in beiden Umgebungen konsistent vorhanden sind. So haben Benutzer:innen an beiden Stellen dieselben Zugriffsrechte und Gruppenmitgliedschaften, Inkonsistenzen werden minimiert und die Sicherheit steigt. Die Synchronisierung kann in eine Richtung (von lokal in die Cloud) oder in beide Richtungen erfolgen, was eine flexiblere Konfiguration erlaubt.

Kennwort-Hash-Synchronisierung

Für zusätzliche Sicherheit unterstützt Azure AD Connect die Kennwort-Hash-Synchronisierung. Diese Funktion erlaubt es Benutzer:innen, sich mit ihrem lokalen Kennwort an Cloud-Ressourcen anzumelden, ohne dass das eigentliche Kennwort offengelegt wird. Die Kennwort-Hash-Synchronisierung ist ein zentraler Baustein einer sicheren hybriden Identitätsumgebung.

Nahtloses Single-Sign-On (SSO)

Azure AD Connect bietet ein nahtloses Single-Sign-On-Erlebnis: Benutzer:innen müssen sich keine mehrfachen Kennwörter für lokale und Cloud-Ressourcen merken. Mit SSO melden sie sich einmal an, und Azure AD übernimmt die Authentifizierung für alle angebundenen Dienste. Das verbessert die Benutzererfahrung und die Sicherheit, weil der Aufwand für die Kennwortverwaltung sinkt.

Unterstützung für mehrere Gesamtstrukturen und benutzerdefinierte Konfigurationen

Azure AD Connect ist ein vielseitiges Integrationstool, das den unterschiedlichsten Konfigurationsanforderungen moderner Unternehmen gerecht wird. Es unterstützt fortgeschrittene Active-Directory-Bereitstellungen einschließlich Szenarien mit mehreren Gesamtstrukturen und kann so aus mehreren Active-Directory-Gesamtstrukturen in Azure AD synchronisieren. Zusätzlich gibt es zahlreiche benutzerdefinierte Konfigurationsoptionen, mit denen sich die Synchronisierung an spezifische Unternehmensanforderungen anpassen lässt.

Best Practices für die Implementierung von Azure AD Connect

Bevor wir zur Einrichtung von Azure AD Connect kommen: Eine gute Planung berücksichtigt auch etablierte Best Practices. Die folgenden Punkte bilden eine solide Grundlage, um Ihre hybride Identitätsinfrastruktur aufzubauen und zu betreiben:

• Netzwerkverbindung und Firewall-Einstellungen prüfen: Stellen Sie sicher, dass die erforderlichen Ports und Protokolle durch die Firewalls zugelassen sind und eine zuverlässige Kommunikation zwischen Ihrem lokalen Active Directory und Azure AD besteht. Ein sicheres und stabiles Netzwerk ist die Grundlage für eine erfolgreiche Implementierung.
• Synchronisierungsergebnisse überprüfen: Überwachen und prüfen Sie Synchronisierungsergebnisse und Fehlerberichte kontinuierlich, um eine gesunde hybride Identitätsumgebung zu erhalten. Werden Probleme früh erkannt und behoben, bleiben Benutzeridentitäten und Zugriffskontrollen konsistent und sicher.
• Konfigurationseinstellungen und Anpassungen sichern: Erstellen Sie regelmäßig ein Backup Ihrer Konfigurationseinstellungen und Anpassungen in Azure AD Connect. Fällt das System aus oder muss Azure AD Connect neu installiert werden, können Sie Ihre Synchronisierungseinrichtung dank der Backups schnell wiederherstellen und Störungen gering halten.

Azure AD Connect einrichten

Voraussetzungen und Systemanforderungen

Bevor Sie mit der Installation von Azure AD Connect beginnen, sollten Sie die Voraussetzungen und Systemanforderungen kennen. Dazu gehören:

• Azure-Abonnement: Ein Azure-Abonnement ist zwingend erforderlich, um Azure AD Connect zu nutzen.
• Lokaler Server: Ein in die Domäne eingebundener Server mit Windows Server 2016 oder neuer.
• Active Directory: Außerdem brauchen Sie ein funktionierendes lokales Active Directory, das mit Azure AD synchronisiert werden soll. Es muss eine Schemaversion und Gesamtstruktur-Funktionsebene von Windows Server 2003 oder höher aufweisen.
• Software: Auf dem Azure-AD-Connect-Server müssen .NET Framework 4.6.2 und PowerShell 3.0 oder neuer installiert sein.
• Azure-AD-Mandant: Ein Azure-AD-Mandant muss eingerichtet und so konfiguriert sein, dass er als Synchronisierungspartner für das lokale Active Directory dient. Zudem ist ein verifizierter Domänenname nötig.
• Mindestsystemanforderungen: Achten Sie darauf, dass der Server, auf dem Azure AD Connect installiert wird, die Systemanforderungen erfüllt, also Betriebssystemkompatibilität, Speicherplatz und Arbeitsspeicher.

