Active Directory mit Microsoft Entra ID verbinden: Entra Connect Sync einrichten
Der Assistent stellt drei Fragen, die aussehen wie Einstellungen und in Wirklichkeit Architekturentscheidungen sind. Wer sie vorher beantwortet, spart sich den Rückbau.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Die Filter werden nachgezogen, und in der Cloud verschwinden Objekte
Der übliche Ablauf sieht harmlos aus: Erst wird mit den Standardeinstellungen synchronisiert, weil das schnell geht, und später sollen Dienstkonten und alte Organisationseinheiten wieder herausgefiltert werden. Genau an dieser Stelle wird es unangenehm. Microsoft beschreibt die Wirkung deutlich: Objekte, die durch eine spätere Filteränderung aus dem Umfang fallen, werden in Entra ID gelöscht, weil sie vorher einmal synchronisiert waren.
Wie schlimm das ist, hängt vom Objekttyp ab. Gelöschte Benutzerobjekte lassen sich laut Microsoft wiederherstellen, indem man die Filterkonfiguration zurücknimmt und erneut synchronisiert, denn dann kommen sie aus dem Papierkorb in Entra ID zurück. Für andere Objekttypen gilt das nicht. Eine Sicherheitsgruppe, die zur Vergabe von Zugriffsrechten benutzt wurde, ist samt ihrer Berechtigungseinträge weg und lässt sich nicht zurückholen.
Die dritte Falle ist stiller und trifft besonders gewachsene Verzeichnisse. Wird eine Organisationseinheit umbenannt, ändert sich ihr eindeutiger Name, und damit steht sie nicht mehr auf der Einschlussliste des Synchronisierungsumfangs. Sofort passiert nichts. Beim nächsten vollständigen Import wird der Umfang neu bewertet, alle Objekte außerhalb gelten als überholt, und es kommt zu einer unerwarteten Massenlöschung in Entra ID. Der Ausweg ist banal und muss nur bekannt sein: Nach dem Umbenennen läuft der Assistent erneut, und die Organisationseinheit wird wieder ausgewählt.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Der Weg von der Bereinigung bis zum ersten Export
Sechs Stationen mit jeweils einem überprüfbaren Ergebnis. Die Reihenfolge ist bewusst so gewählt, dass alles Unumkehrbare in den ersten drei Schritten liegt und der Export ganz am Ende steht.
- 1
Das Verzeichnis vor Ort bereinigen
Jeder Fehler im lokalen Verzeichnis wird beim ersten Lauf sichtbar, und zwar in der Cloud. Prüf deshalb vorher die Attribute, die Entra ID auswertet: doppelte Adressen, ungültige Zeichen in Anmeldenamen, fehlende oder widersprüchliche UPN-Suffixe und Objekte, die eigentlich längst gelöscht sein sollten. Kläre außerdem, welche Objekttypen überhaupt gebraucht werden. Microsoft weist darauf hin, dass Objekte mit gesetztem Attribut isCriticalSystemObject von vornherein herausgefiltert werden, darunter das Administratorkonto sowie die Gruppen Domain Admins und Enterprise Admins. Konten, die diesen Gruppen angehören, werden dagegen synchronisiert.
Geschafft, wenn: Eine Liste bereinigter Attributfehler und eine schriftliche Entscheidung darüber, welche Organisationseinheiten in den Umfang gehören.
- 2
Die Domänen in Entra ID hinzufügen und prüfen
Damit sich Personen mit ihrem gewohnten Anmeldenamen anmelden können, muss dessen Suffix als benutzerdefinierte Domäne in Entra ID hinterlegt und geprüft sein. Der Assistent zeigt die vorgefundenen UPN-Suffixe mit ihrem Status an: geprüft, nicht geprüft oder nicht hinzugefügt. Nur beim ersten Zustand bleibt der Anmeldename erhalten. In den beiden anderen Fällen ersetzt Entra ID das Suffix durch die eingebaute Domäne. Bei nicht routbaren internen Namen führt kein Weg an einer benutzerdefinierten Installation vorbei, in der du ein anderes Attribut als Anmeldenamen bestimmst.
Geschafft, wenn: Jedes UPN-Suffix, das erhalten bleiben soll, steht in Entra ID als geprüfte Domäne, und für nicht routbare Namen ist ein Ersatzattribut festgelegt.
