Hybrid Enterprise Identity Management (HEIM) - Seminar / Kurs von NT Systems GmbH & Co. KG

Dieser Intensivkurs ist für alle Administratoren gedacht, die eine moderne und starke Authentifizierung für ihre Benutzer bereitstellen wollen. Es werden die Themen Identity Management, Authentication Methods und Passwordless Deployment (Migration & Enrollment) behandelt.

In einer Hybridumgebung werden On-Premises AD und Entra ID mithilfe von Entra Connect verbunden. Entra Connect ermöglicht hierbei die Synchronisation von AD Benutzern, Geräten und Gruppen von On-Premises AD nach Entra. Standardmäßig ist On-Premises AD autoritativ, was bedeutet, dass sämtliche hier vorgenommenen Änderungen auch in Entra angewendet werden. Weiterhin wird über Entra Connect die Art der Authentifizierung, welche Benutzer in der Hybridumgebung verwenden, festgelegt. In der Zukunft wird Entra Connect vermutlich durch Entra Cloud Sync ersetzt. Über Entra Cloud Sync kann nur die Hybride-Authentifizierungsmethode „Password Hash Synchronisation“ (PHS) eingerichtet und keine Geräte-Identitäten synchronisiert werden.

Es gibt verschiedene Varianten wie sich ein Benutzer bei Entra ID oder Active Directory authentifizieren kann. Diese Varianten werden in Kategorien eingeteilt, um diese besser einschätzen zu können. Eine „schlechte“ Authentifizierung ist „Benutzername“ und „Passwort“. Dies kann verbessert werden, indem der Benutzer zusätzlich einen weiteren Faktor liefert, um sich zu authentifizieren. Dies könnte eine SMS oder ein Phone-Call sein. Zu den besseren zweiten Faktoren zählen u.a. der Microsoft Authenticator, Software- oder Hardware-Tokens (OATH). Die sicherste Methode einen Benutzer zu authentifizieren, ist statt der Verwendung eines Passworts, die Verwendung mehrerer Faktoren. Dies kann mittels den Methoden Windows Hello for Business (WHfB), Microsoft Authenticator mit Phone Sign-In, FIDO2 Security Key oder zertifikatsbasiert (CBA) erfolgen.

Nur durch starke Authentifizierungsmethoden kann sichergestellt werden, dass der Benutzer auch der Benutzer ist. Standardmäßig wird dieser nicht gezwungen diese starken Formen der Authentifizierung zu nutzen. An dieser Stelle kommt Entra ID Conditional Access zum Einsatz. Mit Conditional Access können die Zugriffe von Benutzern auf Applikationen oder Aktionen innerhalb Entra IDs eingeschränkt werden. Beispielsweise soll der Benutzer immer einen zweiten Faktor liefern, wenn er auf eine Applikation wie Exchange Online oder Microsoft Teams zugreifen möchte. Über Entra ID lassen sich On-Premises oder auch Software-as-a-Service Applikationen von außerhalb einbinden. Wenn die Applikation dies unterstützt, kann diese Single Sign-On (SSO) über Entra ID anbieten, sodass der Benutzer nicht mehrere Identitäten besitzt und sich somit nicht mehrmals authentifizieren muss. On-Premises Applikationen lassen sich über den Entra Applikation Proxy sicher ins Internet veröffentlichen. Auch wenn die On-Premises Applikation nur die Kerberos Authentifizierung unterstützt.

Hybrid-Infrastruktur

• Microsoft Entra Cloud Sync

Device Identities

• Device Identity

Authentication

• Authentication Methods (2FA)
• Passwordless Phone Sign-In

Protection

• Entra ID Password Protection (Password Protection, SSPR)
• Entra ID Identity Protection (Conditional Access)

Passwordless Methods (phishing resistant)

• WHfB mit Cloud Kerberos Trust
• WHfB mit Cert Trust
• FIDO2 Security Key
• Certificate-based Authentication

Applications

• SSO-IdentityProvider
• Entra Application Proxy

Passwordless Migration

• Passwordless – Migration
• Passwordless – Onboarding

Authentication & Authorization

• OAuth2 & OpenID Connect Flow