- Artikel
- 13Minuten Lesedauer
In diesem Artikel finden Sie alle Informationen, die Sie benötigen, um Benutzerkennwörter aus einer lokalen Active Directory-Instanz mit einer cloudbasierten Azure Active Directory-Instanz (Azure AD) zu synchronisieren.
So funktioniert die Kennworthashsynchronisierung
Der Active Directory-Domänendienst speichert Kennwörter in Form einer Hashwertdarstellung des tatsächlichen Benutzerkennworts. Ein Hashwert ist das Ergebnis einer unidirektionalen mathematischen Funktion (des „Hashalgorithmus“). Es ist nicht möglich, das Ergebnis einer unidirektionalen Funktion in die Nur-Text-Version eines Kennworts umzukehren.
Um Ihr Kennwort zu synchronisieren, extrahiert die Azure AD Connect-Synchronisierung den Kennworthash aus der lokalen Active Directory-Instanz. Vor der Synchronisierung mit dem Azure Active Directory-Authentifizierungsdienst wird der Kennworthash einer zusätzlichen Sicherheitsverarbeitung unterzogen. Kennwörter werden pro Benutzer und in chronologischer Reihenfolge synchronisiert.
Der tatsächliche Datenfluss des Kennworthashsynchronisierungs-Vorgangs ähnelt der Synchronisierung von Benutzerdaten. Kennwörter werden jedoch häufiger synchronisiert als vom Standardzeitfenster für die Verzeichnissynchronisierung für andere Attribute vorgesehen. Der Prozess der Kennworthashsynchronisierung wird alle zwei Minuten ausgeführt. Sie können die Häufigkeit der Ausführung nicht ändern. Wenn Sie ein Kennwort synchronisieren, wird das vorhandene Cloudkennwort überschrieben.
Bei der ersten Aktivierung der Kennworthashsynchronisierung wird eine anfängliche Synchronisierung der Kennwörter aller im Bereich befindlichen Benutzer durchgeführt. Es ist nicht möglich, explizit eine Teilmenge der Benutzerkennwörter zu definieren, die Sie synchronisieren möchten. Wenn jedoch mehrere Connectors vorhanden sind, ist es möglich, die Kennworthash-Synchronisierung für einige Connectors selektiv mit dem Cmdlet Set-ADSyncAADPasswordSyncConfiguration zu deaktivieren.
Wenn Sie ein lokales Kennwort ändern, wird das aktualisierte Kennwort synchronisiert. Dies dauert meist nur wenige Minuten.Das Feature der Kennworthashsynchronisierung versucht automatisch, fehlerhafte Synchronisierungsversuche erneut auszuführen. Wenn beim Versuch, ein Kennwort zu synchronisieren, ein Fehler auftritt, wird der Fehler in der Ereignisanzeige protokolliert.
Die Synchronisierung eines Kennworts hat keinen Einfluss auf den derzeit angemeldeten Benutzer.Wenn eine synchronisierte Kennwortänderung durchgeführt wird, während Sie an einem Clouddienst angemeldet sind, wirkt sich dies nicht direkt auf Ihre aktuelle Clouddienstsitzung aus. Wenn aber für den Clouddienst eine erneute Authentifizierung erforderlich ist, müssen Sie Ihr neues Kennwort angeben.
Ein Benutzer muss seine Unternehmensanmeldeinformationen ein zweites Mal eingeben, um sich bei Azure AD zu authentifizieren, und zwar unabhängig davon, ob er bei seinem Unternehmensnetzwerk angemeldet ist. Dieses Verhalten kann aber auf ein Mindestmaß beschränkt werden, indem der Benutzer bei der Anmeldung das Kontrollkästchen „Angemeldet bleiben“ aktiviert. Dadurch wird ein Sitzungscookie festgelegt, das die Authentifizierung 180 Tage lang umgeht. Die Einstellung „Angemeldet bleiben“ kann vom Azure AD-Administrator aktiviert oder deaktiviert werden. Darüber hinaus können Sie die Kennworteingabeaufforderungen reduzieren, indem Sie nahtloses einmaliges Anmelden aktivieren. Dabei werden Benutzer automatisch angemeldet, wenn sie mit ihren Unternehmensgeräten mit dem Unternehmensnetzwerk verbunden sind.
Hinweis
Die Kennwortsynchronisierung wird nur für Objekttyp-Benutzer in Active Directory unterstützt. Sie wird vom iNetOrgPerson-Objektyp nicht unterstützt.
Ausführliche Beschreibung der Funktionsweise der Kennworthashsynchronisierung
Im folgenden Abschnitt wird ausführlich beschrieben, wie die Kennworthashsynchronisierung zwischen Active Directory und Azure AD funktioniert.
- Alle zwei Minuten fordert der Kennworthashsynchronisierungs-Agent auf dem AD Connect-Server gespeicherte Kennworthashes (unicodePwd-Attribut) von einem DC an. Diese Anforderung erfolgt über das MS-DRSR-Standardreplikationsprotokoll, das zum Synchronisieren von Daten zwischen DCs verwendet wird. Das Dienstkonto muss die AD-Berechtigungen „Verzeichnisänderungen replizieren“ und „Verzeichnisänderungen replizieren: Alle“ haben (die bei der Installation standardmäßig erteilt werden), um die Kennworthashes abzurufen.
