Microsoft AZ-801: Identitäts- und Zugriffsverwaltung für hybride Umgebungen — Lernleitfaden

By Laurynas Brazys · 7 August 2026 · #microsoft #az-801 #certification #exam-prep #study-guide

Teil des Microsoft Windows Server Hybrid Administrator Associate AZ-801 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Microsoft-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Das Identitäts- und Zugriffsmanagement in hybriden Umgebungen basiert auf einer konsistenten Steuerungsebene über lokale Active Directory Domain Services (AD DS) und Microsoft Entra ID. Die zentralen Bausteine sind Verzeichnissynchronisierung und Zustandsüberwachung, Geräteidentität und Single Sign-On, sichere Föderation oder Reverse-Proxy-Veröffentlichung für Legacy-Anwendungen sowie Just-in-Time-Governance für privilegierte Rollen und externe Benutzer. Effektive Designs beinhalten Azure AD Connect (jetzt Microsoft Entra Connect sync), Azure AD Connect Health, Hybrid Azure AD Join mit Disziplin bei der Fehlerbehebung, Seamless SSO, AD FS, wenn eine Föderation erforderlich ist, Azure AD Application Proxy mit Kerberos Constrained Delegation für lokale Anwendungen, starke Richtlinien für den bedingten Zugriff (Conditional Access), Azure AD Password Protection auf Domänencontrollern und Microsoft Entra ID Governance einschließlich PIM und Berechtigungsverwaltung.

Azure AD Connect und Health in der hybriden Identität

Azure AD Connect ist die maßgebliche Synchronisierungs-Engine zwischen AD DS und Microsoft Entra ID. Das korrekte Definieren des Geltungsbereichs, das Transformieren und das Schreiben von Attributen ist entscheidend.

Das Kennwortrückschreiben (Password Writeback) erweitert die Self-Service-Kennwortzurücksetzung (SSPR) und Kennwortänderungen in der Cloud zurück zum lokalen AD. Es erfordert Microsoft Entra ID P1/P2, aktiviertes SSPR im Mandanten, ausgehenden HTTPS-Verkehr vom Synchronisierungsserver und dass das Dienstkonto von Azure AD Connect sync über die entsprechenden Berechtigungen zum Zurücksetzen in AD verfügt. Wenn aktiviert, erfahren Benutzer, die ihre Kennwörter in Entra zurücksetzen, eine sofortige Durchsetzung in AD DS, wobei die Regeln die AD-Kennwortrichtlinien berücksichtigen.

Das Geräterückschreiben (Device Writeback) erstellt msDS-Device-Objekte in AD DS für Geräte, die in Entra registriert sind. Dies unterstützt den lokalen bedingten Zugriff in AD FS und bestimmte Szenarien des Zertifikatvertrauens von Windows Hello for Business. Die Anforderungen umfassen ein Schema von Windows Server 2012 R2 oder neuer, Enterprise-Admin-Rechte zum Erstellen des RegisteredDevices-Containers und eine Konfiguration von Azure AD Connect, die auf die richtige Gesamtstruktur und Organisationseinheit (OU) abzielt. Das Synchronisierungsdienstkonto erhält delegierte Rechte für diesen Container.

Das Gruppenrückschreiben (Group Writeback) synchronisiert Microsoft 365-Gruppen zurück zu AD DS als E-Mail-aktivierte Gruppen für lokale Adresslisten und ACLs. Group Writeback v2 ermöglicht die Beschränkung auf eine bestimmte OU und erhält die Mitgliedschaft mit höherer Genauigkeit. Für E-Mail-Funktionen wird ein Exchange-Hybrid-Setup empfohlen. Administratoren sollten Attribute von Gruppen, die aus der Cloud stammen, nicht lokal ändern; behandeln Sie das Rückschreiben als maßgeblich von Entra.

Synchronisierungsregeln bestimmen den Objektbereich, Verknüpfungen (Joins) und Attributflüsse. Verwenden Sie den Synchronization Rules Editor, um benutzerdefinierte eingehende oder ausgehende Regeln mit höherer Priorität (niedrigerer numerischer Wert) zu erstellen, anstatt die integrierten Regeln zu ändern. Definieren Sie Bereichsfilter (z. B. nur Benutzer mit einem bestimmten Attribut synchronisieren), Verknüpfungsregeln (wie Cloud- und lokale Objekte korrelieren – die Konsistenz von immutableId/sourceAnchor ist entscheidend) und Transformationen (UPNs normalisieren, Erweiterungsattribute zuordnen). Beschränken Sie die Synchronisierung durch Domänen-/OU-Filterung oder attributbasierte Filterung, um die Datenexposition zu minimieren und die Fehleranfälligkeit zu reduzieren.

