Warum man Azure AD Domain Services nicht als Windows AD-Ersatz verwenden sollte

[English]Bei der Migration von On-Premises Windows Servern in die Cloud oder bei Hybrid-Lösungen könnte man auf die Idee kommen, das Windows Active Directory (AD) durch die Azure AD Domain Services abzulösen. Sollte man aber nochmals überdenken.


Anzeige

Ich bin da nicht so firm, aber mir ist gerade der nachfolgende Tweet unter die Augen gekommen, den ich einfach mal zur Lektüre hier einstelle. Der Autor und MVP macht sich da in diesem Blog-Beitrag einige Gedanken, warum man dies sein lassen soll.

Azure AD Domain Services should not replace Windows AD

Seine Kernaussage ist: Azure Active Directory Domain Services (Azure AD DS) ist kein Ersatz für Windows Active Directory. Der Autor listet z.B. folgende Azure AD DS Beschränkungen auf.

Kein hybrider Azure AD Beitritt

Ein Client-Computer kann mit AD DS (Windows oder Azure) oder mit Azure AD verbunden werden. Bei Client-Computern, die mit Windows AD verbunden sind, kann Azure AD Connect Sync eine hybride Verbindung zu Azure AD herstellen. Azure AD Connect Sync unterstützt aber Azure AD DS nicht. Daher können Client-Computer nicht hybrid mit Azure AD verbunden werden, wenn sie Mitglied einer Azure AD DS-Domäne sind. Diese Client-Computer können nicht Teil von Diensten sein, die Azure AD Join oder Hybrid Azure AD Join erfordern, wie z. B. Universal Print oder Conditional Access Policies.

Kein Unternehmens- oder Domänen-Admin

In Azure AD DS gibt es keine Enterprise- oder Domain-Admin-Konten. Stattdessen gibt es eine Gruppe namens AAD DC Administrators, die zur Verwaltung von Azure AD DS verwendet wird. Konten in dieser Gruppe haben Rechte wie lokaler Administrator auf Mitgliedsservern und administrative Rechte, die zur Verwaltung von Azure AD DS erforderlich sind. Die Berechtigungen Domänen- und Unternehmensadministrator sind für den Azure AD DS-Dienst reserviert.

Keine Unterstützung von Active Directory-Zertifikatsdiensten

Die erste Voraussetzung für die Installation von Active Directory Certificate Services ist die Anmeldung als Mitglied der Enterprise Admin Group. Wie bereits erwähnt, gibt es diese Konten in Azure AD DS nicht, und daher wird der AD-Zertifikatsdienst in Azure AD DS nicht unterstützt. Das schließt zertifikatsbasierte Funktionen wie die Smartcard-Authentifizierung aus.

Der Beitrag enthält weitere Einschränkungen wie "das Schema kann nicht erweitert werden", Begrenzte GPO-Unterstützung oder Redundanz.

 


Anzeige


Cookies blockieren entzieht uns die Finanzierung: Cookie-Einstellungen

Dieser Beitrag wurde unter Azure, Cloud, Windows Server abgelegt und mit AD Domain Services, Azure verschlagwortet. Setze ein Lesezeichen auf den Permalink.

5 Antworten zu Warum man Azure AD Domain Services nicht als Windows AD-Ersatz verwenden sollte

  1. Gabriel sagt:

    Danke fürs teilen.
    Eine gute Zusammenfassung.
    Auch für Cloudaffine Outsider hier wie mich.
    ;)

  2. JohnRipper sagt:

    Selten so ein schlechtes Video gesehen.

  3. Phadda sagt:

    Es ist nur eine Frage der Zeit, das es etliche Unternehmen geben wird, die mit Cloud only "aufwachsen", die erst gar nicht ein Stück Metall fürs Office kaufen werden.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht.

Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros). Kommentare abseits des Themas bitte unter Diskussion.