Bereitstellen Microsoft 365 Verzeichnissynchronisierung in Microsoft Azure

Azure Active Directory (Azure AD)-Verbinden (früher als Verzeichnissynchronisierungstool, Verzeichnissynchronisierungstool oder DirSync.exe-Tool bezeichnet) ist eine Anwendung, die Sie auf einem in eine Domäne eingebundenen Server installieren, um Ihre lokalen Active Directory Domain Services (AD DS)-Benutzer mit dem Azure AD-Mandanten Ihres Microsoft 365 Abonnements zu synchronisieren. Microsoft 365 verwendet Azure AD für seinen Verzeichnisdienst. Ihr Microsoft 365-Abonnement enthält einen Azure AD-Mandanten. Dieser Mandant kann auch für die Verwaltung der Identitäten Ihrer Organisation mit anderen Cloud-Workloads verwendet werden, einschließlich anderer SaaS-Anwendungen und Apps in Azure.

Sie können Azure AD Connect auf einem lokalen Server installieren, doch wir empfehlen aus den folgenden Gründen die Installation auf einem virtuellen Computer in Azure:

  • Sie können cloudbasierte Server schneller bereitstellen und konfigurieren und so die Dienste Ihren Benutzern schneller zur Verfügung stellen.
  • Azure bietet eine bessere Verfügbarkeit von Websites mit weniger Aufwand.
  • Sie können die Anzahl der lokalen Server in Ihrer Organisation verringern.

Diese Lösung erfordert Konnektivität zwischen dem lokalen Netzwerk und Ihrem virtuellen Azure-Netzwerk. Weitere Informationen finden Sie unter Verbinden eines lokalen Netzwerks mit einem virtuellen Microsoft Azure-Netzwerk.

Hinweis

In diesem Artikel wird die Synchronisierung einer einzelnen Domäne in einer einzelnen Gesamtstruktur beschrieben. Azure AD Verbinden synchronisiert alle AD DS-Domänen in Ihrer Active Directory-Gesamtstruktur mit Microsoft 365. Wenn Sie mehrere Active Directory-Gesamtstrukturen zum Synchronisieren mit Microsoft 365 haben, finden Sie weitere Informationen unter Verzeichnissynchronisierung mit mehreren Gesamtstrukturen mit einem einzelnen Sign-On Szenario.

Übersicht über die Bereitstellung Microsoft 365 Verzeichnissynchronisierung in Azure

Das folgende Diagramm zeigt Azure AD-Verbinden auf einem virtuellen Computer in Azure (dem Verzeichnissynchronisierungsserver), der eine lokale AD DS-Gesamtstruktur mit einem Microsoft 365-Abonnement synchronisiert.

Azure AD Verbinden Tool auf einem virtuellen Computer in Azure, das lokale Konten mit dem Azure AD-Mandanten eines Microsoft 365-Abonnements mit Datenverkehrsfluss synchronisiert.

In diesem Diagramm gibt es zwei Netzwerke, die über eine Standort-zu-Standort-VPN- oder ExpressRoute-Verbindung verbunden sind. Es gibt ein lokales Netzwerk, in dem AD DS-Domänencontroller enthalten sind, und ein virtuelles Azure-Netzwerk mit einem Verzeichnissynchronisierungsserver, einem virtuellen Computer mit ausgeführtem Azure AD Connect. Es gibt zwei Hauptdatenströme, die vom Verzeichnissynchronisierungsserver stammen:

  • Azure AD Connect fragt einen Domänencontroller im lokalen Netzwerk auf Änderungen an Benutzerkonten und Kennwörtern ab.
  • Azure AD Verbinden sendet die Änderungen an Konten und Kennwörtern an die Azure AD-Instanz Ihres Microsoft 365-Abonnements. Da sich der Verzeichnissynchronisierungsserver in einem erweiterten Teil Ihres lokalen Netzwerks befindet, werden diese Änderungen über den Proxyserver des lokalen Netzwerks gesendet.

