Was ist Entra Connect? - Entra ID Hybrid 02

[@Tobi271193]

das war ein sehr gutes Video.

[@thesounditguy3609]

Zum Thema Gruppen zurückschreiben fällt mir durchaus ein Szenario ein, das wir schon mal hatten: Bei gewissen Cloud-angelegten Gruppen entscheidet sich nach einer gewissen Benutzungszeit, dass es doch praktisch wäre, diese für einen lokalen Dienst als Sicherheitsgruppe zu nutzen. Dann wäre es sehr praktisch, wenn man die Mitglieder ohne großen Aufwand aus der Wolke ins lokale AD holen könnte, ohne eine neue lokale Gruppe anlegen zu müssen. Leider funktioniert der Gruppensync ja so nicht und man kann leider ausschließlich Microsoft 365 Gruppen, aber keine Sicherheits- und Verteilergruppen syncen. Zumindest war das vor zwei Jahren so, als ich das mal getestet habe. Zwei weitere Szenarien wären darüber hinaus einfach mega: 1. Sync von dynamischen Gruppen ins lokale AD (im lokalen AD als Read-Only Objekte) 2. Nutzen von PIM für lokale Rollen wie Hyper-V Administrator etc. Könnte man bestimmt alles auch irgendwie scripten. Ist denke ich aber eher unsicher und nicht so richtig praktikabel auf Dauer.

[@der_klee]

Top content! Für mich ist mittlerweile der AAD Cloud Sync Agent die Wahl, da ich die Möglichkeit, zwei Agents als Ausfallsicherheit installieren zu können, gut finde. Auch wenn es selten ein Problem ist, wenn der AAD Connect sync nicht funktioniert, wenn es OnPrem ein Problem gibt. Die Daten sind ja synchronisiert. Nur die Änderungen werden für die Zeit des Ausfalls nicht aktualisiert. Geräte synchronisiere ich nicht, da ich diese komplett AAD joine, wenn sie per Intune gemanged werden sollen. Fileserver-Zugriff geht ja dann trotzdem per SSO. Ich lese online immer wieder, dass ein Hybrid Azure AD join aufwendig sein soll und wenn man alle Intune Features nutzen möchte, ein AAD only join empfohlen wird. Autopilot soll so such schwieriger zu konfigurieren sein. Habt ihr da Erfahrungen? Was spricht gegen einen hybrid join?

[@itelioCloudUncovered]

Hi klee, der Vorteil beim Hybrid-Join ist einfach die Flexibilität. Ich kann alle bestehenden Geräte einer Firma Hybrid-Joinen und bestenfalls ist das einzige was ein User davon mitkriegt, dass sich sein Profilbild beim Anmelden geändert hat. Dafür gewinne ich den riesigen Vorteil, meine Hybrid-Geräte im Conditional Access auszuwerten. Für neue Geräte bin ich auch auf der Seite des reinen AAD Joins. Auch weil, wie du sagst, Autopilot mit einem Hybrid AAD Join nervig ist. Das liegt aber weniger am Hybrid Join, als vielmehr am Join in die on Premises Domäne, die für den Hybrid-Join ja Voraussetzung ist. Da verspielt man einen großen Vorteil des Autopilot, weil dann beim Autopilot-Prozess eine Sichtverbindung zum Domaincontroller da sein muss. Also nichts mit "ich schicke ein Notebook zum Enduser und der klickt nur die OOBE durch". Es gibt zwar die Option des Offline Domain Joins durch Autopilot, aber das ist relativ aufwändig einzurichten und funktioniert meiner Erfahrung nach relativ unzuverlässig. Da es außerdem keinen offiziellen Migrationsweg von Hybrid Join zu AAD Join gibt, sollte man sich schon gut überlegen, was man mit einem neuen Gerät macht. Am Ende des Tages ist Cloud Sync vs. normaler Connect natürlich Geschmackssache. Ich halte mir einfach gerne die Optionen offen, die mir der größere Umfang vom normalen Connect bringt. Grüße, Thomas