- 3
Den sourceAnchor festlegen
Diese Entscheidung ist die einzige, die sich später gar nicht mehr korrigieren lässt: Das Ankerattribut kann nur bei der Erstinstallation gesetzt werden, danach ist die Auswahl im Assistenten schreibgeschützt, und eine Änderung bedeutet Deinstallation und Neuinstallation. Bei einer einzelnen Gesamtstruktur ist objectGUID die naheliegende Wahl. Sollen Konten zwischen Gesamtstrukturen oder Domänen verschoben werden, brauchst du ein konfigurierbares Attribut. Entra Connect kann dafür ms-DS-ConsistencyGuid verwenden und schreibt bei leeren Objekten den Wert von objectGUID dorthin zurück, bevor es exportiert. Dafür braucht das Dienstkonto Schreibrecht auf dieses Attribut.
Geschafft, wenn: Das Ankerattribut ist festgelegt, das Dienstkonto hat die nötige Berechtigung, und die Entscheidung ist dokumentiert.
- 4
Installieren und den Umfang eingrenzen
Jetzt läuft der Assistent. Er fragt nach dem Anmeldeverfahren, nach den anzubindenden Gesamtstrukturen und nach dem Umfang. Domänen- und Organisationseinheitsfilter werden ausdrücklich über den Assistenten gepflegt, er erledigt dabei alle nötigen Schritte. Die Filterung nach Gruppe steht nur hier zur Verfügung und ist für einen Pilotbetrieb gedacht. Wichtig ist die Kombination: Wird zusätzlich nach Organisationseinheit gefiltert, müssen die Einheiten, in denen die Gruppe und ihre Mitglieder liegen, im Umfang enthalten sein.
Geschafft, wenn: Der Dienst läuft, die gewünschten Organisationseinheiten sind ausgewählt, und die Konfiguration entspricht der Entscheidung aus dem ersten Schritt.
- 5
Die geplanten Änderungen ansehen, bevor sie exportiert werden
Bevor irgendetwas in Entra ID landet, gehört ein Blick auf das, was exportiert werden soll. Microsoft beschreibt dafür einen ausdrücklichen Weg: den Server in den Staging-Modus versetzen, einen ersten vollständigen Lauf über Start-ADSyncSyncCycle mit dem Richtlinientyp Initial anstoßen und die anstehenden Änderungen anschließend mit csexport und CSExportAnalyzer aus dem Programmverzeichnis in eine Datei schreiben, die sich in einer Tabellenkalkulation ansehen lässt. Dieser Zwischenschritt ist die einzige Gelegenheit, einen Filterfehler zu bemerken, bevor er Objekte kostet.
Geschafft, wenn: Eine Liste der anstehenden Änderungen liegt vor, und jede Löschung darin ist erklärbar.
- 6
Exportieren und den laufenden Betrieb einrichten
Erst wenn die geplanten Änderungen stimmen, wird exportiert und der Planer wieder eingeschaltet. Danach beginnt der Regelbetrieb mit einem Lauf alle 30 Minuten. Zwei Dinge gehören noch dazu. Erstens die Frage, was bei Änderungen an Filtern gilt: Nach Änderungen an Domänen- oder Organisationseinheitsfiltern ist ein vollständiger Import mit anschließendem Deltaabgleich nötig, nach Änderungen an Attributfiltern ein vollständiger Abgleich. Zweitens die Überwachung, denn ein stehengebliebener Synchronisierungsserver fällt sonst erst auf, wenn ein neues Konto in der Cloud fehlt.
Geschafft, wenn: Der erste Export ist durch, der Planer läuft wieder, und der Zustand des Servers ist überwacht.
Fünf Fragen vor der ersten Synchronisierung
- 01 Welches Anmeldeverfahren soll gelten, und wer betreibt die Agenten dafür?
- 02 Passen die UPN-Suffixe zu einer in Entra ID geprüften Domäne?
- 03 Welches Attribut wird zum sourceAnchor, und ist es überall gefüllt?
- 04 Welche Organisationseinheiten und Objekttypen sollen ausdrücklich nicht in die Cloud?
- 05 Wer sieht sich die geplanten Änderungen an, bevor der erste Export läuft?
