Mobile-Menu

Migration von Entra Connect Sync zu Entra Cloud Sync Group Write Back: Verwaltung hybrider Identitäten

Von Thomas Joos 6 min Lesedauer

Anbieter zum Thema

Microsoft Deutschland GmbH

Microsoft Entra Cloud Sync eröffnet Unternehmen neue Möglichkeiten in der hybriden Gruppenverwaltung und ersetzt die bisher genutzte Group Write Back Version 2 in Entra Connect Sync. Mit Entra Cloud Sync können Cloud-Sicherheitsgruppen nicht nur effizient in lokale Active-Directory-Umgebungen zurückgeschrieben, sondern auch dynamisch verwaltet und an individuelle Anforderungen angepasst werden.

Entra Cloud Sync ermöglicht die Synchronisierung von Gruppen aus der Cloud in lokale AD-Umgebungen.(Bild: Joos - Microsoft)
Entra Cloud Sync ermöglicht die Synchronisierung von Gruppen aus der Cloud in lokale AD-Umgebungen.
(Bild: Joos - Microsoft)

Microsoft Entra Cloud Sync unterstützt in der aktuellen Version die Group Write Back-Funktion, die es ermöglicht, Gruppen in der Cloud mit einem lokalen Active Directory zu synchronisieren. Diese Funktion vereinfacht die Verwaltung von Gruppen und Identitäten für hybride Cloud-Szenarien. Entra Cloud Sync ist die Nachfolgeversion von Group Write Back V2, das über Entra Connect Sync realisiert wurde. Group Write Back V2 wurde im Sommer 2024 eingestellt. Ein Migrationsleitfaden auf Microsoft Learn unterstützt den Wechsel zur neuen Entra Cloud Sync-Version.

Cloud-First-Ansatz für die Identitätsverwaltung: Gruppenverwaltung direkt in der Cloud

Mit Microsoft Entra Cloud Sync erfolgt die Verwaltung und Provisionierung von Gruppen in einer Cloud-First-Strategie, bei der Entra ID als primäre Quelle für Identitäten und Gruppen genutzt wird. Der neue Ansatz ermöglicht es Administratoren, Cloud-Sicherheitsgruppen direkt in Entra ID zu erstellen und zu verwalten, wobei diese anschließend ins lokale Active Directory zurückgeschrieben werden.

Bildergalerie
Bildergalerie mit 5 Bildern

Dieser Prozess erlaubt es, die gesamte Gruppenverwaltung – einschließlich der Governance und Mitgliederverwaltung – zentral und ausschließlich in der Cloud zu organisieren. Dadurch entfällt die Notwendigkeit, Gruppen lokal zu erstellen und zu verwalten, was eine erhebliche Entlastung für IT-Abteilungen darstellt, und das Cloud-Management optimiert.

Da Entra ID im Group Write Back-Szenario zur primären Quelle für die betreffenden Gruppen wird, laufen alle Änderungsprozesse in der Cloud, während die Gruppen nur zur Anzeige und Verwaltung der hybriden Infrastruktur in das lokale AD zurückgeschrieben werden. Änderungen oder Ergänzungen von Benutzern in synchronisierten Gruppen müssen ebenfalls in Entra ID erfolgen, um Konsistenz und korrekte Synchronisation sicherzustellen.

Dieser Cloud-zentrierte Ansatz unterstützt Unternehmen dabei, ihre Identitätsverwaltung cloudorientiert auszurichten und sorgt gleichzeitig für mehr Kontrolle und Flexibilität bei der Nutzung cloudbasierter Ressourcen und Identitätslösungen.

Zentrale Governance für On-Premises-Ressourcen durch Entra Cloud Sync

Mit Microsoft Entra Cloud Sync wird die Governance von Gruppenmitgliedschaften erheblich optimiert, indem die robusten Verwaltungs- und Überwachungsfunktionen von Entra ID auch auf lokale Active Directory-Ressourcen (AD) angewendet werden können. Durch die Synchronisierung von Cloud-Sicherheitsgruppen mit den lokal verwalteten Gruppen im AD können alle Governance-Funktionen von Entra ID, wie Zugriffsüberprüfungen und Berechtigungsmanagement, auch für On-Premises-Ressourcen genutzt werden. Dies bedeutet, dass Gruppenmitgliedschaften zentral verwaltet und regelmäßig überprüft werden können, wodurch veraltete Zugriffsrechte vermieden und Zugriffsanforderungen zeitlich befristet gewährt werden können.

Eine besondere Stärke von Entra Cloud Sync liegt in der Kombination von Cloud-gesteuerter Governance und Flexibilität für On-Premises-Ressourcen. So lassen sich etwa durch das Entitlement Management von Entra ID Zugangspakete mit bestimmten Rollen und Berechtigungen für Cloud- und On-Premises-Ressourcen definieren und steuern. Mit der Synchronisation von Gruppenmitgliedschaften wird dabei sichergestellt, dass lokale AD-Ressourcen, die der Cloud-First-Strategie untergeordnet sind, ebenfalls von der zentralen Governance profitieren. Entra ID fungiert hier als Quelle der Autorität für die Gruppen, während Active Directory die synchronisierten Gruppen und deren Mitglieder für lokale Anwendungen und Zugänge nutzt.

Migration von Group Write Back Version 2 von Entra Connect zu Entra Cloud Sync

Die Migration von Group Write Back Version 2 von Entra Connect zu Entra Cloud Sync stellt Unternehmen vor wichtige konfigurationsbedingte Anpassungen. Da Group Write Back V2 in Microsoft Entra Connect Sync nicht mehr unterstützt wird, empfiehlt Microsoft die Migration auf Entra Cloud Sync. Entra Cloud Sync bietet dieselbe Funktionalität zur Bereitstellung von Cloud-Sicherheitsgruppen in Active Directory und wird kontinuierlich mit neuen Funktionen weiterentwickelt.