- Vor dem Senden verschlüsselt der Domänencontroller den MD4-Kennworthash mithilfe eines Schlüssels, bei dem es sich um einen MD5-Hash des RPC-Sitzungsschlüssel und einen Salt-Wert handelt. Anschließend wird das Ergebnis über RPC an den Kennworthashsynchronisierungs-Agent gesendet. Der Domänencontroller übergibt auch mithilfe des Replikationsprotokolls des Domänencontrollers den Salt-Wert an den Synchronisierungs-Agent, damit der Agent den Umschlag entschlüsseln kann.
- Sobald der Kennworthashsynchronisierungs-Agent über den verschlüsselten Umschlag verfügt, verwendet er MD5CryptoServiceProvider und den Salt-Wert, um einen Schlüssel zum Rückentschlüsseln der empfangenen Daten in ihr ursprüngliches MD4-Format zu generieren. Der Kennworthashsynchronisierungs-Agent verfügt niemals über Zugriff auf das unverschlüsselte Kennwort. Die Nutzung von MD5 durch den Kennworthashsynchronisierungs-Agent dient ausschließlich der Kompatibilität des Replikationsprotokolls mit dem Domänencontroller und erfolgt nur lokal zwischen dem Domänencontroller und dem Kennworthashsynchronisierungs-Agent.
- Der Kennworthashsynchronisierungs-Agent erweitert den binären 16-Byte-Kennworthash auf 64 Bytes, indem zunächst der Hash in eine hexadezimale 32-Byte-Zeichenfolge umgewandelt wird, die anschließend mithilfe der UTF-16-Codierung wieder in das Binärformat konvertiert wird.
- Der Kennworthashsynchronisierungs-Agent fügt der 64-Byte-Binärdatei einen benutzerspezifischen Salt-Wert mit einer Länge von zehn Bytes hinzu, um den ursprünglichen Hash noch besser zu schützen.
- Anschließend kombiniert der Kennworthashsynchronisierungs-Agent den MD4-Hash mit dem benutzerspezifischen Salt-Wert und gibt das Ergebnis in die Funktion PBKDF2 ein. Hierzu werden 1.000 Iterationen des mit HMAC-SHA256 verschlüsselten Hashalgorithmus verwendet. Weitere Details finden Sie im Azure AD-Whitepaper.
- Der Kennworthashsynchronisierungs-Agent verwendet den resultierenden 32-Byte-Hash, verkettet sowohl den benutzerspezifischen Salt-Wert als auch die Anzahl von SHA256-Iterationen damit (für die Verwendung durch Azure AD) und überträgt die Zeichenfolge anschließend von Azure AD Connect per TLS an Azure AD.
- Wenn ein Benutzer sich bei Azure AD anzumelden versucht und sein Kennwort eingibt, durchläuft das Kennwort denselben aus MD4+Salt+PBKDF2+HMAC-SHA256 bestehenden Prozess. Wenn der resultierende Hash dem in Azure AD gespeicherten Hash entspricht, hat der Benutzer das richtige Kennwort eingegeben, woraufhin er authentifiziert wird.
Hinweis
Der ursprüngliche MD4-Hash wird nicht an Azure AD übertragen. Stattdessen wird der SHA256-Hash des ursprünglichen MD4-Hashs übertragen. Daher kann der Hash, wenn er in Azure AD gespeichert ist, nicht für einen lokalen Pass-the-Hash-Angriff verwendet werden.
Sicherheitshinweise
Beim Synchronisieren von Kennwörtern wird die Nur-Text-Version Ihres Kennworts gegenüber dem Kennworthashsynchronisierungs-Feature, Azure AD oder einem der zugehörigen Dienste nicht offengelegt.
Die Authentifizierung von Benutzern erfolgt im Abgleich mit Azure AD und nicht mit der organisationseigenen Active Directory-Instanz. Die in Azure AD gespeicherten SHA256-Kennwortdaten – ein Hash des ursprünglichen MD4-Hashs – sind sicherer als die in Active Directory gespeicherten Daten. Da dieser SHA256-Hash darüber hinaus nicht entschlüsselt werden kann, lässt er sich nicht in die Active Directory-Umgebung der Organisation zurückübertragen, um in einem Pass-the-Hash-Angriff als gültiges Benutzerkennwort vorgelegt zu werden.
Überlegungen zur Kennwortrichtlinie
Es gibt zwei Arten von Kennwortrichtlinien, die von der Aktivierung der Kennworthashsynchronisierung betroffen sind:
- Kennwortkomplexitätsrichtlinie
- Kennwortablaufrichtlinie
Kennwortkomplexitätsrichtlinie
Wenn die Kennworthashsynchronisierung aktiviert wird, setzen die Kennwortkomplexitätsrichtlinien in Ihrer lokalen Active Directory-Instanz die Komplexitätsrichtlinien in der Cloud für synchronisierte Benutzer außer Kraft. Sie können alle gültigen Kennwörter Ihrer lokalen Active Directory-Instanz für den Zugriff auf Azure AD-Dienste verwenden.
Hinweis
Kennwörter für Benutzer, die direkt in der Cloud erstellt werden, unterliegen auch weiterhin in der Cloud definierten Kennwortrichtlinien.
