Unternehmen setzen bei der Verwaltung Ihrer Windows Clients in der Regel auf eine lokale Infrastruktur, die durch die Nutzung von Group Policy Objects (kurz: GPOs) Anpassungen und Richtlinien für Benutzer und Endgeräte festlegt. Azure Active Directory Hybrid Join:
Im Zuge einer Cloud Integration ist natürlich auch eine Verwaltung durch das Azure Active Directory oder auch Microsoft Intune möglich. Aber wie verbindet man beide Welten miteinander? Welche Vorteile kann dies mit sich bringen? In diesem Beitrag zeige ich Dir, wie Du Deine OnPremises-Welt an die Cloud anbindest!
Wozu eine Anbindung an das Azure Active Directory?
Den klassischen Weg der Administration von Clients und Usern mithilfe eines lokalen Active Directory, GPOs und co. ist den Unternehmen bekannt und in den meisten Fällen auch seit Jahren im Einsatz und historisch gewachsen.
Wird eine Cloud Lösung, wie z.B.: Microsoft 365 eingeführt, so entsteht sehr schnell die Notwendigkeit eine Kopplung der lokalen Infrastruktur an die Cloud durchzuführen. Oftmals wächst dies auch mit den steigenden Anforderungen im Unternehmen.
Gerade wenn eine Verwaltung der Windows Clients nicht nur lokal, sondern auch durch die Cloud oder im Rahmen eines Mobile Devices Management mit Intune durchgeführt werden soll, lohnt sich der Aufbau eines sogenannten Hybrid Joins, somit die Anbindung an das Azure Active Directory.
Wozu der Hybrid Join?
Der Hybrid Join mit dem Azure Active Directory ermöglicht die Verbindung zweier Welten:
- Richtliniensätze und Verwaltung mit lokalen GPOs
- Anpassungen durch Parameter (Bedingter Zugriff) aus der Cloud
Ergänzt - aber nicht zwingend erforderlich - wird dies dann durch eine automatische Integration ins Microsoft Intune. Dadurch erweitern wir den Radius der Administration nochmal ungemein und wir können perspektivisch bestehende MDM-Lösungen ablösen und auch in eine Cloud-Only Welt gehen.
Systemanforderungen für den Hybrid Join
Damit wir den Hybrid Join einrichten können, müssen folgende technische Anforderungen erfüllt sein:
- Windows Server 2016
- Rolle des Domain Controllers muss konfiguriert sein
- In der Synchronisation zum Azure AD (mit dem Azure AD Connect)
- Windows 10 Pro oder höher
- Das Gerät muss Mitglied der lokalen Domäne sein
- Zugriff zum lokalen Administrator-Account und zum globalen Azure AD Administrator
- Falls Intune genutzt wird: eine aktive Microsoft Intune Lizenz
Hybrid Join - Bilderserie zur Einrichtung
Haben wir alle Vorrausetzungen erfüllt, können wir im nächsten Schritt mit der Einrichtung des Hybrid Join starten. Den ersten Schritt führen wir beim Azure AD Connect aus.
1. Konfiguration des Azure AD Connects - Hybrid Join
Als erstes starten wir das Azure AD Connect und wählen den Menüpunkt "Configure" aus:
Im nächsten Menüpunkt wählen wir dann die Option "Configure device options" aus:
Daraufhin erhalten wir eine Übersicht, wozu der Hybrid Azure AD Join dient und auch zusätzliche Informationen zum Device writebrack:
Haben wir dies für uns verinnerlicht und sind wir mit einem Klick auf "Next" beim nächsten Fenster, so geben wir hier nun einen globalen Administrator an:
Nach erfolgreicher Anmeldung müssen wir die zu konfigurierende Option auswählen. Hier nehmen wir den Menüpunkt "Configure Hybrid Azure AD Join":
Obligatorisch bestätigen wir auch das Windows-Betriebssystem, auf dem sich unsere Konfiguration auswirken soll:
Als nächstes ist die SCP-Konfiguration erforderlich. Der Service Connection Point stellt eine Verbindung zum lokalen Active Directory her und verhilft den Windows Clients dabei, die Informationen und den Zugriff zum Azure Active Directory zu er möglichen.
Damit die Verbindung an dieser Stelle hergestellt werden kann, ist es erforderlich einen lokalen Enterprise Admin anzugeben:
Danach sind wir mit der Konfiguration so gut wie fertig und müssen nur noch den Wizard des Azure AD Connects durchlaufen lassen:
2. Prüfen der Einrichtung - Hybrid Join
Sobald die Konfiguration im Azure AD Connect abgeschlossen ist haben wir als weiteres Mittel zunächst unsere Geduld. Die Windows-Clients werden automatisch in den Azure AD Hybrid Join versetzt.
Mitunter kann dies auch mehrere Minuten bis Stunden dauern - so hatte es in einem meiner Fälle rund zwei Stunden gebraucht, bevor das Gerät im Azure AD angezeigt wurde. Ein Reboot das Geräts kann dies auch nochmal zusätzlich triggern.
Der aktuelle Status des Geräts kann über die CMD und dem Befehl dsregcmd /status eingesehen werden:
Erst wenn der Wert beim AzureADJoined und DomainJoined auf YES steht, befindet sich das Gerät im Hybrid Join. Zusätzlich kann der Hybrid Join auch nochmal über den Befehl dsregcmd /join forciert werden.
Sobald das Gerät dann im Hybrid Join ist, finden wir es auch in der Geräteübersicht im Azure AD wieder:
Unser Gespräch ist für Sie kostenlos und unverbindlich.
Aaron Siller, Geschäftsführer von siller.consulting
3. Auto-Enrollment ins Microsoft Intune
Neben der reinen Integration in das Azure Active Directory, können wir beim Hybrid Join auch ein automatisches Enrollment ins Microsoft Intune durchführen.
Dazu erstellen wir eine lokale GPO. Der Pfad zur GPO lautet:
Computer Configuration > Policies > Administrative Templates > Windows Components > MDM
Dort finden wir eine Richtlinie namens "Enable automatic MDM enrollment using default Azure AD Credentials":
Diese Richtlinie aktivieren wir entsprechend und weißen diese auf eine OU mit unseren Windows Clients zu. Es lohnt sich an dieser Stelle auch zunächst nur ein einzelnes Gerät auszuwählen (indem man z.B.: die GPO lokal auf einem einzelnen Gerät aktiviert), um das erfolgreiche Enrollment zu testen.
4. Prüfung des Intune-Enrollments
Als nächstes gilt es auch hier etwas Geduld mitzubringen. Wenn wir die Konfiguration aber richtig durchgeführt haben, so erscheinen uns die Geräte mit dem primären Benutzer einmal im Azure AD mit dem Status Azure AD Hybrid Join und zeitgleich im Device Management Portal vom Intune.
Ansicht im Azure Active Directory
Ansicht im Microsoft Intune Portal:
