Passwortänderungen und Kennwortschutz von Azure AD in das lokale Active Directory zurückschreiben

Benutzer können mit der Self-Service-Kennwort­zurücksetzung jederzeit im Web-Browser ihre Passwörter im Azure Active Directory (Azure AD) selbst aktualisieren oder ihre Konten bei ver­gessenen Passwärtern entsperren.

Führen Nutzer einen Self-Service Password Reset (SSPR) jedoch in einer hybriden Umgebung aus, in der das Azure AD mit lokalen AD DS verbunden ist, dann weichen die Passwörter zwischen in den beiden Verzeichnissen voneinander ab.

Um diesen unerwünschten Zustand zu beseitigen, enthält Azure AD Connect einen sicheren Mechanismus, um die Kennwort­änderungen in das lokale AD zurückzusenden. Aktiviert wird die Funktion über die Konfiguration von Azure AD Connect.

Es liegt auf der Hand, dass man zuerst das Zurückschreiben der Passwörter in Azure AD Connect konfiguriert, bevor man dieses Feature in den SSPR-Einstellungen des Azure AD aktiviert.

Hybridintegration für den Kennwortschutz

Unsichere Passwörter ("Kennwort1", "P@ssWord“, "Tes0815", usw.) werden von Azure AD standard­mäßig blockiert. Dafür nutzt es automatisch eine globale Ausschlussliste mit bekannt unsicheren Kennwörtern, die regelmäßig aktualisiert wird.

Versucht ein Azure AD-Nutzer ein unsicheres Passwort zu verwenden, dann wird er aufgefordert, eine Alternative zu finden, die den Vorgaben des Verzeichnis­dienstes entsprechen.

Die Konfiguration dieses Features erfolgt im Azure-Portal im Bereich Authenti­fizierungs­methoden => Kennwort­schutz. Hier haben Sie außerdem die Möglichkeit, den Kennwortschutz für Windows Server Active Directory zu aktivieren.

Um die Sicherheit noch weiter zu erhöhen, lassen sich benutzer­definierte Richtlinien für den Kennwortschutz definieren. Hier können Sie selbst Filter formulieren, um sämtliche Varianten eines Passworts zu blockieren, die einen bestimmten Bestandteil enthalten wie z. B. "Pa55w.rd".

Darüber hinaus lässt sich der Azure AD-Kennwortschutz auch in einer lokalen AD DS-Umgebung bereit­stellen. Wie die einzelnen Komponenten des Azure AD-Kennwortschutzes zusammen­arbeiten, zeigt das folgende Architektur­diagramm von Microsoft.

Dabei enthält ein Proxy Service, den man in der lokalen AD-Umgebung installiert, von Azure AD sowohl die globale Ausschlussliste für Passwörter als auch die benutzer­definierte Richtlinien zum Kennwortschutz.

Die Domänen-Controller verwenden diese Informationen, um bei Passwortänderungen die darin formulierten Anforderungen an Kennwörter durchzusetzen. Der Hybridansatz sorgt somit für sicher, egal auf welche Art und von wo die Nutzer seine Anmelde­informationen ändern.

Fazit

Die Integration eines Active Directory mit Azure AD bringt eine Reihe von Vorteilen. Dazu zählen das SSO für lokale und Cloud-Ressourcen sowie der Zugang zu modernen Authentifizierung­methoden.

Ein lokales AD profitiert zudem von den wesentlich flexibleren Kennwort­richtlinien in Azure AD, die sich mit Hilfe des Kennwortschutzes auch on-prem durchsetzen lassen.

Eine hybride Umgebung bedarf aber eines stetigen Abgleichs zwischen beiden Verzeichnissen. Während die Kennwort-Hashes bei entsprechender Konfiguration von Azure AD Connect in die Cloud übertragen werden, muss man den umgekehrten Weg separat einrichten.