Granikos Technology Blog

Identitätsmodelle

Office 365 unterstützt grundsätzlich drei unterschiedliche Modelle von Benutzeridentitäten, kurz Identitäten, für die Authentifizierung. Ohne eine erfolgreiche Authentifizierung ist eine Nutzung der zugewiesen Produkte und Dienste nicht möglich. Sie müssen sich für mindestens eine der drei Indentitätsmodelle entscheiden.

Die drei unterstützten Formen der Identität sind

• Cloud-Identität
  Bei dieser Identität gibt es keine Verbindung zu einem möglicherweise vorhanden Benutzerkonto im lokalen Active Directory. Die Verwaltung erfolgt vollständig in Office 365. Ebenso erfolgt die Authentifizierung durch Azue Active Directory (Azure AD) in der Cloud.
   
• Synchronisierte Identität
  Bei dieser Identität erfolgt eine Synchronisierung von Active Directory Benutzerobjekten und dem jeweiligen Kennwort-Hash. Auf Basis des synchronisierten Kennwort-Hashes erfolgt eine Authentifizierung durch Azure AD. 
  Synchronisierte Identitäten existieren in Azure AD parallel zu vorhandenen Cloud-Identitäten.
   
• Föderierte Identität - auch als Verbundidentität bezeichnet
  Diese Form der Identität ist eine Sonderform der synchronisierten Identität. Es erfolgt keine Synchronisierung der Kennwort-Hashes. Die Authentifizierung erfolgt durch Komponenten, die zusätzlich in der lokalen IT-Infrastruktur bereitgestellt werden müssen.
  Föderierte Identitäten existieren in Azure parallel zu vorhanden synchronisierten und Cloud-Identitäten.

Das folgende Schaubild verdeutlicht die Unterschiede der drei Identitätsmodelle.

Authentifizierung

Die Authentifizierung von synchronisierten Benutzerkonten aus dem lokalen Active Directory mit Azure AD sind drei unterschiedliche Authentifizierungsmethoden möglich.

Die drei Methoden sind:

• Kennwortsynchronisierung
  • Hierbei werden Kennwort-Hashes über AAD Connect zu Azure AD synchronisiert
  • Mit Self-Password-Reset können Benutzer ihr Kennwort in Azure AD ändern und mit aktiviertem Password-WriteBack wird die Änderung ins lokale AD zurückgeschrieben
  • Neben einem System, auf dem AAD Connect installiert ist, sind keine weiteren Systeme in der lokalen IT-Infrastruktur -Premises erforderlich

• Federation Services
  • Hierbei werden in der IT-Infrastruktur sog. Federation Server und, für den Zugriff aus dem Internet, Reverse Proxy Systeme im Perimeter-Netzwerk installiert
  • Mögliche Federation Software-Lösungen:
    • ADFS, Ping Federate, Shibboleth, u.a.
  • Neben einem System für AAD Connect werden zusätzliche Serversysteme benötigt
    Beispiel für ADFS
    • Minimum: 1x ADFS im LAN, 1x ADFS-Proxy im Perimeter-Netzwerk
    • Redundanz: 2x ADFS im LAN, 2x ADFS-Proxy im Perimeter-Netzwerk
  • Mit einer Federation-Implementierung können weitere Applikationen, zusätzlich zu Office 365, mit einer föderierten SSO-Anmeldung angebunden werden
    • Intern: z.B. Jira, Intranet, u.a.
    • Extern: z.B. Hosted SAP, u.a. 
  • Zusätzlich wird mindestens eine öffentliche IP-Adresse und eingehende HTTPS-Verbindungen benötigt
  • Hinweis:
    • Normalerweise werden Federation Services eingeführt, um KEINE Kennwort-Hashes mit Azure AD zu synchronisieren
    • MIT synchronisierten Kennwort-Hashes, ist ein längerer Ausfall der Federation Server leicht kompensierbar, da die UPN-Domäne in Office 365 nur von "federated" auf "standard" umgestellt werden muss

• Azure AD Connect Pass-through
  • Hierbei wird auf mindestens einem internem System (Domain Member) der Azure AD Connect Pass-through-Agent installiert
  • Der Agent baut eine ausgehende Verbindung zu Azure AD auf
  • Ein höhere Verfügbarkeit wird durch die Installation mehrerer Azure AD Connect Pass-through-Agenten erreicht
  • Der Agent kann auf bestehenden Systemen installiert werden
  • Eine SSO-Anbindungen ist für interne Applikation nur u.U. möglich. 