Kennwortablaufrichtlinie
Wenn sich ein Benutzer im Bereich der Kennworthashsynchronisierung befindet, wird das Cloudkontokennwort standardmäßig auf Läuft nie ab festgelegt.
Sie können sich mit einem synchronisierten Kennwort, das in der lokalen Umgebung abgelaufen ist, weiterhin bei Ihren Clouddiensten anmelden. Ihr Cloudkennwort wird aktualisiert, wenn Sie das Kennwort in der lokalen Umgebung das nächste Mal ändern.
EnforceCloudPasswordPolicyForPasswordSyncedUsers
Wenn synchronisierte Benutzer vorhanden sind, die nur mit integrierten Azure AD-Diensten interagieren und auch eine Kennwortablaufrichtlinie einhalten müssen, können Sie die Einhaltung Ihrer Azure AD-Kennwortablaufrichtlinie erzwingen, indem Sie das EnforceCloudPasswordPolicyForPasswordSyncedUsers-Feature aktivieren.
WennEnforceCloudPasswordPolicyForPasswordSyncedUsers deaktiviert ist (Standardeinstellung), legt Azure AD Connect das PasswordPolicies-Attribut von synchronisierten Benutzern auf „DisablePasswordExpiration“ fest. Dies erfolgt jedes Mal, wenn das Kennwort eines Benutzers synchronisiert wird, und weist Azure AD an, die Cloudkennwort-Ablaufrichtlinie für diesen Benutzer zu ignorieren. Sie können den Wert des Attributs mithilfe des Azure AD PowerShell-Moduls mit dem folgenden Befehl überprüfen:
(Get-AzureADUser -objectID <User Object ID>).passwordpolicies
Führen Sie den folgenden Befehl mit dem MSOnline PowerShell-Modul aus, um das EnforceCloudPasswordPolicyForPasswordSyncedUsers-Feature wie nachstehend gezeigt zu aktivieren. Geben Sie „Yes“ für den Parameter „Enable“ ein, wie unten dargestellt:
Set-MsolDirSyncFeature -Feature EnforceCloudPasswordPolicyForPasswordSyncedUserscmdlet Set-MsolDirSyncFeature at command pipeline position 1Supply values for the following parameters:Enable: yesConfirmContinue with this operation?[Y] Yes [N] No [S] Suspend [?] Help (default is "Y"): yNach der Aktivierung des Features wechselt Azure AD nicht zu jedem synchronisierten Benutzer, um den DisablePasswordExpiration-Wert aus dem PasswordPolicies-Attribut zu entfernen. Stattdessen wird der Wert DisablePasswordExpiration bei der nächsten Kennworthashsynchronisierung für jeden Benutzer nach der nächsten Kennwortänderung im lokalen Active Directory aus „PasswordPolicies“ entfernt.
Nach der Aktivierung des Features EnforceCloudPasswordPolicyForPasswordSyncedUsers werden neue Benutzer ohne einen „PasswordPolicies“-Wert bereitgestellt.
Es wird empfohlen, EnforceCloudPasswordPolicyForPasswordSyncedUsers vor dem Aktivieren der Kennworthashsynchronisierung zu aktivieren, damit bei der Erstsynchronisierung von Kennworthashes dem „PasswordPolicies“-Attribut für die Benutzer nicht der Wert DisablePasswordExpiration hinzugefügt wird.
Die Azure AD-Standardkennwortrichtlinie erfordert, dass Benutzer ihre Kennwörter alle 90 Tage ändern. Wenn Ihre Richtlinie in AD ebenfalls 90Tage vorgibt, sollten die beiden Richtlinien übereinstimmen. Wenn die AD-Richtlinie jedoch nicht 90Tage vorgibt, können Sie die AzureAD-Kennwortrichtlinie mit dem PowerShell-Befehl „Set-MsolPasswordPolicy“ entsprechend aktualisieren.
Azure AD unterstützt eine separate Kennwortablaufrichtlinie pro registrierter Domäne.
Nachteil: Wenn synchronisierte Konten vorhanden sind, die in Azure AD nicht ablaufende Kennwörter erfordern, müssen Sie dem „PasswordPolicies“-Attribut des Benutzerobjekts in Azure AD den DisablePasswordExpiration-Wert explizit hinzufügen. Führen Sie dazu den folgenden Befehl aus.
Set-AzureADUser -ObjectID <User Object ID> -PasswordPolicies "DisablePasswordExpiration"
Hinweis
Bei Hybridbenutzern, für die der „PasswordPolicies“-Wert auf DisablePasswordExpiration festgelegt ist, wird dieser Wert in None geändert, nachdem eine Kennwortänderung lokal ausgeführt wurde.
Hinweis
Der PowerShell-Befehl „Set-MsolPasswordPolicy“ funktioniert nicht in Verbunddomänen.
Hinweis
Der PowerShell-Befehl „Set-AzureADUser PowerShell“ funktioniert nicht in Verbunddomänen.