Was vor der Installation feststehen muss
Sechs Punkte entscheiden darüber, ob die Anbindung ein Wochenendprojekt bleibt oder zu einer Neuinstallation führt. Zwei davon lassen sich später gar nicht mehr ändern.
Das Anmeldeverfahren bewusst wählen
Microsoft unterscheidet Cloudauthentifizierung und föderierte Authentifizierung. Innerhalb der Cloudauthentifizierung stehen Password Hash Synchronization und Pass-through Authentication zur Wahl. Für die meisten Organisationen, die nur die Anmeldung an Microsoft 365 und anderen Entra-basierten Anwendungen ermöglichen wollen, empfiehlt Microsoft ausdrücklich die Standardoption Password Hash Synchronization. Das Verfahren lässt sich später über den Assistenten wechseln.
Die UPN-Suffixe gegen die geprüften Domänen halten
Entra ID authentifiziert über den userPrincipalName. Passt dessen Suffix zu keiner in Entra ID geprüften Domäne, ersetzt Entra ID das Suffix durch die eingebaute Domäne mit der Endung onmicrosoft.com. Bei nicht routbaren internen Namen wie contoso.local ist das der Regelfall, denn solche Domänen lassen sich in Entra ID gar nicht prüfen. Kläre das vor der ersten Synchronisierung, nicht danach.
Das Ankerattribut festlegen, denn es bleibt
Der sourceAnchor, auch immutableId genannt, verbindet ein Objekt vor Ort dauerhaft mit seinem Gegenstück in Entra ID. Microsoft nennt klare Anforderungen: weniger als 60 Zeichen, keine Sonderzeichen, weltweit eindeutig, nicht auf dem Namen der Person beruhend und beim Anlegen des Objekts vergeben. Für eine einzelne Gesamtstruktur ist objectGUID die richtige Wahl, für Umgebungen mit Verschiebungen zwischen Gesamtstrukturen das konfigurierbare Attribut ms-DS-ConsistencyGuid.
Die Filter vor der ersten Synchronisierung setzen
Microsoft nennt vier Verfahren: nach Gruppe, nach Domäne, nach Organisationseinheit und nach Attribut. Mehrere lassen sich kombinieren, sie wirken dann mit einem logischen Und. Die Filterung nach Gruppe ist eine Besonderheit: Sie lässt sich nur bei der Erstinstallation über den Assistenten einrichten, ist ausdrücklich für Pilotbetrieb gedacht, und wenn sie einmal abgeschaltet wurde, kann sie nicht wieder eingeschaltet werden.
Vor jeder Änderung den Planer anhalten
Der eingebaute Planer stößt alle 30 Minuten einen Synchronisierungslauf an. Wer an der Konfiguration arbeitet, exportiert sonst Zwischenstände in die Cloud. Microsoft empfiehlt, den Planer vorher abzuschalten oder den Server in den Staging-Modus zu versetzen. Abgeschaltet wird er über das ADSync-Modul mit Set-ADSyncScheduler -SyncCycleEnabled $false, eingeschaltet wieder mit $true.
Den Schutz vor versehentlichen Löschungen kennen und stehen lassen
Microsoft liefert eine Sicherung mit, die genau den Fall aus dem vorigen Abschnitt abfängt: Sollen mehr Objekte gelöscht werden als der eingestellte Schwellenwert, standardmäßig 500, bricht der Export mit einem Fehler ab. Diese Meldung ist keine Störung, sondern eine Rückfrage. Wer sie durch Abschalten des Schutzes beantwortet, ohne vorher die geplanten Änderungen angesehen zu haben, hat die Sicherung gegen sich selbst verwendet.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Die drei Anmeldeverfahren und wofür sie gedacht sind
Bei Password Hash Synchronization werden Hashwerte der Kennwörter aus dem lokalen Active Directory nach Entra ID übertragen. Wird ein Kennwort vor Ort geändert oder zurückgesetzt, gehen die neuen Hashwerte sofort mit, sodass überall dasselbe Kennwort gilt. Microsoft betont, dass die Kennwörter selbst niemals im Klartext übertragen oder gespeichert werden. In Verbindung mit dem Rückschreiben von Kennwörtern lässt sich damit das Zurücksetzen durch die Personen selbst umsetzen. Für die meisten Organisationen ist das die empfohlene Wahl, weil außer Entra Connect keine zusätzliche Infrastruktur nötig ist.