Die aktuelle Version von Azure AD Connect herunterladen

Aktuelle Softwareversionen sind für Sicherheits- und Funktionsupdates entscheidend. Die neueste Version von Azure AD Connect laden Sie auf der offiziellen Microsoft-Website herunter. Gerade bei Systemen für Identitäts- und Zugriffsmanagement sollten Sie Updates und Sicherheitspatches besonders aufmerksam verfolgen: Patches enthalten oft wichtige Verbesserungen und Fehlerkorrekturen, die Schwachstellen schließen, welche andernfalls Ihr Sicherheitsniveau untergraben könnten.

Die Installation Schritt für Schritt

Die Installation von Azure AD Connect ist unkompliziert, Sorgfalt im Detail ist für eine reibungslose Einrichtung aber unerlässlich. Die erste Entscheidung lautet: Express- oder benutzerdefinierte Installation?

• Express: Die Express-Einrichtung von Azure AD Connect eignet sich für Umgebungen mit einer einzigen Active-Directory-Gesamtstruktur und weniger als 100.000 Objekten. Sie aktiviert Single-Sign-On über die Kennwort-Hash-Synchronisierung von lokal nach Azure.
• Benutzerdefiniert: Die benutzerdefinierte Einrichtung von Azure AD Connect ist bei Bereitstellungen mit mehreren lokalen AD-Gesamtstrukturen oder mehr als 100.000 Objekten in einer Gesamtstruktur erforderlich. Sie ermöglicht außerdem Verbundauthentifizierung, Passthrough-Authentifizierung und gruppenbasierte Filterung.

Die folgenden Schritte geben eine grundlegende Übersicht über die Express-Installation:

1. Installationsassistenten starten: Führen Sie den Installationsassistenten von Azure AD Connect aus.
2. Nutzungsbedingungen akzeptieren: Lesen und akzeptieren Sie die Lizenzbedingungen.
3. Installationstyp: Wählen Sie den Installationstyp, bei Bedarf mit Optionen für benutzerdefinierte Konfigurationen.
4. Anmeldung bei Azure AD: Melden Sie sich mit Ihrem globalen Azure-AD-Administratorkonto an. Unter Umständen müssen Sie URLs zu den vertrauenswürdigen Sites hinzufügen, um Fehler zu vermeiden.
5. Mit AD DS verbinden: Stellen Sie eine Verbindung zu Ihrem lokalen Active Directory her.
6. Anmeldekonfiguration für Azure AD: Für Single-Sign-On ist eine verifizierte 365-Domäne nötig. Erkennt die Installation kein passendes UPN-Suffix, können Sie über ein Kontrollkästchen fortfahren, auch wenn nicht alle Suffixe übereinstimmen.
7. Installationsbereit: Prüfen Sie die Konfigurationseinstellungen und klicken Sie auf „Installieren“, um mit der Installation fortzufahren.

Konfigurationsoptionen und benutzerdefinierte Einstellungen

Während der Installation können Sie verschiedene Einstellungen anpassen, um Azure AD Connect auf die Anforderungen Ihres Unternehmens zuzuschneiden. Dazu zählen die Auswahl des Source-Anchor-Attributs, die Filterung von Benutzer:innen und Gruppen sowie benutzerdefinierte Einstellungen für die Benutzerbereitstellung und das Kennwortrückschreiben.

Synchronisierung konfigurieren

Nach der ersten Einrichtung muss Azure AD Connect eine Verbindung zu Ihrem lokalen Active Directory herstellen. Diese Verbindung ist entscheidend, damit die Synchronisierung korrekt funktioniert. Der Konfigurationsassistent führt Sie durch diesen Vorgang und lässt Sie festlegen, welche Domänencontroller für die Synchronisierung verwendet werden.

Mit Filteroptionen steuern Sie, welche Benutzer:innen und Gruppen nach Azure AD synchronisiert werden. Für Unternehmen mit großen Verzeichnissen oder komplexen Active-Directory-Strukturen ist das unverzichtbar. Sie können nach Organisationseinheiten, Domänen und bestimmten Attributen filtern.

Synchronisierungszeitpläne sorgen dafür, dass Änderungen in Ihrem lokalen Active Directory regelmäßig und zeitnah in Azure AD ankommen. Eine geplante Synchronisierung hält die Daten konsistent, verringert Verzögerungen beim Anlegen und Entfernen von Benutzerkonten und erhöht die Sicherheit in der gesamten hybriden Identitätsinfrastruktur.

Die erste Synchronisierung kann einige Zeit dauern, vor allem bei Unternehmen mit großen Verzeichnissen. Azure AD Connect ist darauf ausgelegt, dieses Szenario effizient zu bewältigen. Es ist dennoch sinnvoll, den Vorgang zu beobachten und sicherzustellen, dass er störungsfrei durchläuft.