Hinsichtlich der Vor- und Nachteile dieser drei Optionen müssen Sie Ihre Anwendungsszenarien kennen. Alle drei Methoden haben ganz unterschiedliche Anforderungen. Gerade im Hinblick auf gewünschte SSO-Anbindungen von Lösungen jenseits von Office 365 (Azure AD) fallen eventuell einzelne Optionen weg.

Es dürfen aber nicht nur die Authentifizierungsart und die Applikationen betrachtet werden. Die verwendeten Clients (Desktop OS, Mobile OS, Applikationen) müssen für die ausgewählte Authentifizierungsart geeignet sein. Idealerweise sind natürlich Windows 10 und Office 2016/2019 oder Office 365 ProPlus im Einsatz. Ältere Softwarekomponenten müssen Sie separat evaluieren.

Links

• What is password hash synchronization with Azure AD?
• What is Azure Active Directory Pass-through Authentication?
• What is federation with Azure AD?

Viel Spaß mit Microsoft 365 und Azure AD.

Microsoft Teams bietet zahlreiche Möglichkeiten zur Konfiguration und Kontrolle der Sicherheits- und Complianceeinstellungen. Matt Soseman, Security Architekt bei Microsoft, hat zum Thema Security & Compliance in Microsoft Teams eine Youtube Playlist erstellt.

Hier ist eine Übersicht der wichtigsten Videos:

• Security & Compliance in Microsoft Teams: Identity & Access Management

How do I secure access to Microsoft Teams and ensure only authorized individuals can use the tool? Join us as we explore how Azure Active Directory Conditional Access and Identity Protection can provide a new level of security for Microsoft Teams.

• Security & Compliance in Microsoft Teams: Data Loss Prevention

How do I enforce policy to ensure my users cannot share sensitive data in a Microsoft Teams private chat or channel conversation? Join us as we explore how Office 365 Data Loss Prevention can block users from sharing sensitive data in Microsoft Teams – and be alerted when a violation occurs!

• Security & Compliance in Microsoft Teams: Windows Information Protection

How do I enforce policy to ensure my users cannot copy/paste or download sensitive data out of Microsoft Teams and into a non-approved application/website? Join us as we explore how Windows Information Protection can help enforce compliance and ensure corporate data stays within Microsoft Teams or approved applications.

• Security & Compliance in Microsoft Teams: Cloud App Security and Azure Active Directory

How do I enforce policy when a user accesses Microsoft Teams from a personal (non-managed) computer? Join us as we explore how Microsoft Cloud App Security and Azure Active Directory Conditional Access can block downloads of files in Microsoft Teams to a non-managed computer.

• Security & Compliance in Microsoft Teams: Office 365 Advanced Threat Protection

How can I protect my end users from malicious files that are uploaded to Microsoft Teams? Join us as we explore how the Office 365 Advanced Threat Protection Safe Attachments feature detonates files uploaded to Microsoft Teams and blocks those files from being executed.

• Security & Compliance in Microsoft Teams: Microsoft Intune Mobile Application Management

How can I protect the Microsoft Teams app when used on a non-managed personal smartphone? Join us as we explore how Microsoft Intune Mobile Application Management capabilities allow you to control the Microsoft Teams app (and other corporate apps) and enforce compliance – all without managing the device.

• Security & Compliance in Microsoft Teams: Cloud App Security & 3rd Party Storage

How can I enforce compliance when a 3^rd party storage is used in Microsoft Teams? Join us as we explore how to monitor/audit and enforce policy using Microsoft Cloud App Security on 3^rd party storage in Microsoft Teams.

Links

• Security & Compliance in Teams Playlist 
• Microsoft Teams
• Blog von Matt Soseman

When you configure an Outlook profile to use Cached Mode the client software uses a special address book to resolve email addresses and other information. This address book is named Offline Address Book (OAB) and is built and provided by the Exchange Organisation hosting the mailbox. The client downloads OAB changes when Outlook starts and checks for further OAB changes in intervals. 

OAB provides address resolver capabilities when there is no network connection to Exchange Server or a domain controller available. In addition to resolver capabilities, the OAB contains other important information, e.g., send-as permissions and information regarding public folders.

For security reasons it might be necessary to disallow the download of the Offline Address Book by an Outlook Client. In this case, you control the download functionality with the Windows System Registry. You can disable the OAB download using the following registry key:

Path: HKEY_CURRENT_USER\Software\Microsoft\Office\<version>\Outlook\Cached Mode
Value type: REG_DWORD
Value name: DownloadOAB
Value: 0 to not download the OAB

Replace <version> with the appropriate Office version number.

