Wenn Unter­nehmen bei einer hybriden Konfi­guration bestehend aus einem lokalem AD und Azure AD die Passwort-Hashes nicht in die Cloud über­tragen möchten, dann können sie für die Authenti­fizierung ADFS dazwischen­schalten. Ein Kompromiss wäre, nur die Kenn­wörter be­stimmter User mit AAD Connect abzu­gleichen.

Die Multifaktor-Authentifizierung (MFA) ist grund­sätzlich eine wichtige Sicherheits­funktion des Azure AD. Aller­dings kann es vorkommen, dass Benutzer vom System gedrängt werden, sich für MFA zu regi­strieren, selbst wenn dieses Feature nicht aktiviert ist. Das liegt dann meist an der Ein­stellung für Sicherheits­standards.

Benutzer sind von Online-Diensten gewohnt, dass sie Kenn­wörter bei Ver­gessen einfach zurück­setzen können. ADSelfService Plus sorgt für eine ähnliche Erfahrung in der Firmen-IT, wobei Benutzern auch andere AD-Attribute selbst ändern können. Funktionen für Admins erhöhen zudem die Sicher­heit.

Die meisten Firmen defi­nieren eine Richt­linie, die User dazu zwingt, ihre Pass­wörter nach einer be­stimmten Zeit zu ändern. Um zu ver­hindern, dass sie damit bis zur letzten Minute warten und dann wo­möglich den Helpdesk benötigen, kann man sie recht­zeitig mit Specops Password Notifi­cation daran erinnern.

Windows 10 2004 bringt eine neue Ein­stellung für die Gruppen­richtlinien, die erlaubt, die minimale Länge von Kenn­wörtern auf einen größeren Wert als 14 zu konfi­gurieren. Dies war auch bisher schon über PowerShell möglich. Die ebenfalls neue Audit-Richtlinie meldet aber Konflikte zwischen den beiden Mecha­nismen.

Zu den Begleit­erscheinungen der Authen­tifi­zierung mit Pass­wörtern gehört, dass User diese ver­gessen. Um den Help­desk zu ent­lasten, kann man das Zurück­setzen der Kenn­wörter an die Benutzer delegieren. Specops uReset bietet einen solchen Self-Service und schützt dabei vor dem Diebstahl von Identitäten.

Das Zurück­setzen von Pass­wörtern gehört zu den häufig­sten Anfragen an den Helpdesk. Die Aufgabe selbst ist zwar trivial, aber vor­her muss sicher sein, dass der Auf­trag vom betref­fenden User selbst kommt. Die Tesis Sysware GmbH bietet mit ASPR einen Self Service, der 7 Methoden zur Authen­tifizierung be­herrscht.

Microsoft sieht für das Active Directory nur be­schränkte Mittel vor, um sichere Pass­wörter zu erzwingen. Der schwe­dische Her­steller Specops Software schließt diese Lücke mit Pass­word Policy, das ein Manage­ment der Benutzer­kenn­wörter über ein ausge­klügeltes Regel­werk und eine zentrale Blacklist erlaubt.

Für bestimmte Be­nutzer macht es sowohl im lokalen Active Directory als auch in Office 365 Sinn, dass sie ihr Kenn­wort nicht regel­mäßig er­neuern müssen. In der Cloud kann man aber die ent­sprechende Ein­stellung für einzelne User nicht auf der GUI ändern. Deshalb muss man auch dafür zu PowerShell greifen.

Wenn ein Benutzer Probleme mit einer laufen­den Anwendung hat, dann muss der Helpdesk auf die Sitzung des Users zu­greifen können. Wenn dieser den Arbeits­platz ver­lassen hat und Sie sein Pass­wort nicht kennen, dann wird es knifflig. Diese An­leitung zeigt, wie ein Admin den Desktop trotz­dem ent­sperren kann.