Dieser Beitrag er­läutert das Ein­richten eines Work­Spaces ohne Berück­sich­tigung von Work­Spaces Application Manager (WAM), Market­place und Work­Docs. Dazu ge­hören die An­bindung an einer Benutzer­verzeichnis, die Aus­wahl eines Bundles, seine die Zu­weisung zu Be­nutzern sowie die Wahl eines Abrech­nungs­modells.

Amazon WorkSpaces ermöglicht Unter­nehmen, ihren Mitar­beitern eine ver­waltete und Cloud-basierte virtuelle Desktop-Umgebung zur Verfügung zu stellen. Dieser Service setzt ein Active Directory voraus. Für diesen Zweck kann man ein on-Prem AD anbinden, oder wie dieser Text zeigt, eines auf AWS erstellen.

Microsoft Identity Manager überträgt nicht nur Objek­te zwischen ver­schie­denen Verzeichnis­diensten. Zusätzlich enthält er den Password Change Notification Service, der Kennwörter bei Änderung zwischen Domänen synchro­nisiert. Dies ver­einfacht die An­meldung für Benutzer, wenn sie nur ein Pass­wort benö­tigen.

Windows Server brachte bisher in jeder Version einen eigenen Functional Level für Domänen und Forests des Active Directory. Server 2019 bleibt aber auf der Funktions­ebene 2016 stehen. Bevor man Domain Controller unter Server 2019 zu einer bestehen­den Struk­tur hinzu­fügen kann, ist jedoch wie üblich ein Schema-Update fällig.

Der Microsoft Identity Manager (MIM) bietet einen Synchro­nization Service, der Objekte zwischen ver­schiedenen Ver­zeichnis­diensten über­tragen kann. Diese Anfor­derung besteht häufig bei der Synchro­nisierung von Be­nutzern zwischen AD-Forests. Die fol­gende An­leitung zeigt, wie man dies mit MIM bewerk­stelligt.

Zu den Kern­funk­tionen von Microsoft Identity Manager (MIM) 2016 gehört das Synchro­nisieren von Objek­ten zwischen ver­schiedenen Ver­zeichnis­diensten. Dieser Beitrag be­schreibt das Setup für den Synchro­nization Service, welcher später Benutzer zwischen den Do­mänen von zwei AD-Forests über­tragen soll.

Die wichtigsten Funk­tionen von Micro­soft Iden­tity Manager (MIM) bestehen in der Synchro­nisierung von Objek­ten zwischen dem (Azure) AD und anderen Ver­zeich­nissen. Außer­dem um­fasst er ein Self-Service-Portal, ein Modul für die Zerti­fikats­ver­waltung und für Privileged Access Management (PAM).

Im folgenden Artikel gehe ich zuerst davon aus, dass der DC einwand­frei funk­tioniert und mit seinen Partnern kommu­niziert. Ich spreche dann aber auch das Ver­halten bei even­tuellen Fehler­fällen an. Das Herab­stufung (im Englischen Demotion genannt) zeige ich ein­mal anhand der GUI und zusätzlich mittels PowerShell.

Nach der Instal­lation von SCCM ist das Sys­tem leer, es sind keine User und auch keine Computer ent­halten. Diese muss der Admini­strator daher erst impor­tieren. Dafür stehen mehrere Ver­fahren zur Aus­wahl. Ich be­schreibe hier die manu­elle Ein­gabe eines Com­puters sowie die Über­nahme aus dem Active Directory.

Der Network Policy Server (NPS) über­nimmt die Authen­tifi­zierung, Autori­sierung sowie das Accounting (AAA) für Radius-Clients (Access Server). Das können WLAN-APs, Switches, DFÜ-Remote­zugriffe und VPN-Server sein. Diese Anleitung zeigt, wie man NPS installiert, mit dem AD verbindet und Accounting aktiviert.