Der Umstellungsprozess für Group Write Back V2 umfasst das Übertragen der Attributwerte von adminDescription in msDS-ExternalDirectoryObjectID zur Unterstützung der gruppenbasierten Identitätsverwaltung über die Cloud Sync. Hierfür kann ein PowerShell-Skript eingesetzt werden, das sämtliche Gruppen im Ziel-OU überprüft und das Attribut automatisch kopiert.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Zudem erfordert der Migrationsprozess das Versetzen des Entra Connect Sync-Servers in den Stagingmodus und das Deaktivieren des Synchronisierungsplaners, bevor die Entra-Cloudsynchronisierung die Verwaltung der Gruppen übernehmen kann. Über angepasste Synchronisierungsregeln lassen sich Gruppen mit spezifischen Attributbedingungen für Cloud- oder lokale Mitgliedschaft filtern, sodass nur relevante Gruppen synchronisiert werden. Die Namenskonvention für zurückgeschriebene Gruppen ändert sich dabei in der Regel zu einem neuen Format mit einem gekürzten Anzeigenamen und Teilen der Objekt-ID, wodurch eine klare Unterscheidung und Verwaltung in hybriden Umgebungen erleichtert wird.

Group Write Back konfigurieren

Die Konfiguration von Group Write Back mit Entra Cloud Sync erfolgt über das Entra Admin Center https://entra.microsoft.com/ unter dem Menüpunkt „Hybridverwaltung“ (Hybrid Management). Dort stehen zwei Synchronisationsmethoden zur Auswahl: Entra Cloud Sync für die neue Group Write Back-Funktion sowie der Legacy Entra Connect Sync, der noch bis zur geplanten Abschaltung unterstützt wird.

Der neue Ansatz mit Entra Cloud Sync bietet die Möglichkeit, Gruppen aus Entra ID zu einem lokalen Active Directory zurückzusynchronisieren. Diese Rücksynchronisation wird durch einen Bereitstellungs-Agenten realisiert, der auf einem Domänencontroller (ab Windows Server 2016) installiert sein muss und eine Verbindung zum Active Directory benötigt. Die Konfiguration erfordert administrative Berechtigungen und unterstützt ausschließlich Sicherheitsgruppen. Diese müssen als hybride Identitäten im Active Directory vorliegen, da Cloud-only-Benutzer nicht in das lokale AD zurückgeschrieben werden können, wenn diese dort nicht bereits existieren.

Die Konfiguration umfasst dabei mehrere Auswahlmöglichkeiten, wie etwa das Synchronisieren aller Sicherheitsgruppen oder die Auswahl spezifischer Gruppen. Benutzer können zusätzlich Attributfilter und Namenszuordnungen für Gruppen festlegen, um die Synchronisation weiter anzupassen. Sobald die Synchronisierung für eine Domäne eingerichtet ist, wie wir in einem eigenen Beitrag gezeigt haben, lassen sich die Einstellungen durch einen Klick auf das Synchronisierungsobjekt bei „Hybridverwaltung -> Microsoft Entra Connect -> Name der Verbindung“ anpassen. Hier stehen der Bereichsfilter und die Attributzuordnung zur Verfügung.

Die Synchronisation erfolgt im 20-Minuten-Intervall (Delta Sync) und lässt sich bei Bedarf auch manuell anstoßen, wobei eine Limitierung auf fünf Benutzer pro Gruppe gilt. In der Management-Sektion von Entra können Administratoren festlegen, welche Gruppen synchronisiert werden sollen. Gruppen, die erfolgreich synchronisiert wurden, erhalten im lokalen AD automatisch eine erweiterte Object-ID, die am Gruppennamen angehängt wird.

Voraussetzungen für Group Write Back

Für eine erfolgreiche Nutzung von Group Write Back muss in Entra ID mindestens die P1-Lizenz aktiviert sein. Entra Cloud Sync kann neben Entra Connect parallel betrieben werden, was eine hohe Flexibilität bei der hybriden Identitätsverwaltung bietet. Diese Koexistenz ermöglicht es, sowohl dynamische als auch statische Gruppen in das lokale AD zurückzuschreiben. Zusätzlich steht eine Vielzahl von Protokollierungs- und Berichtsfunktionen zur Verfügung, die Transparenz über Synchronisationsereignisse bieten.

Microsoft Entra Cloud Sync verschiebt die Quellautorität für Gruppen von der On-Premises-Umgebung in die Cloud. Dies bedeutet, dass die Verwaltung der Mitglieder und Benutzer in Entra ID erfolgt, was Konflikte bei der Identitätsverwaltung vermeiden kann. Ein unsachgemäßes Entfernen oder Ändern von Benutzern und Gruppen im lokalen AD kann zu Problemen führen. Es empfiehlt sich daher, diese Aktionen zentral in Entra ID zu steuern.

Alles, was Sie wissen müssen!

Active Directory & Domain Networking im Fokus

Active Directory & Domain Networking ist seit vielen Jahren ein Schwerpunktthema bei unserem Schwesterportal IP-Insider. Neben zahlreichen Fachartikeln finden Sie dort auch viele Definitionen und Begriffserklärungen aus diesem Themenkomplex. Am Artikelende der Begriffserläuterung „Was ist Active Directory?“ finden Sie jetzt alle bisher auf IP-Insider erschienenen Artikel rund um die Themen Active Directory, Entra ID und Domain Networking. Viel Spaß beim Schmökern!

(ID:50617900)

Weiterführende Inhalte