Synchronisieren von temporären Kennwörtern und Erzwingen der Kennwortänderung bei der nächsten Anmeldung
Normalerweise wird ein Benutzer gezwungen, sein Kennwort bei der ersten Anmeldung zu ändern, insbesondere nachdem das Administratorkennwort zurückgesetzt wurde. Dies wird häufig als Festlegen eines „temporären“ Kennworts bezeichnet und durch Aktivieren des Flags „Benutzer muss Kennwort bei der nächsten Anmeldung ändern“ für ein Benutzerobjekt in Active Directory (AD) vollzogen.
Mit der Funktion für das temporäre Kennwort können Sie sicherstellen, dass die Übertragung des Besitzes der Anmeldeinformationen bei der ersten Verwendung abgeschlossen wird, um die Zeitspanne zu minimieren, in der diese Anmeldeinformationen mehr als einer Person bekannt sind.
Wenn Sie in AzureAD temporäre Kennwörter für synchronisierte Benutzer unterstützen möchten, können Sie das Feature ForcePasswordChangeOnLogOn aktivieren, indem Sie auf Ihrem AzureADConnect-Server den folgenden Befehl ausführen:
Set-ADSyncAADCompanyFeature -ForcePasswordChangeOnLogOn $true
Hinweis
Wenn ein Benutzer gezwungen wird, sein Kennwort bei der nächsten Anmeldung zu ändern, muss gleichzeitig eine Kennwortänderung vorgenommen werden. Azure ADConnect wählt das Flag zum Erzwingen der Kennwortänderung nicht selbst aus. Es ist eine Ergänzung zur erkannten Kennwortänderung, die bei der Kennworthashsynchronisierung erfolgt.
Wenn der Benutzer in Active Directory (AD) die Option „Kennwort läuft nie ab“ festgelegt hat, wird das Flag „Kennwortänderung erzwingen“ in Active Directory (AD) nicht festgelegt, sodass der Benutzer bei der nächsten Anmeldung nicht aufgefordert wird, das Kennwort zu ändern.
Achtung
Sie sollten dieses Feature nur verwenden, wenn SSPR und Kennwortrückschreiben für den Mandanten aktiviert sind. Auf diese Weise wird ein Benutzer, der sein Kennwort über SSPR ändert, mit Active Directory synchronisiert.
Kontoablauf
Wenn Ihre Organisation im Rahmen der Verwaltung von Benutzerkonten das accountExpires-Attribut verwendet, wird dieses Attribut nicht mit Azure AD synchronisiert. Deshalb bleibt ein abgelaufenes Active Directory-Konto in einer für die Kennworthashsynchronisierung konfigurierten Umgebung in Azure AD weiter aktiv. Wir empfehlen die Verwendung eines geplanten PowerShell-Skripts, das die AD-Konten der Benutzer deaktiviert, sobald sie ablaufen (verwenden Sie das Cmdlet Set-ADUser). Umgekehrt sollte das Konto während des Aufhebens des Ablaufs eines AD-Kontos wieder aktiviert werden.
Überschreiben synchronisierter Kennwörter
Ein Administrator kann Ihr Kennwort mithilfe von Windows PowerShell manuell zurücksetzen.
In diesem Fall überschreibt das neue Kennwort Ihr synchronisiertes Kennwort, und alle in der Cloud definierten Kennwortrichtlinien gelten für das neue Kennwort.
Wenn Sie das lokale Kennwort erneut ändern, wird das neue Kennwort mit der Cloud synchronisiert, und das manuell aktualisierte Kennwort wird überschrieben.
Die Synchronisierung eines Kennworts hat keinen Einfluss auf den angemeldeten Azure-Benutzer. Wenn eine synchronisierte Kennwortänderung durchgeführt wird, während Sie bei einem Clouddienst angemeldet sind, wirkt sich dies nicht direkt auf Ihre aktuelle Clouddienstsitzung aus. Durch die Einstellung „Angemeldet bleiben“ wird die Dauer dieser Differenz verlängert. Wenn für den Clouddienst eine erneute Authentifizierung erforderlich ist, müssen Sie Ihr neues Kennwort angeben.
Zusätzliche Vorteile
- Im Allgemeinen ist die Kennworthashsynchronisierung einfacher zu implementieren als ein Verbunddienst. Sie erfordert keine zusätzliche Server und beseitigt die Abhängigkeit von einem hoch verfügbaren Verbunddienst zum Authentifizieren von Benutzern.
- Die Kennworthashsynchronisierung kann auch zusätzlich zum Verbund aktiviert werden. Sie kann als Fallback dienen, wenn der Verbunddienst ausfällt.
Der Prozess der Kennworthashsynchronisierung für Azure AD Domain Services
Wenn Sie Azure AD Domain Services verwenden, um die Legacyauthentifizierung für Anwendungen und Dienste bereitzustellen, die Kerberos, LDAP oder NTLM verwenden müssen, umfasst der Kennworthash-Synchronisierungsfluss einige zusätzliche Prozesse. Azure AD Connect verwendet den folgenden zusätzlichen Prozess, um Kennworthashes mit Azure AD zur Verwendung in Azure AD Domain Services zu synchronisieren:
Wichtig
Azure AD Connect sollte nur für die Synchronisierung mit lokalen ADDS-Umgebungen installiert und konfiguriert werden. Die Installation von Azure AD Connect in einer verwalteten AzureADDS-Domäne zur erneuten Synchronisierung von Objekten mit AzureAD wird nicht unterstützt.
