Microsoft AZ-104: Azure Active Directory und Identitätsverwaltung — Lernleitfaden

By Laurynas Brazys · 6 August 2026 · #microsoft #az-104 #certification #exam-prep #study-guide

Teil des Microsoft Azure Administrator Associate AZ-104 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Microsoft-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Azure Active Directory (Azure AD) ist die Identitätssteuerungsebene für die Cloud-Dienste von Microsoft. Ein Mandant ist ein dediziertes, vertrauenswürdiges Identitätsverzeichnis, das Benutzer, Gruppen, Anwendungen, Geräte und Richtlinien enthält. Ein Abonnement ist ein Abrechnungscontainer für Azure-Ressourcen und ist für die Identität und den Zugriff mit genau einem Azure AD-Mandanten verknüpft; ein einzelner Mandant kann mehrere Abonnements enthalten. Rollenzuweisungen für Azure-Ressourcen (Azure RBAC) stammen aus dem Mandanten, der mit dem Abonnement verknüpft ist. Benutzer authentifizieren sich bei ihrem Heimatmandanten und können Zugriff auf Ressourcen in jedem Abonnement erhalten, das diesem Mandanten vertraut. Richtlinien für Identity Governance und Sicherheit (zum Beispiel Conditional Access) gelten auf der Mandantenebene und steuern, wie Identitäten Dienste über Abonnements hinweg nutzen.

Identitäten, Gruppen und Lizenzierung

Benutzerkonten in Azure AD fallen in drei Kategorien, die den Lebenszyklus, die Authentifizierung und die Verwaltung beeinflussen:

Reine Cloud-Benutzer werden in Azure AD erstellt und verwaltet. Ihre Anmeldeinformationen existieren nur im Mandanten, und die Kennwortzurücksetzung wird von Azure AD (SSPR) gehandhabt.
Synchronisierte Benutzer stammen aus einem lokalen Active Directory und werden über Azure AD Connect synchronisiert. Der Lebenszyklus ihrer Identität wird on-premises verwaltet. Bei der Password Hash Synchronization (PHS) speichert Azure AD einen Hash-of-Hash des lokalen Kennworts; bei der Pass-through Authentication (PTA) oder einem Verbund findet die Kennwortüberprüfung on-premises statt. Wenn das Kennwortrückschreiben (Password Writeback) aktiviert ist (Azure AD Premium + Azure AD Connect), können SSPR und „Kennwort ändern“ in der Cloud das lokale AD aktualisieren.
Gastbenutzer (B2B Collaboration) sind externe Identitäten, die als userType=Guest dargestellt werden. Sie authentifizieren sich bei ihrem eigenen Identitätsanbieter (ein anderes Azure AD, Microsoft-Konto oder Einmalkennung) und erhalten Zugriff durch Gruppen, App-Zuweisungen oder RBAC. Die Einladung führt zu einem Einlösungsprozess, den der Gast vor dem Zugriff auf Ressourcen abschließt.

Gruppen ermöglichen skalierbare Autorisierung und Lizenzierung. Die zugewiesene Mitgliedschaft wird explizit verwaltet. Die dynamische Mitgliedschaft (Azure AD Premium P1) wertet Regeln anhand von Benutzer- oder Geräteattributen aus und pflegt die Mitgliedschaft automatisch nahezu in Echtzeit, ideal für Szenarien, die auf Mitarbeitertyp, Abteilung oder Gerätekonformität basieren. Die gruppenbasierte Lizenzierung weist Sicherheitsgruppen Produkt-SKUs (zum Beispiel Microsoft 365 E5, Azure AD Premium) zu; Azure AD berechnet die effektive Lizenzzuweisung, berücksichtigt deaktivierte Servicepläne und zeigt Konflikte auf. Dynamische Gruppen lassen sich gut mit gruppenbasierter Lizenzierung kombinieren, um Personengruppen basierend auf Attributen automatisch zu lizenzieren.

