Lernprogramm: Steuern des Zugriffs auf eine lokale App über Microsoft Entra ID (Vorschau)

Contoso betreibt eine Spesen-App lokal. Die Anwendung verwendet Windows integrierte Authentifizierung, sodass benutzer mit Kerberos authentifiziert und autorisiert werden, indem sie ihre Mitgliedschaft in einer ACTIVE DIRECTORY DOMAIN SERVICES-Sicherheitsgruppe (AD DS) überprüfen.

Das Identitätsteam verwaltet Personen in Microsoft Entra ID und möchte den Zugriff auf diese Anwendung aus der Cloud steuern: Fügen Sie jemanden zu einer Cloudgruppe hinzu, und sie können die Spesen-App verwenden. Die Gruppe "Spesen genehmigende Personen" in Microsoft Entra ID enthält bereits die richtigen Personen, ihre Mitgliedschaft ist jedoch gemischt. Einige Mitglieder synchronisieren aus AD DS, und einige wurden in der Cloud erstellt und hatten nie ein AD DS-Konto.

Diese Mischung ist das Problem. Ein Mitgliedsverweis kann nur dann in eine AD DS-Gruppe geschrieben werden, wenn das Mitglied über ein AD DS-Konto verfügt, auf das verwiesen werden soll. Die synchronisierten Mitglieder haben eins. Die in der Cloud verwalteten Mitglieder sind nicht vorhanden, sodass sie von der Anwendung nie angezeigt werden, und sie können keine Ausgaben genehmigen.

In diesem Tutorial stellen Sie die in der Cloud verwalteten Benutzer zusammen mit der Gruppe und deren Gruppenmitgliedschaften in AD DS bereit. Die Anwendung autorisiert weiterhin wie bisher, während Microsoft Entra ID zu dem Ort wird, an dem Sie entscheiden, wer Zugriff erhält.

In diesem Tutorial lernen Sie:

  • Überprüfen Sie die beteiligten Objekte und warum cloudverwaltete Mitglieder heute keinen Zugriff haben.
  • Erstellen Sie eine Provisioningkonfiguration und nehmen Sie die Gruppe in den Geltungsbereich auf.
  • Überprüfen Sie das Ergebnis mit der On-Demand-Bereitstellung, bevor Sie etwas aktivieren.
  • Überprüfen Sie in AD DS, ob die Konten und die Gruppenmitgliedschaft erstellt wurden.
  • Verstehen, wie sich in der Cloud verwaltete Benutzer ohne AD DS-Kennwort bei der Anwendung anmelden.
  • Sperren Sie die bereitgestellten Objekte, damit sie nur von Microsoft Entra ID geändert werden können.
  • Zurückgeben eines Benutzers oder einer Gruppe an die lokale Verwaltung.

Important

Die Bereitstellung von Benutzern für Active Directory ist derzeit in der Vorschau verfügbar.

Voraussetzungen

Erfüllen Sie die Voraussetzungen und Lizenzanforderungen.

Die Objekte in diesem Szenario

In diesem Lernprogramm werden die folgenden Objekte verwendet. Ersetzen Sie sie durch entsprechende Werte aus Ihrem eigenen Mandanten.

Object Type Startzustand
Britta Simon Benutzer, synchronisiert von AD DS Verfügt über ein AD DS-Konto. Erreicht bereits die Ausgaben-App.
Lola Jacobson Benutzer, synchronisiert von AD DS Verfügt über ein AD DS-Konto. Erreicht bereits die Ausgaben-App.
Ada Whitfield Benutzer, cloudverwaltet, department ist Finance Kein AD DS-Konto. Die Spesen-App kann nicht erreicht werden.
Marco Trevisan Benutzer, cloudverwaltet, department ist Finance Kein AD DS-Konto. Die Spesen-App kann nicht erreicht werden.
Spesengenehmigungen Sicherheitsgruppe in Microsoft Entra ID Enthält alle vier Benutzer. In AD DS nicht vorhanden.

Die folgenden Organisationseinheiten (OUs) sind in AD DS vorhanden:

Anzeigename Distinguished Name
Finance OU=Finance,DC=contoso,DC=com
Groups OU=Gruppen,DC=contoso,DC=com

Verstehen, was heute fehlt

Bevor Sie etwas ändern, bestätigen Sie die Lücke, die Sie schließen.

  1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Hybrid Identity Administrator an.
  2. Navigieren Sie zu Entra ID>Gruppen>Alle Gruppen und wählen Sie Spesengenehmiger aus.
  3. Wählen Sie Mitglieder aus, und notieren Sie, welche Mitglieder aus AD DS synchronisiert werden und welche in der Cloud verwaltet werden. Die Spalte On-premises-Synchronisierung aktiviert unterscheidet sie voneinander.
  4. Melden Sie sich bei Ihrer lokalen Umgebung an, und öffnen Sie Active Directory-Benutzer und -Computer. Vergewissern Sie sich, dass Ada Whitfield und Marco Trevisan über kein Konto verfügen und dass keine Gruppe Spesengenehmiger existiert.

Zu diesem Zeitpunkt ist die Cloud-Gruppe das führende System dafür, wer Ausgaben genehmigen soll, aber AD DS kann dies nicht umsetzen.

Erstellen der Bereitstellungskonfiguration

Eine Domäne unterstützt eine einzelne Konfiguration, sodass Sie beide Objekttypen in eine Konfiguration übertragen, anstatt jeweils eine separate Konfiguration zu erstellen.

  1. Navigieren Sie zur Entra ID>Entra Connect>Cloud-Synchronisierung.
  2. Wählen Sie Neue Konfiguration>Microsoft Entra ID-zu-AD-Synchronisierung aus.
  3. Wählen Sie Ihre Domäne und dann "Erstellen" aus.

Der Bildschirm " Erste Schritte " wird geöffnet.

Die Gruppe und ihre Mitglieder in den Geltungsbereich aufnehmen

Die Bereichsdefinition bestimmt, welche Objekte bereitgestellt werden, und Sie haben zwei Möglichkeiten, sie zu definieren. Die Auswahl bestimmt auch, ob die Attributwertfilterung verfügbar ist.

Geltungsbereich Wählen Sie diese Option, wenn
Ausgewählte Benutzer und Gruppen Sie möchten die beste Leistung und die schnellsten Synchronisierungszyklen. Der Dienst wertet nur die objekte aus, die Sie auswählen, sodass jeder Zyklus weniger Arbeit ausführt. Fügen Sie in diesem Modus keine Attributwertfilter hinzu. Ihre Auswahl bestimmt bereits den Bereich.
Alle Benutzer und Gruppen Sie müssen den Umfang in großem Maßstab festlegen, oder die Menge der Objekte ändert sich im Laufe der Zeit. Die Attributwertfilterung hält den Bereich aktuell, wenn Personen beitreten, verschieben und verlassen, ohne eine von Hand ausgewählte Liste beizubehalten. Fügen Sie in diesem Modus immer mindestens einen Attributfilter hinzu.

Informationen zu Schwellenwerten für die Mandantengröße und die Anzahl der Objekte, die die einzelnen Modus unterstützen, finden Sie unter Leistungs- und Skalierungsgrenzwerte.

Wählen Sie "Bereichsfilter hinzufügen" oder " Bereichsdefinitionsfilter " auf der linken Seite unter "Verwalten" und dann " Bearbeiten" aus. Folgen Sie dann der Registerkarte, die Ihrer Wahl entspricht.

Wenn Sie die Gruppe auswählen, wird sie in den Geltungsbereich einbezogen, und ihre Mitglieder werden mit ihr bereitgestellt.

  1. Legen Sie auf der Registerkarte " Bereich nach Zuordnung " den Bereich auf "Ausgewählte Benutzer und Gruppen" fest.
  2. Wählen Sie die Gruppe Ausgabengenehmiger aus.

Dies ist die schnellste Option zum Synchronisieren, da nur die von Ihnen ausgewählten Objekte für jeden Zyklus ausgewertet werden. Wenn Sie später jemanden hinzufügen möchten, fügen Sie sie der Gruppe in Microsoft Entra ID hinzu.

Welchen Bereich Sie auch wählen, schließen Sie den Assistenten ab:

  1. Aktivieren Sie im Schritt Gruppenmitgliedschaft konfigurieren die Mitgliedschaftsbereitstellung für On-Premises-Benutzer.

    Important

    Diese Einstellung ist standardmäßig deaktiviert. Ohne sie werden die Mitgliederverweise für Britta Simon und Lola Jacobson nicht in die AD DS-Gruppe geschrieben. Weitere Informationen finden Sie unter "Gruppenmitgliedschaft für lokale Benutzer".

  2. Festlegen der Zielcontainer:

    • Benutzer – ein in der Cloud verwalteter Benutzer hat keine onPremisesDistinguishedName, sodass er im Standardcontainer CN=Users,DC=contoso,DC=comerstellt wird. Ersetzen Sie dies durch OU=Finance,DC=contoso,DC=com, um es zusammen mit dem Rest von Finance zu platzieren.
    • Gruppen — eine Konstante parentDistinguishedName von OU=Groups,DC=contoso,DC=com festlegen.

    Note

    Diese Standardwerte unterscheiden sich je nach Objekttyp absichtlich. Ein Benutzer, dessen Quelle der Autorität in die Cloud konvertiert wird, kehrt automatisch in die ursprüngliche OU zurück, da die Standardzuordnung gelesen wird onPremisesDistinguishedName. Gruppen haben kein Äquivalent. Wenn Sie eine konvertierte Gruppe in der OU beibehalten möchten, in der sie sich bereits befindet, lesen Sie Organisationseinheit und Namen einer Gruppe beibehalten.

  3. Wählen Sie Speichern aus.

Überprüfen mit On-Demand-Bereitstellung

Testen Sie, bevor Sie dies aktivieren. Die On-Demand-Bereitstellung wendet Ihre Konfiguration auf eine kleine Gruppe von Objekten an und zeigt jeden Schritt an, den das Modul ausgeführt hat, ohne den Auftrag zu aktivieren.

  1. Öffnen Sie Ihre Konfiguration, und wählen Sie "Bei Bedarf bereitstellen" aus.
  2. Wählen Sie Ada Whitfield aus, und wählen Sie dann Bereitstellen aus.
  3. Überprüfen Sie die Schrittergebnisse. Die Schritte für Import, Festlegung des Geltungsbereichs, Abgleich und Export sollten alle erfolgreich abgeschlossen werden, und im Exportschritt sollte eine Aktion zum Erstellen angezeigt werden.
  4. Wiederholen Sie dies für die Gruppe Spesengenehmiger.

Wenn ein Objekt übersprungen wird, erläutert der Bereichsermittlungsschritt warum. Die vollständige Vorgehensweise finden Sie unter Testen und Aktivieren der Bereitstellung.

Aktivieren der Konfiguration

Wenn die On-Demand-Ergebnisse korrekt aussehen, wählen Sie Übersicht>Überprüfen und aktivieren>. Die Bereitstellung wird dann gemäß dem wiederkehrenden Zeitplan ausgeführt.

Überprüfen Sie das Ergebnis in AD DS

Stellen Sie sicher, dass beide Teile des Szenarios erfolgreich angewendet wurden.

  1. Öffnen Sie in OU=Finance,DC=contoso,DC=com. Ada Whitfield und Marco Debitsan verfügen jetzt über AD DS-Konten.

  2. Öffnen Sie OU=Groups,DC=contoso,DC=com. Die Gruppe Spesengenehmiger ist vorhanden.

  3. Öffnen Sie die Registerkarte " Mitglieder " der Gruppe. Alle vier Benutzer werden angezeigt:

    • Britta Simon und Lola Jacobson, weil sie bereits AD DS-Konten hatten.
    • Ada Whitfield und Marco Trevisan, weil durch die Bereitstellung ihre Konten erstellt wurden, wodurch ihre Mitgliedsreferenzen beschreibbar wurden.

Ergebnis: Die Cloudgruppe steuert jetzt die Autorisierung in AD DS. Das Hinzufügen einer Person zu Ausgaben zuständiger Personen in Microsoft Entra ID stellt diese Person bereit und gewährt ihr beim nächsten Zyklus Zugriff. Das Entfernen macht dies rückgängig.

Wie sich cloudverwaltete Benutzer bei der Anwendung anmelden

Das bereitgestellte AD DS-Konto ist so vorhanden, dass Kerberos funktioniert. Es handelt sich nicht um eine zweite Identität, die Benutzer separat verwalten und kein AD DS-Kennwort benötigen.

Ada Whitfield meldet sich mit einer kennwortlosen Methode wie Windows Hello for Business oder einem FIDO2-Sicherheitsschlüssel bei Microsoft Entra ID an. Wenn Cloud Kerberos Trust konfiguriert ist, gibt Microsoft Entra ID ein Kerberos-Ticket für die lokale Domäne aus, und die Spesenanwendung akzeptiert es und autorisiert sie über ihre Mitgliedschaft in der AD DS-Gruppe, die die Bereitstellung verwaltet.

Da die Authentifizierung in der Cloud erfolgt, greift der lokale Zugriff auch mehrstufige Authentifizierungs- und Richtlinien für bedingten Zugriff auf.

Important

Dies funktioniert für Anwendungen, die Kerberos verwenden. Anwendungen, die ein Kennwort direkt benötigen, z. B. LDAP-Bindung oder Kerberos mit einem Kennwort, werden für in der Cloud verwaltete Benutzer nicht unterstützt, da kein AD DS-Kennwort vorhanden ist.

Sperren Sie die Objekte, sodass Änderungen nur über Microsoft Entra ID vorgenommen werden.

Die Bereitstellung macht Microsoft Entra ID zu dem Ort, an dem Sie über Zugriffe entscheiden, aber ein Administrator in der lokalen Umgebung kann das bereitgestellte Konto oder die bereitgestellte Gruppe weiterhin direkt in AD DS bearbeiten. Die AD-Objekterzwingung schließt diese Lücke, sodass ein markiertes Objekt Änderungen nur vom Bereitstellungsdienst akzeptiert.

  1. Bereiten Sie Ihre Domänencontroller vor, und installieren Sie die Erzwingungsrichtlinie. Dies ist ein einmaliges Setup pro Domäne, und jeder schreibbare Domänencontroller muss aktiviert sein, bevor Sie darauf vertrauen. Siehe Konfigurieren der AD-Benutzer- und Gruppenerzwingung.
  2. Markieren Sie die bereitgestellten Benutzer und die Gruppe Spesengenehmiger zur Erzwingung.
  3. Versuchen Sie, die Gruppe in Active Directory-Benutzer und -Computer umzubenennen. Die Änderung wird blockiert, und der Versuch wird im Ereignisprotokoll aufgezeichnet.

Tip

Installieren Sie die Richtlinie zuerst im Überwachungsmodus . Der Überwachungsmodus zeichnet auf, was blockiert wäre, ohne etwas zu blockieren, sodass Sie Skripts und geplante Aufgaben finden können, die noch in diese Objekte schreiben, bevor Sie zu "Erzwungen" wechseln.

Mit der Durchsetzung ist Microsoft Entra ID die alleinige Autoritätsquelle für das Objekt in der Praxis, nicht nur durch Konvention.

Verwalten des Benutzerlebenszyklus aus der Cloud

Dieses Lernprogramm beginnt mit Benutzern, die bereits in Microsoft Entra ID vorhanden sind. In einer vollständigen Bereitstellung beginnt der Lebenszyklus früher, und die Bereitstellung für AD DS wird der letzte Schritt in einer Kette, die mit Ihrem HR-System beginnt:

  1. Joiner. Ihr HR-System legt den Benutzer in Microsoft Entra ID an, sodass der HR-Datensatz die maßgebliche Quelle dafür ist, welche Benutzer es gibt. Siehe HR-gesteuerte Bereitstellung.
  2. Zugriffszuweisung.Die Berechtigungsverwaltung gewährt der Person ein Zugriffspaket, oder eine dynamische Gruppenregel fügt sie hinzu, wodurch sie in Spesengenehmigungen platziert werden.
  3. Bereitstellung für AD DS. Der Benutzer wird in AD DS erstellt, und die Mitgliedsreferenz wird eingetragen, sodass die Spesenanwendung den Benutzer autorisiert.
  4. Wechsel. Eine Attributänderung in HR wird beim nächsten Zyklus an Microsoft Entra ID und weiter an AD DS übertragen. Wenn die Änderung sie aus der Gruppe entfernt, wird auch der Anwendungszugriff entfernt.
  5. Abgang. HR markiert die Beendigung, Lebenszyklusworkflows führen die Offboarding-Aufgaben aus, und das AD DS-Konto ist deaktiviert. Das vollständige Verhalten beim Löschen und Deaktivieren finden Sie unter So funktionieren Löschungen.

Es empfiehlt sich, zwei Governance-Kontrollen hinzuzufügen, sobald dies läuft:

  • Zugriffsüberprüfungen bestätigen die Mitgliedschaft regelmäßig neu, und Entfernungen werden automatisch in der Anwendung wirksam.
  • Wenn Sie die Gruppe in einem Zugriffspaket veröffentlichen, können Benutzer den Zugriff als Spesengenehmiger anfordern, anstatt einem Administrator eine E-Mail zu senden.

Das Ergebnis ist, dass kein Teil dieses Lebenszyklus einen Administrator benötigt, um Active Directory zu berühren. Weitere Details zu diesem Muster finden Sie unter Verwalten lokal basierter Active Directory-Apps (Kerberos) mithilfe von Microsoft Entra ID Governance.

Zurückgeben eines Benutzers oder einer Gruppe zur lokalen Verwaltung

Wenn Sie die Quelle der Autorität eines Objekts in die Cloud konvertiert haben und AD DS es erneut besitzen soll, führen Sie das Rollback der Konvertierung aus. Die Bereitstellung beendet die Synchronisierung des Objekts und entfernt es aus dem Bereich. Das lokale Objekt wird nicht gelöscht, und das lokale Steuerelement wird im nächsten Synchronisierungszyklus fortgesetzt.

  1. Führen Sie ein Rollback für die Quelle der Autorität des Objekts durch, damit AD DS es erneut besitzt.
  2. Vergewissern Sie sich in Überwachungsprotokollen, dass die Synchronisierung für das Objekt nicht mehr ausgeführt wird, da sie lokal verwaltet wird.
  3. Bestätigen Sie in Active Directory-Benutzer und -Computer, dass das Objekt noch vorhanden ist und nicht gelöscht wurde.

Das Objekt wird automatisch aus dem Konfigurationsbereich entfernt. Es ist keine manuelle Bereichsänderung erforderlich.

Wenn Sie die Bereitstellung eines Objekts ohne Änderung der Quelle der Autorität beenden möchten, entfernen Sie es stattdessen aus dem Bereich der Konfiguration.

Was die Bereitstellung erzeugt

Nächster Schritt

Konfigurieren der AD-Benutzer- und Gruppenerzwingung

Verwandte Inhalte

  • Zuletzt aktualisiert um