Bei Pass-through Authentication wird das Kennwort gegen den lokalen Domänencontroller geprüft, und es muss in keiner Form in Entra ID vorhanden sein. Damit lassen sich lokale Vorgaben wie Anmeldezeitbeschränkungen bei der Anmeldung an Clouddiensten auswerten. Dafür läuft ein Agent auf einem in die Domäne aufgenommenen Windows-Server, der auf Prüfanfragen wartet. Bemerkenswert ist die Netzanforderung: Es müssen keine eingehenden Ports zum Internet geöffnet werden.
Bei der föderierten Anmeldung übergibt Entra ID die Prüfung an ein getrenntes, vertrauenswürdiges System. Microsoft nennt dafür AD FS und PingFederate. Für einen neuen AD-FS-Verbund werden ein Server für den Verbunddienst und ein Server für den Webanwendungsproxy jeweils unter Windows Server 2025 oder Windows Server 2022 verlangt, dazu ein TLS-Zertifikat für den vorgesehenen Verbundnamen. Für die ersten beiden Verfahren lässt sich zusätzlich die nahtlose Anmeldung einschalten, mit der Personen an in die Domäne aufgenommenen Rechnern im Firmennetz nur noch den Anmeldenamen eingeben müssen.
Warum der sourceAnchor die wichtigste Entscheidung ist
Der sourceAnchor ist als Attribut definiert, das über die Lebenszeit eines Objekts hinweg unveränderlich bleibt. Er identifiziert ein Objekt vor Ort und sein Gegenstück in Entra ID als dasselbe. Gebraucht wird er in drei Situationen: wenn ein neuer Synchronisierungsserver aufgebaut oder nach einem Ausfall wiederhergestellt wird, wenn Konten aus einer reinen Cloudidentität in eine synchronisierte überführt werden, und bei föderierter Anmeldung als Bestandteil der Aussage über die Identität.
Die Anforderungen an ein geeignetes Attribut sind konkret. Es muss kürzer als 60 Zeichen sein, wobei Zeichen außerhalb von Buchstaben und Ziffern kodiert werden und dabei je drei Zeichen zählen. Es darf keine Sonderzeichen enthalten, muss weltweit eindeutig sein, vom Typ Zeichenkette, ganze Zahl oder binär, und es sollte beim Anlegen des Objekts vergeben werden. Ausdrücklich ungeeignet sind Attribute, die den Namen der Person enthalten, weil sich Namen ändern. Genau deshalb lassen sich userPrincipalName, mail und targetAddress im Assistenten gar nicht erst auswählen.
Die Konsequenz einer falschen Wahl ist unbequem. Ist der Wert nach dem Export einmal gesetzt, lässt er sich nicht mehr ändern, und Entra Connect verweigert dann jede weitere Änderung an diesem Objekt, bis der ursprüngliche Wert wiederhergestellt ist. Auf Ebene der Installation gilt: Das Attribut kann nur bei der Erstinstallation gesetzt werden, und ein zweiter Synchronisierungsserver muss dieselbe Wahl treffen. Wer davon abweichen will, muss deinstallieren und neu installieren.
Filter richtig setzen und Massenlöschungen vermeiden
Die Standardkonfiguration nimmt die meisten Objekte aus allen konfigurierten Gesamtstrukturen mit, und Microsoft bezeichnet das ausdrücklich als die im Allgemeinen empfohlene Einstellung. Der Grund ist das gemeinsame Adressbuch: In Microsoft-365-Umgebungen erwarten die Beteiligten, dass sie alle finden. Gute Gründe für eine Einschränkung gibt es trotzdem, etwa einen begrenzten Pilotbetrieb, eine große Zahl von Dienstkonten oder die Vorgabe, dass vor Ort nur deaktiviert und nicht gelöscht wird, während in der Cloud nur aktive Konten stehen sollen.
Von den vier Verfahren ist die Filterung nach Attribut die flexibelste. Sie arbeitet mit Regeln, die einen Bereich und eine oder mehrere Bedingungen enthalten, wobei mehrere Bedingungen mit Und und mehrere Gruppen mit Oder verknüpft werden. Technisch läuft alles über ein einziges Merkmal: Objekte werden ausgeschlossen, indem das Metaverse-Attribut cloudFiltered auf True gesetzt wird, und dieses Attribut soll ausdrücklich nur den Wert True oder gar keinen tragen. Microsoft empfiehlt, die eingehende Richtung zu verwenden, weil sie am einfachsten zu pflegen ist, und die mitgelieferten Regeln nicht zu verändern, sondern zu kopieren und das Original abzuschalten.