Hybride Identität mit Azure AD Connect

Azure AD Connect stellt Identitätssynchronisierungs- und Anmeldemuster für hybride Umgebungen her:

Password Hash Synchronization (PHS): Synchronisiert einen kryptografischen Hash-of-Hash von lokalen Kennwörtern mit Azure AD. Azure AD führt die Authentifizierung durch, was Hochverfügbarkeit ohne eingehende Verbindungen zum Unternehmensnetzwerk ermöglicht, und unterstützt Seamless SSO. PHS ist die einfachste und widerstandsfähigste Option und wird für die meisten Organisationen empfohlen.
Pass-through Authentication (PTA): Leichte Agents validieren Kennwörter in Echtzeit gegen das lokale AD über ausgehendes TLS 443. Unterstützt Seamless SSO und behält Abhängigkeiten von lokalen Anmelderichtlinien bei, ohne einen Verbund bereitzustellen. Stellen Sie für Hochverfügbarkeit mehrere Agents bereit.
Verbund (z. B. AD FS): Die Authentifizierung findet bei einem vom Kunden verwalteten STS statt, mit der Ausstellung von Claims und optionalen Einschränkungen für Smartcards/Kerberos. Dies erhöht die Komplexität und die Betriebskosten und ist heute für Nischenanforderungen bei Claims und der Anmeldung reserviert. Viele Organisationen migrieren von einem Verbund zu PHS/PTA.

Die Synchronisierung läuft nach einem Zeitplan (standardmäßig ein 30-Minuten-Zyklus). Verwenden Sie

undefined

, um aktuelle Änderungen wie neue Benutzer, Gruppenmitgliedschaften und Attributaktualisierungen sofort zu übertragen. Führen Sie

undefined

nur bei erstmaligen Änderungen oder Änderungen an der Topologie/dem Schema aus (dies führt einen vollständigen Import, Sync und Export durch und ist langsamer). Das Erzwingen der AD-Replikation, der Neustart von NetLogon oder die Manipulation des Global Catalog löst keinen Export durch Azure AD Connect aus; die unterstützte Methode ist der PowerShell-Sync-Zyklus oder Operationen im Synchronization Service Manager. Schränken Sie die Synchronisierung durch OU- und Attributfilterung ein. Für die Integration von Password Writeback und SSPR mit der lokalen Umgebung aktivieren Sie die Writeback-Funktion in Azure AD Connect und erteilen Sie die erforderlichen lokalen Berechtigungen.

Zugriffsentscheidungen: Conditional Access, MFA, SSPR und Identity Protection

Conditional Access (Azure AD Premium P1/P2) wertet Signale aus und erzwingt Echtzeit-Kontrollen bei der Anmeldung und der Token-Ausstellung. Eine Richtlinie zielt auf Benutzer, Gruppen oder Verzeichnisrollen ab; auf Cloud-Anwendungen oder Benutzeraktionen; und auf Bedingungen wie Anmelderisiko, Geräteplattform, Client-Anwendungen (Legacy vs. Modern) und Standorte. Benannte Standorte (Named Locations) kennzeichnen vertrauenswürdige IP-Bereiche oder Länder/Regionen und ermöglichen eine explizite Einschluss-/Ausschlusslogik. Gewährungskontrollen (Grant Controls) erzwingen Anforderungen wie:

Multi-Faktor-Authentifizierung erfordern
Gerät muss als konform markiert sein (Intune)
Hybrid Azure AD-eingebundenes Gerät erfordern
App-Schutzrichtlinie, genehmigte Client-Anwendungen oder Nutzungsbedingungen erfordern Sitzungssteuerungen (Session Controls) regeln die Anmeldehäufigkeit, persistente Browsersitzungen oder von der App erzwungene Einschränkungen. Wenn die Anforderung lautet: „Globale Administratoren müssen MFA und ein vertrauenswürdiges Gerät von nicht vertrauenswürdigen Standorten aus verwenden“, zielen Sie auf die Verzeichnisrolle „Global Administrator“ ab, verwenden Sie eine Bedingung für Standorte, die die benannten vertrauenswürdigen Netzwerke ausschließt, und konfigurieren Sie die Gewährungskontrollen so, dass MFA plus entweder ein konformes Gerät oder ein Hybrid Azure AD-eingebundenes Gerät erforderlich ist. Dies wird nicht durch das Umschalten der benutzerbasierten MFA oder die alleinige Änderung von Sitzungssteuerungen gelöst.

Die Multi-Faktor-Authentifizierung kann erzwungen werden über:

Benutzerbasierte MFA (Per-user MFA): Ein veralteter, grobkörniger Aktivierungs-/Deaktivierungsstatus auf dem Benutzerobjekt. Es fehlen kontextbezogene Faktoren, und sie wird im Allgemeinen durch die Anforderungen von Conditional Access ersetzt.
Conditional Access MFA: Der moderne, empfohlene Ansatz. Erfordert MFA nur unter bestimmten Bedingungen (z. B. bei Anmeldungen mit hohem Risiko, in nicht vertrauenswürdigen Netzwerken, bei privilegierten Rollen).
Self-Service Password Reset (SSPR): Konfigurierbare Authentifizierungsmethoden und Registrierung, mit optionalem Zurückschreiben von Kennwörtern (Password Writeback) in die lokale Umgebung (On-Premises). Die kombinierte Registrierung vereinheitlicht die Einrichtung von MFA und SSPR. Definieren Sie Registrierungsrichtlinien, Methoden (z. B. Microsoft Authenticator, FIDO2, SMS/Sprachanruf als zulässig) und Sperr-/Benachrichtigungseinstellungen. Ältere Azure MFA-Nutzungsmodelle (pro Authentifizierung vs. pro aktiviertem Benutzer unter Verwendung klassischer MFA-Anbieter) können nicht direkt umgestellt werden; Sie müssen einen neuen Anbieter bereitstellen und die Zuweisung neu vornehmen – ein einfaches „Ändern des Modells“ über das Portal oder die CLI wird nicht unterstützt.

Azure AD Identity Protection (Azure AD Premium P2) erkennt Risiken und reagiert darauf mithilfe von Telemetriedaten wie kompromittierten Anmeldeinformationen (leaked credentials), atypischen Reisen, mit Malware verbundenen IPs und unbekannten Anmeldeeigenschaften:

Benutzerrisiko (User Risk): Schätzt die Wahrscheinlichkeit, dass eine Identität im Laufe der Zeit kompromittiert wurde, und löst Richtlinien aus wie „Kennwortänderung für mittleres Risiko und höher erforderlich“.
Anmelderisiko (Sign-in Risk): Schätzt die Wahrscheinlichkeit, dass eine bestimmte Anmeldung böswillig ist, und ermöglicht Kontrollen wie „MFA für mittleres Risiko und höher erforderlich“. Risikorichtlinien können automatisch Abhilfemaßnahmen einleiten (auto-remediate) oder blockieren. Integrieren Sie sie mit Conditional Access, indem Sie das Risiko als Bedingung nutzen und widerstandsfähige MFA-Methoden priorisieren.

Administrative Rollen und B2B-Governance

Administrative Rollen definieren den Geltungsbereich der Steuerung in Azure AD und sollten dem Prinzip der geringsten Rechte (Least Privilege) folgen:

Der Globale Administrator hat die volle Autorität über Identitäten, Sicherheit und Lizenzen. Setzen Sie diese Rolle sparsam ein, schützen Sie sie mit Conditional Access und MFA und ziehen Sie Privileged Identity Management (PIM) für Just-in-Time-Rechteerweiterungen und Zugriffsüberprüfungen in Betracht.
Der Benutzeradministrator kann Benutzer und Gruppen erstellen und verwalten, Passwörter von Nicht-Administratoren zurücksetzen und einige Verzeichnisattribute verwalten. Schränken Sie den Geltungsbereich mithilfe von Verwaltungseinheiten (Administrative Units) weiter ein, um den „Blast Radius“ (potenziellen Schaden) auf bestimmte Abteilungen oder Regionen zu begrenzen.
Benutzerdefinierte Rollen (Azure AD Premium) ermöglichen feingranulare Berechtigungssätze für Verzeichnisobjekte; weisen Sie diese Benutzern oder Gruppen zu, optional beschränkt auf Verwaltungseinheiten (Administrative Units).

Die B2B-Zusammenarbeit (B2B Collaboration) ermöglicht externen Benutzern den Zugriff auf Apps und Ressourcen, ohne Identitäten zu duplizieren. Der Prozess umfasst:

Einladung: Ein interner Benutzer oder eine Automatisierung lädt per E-Mail oder direktem Einlösungs-Link (Redemption URL) ein, optional unter Anforderung von Nutzungsbedingungen (Terms of Use).
Einlösung: Der Gast authentifiziert sich mit seiner Heimatidentität. Falls diese nicht verfügbar ist, kann ein Einmal-Passcode verwendet werden. Die erfolgreiche Einlösung erstellt oder bestätigt das Gastobjekt im Ressourcen-Tenant.
Autorisierung: Gewähren Sie Zugriff über Azure AD-Gruppen, App-Zuweisungen oder Azure RBAC auf Abonnements/Ressourcengruppen. Nutzen Sie gruppenbasierte Lizenzierung, wenn der Gast lizenzierte Dienste benötigt.
Governance: Verwenden Sie Access Reviews (Azure AD Premium P2), um den fortgesetzten Bedarf an Gastzugriffen regelmäßig zu bestätigen, veraltete Gäste automatisch zu entfernen und Entscheidungen zu auditieren. Konfigurieren Sie die Einstellungen für die externe Zusammenarbeit und mandantenübergreifende Zugriffsrichtlinien (Cross-Tenant Access Policies), um Zusammenarbeit und Risiko abzuwägen. Wenden Sie Conditional Access auf Gäste an und verwenden Sie benannte Standorte (Named Locations) und MFA-Anforderungen, die dem externen Risiko angemessen sind.

Praktisches Problemszenario

Die Contoso Ltd. verfügt über eine hybride Identitätsbereitstellung und muss das Risiko für privilegierten Zugriff reduzieren, während die Benutzer eines Partners für bestimmte Anwendungen eingebunden (onboarded) werden. Der Azure-Administrator hat die Aufgabe, MFA und Gerätevertrauenswürdigkeit (Device Trust) für Globale Administratoren aus nicht vertrauenswürdigen Netzwerken zu erzwingen, die Synchronisierung von Benutzern von On-Premises in die Cloud während einer Fusion zu beschleunigen und den Gastzugriff von Partnern auf eine SharePoint Online-Website und eine interne Branchenanwendung (Line-of-Business-App) zu steuern.

Schritt-für-Schritt-Ansatz:

Identitäten und Vertrauensstellungen modellieren

Verknüpfen Sie alle Azure-Abonnements mit dem Contoso-Tenant, um die Identity Governance zu zentralisieren. Erstellen Sie eine dedizierte Ressourcengruppe und Azure AD-Sicherheitsgruppen für den App-Zugriff. Dies gewährleistet eine einheitliche Richtlinienebene und vereinfacht das Targeting von Conditional Access.