Erweiterte Konfiguration und Anpassung

Für komplexere Umgebungen bietet Azure AD Connect mehrere Konfigurations- und Anpassungsoptionen, die jeweils bestimmte Anwendungsfälle abdecken. Zu den beliebtesten zählen:

Kennwortrückschreiben für die Self-Service-Kennwortzurücksetzung

Azure AD Connect bietet die Möglichkeit, das Kennwortrückschreiben zu implementieren. Diese Funktion erlaubt es Benutzer:innen, ihre Kennwörter über Azure AD zurückzusetzen, wobei das neue Kennwort in das lokale Active Directory zurückgeschrieben wird. Das stärkt die Self-Service-Möglichkeiten und vereinfacht die Kennwortverwaltung.

Attributzuordnung und -transformation

Unternehmen haben oft spezifische Attributanforderungen für ihre Benutzer:innen in Azure AD. Mit Azure AD Connect lassen sich Attributzuordnungen und -transformationen fein abstimmen, sodass Benutzerattribute zu den Anforderungen Ihres Unternehmens, früheren Anpassungen und Ihren Sicherheitsrichtlinien passen.

Gruppenrückschreiben und Geräteregistrierung

Azure AD Connect unterstützt optionale Funktionen wie das Gruppenrückschreiben und die Geräteregistrierung. Beim Gruppenrückschreiben werden in Azure AD erstellte Gruppen zurück in das lokale Active Directory synchronisiert, während die Geräteregistrierung Geräte nahtlos in Ihre hybride Identitätslösung einbindet.

Überwachung und Fehlerbehebung

Azure AD Connect stellt mehrere Tools zur Leistungsüberwachung bereit, die jeweils eine wichtige Rolle für den effizienten Betrieb hybrider Identitätsdienste spielen:

• Azure AD Connect Health: Azure AD Connect Health ist ein zentrales Tool, um Zustand und Leistung Ihrer Azure-AD-Connect-Installation zu überwachen. Es liefert Einblicke in den Synchronisierungsstatus, Alarmierungen bei möglichen Problemen und Leistungsdaten. Die Überwachung mit Azure AD Connect Health ist unerlässlich, um eine gesunde hybride Identitätsumgebung zu erhalten.
• Synchronisierungsprotokolle: Synchronisierungsprotokolle enthalten wertvolle Informationen zum Status Ihres Synchronisierungsvorgangs. Diese Protokolle zu verstehen und typische Fehler zu beheben, ist für die Fehlersuche entscheidend. Häufige Synchronisierungsprobleme sind etwa Konflikte bei der Attributzuordnung, Netzwerkprobleme oder Probleme mit dem Active-Directory-Schema.
• Synchronisierung erzwingen: In manchen Fällen müssen Sie eine Synchronisierung außerhalb des regulären Zeitplans anstoßen. Azure AD Connect bietet Optionen, um die Synchronisierung bei Bedarf zu erzwingen.

Azure AD Connect aktualisieren

Azure AD Connect aktuell zu halten, ist entscheidend, um von Sicherheitsverbesserungen, neuen Funktionen und Fehlerkorrekturen zu profitieren. Microsoft veröffentlicht regelmäßig Updates, die Schwachstellen schließen und die Funktionalität verbessern. Eine aktuelle Installation ist die Voraussetzung für eine sichere Lösung im Identitätsmanagement.

Prüfen Sie regelmäßig auf der offiziellen Microsoft-Website, ob eine neue Version von Azure AD Connect und zugehörige Updates verfügbar sind. Lesen Sie die Versionshinweise, um die Änderungen und Verbesserungen jeder Version zu verstehen. Wenn Sie sich für ein Upgrade entscheiden, planen Sie den Vorgang sorgfältig, um Ausfallzeiten gering zu halten.

Hinweis: Jede Installation mit einer Version vor 2.5.79.0 stellt die Synchronisierung am 30. September 2026 vollständig ein. Dabei handelt es sich um ein verpflichtendes Upgrade zum Security-Hardening, nicht um ein optionales Funktionsupdate. Liegt Ihre Version unter 2.5.79.0, laden Sie die aktuelle Ausgabe im Microsoft Entra Admin Center herunter, denn der Installer wird nicht mehr außerhalb davon verteilt.

Ist der Stichtag erreicht, schlägt die Synchronisierung fehl, bis Sie aktualisieren. Eine Übergangsfrist gibt es nicht.

Wenn Sie das für Kund:innen oder Ihre eigene Umgebung betreuen, prüfen Sie jetzt Ihre installierte Version:

1. Öffnen Sie die Konsole des Synchronisierungsdienst-Managers
2. Gehen Sie zu Hilfe > Info
3. Alternativ können Sie auch unter Windows-Einstellungen > Apps > Installierte Apps nachsehen und nach „Microsoft Entra“ suchen.

Robuste hybride Identitätsdienste aufbauen

Dieser umfassende Leitfaden hat Ihnen das nötige Wissen vermittelt, um Azure AD Connect zu verstehen und sicher zu konfigurieren. Mit diesen Werkzeugen bauen Sie eine robuste hybride Identitätsumgebung auf und betreiben sie dauerhaft, für mehr Sicherheit, eine bessere Benutzererfahrung und höhere Produktivität im Unternehmen.