Für den Alltag zählen zwei Regeln mehr als jede Feinheit. Erstens: Vor jeder Filteränderung wird der Planer angehalten oder der Server in den Staging-Modus versetzt, und die geplanten Änderungen werden angesehen, bevor exportiert wird. Zweitens: Nach dem Umbenennen einer Organisationseinheit läuft der Assistent erneut und die Einheit wird wieder ausgewählt, sonst fällt sie beim nächsten vollständigen Import aus dem Umfang. Beide Regeln passen auf einen Zettel und verhindern die beiden teuersten Fehler dieses Themas.
Connect Sync oder Cloud Sync
Neben Entra Connect Sync gibt es Entra Cloud Sync, und die Entscheidung zwischen beiden gehört an den Anfang und nicht ans Ende. Der Unterschied liegt darin, wo die Steuerung sitzt. Bei Cloud Sync läuft die Orchestrierung vollständig in den Onlinediensten von Microsoft, vor Ort stehen nur leichte Agenten, die als abgesicherte Brücke zwischen Active Directory und Entra ID arbeiten. Konfiguration, Überwachung und Verwaltung laufen über den Clouddienst.
Daraus ergeben sich einige greifbare Unterschiede. Cloud Sync erlaubt mehrere gleichzeitig aktive Agenten auf verschiedenen Servern und damit einen Ausfallschutz ohne Konfigurationsänderung. Es kann getrennte Gesamtstrukturen ohne Zusammenlegung an einen einzigen Entra-Mandanten anbinden, was bei Zukäufen und Zusammenschlüssen der ausschlaggebende Punkt ist. Und es arbeitet mit einem Zeitplan von zwei Minuten, während der eingebaute Planer von Connect Sync alle 30 Minuten läuft.
Microsoft bezeichnet Cloud Sync als die strategische Richtung für hybride Identität und verweist für die Entscheidung auf einen eigenen Leitfaden mit einer Gegenüberstellung der Funktionen. Für die Praxis heißt das: Wenn du neu anfängst, prüfe zuerst, ob Cloud Sync deine Anforderungen abdeckt, und entscheide dich erst dann für Connect Sync, wenn es einen konkreten Grund dafür gibt. Ein bestehender, funktionierender Connect-Sync-Server ist dagegen kein Anlass zur Eile, sondern ein Punkt für die mittelfristige Planung.
Dazu passende Kurse
Weil die Cloudseite eigene Regeln hat, sobald die Objekte erst einmal oben sind, gehören Kurse zu Identität und Verwaltung in Entra ID zur selben Planung.
Wenn das Verzeichnis vor Ort über Jahre gewachsen ist, sorgen Kurse zum lokalen Verzeichnis als Ausgangspunkt dafür, dass die Bereinigung vor der Anbindung stattfindet.
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Danke an Trainer Sven, welcher ein sehr detailliertes und fachliches KnowHow besitzt.
Ich beziehe mich hier nur auf die Nachschlung durch Herrn Marco Jachmann. Herr Jachmann ist überaus kompetent und hat alle Inhalte professionell vermittelt.
Sehr sehr gut aufbereitete Nachschulung mit genau dem notwendigen Engagement und der erforderlichen Vorbereitung innerhalb von 48 Stunden.
Häufige Fragen
Welches Anmeldeverfahren sollen wir nehmen?
Was passiert, wenn unser interner Domänenname nicht routbar ist?
Können wir das Ankerattribut später ändern?
Warum meldet der Export einen Fehler, obwohl unsere Filteränderung richtig war?
Werden unsere Domänenadministratoren mit in die Cloud synchronisiert?
Wie schnell kommen Änderungen in der Cloud an?
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Windows Server-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Hybride Identität an einer echten Umgebung aufbauen
Im Grundkurs zu Entra ID und Intune bei cmt richtest du die Verbindung zwischen lokalem Verzeichnis und Cloud selbst ein und siehst dabei, wie sich Anmeldeverfahren, Ankerattribut und Filter auf den laufenden Betrieb auswirken.