Hybride Anmeldung und Synchronisierung optimieren

Konfigurieren Sie Azure AD Connect mit Password Hash Synchronization und Seamless SSO für Einfachheit und Ausfallsicherheit. Stellen Sie PTA-Agenten nur bereit, wenn regulatorische Kontrollen eine On-Premises-Passwortvalidierung erfordern. Verwenden Sie OU-Filterung, um den Geltungsbereich auf die Benutzercontainer der Fusion zu beschränken. Für eine dringende Benutzerverfügbarkeit führen Sie Start-ADSyncSyncCycle -PolicyType Delta aus. PHS bietet von Microsoft betriebene Verfügbarkeit und reduziert die Abhängigkeit von On-Premises; der Delta-Zyklus garantiert einen zeitnahen Export ohne einen aufwendigen vollständigen Sync.

Kontrollen für privilegierten Zugriff durchsetzen

Erstellen Sie eine Conditional Access-Richtlinie, die auf die Rolle des Globalen Administrators abzielt. Bedingungen: alle Standorte einschließen, benannte vertrauenswürdige Unternehmens-IP-Bereiche ausschließen. Gewährungskontrollen (Grant Controls): Multi-Faktor-Authentifizierung anfordern und anfordern, dass das Gerät als konform markiert ist (oder „hybrid Azure AD joined“ erfordern). Dies erfüllt die Anforderung „MFA + vertrauenswürdiges Gerät von nicht vertrauenswürdigen Standorten“ präzise bei der Anmeldung. Verwenden Sie PIM, um Zuweisungen für den Globalen Administrator just-in-time zu gestalten und eine Genehmigung plus MFA zu verlangen, wodurch dauerhafte Privilegien reduziert werden.

MFA und SSPR standardisieren

Deaktivieren Sie die veralteten benutzerspezifischen MFA-Status (per-user MFA) und verlassen Sie sich auf Conditional Access, um MFA kontextabhängig zu erzwingen. Aktivieren Sie die kombinierte Registrierung und SSPR mit Kennwortrückschreiben (Password Writeback), damit synchronisierte Benutzer sowohl Cloud- als auch On-Premises-Passwörter zurücksetzen können. Dies verbessert die Benutzererfahrung und stellt die Compliance sicher. Vermeiden Sie den Versuch, veraltete MFA-Nutzungsmodelle im laufenden Betrieb umzustellen, da dies nicht unterstützt wird.

Partnerbenutzer mit B2B einbinden und Zugriff steuern

Laden Sie Partneridentitäten als Gäste in den Contoso-Tenant ein und weisen Sie sie einer Sicherheitsgruppe zu, die der SharePoint-Website und der App zugeordnet ist. Wenden Sie eine Zugriffsüberprüfung (Access Review) auf die Gastgruppe mit einer 90-tägigen Wiederholung und automatischer Entfernung für Nicht-Antwortende an. Wenden Sie eine Conditional Access-Richtlinie auf Gäste an, die MFA außerhalb der benannten IP-Bereiche des Partners erfordert. B2B vermeidet die Duplizierung von Konten, nutzt die Authentifizierung des Partners und Access Reviews bieten eine Lifecycle-Governance mit auditierbaren Ergebnissen.

Warum diese Dienste:

Azure AD Connect mit PHS bietet den geringsten Betriebsaufwand bei starker Sicherheit; der Delta-Sync gewährleistet eine schnelle Bereitstellung.
Conditional Access-Gewährungskontrollen (Grant Controls) erzwingen direkt MFA und Gerätevertrauenswürdigkeit, was Sitzungssteuerungen (Session Controls) und benutzerspezifische MFA nicht garantieren können.
SSPR mit Kennwortrückschreiben schließt den Kreis für synchronisierte Identitäten, reduziert die Auslastung des Helpdesks und steht im Einklang mit den Compliance-Anforderungen.
B2B Collaboration plus Access Reviews schafft ein Gleichgewicht zwischen externer Zusammenarbeit und dem Prinzip der geringsten Rechte sowie regelmäßiger Bestätigung, wodurch das Risiko bei gleichbleibender Agilität minimiert wird.

Alle Domänen · Azure-Abonnements →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →