Azure Active Directory Möglichkeiten

Transkript

1 Azure Active Directory Möglichkeiten Wer hat eine Azure Active Directory Varianten von Azure Active Directory oder Active Directory in Azure DC als VM in Azure erstellen? Objekte in Azure Active Directory erstellen PowerShell Erweiterungen (AzureAD Modul und der Msol Service) Was ist der Azure Active Directory Domain Service Wozu benötigen wir Azure AD Connect und AD FS (Federation Service) Fazit in nur 45 Minuten 1

2 Der Erklärbär MCSE NT 4.0 MCT MCSE Themen Active Directory Netzwerk Firewall PowerShell Public Key Infrastruktur PKI Deployment mit Microsoft Werkzeugen Client Themen Azure Andre Büddemann

3 Office ProPlus, E1 Plan, E3 Plan oder E5 Plan Office 365 ProPlus lokales Setup von Office (Lizenzierung als Abonnement über die Cloud) Office 365 Enterprise E1 Plan keine lokale Installationen von Office Office ist über die Webversionen erreichbar (plus) Exchange, SharePoint, OneDrive und Skype Office 365 Enterprise E3 Plan Kombination aus ProPlus und E1 (plus) AD RMS, Archivierung Office 365 Enterprise E5 Plan E3 Plan Skype Erweiterungen Windows 10 Pro (Upgrade und duale AD Integration) immer dabei ist... Azure Active Directory 3

4 Azure Verwaltungsadministratoren, generell... Azure Account: Ein Azure Account kann "n" Subscriptions besitzen Abonnement <vs.> Subscription Diese beiden Wörter sind gleich zu setzen und legen die vertraglichen Inhalte für die Azure Dienste fest Verzeichsdienste: Es gibt ein Default Verzeichnis und "n" weitere Verzeichnisse, die rechtetechnisch von einander getrennt werden können. Subscription: Jede Subscription kann "n" delegierte von einander getrennte administrative Rollen besitzen 4

5 Azure Active Directory Varianten A) Es werden VM s erstellt die als DC s eingesetzt werden > Nachteil: Höhere Kosten, Sicherungs und Verwaltungsaufwand > Vorteil: Es ist ein "echtes" Active Directory B) Azure Active Directory als (Free, Basic, Premium 1 oder Premium 2) > Nachteil: Es ist kein "echtes" Active Directory und hat viele Einschränkungen > Vorteil: Kosten bei Free und Basic sind "Null" bzw. gering Keine extra Sicherungen C) Azure Active Directory Domain Services > Nachteil: Nur im Classic Portal (Stand Juni 2017) > Vorteil: Geringere Kosten Keine extra Sicherungen Quasi ein reales AD mit GPO und Gruppenverwaltungen Kerberos, LDAP... 5

6 Azure AD Editionen Free Benutzer, Gruppen, Self Service PW, und AA DC (Directory Connect) Kein SSO durch AD FS Basic Hat man mit O365 wie oben nur mit SSO und AD FS 99,9% SLA Premium P1 wie oben IAM (Identity and Access Management) für Objekte in Azure für Delegierungsaufgaben Microsoft Identity Manager PW können zurück gesetzt werden (bidirectonal auch zu OnPrem) Premium P2 wie oben und neue Features wie Identity Protection, Privileged Identity Management Also Schutz für "priviligierte Konten" und damit > Just in Time Zugriff 6

7 Achtung Azure Active Directory Premium kostet Geld!! Free = free Basic = Durch O365 mit abgerechnet (quasi bereits mitbezahlt) P1 = 5,06 pro Benutzer/Monat P2 = 7,59 pro Benutzer/Monat Reines Multi Factor Authentification kostet 1,18 pro Benutzer /Monat, ist aber bereits in Azure Active Directory P1 und P2 enthalten Fazit: 100 Benutzerkonten mit Azure Active Directory Connector zu Azure Active Directory migrieren kostet ca 500 pro Monat = 6000 im Jahr 7

8 Azure AD Premium Features 8

9 Azure Active Directory B2B und B2C Der Gedanke : Wir können andere Benutzerobjekte aus verschiedenen orten bei uns hinzufügen A) Partnerfirmen und deren Benutzer B) Kunden aus Facebook, Google, Amazon oder Linkedln Es handelt sich hier nicht um Azure Premium Objekte... Der Grund : Allen Benutzerobjekten könnten wir diverse Rechte IAM (Identity Access Management) an verschiedenen Objekten zuweisen 9

10 Authentifizierung und Autorisierung in Microsoft Azure Azure bietet KEINE Ünterstützung für... a) Kerberos Authentifizierung b) LDAP Protokolle Dafür ist ein Azure Verzeichnis (Active Directory) mit diesen Protokollen verwaltbar OAuth 2.0 (HTPPs) OAuth ist ein offenes Protokoll, das eine standardisierte, sichere API Autorisierung für Desktop, Web und Mobile Anwendungen erlaubt Beispiel > Twitter OpenID Connect Zusätzlicher Standard für Autorisierungen von API Zugriffen im Web. OpenID Connect ist ein optionaler Zusatzlayer zu OAuth 2.0 SAML 2.0 (XML) SAML ist ein Authentifizierung und Autorisierungsstandard auf XML Basis. Auch hierbei haben wir eine webbasierte Authentifizierungsmöglichkeit Beispiel >Apps aller Art WS Federation (HTTP) Microsoft Authentifizierungsweiterleitung über das HTTP Protokoll für AD FS 10

11 Vorführung A) Benutzer erstellen B) Gruppen erstellen C) Mit der PowerShell, das Active Diretory verwalten D) Erstellung eines Azure CO ADMINS E) weitere Verzeichnisse erstellen 11

12 Azure Administrative Rollen Altes Portal (ASM) Neues Portal (ARM) NO LOGIN Es sind Verzeichnisdienst Rollen!! Damit alleine ist keine Anmeldung an Azure Subscription möglich Es fehlt eine Subscription \Abonnement Berechtigung Dokumentation (Administrative Rollen) 12

13 Die Ernennung zum CO ADMIN der Subscription!! Stand Mai 2017!! Diese Aufgabe ist nur über das alte Portal verwaltbar. Ablauf A) wir nutzen den Benutzer von der Vorübung und delegieren ihn zum Co Administrator, der Subscription (Altes Portal > Einstellungen) B) Wir melden uns mit dem Benutzer erneut an und prüfen nun, ob wir eine Ressourcengruppe erstellen dürfen 13

14 Gruppen Verschachtelung Gruppen erstellen wir ähnlich wie in einem vergleichbaren Verzeichnisdienst Gruppen können Mitglieder (Benutzer und Gruppen) besitzen Gruppe Azubis Gruppe Berater ZugriffsGruppe_VM Admins Access Control (IAM) 14

15 Es gibt noch Azure Active Directory Domain Services PaaS 15

16 Azure Active Directory für Europa 16

17 Azure AD und AzureAD (DC VM) im Vergleich Keine Standorte Keine AD CA Kein SchemaUpdate Kein Exchange (real) Keine Trusts eingeschränkte GPO s a) AADDC Computer b) AADDC Users Keine WMI Filter Keine Erweiterungen Nur ein vnet in Azure also nur eine Region 17

18 Leider alles nur in a) ausgewählten Azure Regionen b) nur über das "alte" Portal c) nur "alte" virtuelle Netzwerke... d) die Einrichtung dauert Min bis zwei DNS Adressen angezeigt werden e) die Administraive Gruppe AAD DC Administrators sind keine "echten" AD Administratoren 18

19 noch in Bearbeitung... 19

20 KURZ: Einrichtung einer verwalteten Domäne Start > altes Portal Gruppe mit dem NAMEN!! > AAD DC Administrators < erstellen Netzwerk mit Subnets erstellen Azure Active Directory Domain Services aktivieren (unter Konfiguration) nach ca Minuten die DNS Server Informationen in die Netzwerk DNS Einstellungen übernehmen Neue Server VM s im Subnet erstellen und wie gewohnt in die Domäne aufnehmen AD Verwaltungswerkzeuge (auch GPO...) wie gewohnt installieren und benutzen Azure Dokumentation 20

21 Darstellung einer AAD Domain Service Umgebung Preise > 21

22 Vorteile des AAD Domain Service Keine VM Kosten Keine VM Wartung, Lizensierung, Patche, Sicherungen... 99,9 % SLA Kerberos, LDAP, Windows Authentifizierung, Domänenbeitritt Verbindung zu Azure AD (normale Verzeichnisse) mit AD Connectoren Erweiterungen vnets können über Gateways angebunden werden 22

23 AADC (Azure Active Directory Connector) ca. 80 MB kostenfreie MS Software die : eine Verbindung von OnPremise AD mit der Azure AD herstellt Objekte mit einer Teilmenge der Attribute nach AAD repliziert Auch das Benutzerkennwort replizieren kann!! KEIN SSO für AAD Benutzer 23

24 AD FS (Active Directory Federation Service) Lage: AADC (Azure Active Directory Connector) repliziert nicht nur die Benutzerobjekte zu Microsoft Azure in die CLOUD, sondern auch deren Kennwörter (was optional ist) Wer das nicht möchte, kann ein SSO (Single Sign On), durch eine Authentifizierung der Benutzerobjekte gegen das OnPremise AD konfigurieren. AD FS Themen sind: AD Zertifikate HTTPS saubere DNS Auflösungen aller A (Host) und CNAME Records 24

25 Der Aufbau einer AD FS Umgebung mit internen und externen Benutzern Ext. Client DMZ und FW ADFS Proxy 1 ADFS Proxy 2 LB ADFS 1 ADFS 2 LAN und FW LB DC Azure Active Directory Connect Active Directory Federation Trust Azure AD 25

26 Fazit Wir wissen: Jeder hat eine Azure Active Directory Azure AD Premium kostet schnell viel Geld In Azure können wir auch IaaS (DC als VM) als Domäne nutzen Azure Active Directory Domain Services ist PaaS Kontakt : Andre.Bueddemann@adn.de Wir bieten... Thema Azure: Azure Workshop (2 Tage) Azure MOC Ausbildung (5 Tage) Azure und PowerShell Grundlagen (2 Tage) Thema PowerShell: Grundlagen Workshop (3 Tage) PowerShell MOC Ausbildung (5 Tage) 26

27 Zusatz : Windows 10 in die Azure AD aufnehmen 27

28 Windows 10 Computer in Azure Active Directory aufnehmen 28

29 Azure Active Directory Join (Windows 10 in Azure aufnehmen) Vorteile für... Unternehmen die bereits mit Masse in der Cloud arbeiten also ohne "echte" OnPrem Domäne viele temp. Benutzer, wie Schüler und Teilnehmer von Bildungseinrichtungen Saisonkräfte also wieder ein Fall von temp. Benutzern Geräteverwaltung von möbilen Geräten, die über eine OnPrem Domäne nicht verwaltbar wären Grund für temp. Benutzer Liegt hier eher an der O365 (Lizenzverwaltung) Idee, wo Lizenzen kurzfristig dazu und entfernt werden können Weitere Dokumentation 29

30 Windows 10 Client hinzufügen Unter dem Benutzer >Geräte ist der Client später zu finden Auswählen und an Azure AD anmelden "normaler" Benutzer reicht 30

31 Hier ist der Grund warum die Aufnahme via default funktioniert 31

32 Wo bin ich... 32

33 Wo bin ich... 33

34 Wo bin ich... 34