Hinweis

Diese Lösung beschreibt die Synchronisierung einer einzelnen Active Directory-Domäne in einer einzigen Active Directory-Gesamtstruktur. Azure AD Verbinden synchronisiert alle Active Directory-Domänen in Ihrer Active Directory-Gesamtstruktur mit Microsoft 365. Wenn Sie mehrere Active Directory-Gesamtstrukturen zum Synchronisieren mit Microsoft 365 haben, finden Sie weitere Informationen unter Verzeichnissynchronisierung mit mehreren Gesamtstrukturen mit einem einzelnen Sign-On Szenario.

Es gibt bei der Bereitstellung dieser Lösung zwei wichtige Schritte:

  1. Erstellen eines virtuellen Azure-Netzwerks und Einrichten einer Standort-zu-Standort-VPN-Verbindung mit dem lokalen Netzwerk. Weitere Informationen finden Sie unter Verbinden eines lokalen Netzwerks mit einem virtuellen Microsoft Azure-Netzwerk.

  2. Installieren Sie Azure AD Verbinden auf einem in die Domäne eingebundenen virtuellen Computer in Azure, und synchronisieren Sie dann den lokalen AD DS mit Microsoft 365. Dies umfasst:

    Erstellen eines Virtueller Azure-Computer zum Ausführen von Azure AD Connect.

    Installieren und Konfigurieren von Azure AD Connect.

    Zum Konfigurieren von Azure AD Verbinden sind die Anmeldeinformationen (Benutzername und Kennwort) eines Azure AD-Administratorkontos und eines AD DS-Unternehmensadministratorkontos erforderlich. Azure AD Verbinden wird sofort und fortlaufend ausgeführt, um die lokale AD DS-Gesamtstruktur mit Microsoft 365 zu synchronisieren.

Bevor Sie diese Lösung in der Produktion bereitstellen, können Sie die Anweisungen in der simulierten Unternehmensbasiskonfiguration verwenden, um diese Konfiguration als Machbarkeitsstudie, für Demonstrationen oder für Experimente einzurichten.

Wichtig

Wenn die Konfiguration von Azure AD Connect abgeschlossen ist, werden die Anmeldeinformationen für das AD DS-Unternehmensadministratorkonto nicht gespeichert.

Hinweis

In dieser Lösung wird die Synchronisierung einer einzelnen AD DS-Gesamtstruktur mit Microsoft 365 beschrieben. Die in diesem Artikel erläuterte Topologie stellt nur eine Möglichkeit zum Implementieren dieser Lösung dar. Die Topologie Ihrer Organisation kann sich je nach Ihren speziellen Netzwerkanforderungen und Sicherheitsaspekten unterscheiden.

Planen des Hostings eines Verzeichnissynchronisierungsservers für Microsoft 365 in Azure

Voraussetzungen

Lesen Sie die folgenden Voraussetzungen für diese Lösung, ehe Sie mit diesem Vorgang beginnen:

  • Überprüfen Sie die dazugehörigen Planungsinhalte in Planen des virtuellen Azure-Netzwerks.

  • Stellen Sie sicher, dass alle Voraussetzungen für die Konfiguration des virtuellen Azure-Netzwerks erfüllt sind.

  • Sie verfügen über ein Microsoft 365 Abonnement, das das Active Directory-Integrationsfeature enthält. Informationen zu Microsoft 365 Abonnements können Sie auf der Seite Microsoft 365 Abonnementabrufen.

  • Stellen Sie einen virtuellen Azure-Computer bereit, auf dem Azure AD Verbinden ausgeführt wird, um Ihre lokale AD DS-Gesamtstruktur mit Microsoft 365 zu synchronisieren.

    Sie benötigen die Anmeldeinformationen (Namen und Kennwörter) für das AD DS-Unternehmensadministratorkonto und ein Azure AD-Administratorkonto.

Entwurfsannahmen für die Lösungsarchitektur

In der folgenden Liste werden die für diese Lösung getroffenen Design-Entscheidungen beschrieben.

  • Diese Lösung verwendet ein einzelnes virtuelles Azure-Netzwerk mit einer einzelnen Standort-zu-Standort-VPN-Verbindung. Das virtuelle Azure-Netzwerk hostet ein einzelnes Subnetz, das einen Server, den Verzeichnissynchronisierungsserver mit ausgeführtem Azure AD Connect, enthält.

  • Im lokalen Netzwerk sind ein Domänencontroller und DNS-Server vorhanden.