Azure AD Connect synchronisiert Legacykennworthashes nur, wenn Sie Azure AD DS für Ihren Azure AD-Mandanten aktivieren. Die folgenden Schritte werden nicht ausgeführt, wenn Sie Azure AD Connect nur zum Synchronisieren einer lokalen AD DS-Umgebung mit Azure AD verwenden.
Wenn Ihre Legacyanwendungen keine NTLM-Authentifizierung oder einfachen LDAP-Bindungen verwenden, empfiehlt es sich, die NTLM-Kennworthashsynchronisierung für Azure AD DS zu deaktivieren. Weitere Informationen finden Sie unter Deaktivieren von schwachen Verschlüsselungssammlungen und der Synchronisierung von NTLM-Anmeldeinformationshashes.
- Azure AD Connect ruft den öffentlichen Schlüssel für die Azure AD Domain Services-Instanz des Mandanten ab.
- Wenn ein Benutzer sein Kennwort ändert, speichert der lokale Domänencontroller das Ergebnis der Kennwortänderung (Hashes) in zwei Attributen:
- unicodePwd für den NTLM-Kennworthash.
- supplementalCredentials für den Kerberos-Kennworthash.
- Azure AD Connect erkennt Kennwortänderungen über den Verzeichnisreplikationskanal (Attributänderungen, die auf anderen Domänencontrollern repliziert werden müssen).
- Für jeden Benutzer, dessen Kennwort geändert wurde, führt Azure AD Connect die folgenden Schritte aus:
- Generiert einen zufälligen symmetrischen AES-256-Bit-Schlüssel.
- Generiert einen zufälligen Initialisierungsvektor, der für die erste Verschlüsselungsrunde erforderlich ist.
- Extrahiert Kerberos-Kennworthashes aus den supplementalCredentials-Attributen.
- Überprüft die Einstellung SyncNtlmPasswords der Azure AD Domain Services-Sicherheitskonfiguration.
- Wenn diese Einstellung deaktiviert ist, wird ein zufälliger NTLM-Hash mit hoher Entropie generiert (der sich vom Kennwort des Benutzers unterscheidet). Dieser Hash wird dann mit den extrahierten Kerberos-Kennworthashes aus dem supplementalCrendetials-Attribut in einer Datenstruktur kombiniert.
- Wenn diese Einstellung aktiviert ist, wird der Wert des unicodePwd-Attributs mit den extrahierten Kerberos-Kennworthashes aus dem supplementalCredentials-Attribut in einer Datenstruktur kombiniert.
- Verschlüsselt die einzelne Datenstruktur mit dem symmetrischen AES-Schlüssel.
- Verschlüsselt den symmetrischen AES-Schlüssel mit dem öffentlichen Azure AD Domain Services-Schlüssel des Mandanten.
- Azure AD Connect überträgt den verschlüsselten symmetrischen AES-Schlüssel, die verschlüsselte Datenstruktur mit den Kennworthashes und den Initialisierungsvektor an Azure AD.
- Azure AD speichert den verschlüsselten symmetrischen AES-Schlüssel, die verschlüsselte Datenstruktur und den Initialisierungsvektor für den Benutzer.
- Azure AD überträgt (per Push) den verschlüsselten symmetrischen AES-Schlüssel, die verschlüsselte Datenstruktur und den Initialisierungsvektor mithilfe eines internen Synchronisierungsmechanismus über eine verschlüsselte HTTP-Sitzung an Azure AD Domain Services.
- Azure AD Domain Services ruft den privaten Schlüssel für die Instanz des Mandanten von Azure Key Vault ab.
- Für jeden verschlüsselten Datensatz (der die Kennwortänderung eines einzelnen Benutzers darstellt) führt Azure AD Domain Services dann die folgenden Schritte aus:
- Verwendet den privaten Schlüssel zum Entschlüsseln des symmetrischen AES-Schlüssels.
- Verwendet den symmetrischen AES-Schlüssel mit dem Initialisierungsvektor zum Entschlüsseln der verschlüsselten Datenstruktur, die die Kennworthashes enthält.
- Schreibt die empfangenen Kerberos-Kennworthashes auf den Azure AD Domain Services-Domänencontroller. Die Hashes werden im supplementalCredentials-Attribut des Benutzerobjekts gespeichert, das in den öffentlichen Schlüssel des Azure AD Domain Services-Domänencontrollers verschlüsselt wird.
- Azure AD Domain Services schreibt den empfangenen NTLM-Kennworthash auf den Azure AD Domain Services-Domänencontroller. Der Hash wird im unicodePwd-Attribut des Benutzerobjekts gespeichert, das in den öffentlichen Schlüssel des Azure AD Domain Services-Domänencontrollers verschlüsselt wird.
Aktivieren der Kennworthashsynchronisierung
Wichtig
Wenn Sie von AD FS (oder anderen Verbundtechnologien) zur Kennworthashsynchronisierung migrieren, wird dringend empfohlen, dem ausführlichen Leitfaden zur Bereitstellung zu folgen.
Wenn Sie Azure AD Connect mit den Expresseinstellungen installieren, wird die Kennworthashsynchronisierung automatisch aktiviert. Weitere Informationen finden Sie unter Erste Schritte mit Azure AD Connect mit Expresseinstellungen.
