Azure Single Sign On

Question

Wenn ich SSO mit Azure AD und meinem lokalen Active Directory einrichten muss. Ich verstehe, dass ich brauche:

1. AD FS (Aber ich weiß nicht genau verstehen, wo diese wohnen können ... ist es ein Service auf dem Gelände installiert?)

2. Azure AD Connect mit Passwortsynchronisierung . Dieser ist klar, dass bleibt auf dem Gelände.

3. Passwort Writeback für Azure AD ?? (Nicht sicher, dass ich das, aber in diesem Fall, dass ich weiß, dass ich Azure AD Premium-brauche)

Kann es jemand direkt mit weiteren Erläuterungen/Details?

Vielen Dank!

Answer 1

1. nicht notwendig auf dem Gelände, aber macht am meisten Sinn dort. Im Allgemeinen benötigt es Zugriff auf Ihre Domänencontroller über LDAP, sodass Sie es in Azure einfügen und ein Site-to-Site-VPN (oder eine Expressroute) erstellen können. Es funktioniert, ist aber wenig sinnvoll. besser in den Räumlichkeiten.
2. Noch einmal, Sie könnten es in Azure setzen, aber das macht wenig Sinn. Die Passwortsynchronisierung ist nicht erforderlich, wenn Sie AD FS verwenden. Dies kann nur hilfreich sein, wenn Ihr AD FS ausfällt und Sie AD FS temporär deaktivieren, damit Ihre Benutzer zwar arbeiten können, während AD FS heruntergefahren ist, aber wiederum wenig Sinn mit AD FS macht, da die gesamte Authentifizierung (wenn alles ordnungsgemäß funktioniert) auf Ihrem Domänencontroller.
3. Passwort-Rückschreiben, das Sie nur erlaubt das Passwort in Azure AD zurückgesetzt, und es wird on-prem AD erhalten synchronisiert zurück (von juunas)

Answer 2

Egal was passiert, müssen Sie Azure konfigurieren AD Connect auf einem Computer, der mit einer Domäne verbunden ist (lokal oder nicht). Aber dann hast du einige Möglichkeiten.

Wenn Passwörter nicht mit Azure AD synchronisiert werden sollen, können Sie ADFS lokal (oder Azure mit VPN) installieren und eine Föderation zwischen Azure AD und ADFS einrichten. Dann werden Ihre Nutzer weitergeleitet, um sich mit ADFS anzumelden, wenn sie versuchen, sich bei Azure AD anzumelden.

Eine weitere Option ist Password Sync, mit der die Kennwort-Hashes von On-Prem zu Azure AD synchronisiert werden. Dadurch können Ihre Benutzer ihr Kennwort auf der Azure AD-Anmeldeseite eingeben. In diesem Fall benötigen Sie kein ADFS.

Darüber hinaus können Sie das Zurückschreiben von Kennwörtern aktivieren, mit dem Sie das Kennwort in Azure AD zurücksetzen können. Es wird dann wieder mit dem primären AD synchronisiert. Andernfalls erfolgt die Synchronisierung nur in einer Richtung, und Sie können Kennwörter nur in On-Prem-AD zurücksetzen.

Heutzutage ist eine andere Option auch Passthrough-Authentifizierung. Auf diese Weise können Ihre Benutzer auch ihre Kennwörter auf der Azure AD-Anmeldeseite eingeben. https://docs.microsoft.com/en-us/azure/active-directory/connect/active-directory-aadconnect-sso-quick-start