Sie verwenden die Option „Express-Einstellungen“ in Azure AD Connect, um eine contoso.com Active Directory-Gesamtstruktur mit Azure AD zu synchronisieren. Unter Berücksichtigung des Prinzips der geringsten Rechte, welche zwei Rollen/Gruppen sind erforderlich, um diese Konfiguration durchzuführen?

Die Express-Einstellungen von Azure AD Connect erfordern Berechtigungen, um Änderungen sowohl im lokalen Active Directory als auch in Azure AD vorzunehmen. Die Gruppe „Enterprise-Admins“ im lokalen Active Directory ist erforderlich, da Azure AD Connect ein Dienstkonto mit den notwendigen Replikationsberechtigungen in der lokalen AD-Gesamtstruktur erstellen muss. Diese Berechtigungen sind umfassend und erfordern die höchste administrative Ebene im lokalen AD. Die Rolle „Globaler Administrator“ in Azure AD ist erforderlich, da Azure AD Connect Änderungen an Azure AD vornehmen muss, einschließlich der Erstellung von Dienstprinzipalen und der Konfiguration der Synchronisierungseinstellungen. Diese Rolle bietet die umfassendsten Berechtigungen in Azure AD. Die Gruppe „Domänen-Admins“ ist nicht ausreichend, da sie keine Berechtigungen über die gesamte Gesamtstruktur hinweg besitzt, die für die Erstellung des Dienstkontos mit Replikationsberechtigungen erforderlich sind. Die Rolle „Sicherheitsadministrator“ und „Benutzeradministrator“ in Azure AD sind nicht ausreichend, da sie nicht die umfassenden Berechtigungen besitzen, die für die Konfiguration von Azure AD Connect und die Erstellung von Dienstprinzipalen in Azure AD erforderlich sind.