Dieser Intensivkurs ist für alle Administratoren gedacht, die eine moderne und starke Authentifizierung für ihre Benutzer bereitstellen wollen. Es werden die Themen Identity Management, Authentication Methods und Passwordless Deployment (Migration & Enrollment) behandelt.
In einer Hybridumgebung werden On-Premises AD und Entra ID mithilfe von Entra Connect verbunden. Entra Connect ermöglicht hierbei die Synchronisation von AD Benutzern, Geräten und Gruppen von On-Premises AD nach Entra. Standardmäßig ist On-Premises AD autoritativ, was bedeutet, dass sämtliche hier vorgenommenen Änderungen auch in Entra angewendet werden. Weiterhin wird über Entra Connect die Art der Authentifizierung, welche Benutzer in der Hybridumgebung verwenden, festgelegt. In der Zukunft wird Entra Connect vermutlich durch Entra Cloud Sync ersetzt. Über Entra Cloud Sync kann nur die Hybride-Authentifizierungsmethode „Password Hash Synchronisation“ (PHS) eingerichtet und keine Geräte-Identitäten synchronisiert werden.
Es gibt verschiedene Varianten wie sich ein Benutzer bei Entra ID oder Active Directory authentifizieren kann. Diese Varianten werden in Kategorien eingeteilt, um diese besser einschätzen zu können. Eine „schlechte“ Authentifizierung ist „Benutzername“ und „Passwort“. Dies kann verbessert werden, indem der Benutzer zusätzlich einen weiteren Faktor liefert, um sich zu authentifizieren. Dies könnte eine SMS oder ein Phone-Call sein. Zu den besseren zweiten Faktoren zählen u.a. der Microsoft Authenticator, Software- oder Hardware-Tokens (OATH). Die sicherste Methode einen Benutzer zu authentifizieren, ist statt der Verwendung eines Passworts, die Verwendung mehrerer Faktoren. Dies kann mittels den Methoden Windows Hello for Business (WHfB), Microsoft Authenticator mit Phone Sign-In, FIDO2 (Passkeys) Security Key oder zertifikatsbasiert (CBA) erfolgen. Bei den Methoden WHfB, FIDO2 (Passkeys) und CBA handelt es sich um Phishing-resistente Anmeldemethoden.
In einem Unternehmen soll nicht nur sichergestellt werden, dass die Benutzer eine Sichere Anmeldemethoden verwenden, sondern auch von wo diese zugreifen. Hier kommt die MDM-Lösung Intune ins Spiel. Mithilfe von Intune kann sichergestellt werden, dass der Zugriff nur von Geräten erfolgt die meinem Sicherheitsstandard (u.a. TPM 2.0, Secure Boot, BitLocker) entsprechen. Der TPM-Chip z.B. schützt den Private Key für die Anmeldung über Windows Hello for Business.
Nur durch starke Authentifizierungsmethoden kann sichergestellt werden, dass der Benutzer auch der Benutzer ist. Standardmäßig wird dieser nicht gezwungen diese starken Formen der Authentifizierung zu nutzen. An dieser Stelle kommt Entra ID Conditional Access zum Einsatz. Mit Conditional Access können die Zugriffe von Benutzern auf Applikationen oder Aktionen innerhalb Entra IDs eingeschränkt werden. Beispielsweise soll der Benutzer immer einen zweiten Faktor liefern, wenn er auf eine Applikation wie Exchange Online oder Microsoft Teams zugreifen möchte. Über Entra ID lassen sich On-Premises oder auch Software-as-a-Service Applikationen von außerhalb einbinden. Wenn die Applikation dies unterstützt, kann diese Single Sign-On (SSO) über Entra ID anbieten, sodass der Benutzer nicht mehrere Identitäten besitzt und sich somit nicht mehrmals authentifizieren muss. On-Premises Applikationen lassen sich über den Entra Applikation Proxy sicher ins Internet veröffentlichen. Auch wenn die On-Premises Applikation nur die Kerberos Authentifizierung unterstützt.