Azure AD Connect Health bietet eine kontinuierliche Überwachung für AD DS, AD FS und AAD Connect. Installieren Sie die Health-Agents auf Domänencontrollern, AD FS/WAP-Servern und dem Synchronisierungsserver. Das Portal zeigt Folgendes an:

Synchronisierungsfehler und -warnungen: Exportfehler (ConstraintViolation, ObjectTypeMismatch), Ereignisse zur Resilienz bei doppelten Attributen, Fehler bei der Kennworthash-Synchronisierung, Probleme bei der Delta-Synchronisierung und der Zustand des Schedulers.
AD FS-Analysen: Fehler bei der Token-Ausstellung, Zertifikatsablauf, Aktualität der Vertrauensstellungsmetadaten, Latenz zu Relying Parties und Anomalien wie hohe Extranet-Sperrungen.
AD DS-Analysen: Replikationsstau, Zustand der FSMO-Rollen, Fehler im sicheren Kanal und Einblicke in die NTLM-Veraltung. Untersuchen Sie Fehler konsistent in der Phase, in der sie auftreten (Import, Synchronisierung, Export), mit dem Synchronization Service Manager und korrelieren Sie sie mit den Warnungen von Connect Health. Nutzen Sie Nutzungsanalysen, um die Infrastruktur richtig zu dimensionieren und anomale Anmelde- oder Token-Ausstellungsmuster zu erkennen.

Geräteidentität und Single Sign-On

Hybrid Azure AD Join (HAADJ) bindet in die Domäne eingebundene Geräte an Entra und ermöglicht so PRT-basiertes SSO und gerätebasierten bedingten Zugriff (Conditional Access). Zu den Anforderungen gehören verifizierte benutzerdefinierte Domänen in Entra, eine SCP-Konfiguration in AD (Azure AD Connect kann dies pro Gesamtstruktur konfigurieren), die Aktivierung der Geräteregistrierung in Entra und ausgehender Zugriff auf die Endpunkte für die Geräteregistrierung. Windows 10/11 und Windows Server 2016+ unterstützen den automatischen hybriden Beitritt, wenn sie eine direkte Verbindung (Line-of-Sight) zu einem Domänencontroller oder die entsprechende Netzwerkerreichbarkeit haben. Ältere Geräte erforderten früher AD FS/Workplace Join, aber moderne Bereitstellungen standardisieren auf unterstützten Client-Betriebssystemversionen.

Der Beitrittsprozess beruht darauf, dass das Gerät den Mandanten über den SCP in der Konfigurationspartition ermittelt, die „enterpriseregistration“-Endpunkte kontaktiert, sich mit dem Computerkonto authentifiziert und ein Geräteobjekt in Entra registriert. Eine erfolgreiche Registrierung führt zu einem Primary Refresh Token (PRT), das SSO für moderne Anwendungen ermöglicht. Zur Fehlerbehebung verwenden Sie dsregcmd:

undefined

bestätigt AzureAdJoined = YES und DomainJoined = YES und zeigt den PRT-Status, die TenantId und Fehlercodes an.

Überprüfen Sie das Ereignisprotokoll „User Device Registration“ (unter Anwendungs- und Dienstprotokolle) auf DRS- und Authentifizierungsfehler.
Validieren Sie die Zeitsynchronisierung, Proxy-Ausnahmen für die Endpunkte der Geräteregistrierung, die Korrektheit des SCP und dass der Geräte-Writeback (falls verwendet) den AD-Container mit den korrekten Berechtigungen erstellt hat. Bei Bedarf löscht

undefined

die Registrierung, um einen sauberen Beitrittsversuch zu ermöglichen.