Wenn Sie beim Installieren von Azure AD Connect benutzerdefinierte Einstellungen verwenden, steht die Kennworthashsynchronisierung auf der Seite „Benutzeranmeldung“ zur Verfügung. Weitere Informationen finden Sie unter Benutzerdefinierte Installation von Azure AD Connect.
Kennworthashsynchronisierung und FIPS
Wenn Ihr Server wegen FIPS (Federal Information Processing Standard) gesperrt wurde, ist MD5 deaktiviert.
Führen Sie zum Aktivieren von MD5 für die Kennworthashsynchronisierung die folgenden Schritte aus:
- Wechseln Sie zu „%programfiles%\Microsoft AzureAD Sync\Bin“.
- Öffnen Sie „miiserver.exe.config“.
- Wechseln Sie zum Knoten „configuration/runtime“ (am Ende der Datei).
- Fügen Sie den folgenden Knoten hinzu:
<enforceFIPSPolicy enabled="false"/> - Speichern Sie die Änderungen.
- Führen Sie einen Neustart durch, damit die Änderungen wirksam werden.
Der folgende Codeausschnitt zeigt, wie dies aussehen sollte:
<configuration> <runtime> <enforceFIPSPolicy enabled="false"/> </runtime> </configuration>Informationen zu Sicherheitsfragen und FIPS finden Sie im Blogbeitrag AAD Password Sync, Encryption and FIPS compliance (AAD-Kennwortsynchronisierung, Verschlüsselung und FIPS-Konformität).
Problembehandlung bei der Kennworthashsynchronisierung
Wenn bei der Kennworthashsynchronisierung Probleme auftreten, finden Sie weitere Informationen unter Problembehandlung bei der Kennworthashsynchronisierung.
Nächste Schritte
- Azure AD Connect-Synchronisierung: Grundlagen und Anpassung der Synchronisierung
- Integrieren lokaler Identitäten in Azure Active Directory
- Sehen Sie sich einen ausführlichen Bereitstellungsplan für die Migration von AD FS zur Kennworthashsynchronisierung an.
FAQs
How to enable password hash synchronization in Azure AD Connect? ›
- On the computer with Azure AD Connect installed, from the Start menu, open the Azure AD Connect > Synchronization Service.
- Select the Connectors tab. ...
- Copy and paste the following PowerShell script to the computer with Azure AD Connect installed.
Password hash synchronization is one of the sign-in methods used to accomplish hybrid identity. Azure AD Connect synchronizes a hash of a user's password from an on-premises Active Directory instance to a cloud-based Azure AD instance.
What is on-premises directory synchronization service account? ›Azure AD Connect installs an on-premises service which orchestrates synchronization between Active Directory and Azure Active Directory. The Microsoft Azure AD Sync synchronization service (ADSync) runs on a server in your on-premises environment.
How do I start AD Sync Service in PowerShell? ›If you need to manually run a sync cycle, then from PowerShell run Start-ADSyncSyncCycle -PolicyType Delta . To initiate a full sync cycle, run Start-ADSyncSyncCycle -PolicyType Initial from a PowerShell prompt.
How to synchronize passwords between two Active Directory domains? ›- Log in to the ADSelfService Plus user portal.
- Go to Application.
- Click on the enterprise application with which they want to link their AD account.
- Provide their credentials for that user account.
- Provide the username and password of their account in Domain B to link both accounts.
- Login to ADSelfService Plus with administrator credentials.
- Navigate to Configuration > Self-Service > Password Sync/Single Sign-On.
- Click Add Application and select Office 365.
With a passphrase, you can use Google's cloud to store and sync your Chrome data without letting Google read it. Your payment methods and addresses from Google Pay aren't encrypted by a passphrase. Passphrases are optional. Your synced data is always protected by encryption when it's in transit.
What is a password interceptor? ›Password Interceptor captures, or intercepts, when a user changes the password on a supported source. This password change is then propagated to change the related source within IdentityNow. This is available for Active Directory and IBM i.
What does it mean to sync passwords across devices? ›You can sign in to apps and sites on different devices using passwords saved to your Google Account when you either: Turn on sync in Chrome on Android.
How do I force Delta Sync? ›- For delta synchronization use the parameter -PolicyType Delta (used in most situations)
- For full synchronization, use the parameter -PolicyType Initial (rarely used)
What is the difference between Active Directory and SSO? ›
With SSO, a user logs in once, and gains access to all systems without being prompted to log in again at each of them. Active Directory (AD) is a directory service that provides a central location for network administration and security.
How do I connect my premise AD to Azure AD? ›- Create Azure AD and Activate Azure AD Sync.
- Download and Install Azure AD Sync tool in on-premise AD.
- Configure Azure AD Sync tool in on-premise AD.
- Testing Sync between on-premise AD and Azure AD.
- Create Azure AD and Activate Azure AD Sync.
Force AD Sync Using AD Users & Computers
After making the changes to your user account that you want to replicate, select the check box in the bottom left corner of the Office 365 tab: Clicking Apply or OK will force an AD sync immediately.
If you want to install a newer version of Azure AD Connect: close the Azure AD Connect wizard, uninstall the existing Azure AD Connect, and perform a clean install of the newer Azure AD Connect.
How do I manually sync Active Directory? ›- In the application web interface, select the Settings → External services → LDAP server connection section.
- Click Synchronize now.
Actually, In a larger environment, at least two domain controllers at each physical site should be DNS servers. This provides redundancy in the event that one DC goes offline unexpectedly. Note that domain-joined machines must be configured to use multiple DNS servers in order to take advantage of this.
Can you have 2 different domains on the same network? ›All on the same physical network in the same building, All absolutely fine. You need to think about how DNS would work here - the DHCP server would need to send a DNS server address to the clients that could serve both domains but that's perfectly do-able.
How do I force replication between two domain controllers in a site? ›- Open the Active Directory Sites and Services snap-in.
- Browse to the NTDS Setting object for the domain controller you want to replicate to.
- In the right pane, right-click on the connection object to the domain controller you want to replicate from and select Replicate Now.
- Visit the forgotten password reset page.
- Enter your email address.
- Click the Send a password hint option. This option will only be available if you have previously set a password hint.
- Check your email for the password hint.
- Restart the time service net stop w32time net start w32time.
- Resync the time w32tm /resync.
- Verify your sync status w32tm /query /status.
How do I bypass a password using command prompt? ›
In the Command Prompt window, type net user username “” and press Enter. Replace username with your actual Windows account name. This will reset your Windows 10 password to blank. Close the Command Prompt window and click Sign in on the login screen to log in to Windows 10 without a password.
What happens if I turn off auto-sync data? ›Tip: Turning off auto-sync for an app doesn't remove the app. It only stops the app from automatically refreshing your data. Open your phone's Settings app.
Should I turn off auto-sync data? ›If you leave auto-sync on, you may find your Android device running low on battery power much quicker than you want. So it's best to turn it off unless you really need it. For more, see the original article at the link below.
What is secret passphrase? ›A passphrase generally refers to a secret used to protect an encryption key. Commonly, an actual encryption key is derived from the passphrase and used to encrypt the protected resource.
What is spyware password stealer? ›Spyware. PasswordStealer is Malwarebytes' generic detection name for applications that may run in the background and silently collect information about the system, connected users, and network activity. It attempts to steal stored credentials, usernames, passwords, and other personal and confidential information.
How do most hackers get access to passwords? ›Phishing is one of the most common methods hackers use to steal personal information, including passwords. Six billion phishing attacks are expected to take place this year alone [*].
Which technique do hackers use to steal passwords? ›Phishing is among the most common password-stealing techniques currently in use today and is often used for other types of cyber attacks. Rooted in social engineering tactics, its success is predicated on being able to deceive a victim with seemingly legitimate information while acting on malicious intent.
Can you see synced devices on Google Account? ›Review devices
Go to your Google Account. On the left navigation panel, select Security . On the Your devices panel, select Manage all devices. You'll see devices where you're currently signed in to your Google Account or have been in the last few weeks.
According to a 2014 Pew Research report, a small majority of people do share some passwords, with 67 percent of internet users in a marriage or committed relationship saying they've shared the password to one or more of their online accounts with their partner.
What is Delta Sync and why would we use it? ›Rolling out in 2023, Delta Sync is underpinned by SkyMiles membership and catalyzed through free Wi-Fi to deliver personalized and exclusive in-flight entertainment, more ways to enjoy your favorite onboard food and beverage, and exclusive partnerships with top consumer brands coming this year.
How do I force my Garmin Edge to sync? ›
- Bring the device near your smartphone.
- Open the Garmin Connect app. TIP: The app can be open or running in the background.
- Hold the device key to view the menu.
- Hold .
- Wait while your data syncs.
- View your current data in the Garmin Connect app.
Sync from device taskbar or Start menu
Right-click the app's icon so its menu (also referred to as a jump list) appears. Select Sync this device.
- Active Directory (AD) ...
- Azure Active Directory (AAD) ...
- Hybrid Azure AD (Hybrid AAD) ...
- Azure Active Directory Domain Services (AAD DS)
The Active Directory structure is comprised of three main components: domains, trees, and forests. Several objects, like users or devices that use the same AD database, can be grouped into a single domain. Domains have a domain name system (DNS) structure.
What is difference between LDAP and SAML? ›The difference between SAML and LDAP is that SAML is designed for cloud-based connections using only an IdP and SP to communicate user data. LDAP, however, is typically used for accessing on-premises resources by installing a client on the user's device to connect with a directory service.
How do I sync on premise file server to Azure? ›- In the Windows Server 2019 Datacenter VM, open Internet Explorer. ...
- Go to the Microsoft Download Center. ...
- Select the check box for StorageSyncAgent_WS2019. ...
- Select Allow once > Run.
- Go through the Storage Sync Agent Setup Wizard and accept the defaults.
- Select Install.
- Select Finish.
You can use the Routing and Remote Access Service (RRAS) in Windows Server 2016 or Windows Server 2012 to establish an IPsec site-to-site VPN connection between the on-premises network and the Azure virtual network. You can also use other options, such as Cisco or Juniper Networks VPN devices.
Can I join an on premise server to Azure AD? ›If your environment has on-premises Active Directory Domain Services (AD DS), you can also get SSO experience on Azure AD joined devices to resources and applications that rely on on-premises AD.