  • Azure AD Connect wird für die Kennworthashsynchronisierung anstatt für das einmalige Anmelden verwendet. Sie müssen keine Infrastruktur für Active Directory-Verbunddienste (AD FS) bereitstellen. Weitere Informationen zu Optionen für einmaliges Anmelden und Kennworthashsynchronisierung finden Sie unter Wählen der richtigen Authentifizierungsmethode für Ihre Azure Active Directory-Hybrididentitätslösung.

Es folgen einige weitere Entwurfsoptionen, die Sie berücksichtigen sollten, wenn Sie diese Lösung in Ihrer Umgebung bereitstellen:

  • Wenn es in einem vorhandenen virtuellen Azure-Netzwerk DNS-Server gibt, bestimmen Sie, ob der Verzeichnissynchronisierungsserver diese für die Namensauflösung anstelle der DNS-Server im lokalen Netzwerk verwenden soll.

  • Wenn es Domänencontroller in einem vorhandenen virtuellen Azure-Netzwerk gibt, bestimmen Sie, ob die Konfiguration von Active Directory-Standorten und-Diensten ggf. eine bessere Option für Sie ist. Der Verzeichnissynchronisierungsserver kann die Domänencontroller im virtuellen Azure-Netzwerk anstatt die Domänencontroller im lokalen Netzwerk abfragen, um nach Änderungen an Benutzerkonten und Kennwörtern zu suchen.

Fahrplan für die Bereitstellung

Das Bereitstellen von Azure AD Connect auf einem virtuellen Computer in Azure umfasst drei Phasen:

  • Phase 1: Erstellen und Konfigurieren des virtuellen Azure-Netzwerks

  • Phase 2: Erstellen und Konfigurieren des virtuellen Azure-Computers

  • Phase 3: Installieren und Konfigurieren von Azure AD Connect

Nach der Bereitstellung müssen Sie auch Speicherorte und Lizenzen für die neuen Benutzerkonten in Microsoft 365 zuweisen.

Phase 1: Erstellen und Konfigurieren des virtuellen Azure-Netzwerks

Zum Erstellen und Konfigurieren des virtuellen Azure-Netzwerks durchlaufen Sie Phase 1: Vorbereitung Ihres lokalen Netzwerks und Phase 2: Erstellen des standortübergreifenden virtuellen Azure-Netzwerks im Fahrplan für die Bereitstellung von Verbinden eines lokalen Netzwerks mit einem virtuellen Microsoft Azure-Netzwerk.

Nachfolgend sehen Sie die daraus resultierende Konfiguration.

Phase 1 des Verzeichnissynchronisierungsservers für Microsoft 365 in Azure gehostet.

Diese Abbildung zeigt ein lokales Netzwerk, das über eine Standort-zu-Standort-VPN- oder ExpressRoute-Verbindung mit einem virtuellen Azure-Netzwerk verbunden ist.

Phase 2: Erstellen und Konfigurieren des virtuellen Azure-Computers

Erstellen Sie den virtuellen Computer in Azure anhand der Anweisungen unter Erstellen Ihres ersten virtuellen Windows-Computers im Azure-Portal. Verwenden Sie die folgenden Einstellungen:

  • Wählen Sie im Bereich Grundlagen das gleiche Abonnement, den gleichen Ort und die gleiche Ressourcengruppe als virtuelles Netzwerk aus. Bewahren Sie den Benutzernamen und das Kennwort an einem sicheren Ort auf. Sie benötigen diese Informationen später für die Verbindung mit dem virtuellen Computer.

  • Wählen Sie im Bereich zum Auswählen einer Größe die Größe A2 Standard aus.

  • Wählen Sie im Bereich Einstellungen im Abschnitt Speicher den Speichertyp Standard aus. Wählen Sie im Abschnitt Netzwerk den Namen des virtuellen Netzwerks und das Subnetz zum Hosten des Verzeichnissynchronisierungsservers (nicht das Gateway-Subnetz). Alle anderen Einstellungen bleiben bei ihren Standardwerten.

Stellen Sie sicher, dass der Verzeichnissynchronisierungsserver DNS ordnungsgemäß verwendet. Überprüfen Sie dazu Ihr internes DNS, und vergewissern Sie sich, dass für den virtuellen Computer ein Adresseintrag (A-Datensatz) mit seiner IP-Adresse hinzugefügt wurde.