Azure AD Seamless SSO (Nahtloses einmaliges Anmelden) bietet integrierte Windows-Authentifizierung für Entra ohne AD FS. Die Aktivierung von SSO in Azure AD Connect erstellt das Computerkonto

undefined

in AD und setzt die SPNs (HTTP/autologon.microsoftazuread-sso.com). Domänencontroller stellen ein Kerberos-Dienstticket für diesen SPN aus, wenn Browser auf den Autologon-Endpunkt zugreifen; Entra validiert das Ticket mithilfe des sicher im Mandanten gespeicherten gemeinsamen Schlüssels. Zu den unterstützten Clients gehören Microsoft Edge und Internet Explorer mit den Entra-Endpunkten in der Zone „Lokales Intranet“, Google Chrome über die Richtlinie für die integrierte Windows-Authentifizierung und Firefox mit der „negotiate“-Konfiguration. Geräte müssen in die Domäne eingebunden und im Unternehmensnetzwerk (oder über VPN verbunden) sein, um Kerberos-Tickets vorzulegen; private Browsing-Modi können die integrierte Windows-Authentifizierung (WIA) deaktivieren. Die Schlüssel für

undefined

werden automatisch rotiert; setzen Sie sie nicht manuell zurück. Nahtloses SSO funktioniert sowohl mit der Kennworthashsynchronisierung (Password Hash Sync) als auch mit der Pass-Through-Authentifizierung.

Verbund, Anwendungsveröffentlichung und sicherer Zugriff

Active Directory Federation Services (AD FS) bleiben relevant, wenn Organisationen Anspruchsanreicherung (Claim Enrichment), Smartcard- oder Zertifikatsauthentifizierung oder bereits bestehende Verbundverträge benötigen. In AD FS stellt eine Anspruchsanbieter-Vertrauensstellung (Claims Provider Trust) eine eingehende Identitätsquelle dar (typischerweise Active Directory oder ein Partner-IdP). Eine Vertrauensstellung der vertrauenden Seite (Relying Party Trust) repräsentiert eine Anwendung, die auf AD FS-Token vertraut (zum Beispiel Microsoft 365 im Verbundmodus oder eine SAML-App). Anspruchsausstellungsregeln (Claims Issuance Rules) transformieren eingehende Attribute in die von der vertrauenden Seite erwarteten Token; verwenden Sie die Anspruchsregelsprache oder die Regelvorlagen, um Richtlinien mit den geringsten Rechten (Least Privilege) zu erstellen. Halten Sie Tokensignatur- und Tokenentschlüsselungszertifikate intakt und automatisieren Sie deren Erneuerung (Rollover), wo immer möglich. Der Web Application Proxy (WAP) veröffentlicht AD FS extern, validiert die AD FS-Proxy-Vertrauensstellung und beendet TLS am Netzwerkrand; überwachen Sie den Zustand des WAP und stellen Sie sicher, dass Whitelistings für Endpunkte und die Zertifikatserneuerung automatisiert sind.

Zur Modernisierung des Zugriffs auf lokale Webanwendungen bietet der Azure AD Application Proxy eine Cloud-Vorauthentifizierung und integriert sich mit Conditional Access. Stellen Sie Konnektoren auf in die Domäne eingebundenen Windows Server-Hosts bereit, die nur ausgehenden HTTPS-Zugriff auf den Dienst benötigen. Verwenden Sie Konnektorgruppen, um Anwendungen nach Netzwerkzone, Latenz oder Datenresidenz zu segmentieren und um eine Isolierung für Hochrisikoanwendungen bereitzustellen. Wählen Sie die Vorauthentifizierung mit Azure AD, um MFA, Gerätekonformität, Anmelderisiko und Gruppenmitgliedschaft zu erzwingen, bevor der Datenverkehr das Rechenzentrum erreicht; die Pass-Through-Vorauthentifizierung sollte Szenarien vorbehalten sein, in denen die Anwendung die Authentifizierung selbst übernimmt und Conditional Access nicht erforderlich ist. Für SSO bei Anwendungen mit integrierter Windows-Authentifizierung konfigurieren Sie die eingeschränkte Kerberos-Delegierung (Kerberos Constrained Delegation, KCD) auf dem Computerkonto des Konnektors für den Ziel-SPN (HTTP/app-server). Der Konnektor fordert im Namen des Benutzers ein Kerberos-Ticket an und legt es der Anwendung vor. Dies ermöglicht nahtloses SSO aus dem Internet, während die Delegierung mit den geringsten Rechten beibehalten wird. Validieren Sie SPNs, stellen Sie sicher, dass der Konnektor KDCs und die Backend-Anwendung erreichen kann, und beschränken Sie die Delegierung nur auf die erforderlichen Dienste.

Der bedingte Zugriff (Conditional Access) erzwingt risiko- und statusbewusste Richtlinien für Cloud-Anwendungen und veröffentlichte lokale Anwendungen. Kombinieren Sie Signale wie den Gerätestatus („Gerät muss als konform markiert sein“) und den Verzeichnisstatus („Hybrid Azure AD-eingebundenes Gerät anfordern“), um den Zugriff für verwaltete Endpunkte zu steuern. Nutzen Sie das Anmelderisiko von Identity Protection, um anomale Anmeldungen zu blockieren oder dafür MFA zu verlangen. Wenden Sie Richtlinien auf Apps an, die über den Azure AD Application Proxy mit Azure AD-Vorauthentifizierung veröffentlicht wurden. Für AD FS-Verbundanwendungen bilden Sie die gewünschte Logik über AD FS-Anspruchsregeln nach oder migrieren Sie zur Cloud-Vorauthentifizierung. Schließen Sie Notfallkonten (Break-Glass-Konten) und Dienstprinzipale aus und testen Sie die Richtlinie im reinen Berichtsmodus (Report-Only-Modus), bevor Sie sie erzwingen.

Privilegierter Zugriff, Kennwortschutz und Governance

Azure AD Password Protection eliminiert schwache Anmeldeinformationen, indem es die globale Liste gesperrter Kennwörter von Microsoft mit einer benutzerdefinierten Liste der Organisation kombiniert. Stellen Sie den Azure AD Password Protection-Proxydienst auf einem oder mehreren Mitgliedsservern bereit, um die DC-Konnektivität zur Cloud zu vermitteln, und installieren Sie den DC-Agent auf jedem beschreibbaren Domänencontroller, um die Richtlinie bei der Kennworterstellung/-änderung durchzusetzen. Die Agents rufen die aktuelle Richtlinie über HTTPS ab, und die Durchsetzung kann im Überwachungsmodus ausgeführt werden, bevor in den Erzwingungsmodus gewechselt wird. Der Algorithmus bewertet Varianten und gängige Ersetzungen; überwachen Sie die dedizierten Ereignisprotokolle auf Ablehnungen und Überwachungsereignisse. Dies lässt sich in das SSPR-Kennwortrückschreiben integrieren, sodass überall dieselben Regeln gelten.

Privileged Identity Management (PIM) operationalisiert das Prinzip der geringsten Rechte durch berechtigte Zuweisungen und Just-in-Time-Aktivierung. Weisen Sie Rollen mit hoher Auswirkung (Global Administrator, Privileged Role Administrator, Security Administrator) als berechtigt zu, nicht als permanent. Konfigurieren Sie Aktivierungsanforderungen wie MFA, ein Ticket oder eine Begründung, einen Genehmigungsworkflow mit benannten Genehmigern, eine zeitlich begrenzte Aktivierung und optionalen Azure AD Conditional Access bei der Aktivierung. PIM für Gruppen erweitert den JIT-Zugriff auf die Mitgliedschaft/Inhaberschaft von privilegierten Zugriffsgruppen, die wiederum Azure AD-Rollen oder Azure RBAC zugewiesen werden können. Verwenden Sie Zugriffsüberprüfungen, um die Rollen- und Gruppenmitgliedschaft in regelmäßigen Abständen zu rezertifizieren, wobei Ressourcenbesitzer den Zugriff bestätigen oder automatisch widerrufen müssen, wenn Benutzer inaktiv sind oder die Abteilung wechseln. Warnungen identifizieren dauerhaft privilegierte Konten, und Audit-Protokolle erfassen jede Aktivierung und Genehmigung für Compliance-Zwecke.

Die Berechtigungsverwaltung von Microsoft Entra ID Governance stellt Zugriffspakete zusammen, die Ressourcen (Gruppen, SharePoint-Websites und Anwendungen) mit Lebenszyklus- und Genehmigungsrichtlinien bündeln. Definieren Sie, wer Zugriff anfordern kann (interne Benutzer, bestimmte Abteilungen oder externe Benutzer aus verbundenen Organisationen), legen Sie mehrstufige Genehmigungen fest, fordern Sie eine geschäftliche Begründung an und erzwingen Sie den Ablauf mit Zugriffsüberprüfungen am Ende des Lebenszyklus. Verbundene Organisationen modellieren Partnerdomänen und Identitätsanbieter, um das B2B-Onboarding mit entsprechenden Nutzungsbedingungen und Lebenszyklusautomatisierung zu optimieren. Benutzer fordern den Zugriff über das „Mein Zugriff“-Portal an, und nach Ablauf werden die Ressourcen automatisch entfernt, um dauerhaften Zugriff zu minimieren.

