Frage Hybrid und AD Tool

[NilsK 2.934]

Moin,

 

der Kennwort-Sync ist eine Krücke, die aus Sicherheitssicht möglichst schnell überwunden gehört. Viel sinnvoller ist ein Federation-Konzept, bei dem nur im internen Netz des Kunden die Kennwörter liegen und auch nur dort die Authentisierung gemacht wird. Insofern ist dein Hinweis auf andere Produkte unpassend (oder auch einfach falsch).

 

Gruß, Nils

 

[Gerber 15]

vor 6 Minuten schrieb NilsK:

der Kennwort-Sync ist eine Krücke, die aus Sicherheitssicht möglichst schnell überwunden gehört. Viel sinnvoller ist ein Federation-Konzept, bei dem nur im internen Netz des Kunden die Kennwörter liegen und auch nur dort die Authentisierung gemacht wird. Insofern ist dein Hinweis auf andere Produkte unpassend (oder auch einfach falsch).

Okay okay,

Es war auch einfach nur eine Feststellung, sry .

 

Microsoft darf auch gerne eine Kennwortsynchronisation oder Authentifizierung im Netz des Kunden hinbekommen, kein Problem .

 

Grüße

Phil

[NilsK 2.934]

Moin,

 

kriegt "Microsoft" auch hin. Völlig problemlos. Um das dann zu nutzen, ist die IT-Administration oder der Dienstleister gefragt. 

 

Gruß, Nils

 

[Gerber 15]

vor 38 Minuten schrieb NilsK:

kriegt "Microsoft" auch hin. Völlig problemlos. Um das dann zu nutzen, ist die IT-Administration oder der Dienstleister gefragt. 

.

 

Ja da hast du natürlich vollkommen Recht. Ich weiß, dass die Tools von anderen Anbietern welche die Kennwörter in die Cloud spiegeln nicht wirklich super sind.

Und das AD Sync Tool hier schon seinen Dienst gut macht.

 

Vllt mal weg von den Microsoft Supporteten Maßnahmen . Ziel von mir war ja auch den Best Practice von euch zu erfragen, wie ihr mit genau solchen Situationen umgeht?

 

- Generell immer AAD Installation + ein lokalen Exchange Server um die Verwaltung durchzuführen?

- AD Sync +  Powershell oder ADSI oder extra Dritt Tools

 

Falls der Kunde sowas nicht will:

- AD Sync abschalten und beide Welten Parallel pflegen?

 

Danke euch.

Grüße

Phil

 

 

bearbeitet 6. Mai 2020 von Gerber

[MrCocktail 192]

Hi,

 

kurz und knapp, auch wenn es hier schon alle gesagt haben, es ist unsupportet und in mindestens drei mir bekannten Fällen, hat Microsoft den Support auch tatsächlich verweigert, und in einem Fall haben Sie danach auch die Lizenzprüfer losgeschickt (ist zumindest die sehr starke Annahme), da es auch von der Lizenz her nicht in Ordnung ist.

 

Um die durch Exchange erstellten Felder zu pflegen, brauchst du Lizenztechnisch einen Exchange im AD... (daher kommt auch eine Exchange 2016 Lizenz mit dem HCW).

 

Gruß

J

[NorbertFe 2.035]

vor 3 Stunden schrieb Gerber:

Naja, dass wollen aus der Erfahrung doch sehr sehr viele oder willst du auf jeder Plattform dein Kennwort händisch ändern?

 

Nein, ich weiß, wie ich federieren kann. :P

[Gerber 15]

vor 57 Minuten schrieb MrCocktail:

kurz und knapp, auch wenn es hier schon alle gesagt haben, es ist unsupportet und in mindestens drei mir bekannten Fällen, hat Microsoft den Support auch tatsächlich verweigert, und in einem Fall haben Sie danach auch die Lizenzprüfer losgeschickt (ist zumindest die sehr starke Annahme), da es auch von der Lizenz her nicht in Ordnung ist.

 

Um die durch Exchange erstellten Felder zu pflegen, brauchst du Lizenztechnisch einen Exchange im AD... (daher kommt auch eine Exchange 2016 Lizenz mit dem HCW).

Ok, krass. 

Ja klingt nicht so gut. Ich Persönlich würde auch immer einen lokalen Exchange mit ECP betreiben. 

vor 5 Minuten schrieb NorbertFe:

Nein, ich weiß, wie ich federieren kann. :P

??. 

 

Alles klar ich habe verstanden. 

Du federierst also immer (egal welche Größe) und kennwortsync ist ka**e...

 

Danke euch für die Hilfe und die Infos?. 

 

Grüße

Phil

[NorbertFe 2.035]

vor 29 Minuten schrieb Gerber:

Du federierst also immer (egal welche Größe) und kennwortsync ist ka**e...

 

Soweit es möglich ist ja. Und Ja!

[Dukel 454]

Wenn Federation nicht möglich ist gibt es ja relativ neu die Pass-Trough Auth. Die Kennwort Hashes werden nicht gesynct und man braucht keine komplexe ADFS Infrastruktur.

[NorbertFe 2.035]

vor 1 Stunde schrieb Dukel:

Wenn Federation nicht möglich ist

 

vor 1 Stunde schrieb Dukel:

braucht keine komplexe ADFS Infrastruktur

Das ist sowas von korrekt. ;)