Befolgen Sie die Anweisungen unter Herstellen einer Verbindung mit dem virtuellen Computer und Anmelden, um über eine Remotedesktopverbindung eine Verbindung mit dem Verzeichnissynchronisierungsserver herzustellen. Fügen Sie den virtuellen Computer nach dem Anmelden der lokalen AD DS-Domäne hinzu.

Damit Azure AD Connect auf Internetressourcen zugreifen kann, müssen Sie den Verzeichnissynchronisierungsserver für die Verwendung des lokalen Netzwerkproxyservers konfigurieren. Wenden Sie sich für mögliche zusätzlichen Konfigurationsschritte an Ihren Netzwerkadministrator.

Nachfolgend sehen Sie die daraus resultierende Konfiguration.

Phase 2 des Verzeichnissynchronisierungsservers für Microsoft 365 in Azure gehostet.

Diese Abbildung zeigt den virtuellen Computer des Verzeichnissynchronisierungsservers im lokalen virtuellen Azure-Netzwerk.

Phase 3: Installieren und Konfigurieren von Azure AD Connect

Gehen Sie wie folgt vor:

  1. Stellen Sie mithilfe einer Remotedesktopverbindung mit einem AD DS-Domänenkonto, das über lokale Administratorberechtigungen verfügt, eine Verbindung mit dem Verzeichnissynchronisierungsserver her. Siehe Herstellen einer Verbindung mit dem virtuellen Computer und Anmelden.

  2. Öffnen Sie auf dem Verzeichnissynchronisierungsserver den Artikel "Einrichten der Verzeichnissynchronisierung für Microsoft 365", und befolgen Sie die Anweisungen für die Verzeichnissynchronisierung mit Kennworthashsynchronisierung.

Achtung

Setup erstellt das Konto AAD_xxxxxxxxxxxx in der Organisationseinheit (OU) Lokale Benutzer. Verschieben oder entfernen Sie dieses Konto nicht, da dann die Synchronisierung misslingt.

Nachfolgend sehen Sie die daraus resultierende Konfiguration.

Phase 3 des Verzeichnissynchronisierungsservers für Microsoft 365 in Azure gehostet.

Diese Abbildung zeigt den Verzeichnissynchronisierungsserver mit Azure AD Connect im lokalen virtuellen Azure-Netzwerk.

Zuweisen von Standorten und Lizenzen zu Benutzern in Microsoft 365

Azure AD Verbinden fügt Ihrem Microsoft 365 Abonnement Konten aus dem lokalen AD DS hinzu. Damit sich Benutzer jedoch bei Microsoft 365 anmelden und seine Dienste verwenden können, müssen die Konten mit einem Standort und Lizenzen konfiguriert werden. Führen Sie die folgenden Schritte aus, um den Speicherort hinzuzufügen und Lizenzen für die entsprechenden Benutzerkonten zu aktivieren:

  1. Melden Sie sich beim Microsoft 365 Admin Centeran, und klicken Sie dann auf "Administrator".

  2. Klicken Sie in der linken Navigationsleiste auf > "Benutzer aktive Benutzer".

  3. Aktivieren Sie in der Liste der Benutzerkonten das Kontrollkästchen neben dem zu aktivierenden Benutzer.

  4. Klicken Sie auf der Seite für den Benutzer auf Bearbeiten für Produktlizenzen.

  5. Wählen Sie auf der Seite Produktlizenzen unter Speicherort einen Speicherort für den Benutzer aus, und aktivieren Sie dann die entsprechenden Lizenzen für den Benutzer.

  6. Wenn Sie fertig sind, klicken Sie auf Speichern, und klicken Sie dann zweimal auf Schließen.

  7. Kehren Sie zu Schritt 3 zurück, um weitere Benutzer zu bearbeiten.

Siehe auch

Microsoft 365-Lösungs- und Architekturcenter

Verbinden eines lokalen Netzwerks mit einem virtuellen Microsoft Azure-Netzwerk

Herunterladen von Azure AD Connect

Einrichten der Verzeichnissynchronisierung für Microsoft 365