← Active Directory

Hybrid Identity (Entra / Entra Connect)

Cloud-Dienste sollen unabhängig vom eigenen Rechenzentrum machen — und dann wählt jemand eine Anmeldemethode, die jede einzelne Anmeldung durch genau dieses Rechenzentrum leitet. Der Fehler fällt erst beim ersten Ausfall auf, und dann ist niemand mehr angemeldet. Dieses Modul behandelt die Brücke zwischen lokalem Verzeichnis und Cloud als das, was sie ist: eine Verbindung, die in beide Richtungen trägt. Abgleichsrichtung und maßgebliche Quelle, die drei Anmeldemethoden samt ihrem Ausfallverhalten, was bei der Kennwort-Synchronisierung wirklich übertragen wird, der Verbindungsserver als Tier-0-System in der Mitte, warum privilegierte lokale Konten nicht in die Cloud gehören — und warum ein Anker, der lesbar ist, aus genau diesem Grund der falsche ist.

Fortgeschritten · ~30 Min · 12 Abschnitte Einführung · 14 Übungen (davon 1 Mission)

Modul starten →

Fortschritt wird gespeichert — du kannst das Modul später jederzeit fortsetzen.

Nur den Lehrtext lesen →

Das kannst du danach

  • ✓Eine Anmeldemethode nach ihrem Ausfallverhalten wählen und den Notfallwechsel mitplanen.
  • ✓Den Abgleichsbereich so setzen, dass eine Kompromittierung einer Seite nicht unmittelbar auf die andere durchschlägt.
  • ✓Bei einem Vorfall den richtigen Schlüssel benennen — und erkennen, wann Kennwortwechsel wirkungslos sind.

Übungen

  • 1. EntscheidungWo wird die Änderung korrekt vorgenommen?
  • 2. EntscheidungWelche Erklärung ist korrekt?
  • 3. EntscheidungWelche Kontrolle begrenzt den Schaden am besten?
  • 4. EntscheidungWelche Methode ist die pragmatische Wahl?
  • 5. EntscheidungWie korrigierst du diese Annahme?
  • 6. EntscheidungWelcher Anchor ist geeignet?
  • 7. EntscheidungWas ist die richtige Priorität?
  • 8. EntscheidungWie begrenzt du den Scope?
  • 9. MissionKontrolle an der Hybrid-Grenze
  • 10. EntscheidungWelche Architekturentscheidung ist sinnvoll?
  • 11. EntscheidungWie klassifizierst du den Server?
  • 12. EntscheidungWas ist die richtige Entscheidung?
  • 13. EntscheidungWelche Maßnahme adressiert die Wurzel?
  • 14. EntscheidungWelche Entscheidung schützt die Bindung?
Quellen & Aktualität28 Primärquellen · zuletzt geprüft:
  1. 01Microsoft Learn — What is password hash synchronization with Microsoft Entra ID? / Implement password hash synchronization (MD4 + Salt + PBKDF2/HMAC-SHA256, 1000 Iterationen; NT-Hash verlässt on-prem nicht)
  2. 02Microsoft Learn — Choose the right authentication method for Microsoft Entra hybrid identity (PHS vs. PTA vs. Federation, Ausfallverhalten, PHS als Backup)
  3. 03Microsoft Learn — Microsoft Entra Connect: Design concepts / sourceAnchor, msDS-ConsistencyGuid, immutableID; soft-match vs. hard-match (userPrincipalName/proxyAddresses vs. sourceAnchor)
  4. 04Microsoft Learn — Microsoft Entra seamless single sign-on: technical deep dive und Rollover des Kerberos-Entschlüsselungsschlüssels für AZUREADSSOACC$
  5. 05Microsoft Learn — Protecting Microsoft 365 from on-premises attacks / Securing privileged access: Entra-Connect-Server als Tier-0, privilegierte Konten nicht synchronisieren
  6. 06CyberArk / Mandiant — Golden SAML: Forging SAML tokens via stolen AD FS token-signing certificate (Trust-Anchor-Kompromittierung, umgeht MFA)
  7. 07Microsoft Learn — Microsoft Entra Connect design concepts and source of authority
  8. 08Microsoft Learn — Implement password hash synchronization
  9. 09Microsoft Learn — Microsoft Entra Connect accidental deletion prevention
  10. 10Microsoft Learn — sync design concepts
  11. 11Microsoft Learn — Microsoft Entra Connect user sign-in options
  12. 12Microsoft Learn — password hash synchronization
  13. 13Microsoft Learn — Pass-through Authentication FAQ
  14. 14Microsoft Learn — PTA technical deep dive
  15. 15Microsoft Learn — Microsoft Entra Connect sourceAnchor and msDS-ConsistencyGuid
  16. 16Microsoft Learn — Microsoft Entra seamless single sign-on technical deep dive
  17. 17Microsoft security guidance — protect privileged access in hybrid identity
  18. 18Microsoft Learn — Entra Connect filtering
  19. 19Microsoft Learn — Entra Connect design concepts
  20. 20Microsoft security guidance — hybrid identity
  21. 21Microsoft security guidance — federation security
  22. 22Microsoft security guidance — securing Microsoft Entra Connect server
  23. 23Microsoft Learn — password hash synchronization permissions
  24. 24Microsoft Learn — Microsoft Entra Connect permissions
  25. 25Microsoft security guidance — AD FS token-signing certificate rollover
  26. 26Mandiant — Golden SAML
  27. 27Microsoft Learn — Microsoft Entra Connect matching users
  28. 28Microsoft Learn — sourceAnchor design

Verfasst von Julian Zentgraf