Praktisches Problemszenario

Die Siemens AG migriert ältere lokale Webanwendungen auf einen modernen Zugriff, behält dabei AD DS bei und führt das Prinzip der geringsten Rechte ein. Benutzer beschweren sich über wiederholte Anmeldeaufforderungen für Microsoft 365 und interne Anwendungen, und Auditoren fordern einen zeitlich begrenzten administrativen Zugriff und eine starke Kennworthygiene.

Hybride Identität und SSO einrichten

Stellen Sie die Microsoft Entra Connect-Synchronisierung mit Password Hash Sync bereit und aktivieren Sie Seamless SSO. Dies reduziert Anmeldeaufforderungen, indem Kerberos-basiertes SSO über das AZUREADSSOACC-Konto ermöglicht wird, ohne dass AD FS erforderlich ist. Konfigurieren Sie die OU-Filterung und benutzerdefinierte Synchronisierungsregeln, um nur die erforderlichen Objekte einzubeziehen und UPNs zu normalisieren.

Gerätevertrauen und Conditional Access aktivieren

Konfigurieren Sie Hybrid Azure AD Join über Azure AD Connect, um in die Domäne eingebundene Windows-Clients zu registrieren. Dies liefert gerätebasierte Signale für Conditional Access. Validieren Sie die Registrierung mit

undefined

und beheben Sie Fehlkonfigurationen von SCP oder Proxy, die im Protokoll „User Device Registration“ angezeigt werden.

Lokale Anwendungen sicher veröffentlichen

Stellen Sie Azure AD Application Proxy-Connectors in zwei Rechenzentren bereit und ordnen Sie Anwendungen nach Standort Connector-Gruppen zu. Verwenden Sie die Azure AD-Vorauthentifizierung, damit Conditional Access Hybrid-Join oder Compliance und MFA am Edge erzwingt. Konfigurieren Sie KCD auf den Computerkonten der Connectors für IWA-Anwendungen und beschränken Sie die Delegierung auf bestimmte SPNs, um Internet-SSO mit dem Prinzip der geringsten Rechte zu erreichen.

Kennwörter durchgängig härten

Installieren Sie den Azure AD Password Protection-Proxydienst auf redundanten Mitgliedsservern und den DC-Agent auf allen beschreibbaren Domänencontrollern. Aktivieren Sie den Erzwingungsmodus mit einer benutzerdefinierten Liste gesperrter Kennwörter, die Siemens-spezifische Begriffe enthält. Dies gewährleistet eine konsistente Ablehnung schwacher Kennwörter sowohl lokal als auch über SSPR mit Kennwortrückschreiben.

Privilegierten Zugriff modernisieren

Implementieren Sie PIM mit berechtigten Zuweisungen für Global Administrator, Privileged Role Administrator und kritische Azure RBAC-Rollen. Fordern Sie MFA, eine Begründung und eine einstufige Genehmigung mit 4-stündigen Aktivierungsfenstern an. Konfigurieren Sie vierteljährliche Zugriffsüberprüfungen für alle privilegierten Rollen und privilegierten Zugriffsgruppen, wobei inaktive oder nicht genehmigte Zuweisungen automatisch entfernt werden.

Überwachen und betreiben

Installieren Sie Azure AD Connect Health-Agents auf dem Synchronisierungsserver, AD FS/WAP (falls noch für bestimmte Partner verwendet) und den Domänencontrollern. Verwenden Sie Zustandsbenachrichtigungen, um Synchronisierungsfehler, den Status der Kennworthash-Synchronisierung, den Zustand der AD DS-Replikation und Anomalien bei der Ausstellung von AD FS-Token zu verfolgen. Nutzen Sie Nutzungsanalysen, um die Connector-Kapazität richtig zu dimensionieren und anomale Spitzen zu erkennen.

Dieser Ansatz eliminiert unnötige Federation, zentralisiert Richtlinien mit Conditional Access und verwendet KCD, um den Zugriff auf ältere Anwendungen zu modernisieren. Seamless SSO und HAADJ beseitigen Kennwortabfragen, Password Protection erzwingt starke Anmeldeinformationen an der Quelle, und PIM plus Zugriffsüberprüfungen liefern einen auditierbaren, Just-in-Time administrativen Zugriff, der auf dem Prinzip der geringsten Rechte basiert.

← Notfallwiederherstellung und Geschäftskontinuität · Alle Domänen

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →