Passwort-Hashes mit Azure Active Directory Connect synchronisieren

In diesem Beitrag geht es darum, den Passwort-Hash bestimmter Benutzer oder Benutzer­gruppen mit der Microsoft-365-Cloud zu synchronisieren. Dabei bedienen wir uns der Attributfilterung. In unserem Beispiel synchronisieren wir alle Benutzer, welche den Wert AAD im extensionAttribut3 enthalten haben.

Wir werden dabei zwei benutzer­definierte Regeln im Synchronization Rules Editor erstellen. Die erste repliziert Benutzer mit und die zweite ohne Passwort-Hash. Zudem deaktivieren wir die Standard­regel für den Passwort-Hash, da wir diese nicht mehr benötigen.

Bevor wir die neuen Regeln konfigurieren, schalten wir die Password-Hash-Synchronisierung im AAD Connector ab.

Kopie der Standardregel als Basis für neue Regel

Im Editor für die Synchronisierungs­regeln suchen wir nun nach der Standard­kennwort­synchronisations­regel.

Wir erzeugen eine Kopie dieser Regel, indem wir sie markieren und auf Edit klicken. Anschließend wird uns angeboten, eine Kopie dieser Regel anzulegen.

Regel zum Synchronisieren ohne Hashes

Zuerst erstellen wir die Regel ohne den Passwort-Hash. Ein entsprechender Name sollte ihren Zweck widerspiegeln, damit sie später für Änderungen leichter gefunden werden kann. Zudem muss man die Priorität ändern, zum Beispiel auf den Wert 90. Dies ist notwendig, da die von uns erstellten Regeln vor den Standardregeln ausgeführt werden sollen, welche ab der Priorität 100 anfangen.

Die Kontroll­kästchen Enable Password Sync und Disabled werden nicht angehakt und bleiben somit leer.

Unter Scoping filter fügen wir nun einen weiteren Filter hinzu, bei dem wir unser extension-Attribut als Kriterium nutzen können.

Mehr müssen wir an dieser Regel nicht anpassen. Der Editor kann nun über die Schaltfläche Speichern geschlossen werden.

Regel zum Synchronisieren der Hashes

Nach dem gleichen Muster legen wir nun die Regel an, welche wir zum Synchronisieren der Passwort-Hashes brauchen, allerding mit einigen Änderungen.

Die Priorität liegt nun bei 89, da diese Regel vor der eben erstellten Regel laufen soll. Zudem haken wir das Kästchen bei Enable Password Sync dieses Mal an.

Im Bereich Scoping filter wird aus dem NOTEQUAL ein EQUAL, da die Bedingung jetzt ja zutreffen soll, wenn der Wert AAD im Attribut enthalten ist.

Auch diese Regel kann nun mit Speichern geschlossen werden. Dabei kommt immer ein kleines Fenster mit einem Hinweis hoch, welches man mit Ok bestätigt.

Anschließend sollte man über PowerShell einmal eine vollständige Synchronisierung mit folgendem Befehl anschieben:

Start-ADSyncSyncCycle -PolicyType Initial

Der Vorgang kann jetzt gut im Synchronization Service Manager beobachtet werden.

Zum Schluss aktivieren wir wieder die Kennwort-Hash-Synchronisierung über den AAD Connector.

Wenn ein Benutzer sein Kennwort in der lokalen Domäne ändern sollte, dann kann es bis zu fünf Minuten dauern, bis es auch in Microsoft 365 auf dem neuesten Stand ist.

Für das Troubleshooting hilft die Ereignisanzeige auf dem AAD-Connect-Server im Bereich Anwendung weiter. Dort sollte man sich die Ereignisse mit der ID 656 und 657 näher anschauen.

Um die Passwort­synchronisierung per PowerShell zu prüfen, kann das Cmdlet Invoke-ADSyncDiagnostics verwenden, das in AAD Connect ab Version 1.1.524.0 enthalten ist:

Invoke-ADSyncDiagnostics -PasswordSync

Die komplette Troubleshooting-Beschreibung von Microsoft ist hier zu finden.