How do I check my ad connect sync status? ›Using the Admin Center
You can also check the current DirSync in the Azure Active Directory Admin Center. First, log in to the portal. Then, go to Azure Active Directory —> Azure AD Connect. Under the Azure AD Connect sync section, you should see the current status of the directory sync.
Sign in to the Microsoft 365 admin center and choose DirSync Status on the home page. Alternately, you can go to Users > Active users, and on the Active users page, select the Elipse > Directory synchronization.
Why is my Microsoft Office not syncing? ›
In some cases, the syncing issues are caused by your Microsoft account using OneDrive not being connected to Windows. Open the Settings app (Win + I). Select “Accounts” then “Emails & Accounts.” Look to see if you are signed into a Microsoft account. If not, you can click the button to sign in.
How do I fix my Azure AD sync problem? ›Run the troubleshooting task in the wizard
Start the Azure AD Connect wizard. Navigate to the Additional Tasks page, select Troubleshoot, and click Next. On the Troubleshooting page, click Launch to start the troubleshooting menu in PowerShell. In the main menu, select Troubleshoot Object Synchronization.
- Remove the Azure AD account (owner) from all admin roles.
- Hard delete the quarantined object in the cloud.
- The next sync cycle will take care of soft-matching the on-premises user to the cloud account because the cloud user is now no longer a Hybrid Identity Administrator.
Navigate to and double-click AzureADConnect.
On the Welcome screen, select the box agreeing to the licensing terms and click Continue. On the Express settings screen, click Use express settings. On the Connect to Azure AD screen, enter the username and password of a Hybrid Identity Administrator for your Azure AD.
- Open your phone's Settings app.
- Tap About phone Google Account. Account sync. If you have more than one account on your phone, tap the one you want to sync.
- Tap More. Sync now.
- Tap or click to open Sync Center.
- Select the Offline Files folder. Then, on the toolbar, tap or click Sync to sync all your offline files.
...
Check Gmail sync settings
- Open the Gmail app .
- On the left, tap Menu. Settings.
- Tap your account.
- Make sure the box next to "Sync Gmail" is checked.
Enable password hash synchronization
When you install Azure AD Connect by using the Express Settings option, password hash synchronization is automatically enabled. For more information, see Getting started with Azure AD Connect using express settings.
Password Hash Synchronization (PHS) is a feature of Azure AD Connect – it is the easiest authentication option to implement and it is the default. The way PHS works is that whenever a password is changed on premises, the password hash from Active Directory is synchronized into Azure AD.
How do I know if password hash sync is enabled? ›Run Azure AD Connect, and then select View current configuration. In the details pane, check whether Password synchronization is enabled on your tenant.
How often does Azure AD Connect sync passwords? ›
@Bar076 If there has not been any password change then it happens at 30 mins interval. If there is a password change, it syncs that up in 2 minutes.
What is passthrough authentication? ›Pass-through authentication (PTA) is a feature of Azure AD Connect. It involves a simple service in the form of an agent running on one or several on-premises domain-joined servers, which validates a user's sign-on on behalf of Azure AD directly with the on-premises Active Directory (AD).
Are Google passwords synced? ›When you turn on Google Chrome's sync feature, it will save data about all your bookmarks, extensions, themes, search history, open tabs, saved passwords, payment info, addresses, phone numbers, settings, preferences, and more. You can also customize what data you do want to sync and what you don't.
What is my password hash? ›Password hashing is defined as putting a password through a hashing algorithm (bcrypt, SHA, etc) to turn plaintext into an unintelligible series of numbers and letters. This is important for basic security hygiene because, in the event of a security breach, any compromised passwords are unintelligible to the bad actor.
What is the difference between AD sync and ad connect? ›Azure AD Connect Cloud Sync is the preferred way to synchronize on-premises AD to Azure AD, assuming you can get by with its limitations. Azure AD Connect provides the most feature-rich synchronization capabilities, including Exchange hybrid support.
How do hackers find hashed passwords? ›The problem is that the hashes still have to be stored, and anything that is stored can be stolen. Hackers could get the password hashes from the server they are stored on in a number of ways. These include through disgruntled employees, SQL injections and a range of other attacks.
Can you retrieve password from hash? ›Hashing is a one-way conversion. You cannot un-hash hashed data and get the text. If you are using Asp.net Identity, it also using this method to compare the password with the hashed password.
How secure is password hash sync? ›Microsoft is committed to protecting your privacy, and it's important to note that the SHA256 hash cannot be decrypted—so the plain-text version of the password is never and can never be exposed to Microsoft.
How long does a full Azure sync take? ›Once every 30 minutes, the Azure AD synchronization is triggered, unless it is still processing the last run. Runs generally take less than 10 minutes, but if we need to replace the tool, it can take 2-3 days to get into synchronicity. On busy days, it is not uncommon for this process to take several hours to complete.
How long should a sync take? ›The duration of the sync process depends on data size across the accounts. Usually it takes no longer than 5 minutes. If it is your first synchronization, the process can take from few minutes to one hour, or even longer.
How do I know if my Azure AD Sync is working? ›
You can check the status in the Microsoft 365 admin center. If there are no errors present, the DirSync or Azure AD Connect Status icon appears as a green circle (successful).