Wer ein lokales Active Directory betreibt und einen Cloud-Dienst einführt, hört früher oder später denselben Satz: dafür braucht es Entra ID Connect. Oft stimmt das. Für E-Mail-Sicherheit muss es nicht stimmen.
Was Entra ID Connect ist
Microsoft Entra Connect, bis 2023 Azure AD Connect, gleicht das lokale Active Directory mit Entra ID ab. Es überträgt Benutzer, Gruppen und Kontakte, auf Wunsch auch Kennwort-Hashes. Daneben gibt es Entra Cloud Sync, einen schlankeren Agenten mit derselben Aufgabe und weniger Funktionen.
Entra Connect läuft auf einem eigenen Server mit Synchronisationsdienst und lokaler Datenbank. Microsoft stuft diesen Server als hoch schützenswert ein, auf einer Stufe mit Domänencontrollern.
Wann es nötig ist
- Microsoft 365 mit lokalen Identitäten. Wer sich mit dem Konto aus dem Haus bei Microsoft 365 anmelden soll, braucht den Abgleich.
- Exchange-Hybrid. Postfächer im Haus und in Exchange Online nebeneinander setzen einen gemeinsamen Verzeichnisstand voraus.
- Dienste, die nur Entra ID lesen. Viele Cloud-Dienste beziehen Personen und Gruppen ausschließlich aus Entra ID.
Welche Rechte der Abgleich verlangt
Für den Abgleich der Kennwort-Hashes braucht das Dienstkonto am Domänenkopf zwei Replikationsrechte: Replicating Directory Changes und Replicating Directory Changes All. Das zweite ist das Recht, mit dem sich Kennwortdaten aus dem Verzeichnis lesen lassen. Wer diesen Server übernimmt, hat faktisch die Domäne.
Das ist kein Argument gegen Entra Connect, wo es gebraucht wird. Es ist ein Argument dagegen, es nur deshalb einzuführen, weil ein einzelner Dienst Namen und Abteilungen lesen möchte.
Wann ein lokales AD reicht
E-Mail-Sicherheit braucht aus dem Verzeichnis überschaubar wenig: wer gehört zur Organisation, unter welchen Adressen, in welchen Gruppen, mit welchem Titel und welcher Durchwahl. Dafür gibt es drei Wege ohne Entra ID.
Direkte LDAP-Anbindung. Der Dienst fragt das Verzeichnis selbst ab. Das verlangt einen Zugang von außen auf den Domänencontroller oder einen veröffentlichten LDAP-Dienst. Beides will kaum jemand verantworten.
Datei-Import. Eine exportierte Liste wird hochgeladen. Einfach, aber veraltet am Tag danach.
Ausgehender Agent. Ein Dienst auf einem Mitgliedsserver liest das Verzeichnis und meldet ausgehend. Nach innen ist nichts offen, und für den Änderungsabgleich genügt Replicating Directory Changes ohne das Recht auf Kennwortdaten.
Beides nebeneinander
Ein hybrider Betrieb schließt einen Agenten nicht aus. Kommen Personen aus Entra ID und aus dem lokalen AD, muss der Dienst sie zusammenführen, sonst zählt jeder Mensch doppelt und bekommt zwei Lizenzen.
Wie Conbool das löst
Conbool liest das lokale Active Directory über den Verzeichnis-Agenten: Kerberos über LDAPS, ausgehend per HTTPS, Probelauf vor jedem Schreiben, verschachtelte Gruppen vollständig aufgelöst. Lizenzen, Richtlinien, Signaturen und die Empfängerprüfung nutzen denselben Bestand. Entra ID lässt sich zusätzlich anbinden.
Mehr dazu auf der Seite E-Mail-Sicherheit ohne Entra ID, die Anbindung steht in der Doku zum Verzeichnis.
