Microsoft Azure Active Directory Connect entfernen

    Azure AD ConnectAzure Active Directory Connect (AAD Connect) syn­chro­nisiert User und Gruppen zwischen einem lokalen AD und der Microsoft-Cloud. In einigen Fällen kann es not­wendig sein, AAD Connect wieder zu ent­fernen. Dazu muss man es vom lokalen Server de­instal­lieren und in Azure die Synchroni­sierung deaktivieren.

    Das Entfernen von AAD Connect kann beispiels­weise fällig sein, wenn man es auf einem alten Exchange Server on Prem installiert hat und dieser nun abgebaut werden soll. Damit die Synchro­nisation zwischen lokalem Active Directory und Office 365 weiter­laufen kann, wird man es anschließend auf einem anderen Server einrichten.

    Selbst wenn alle Benutzer ihre Postfächer auf Exchange Online (Office 365) haben, behalten Unter­nehmen AAD Connect in der Regel bei, um Passwörter und andere geänderte Attribute weiter mit der Cloud abzugleichen (siehe dazu: AAD Connect installieren, Hybridmodus konfigurieren).

    Statusanzeige für AAD Connect im Microsoft 365 Admin Center

    Anders schaut es aus, wenn sich eine Organisation dazu entschließt, alle Dienste in die Microsoft-Cloud zu migrieren und kein lokales AD mehr vorzuhalten. In diesem Fall wird auch AAD Connect nicht mehr benötigt, weil die gesamte Benutzer­verwaltung dann direkt im AAD erfolgt.

    AAD Connect lokal entfernen

    In der On-Prem-Umgebung (zum Beispiel am alten Exchange Server, welcher abgebaut werden soll), muss man die Software für AAD Connect deinstallieren. Dies erfolgt über die gängigen Methoden, also via System­steuerung oder die App Einstellungen.

    Lokale Software für AAD Connect über die Systemsteuerung deinstallieren

    Danach sollten auf portal.microsoft.com im Dashboard von AAD Connect irgendwann rot markierte Fehler­meldungen auftauchen, zudem meldet Azure per Mail, dass etwas mit der Synchro­nisierung nicht stimmt.

    AAD Connect mit PowerShell deaktivieren

    Auf Seiten von Office 365 bzw. Azure muss man nun PowerShell nutzen, um mit Hilfe des Moduls MSOnline AAD Connect zu deaktivieren.

    Nachdem man mit Connect-MsolService eine Verbindung zum Tenant in Office 365 hergestellt hat, kann AAD Connect mit folgendem Befehl deaktiviert werden:

    Set-MsolDirSyncEnabled -EnableDirSync $false

    AAD Connect mit Hilfe von PowerShell in der Cloud deaktivieren

    Sollte man diese Einstellung aus Versehen im falschen Tenant verändert haben, so ersetzt man das $false auch durch ein $true, um diesen Fehler zu korrigieren.

    Anschließend kann man den Status mit folgendem Befehl überprüfen:

    (Get-MSOLCompanyInformation).DirectorySynchronizationEnabled

    Status der AAD-Synchronisierung abfragen mit Get-MSOLCompanyInformation

    Auch im Microsoft-Portal sollte die Kachel für AAD Connect jetzt verschwunden sein.

    Nach dem Deaktivieren von AAD Connect verschwindet die dafür zuständige Kachel aus dem Portal.

    Synchronisierte User können, während AAD Connect aktiv ist, in Office 365 nicht gelöscht werden, dies geht nur auf der On-Prem-Seite. Nachdem AAD Connect entfernt wurde, entfällt diese Einschränkung.

    Keine Kommentare