With a deactivated OAB download name resolution in Outlook Cached Mode requires network access to an Exchange Server

Links 

• Administering the offline address book in Outlook

Enjoy Exchange Server.

Damit Outlook im "Cached-Mode" E-Mail-Adressen und andere Adressinformationen auflösen kann, wird von Exchange Server eine Offline-Variante des Adressbuches zur Verfügung gestellt, dass sog. "Offline Adressbuch" (OAB). Dieses Adressbuch wird im Regelfall durch den Outlook Client mit einer einer zeitlichen Verzögerung nach dem Start von Outlook heruntergeladen. Während der Ausführungszeit von Outlook erfolgt eine Prüfung auf Änderungen des OAB.

Das OAB ermöglicht die Auflösung von Adressen, wenn keine Verbindung zu einem Exchange Server oder Domänencontroller zur Verfügung steht. Neben der reinen Auflösung von Adressen beinhaltet das OAB auch Informationen zu Senden-Als Berechtigungen und Öffentlichen Ordnern, sofern diese in der Exchange Organisation existieren.

Wenn Sie aus Sicherheitsgründen den Download des OAB auf den Outlook Client verhindern möchten, so müssen Sie den Download über einen benutzerbezogenen Eintrag in der Windows Systemregistrierung (Registry) deaktivieren.

Path: HKEY_CURRENT_USER\Software\Microsoft\Office\<version>\Outlook\Cached Mode
Value type: REG_DWORD
Value name: DownloadOAB
Value: 0 to not download the OAB

Ersetzen Sie <version> durch die Versionsnummer der installierten Office Version auf dem Client.

Mit einer Deaktivierung der OAB-Download-Funktion kann ein Outlook Client eine Namensauflösung im Cached Mode nur durchführen, wenn eine Verbindung zum Exchange Server besteht.

Links 

• Administering the offline address book in Outlook

Im letzten Jahr wurden die Microsoft Zertifizierungen, die bisher einen Fokus auf bestimmte Produkte oder Technologien hatten, auf rollenbasierte Zertifizierungen umgestellt. Ebenso wurden die Vorbereitungskurse für die neuen Zertifizierungsprüfungen modernen Lerngegebenheiten angepasst.

Das alte Format der MOC-Kurse basierte auf einem einzelnen Lernblock, der als 5-Tages Kurs von Microsoft Learning Partner angeboten wurde. Im neuen Microsoft Lernformat sind die Inhalte zur Prüfungsvorbereitung in einzelne Themenabschnitte unterteilt. Dies ermöglicht es Ihnen ganz individuell, zu entscheiden, welchen Abschnitt Sie im Selbststudium, in einem Online-Kurs oder mit einer persönlichen Teilnahme in einem Klassenraum erlernen möchten.

Die neuen Zertifizierungen gliedern sich in Associate- und Expert-Zertifizierungen. Um eine Expert-Zertifizierung zu erreichen müssen entweder mehrere Associate-Prüfungen oder, falls verfügbar, eine einzelne Upgrade-Prüfung für eine bestehende MSCA/MSCE-Zertifizierung bestehen. Verfügbare Upgrade-Prüfungen werden immer nur für einen bestimmten Zeitraum angeboten.

Ausführliche Informationen zu den neuen Expert-Zertifizierungen finden Sie immer aktuell bei Microsoft Learning.

• Übersicht der rollenbasierten Expert-Zertifizierungen

Die Vorbereitung auf die Zertifizierung Microsoft 365 Certified: Security Administrator Associate (MS-500) gliedert sich z.B. in folgende Abschnitte:

• MS-500T01: Managing Microsoft 365 Identity and Access
• MS-500T02: Implementing Microsoft 365 Threat Protection
• MS-500T03 Implementing Microsoft 365 Information Protection

Dieses neue Lernkonzept wird jedoch noch nicht von allen Microsoft Learning Partnern in Deutschland angeboten. Viele halten am alten Lernkonzept der MOC-Kurse fest und bieten einen Vorbereitungskurs für eine neue Zertifizierung weiterhin als 5-Tages-Kurs an. Die veranschlagte Lernzeit für alle Module einer Prüfungsvorbereitung liegt in den meisten Fällen bei über fünf Tagen. Sie müssen also damit rechnen, dass nicht ausreichend Zeit zur Verfügung steht, alles Inhalte zu vermitteln. Das Gleiche gilt für sog. Bootcamp-Kurse, in denen Sie in einem einzelnen Kurs-Block auf zwei Zertifizierungsprüfungen vorbereitet werden. Hier wird versucht, die Inhalte, die einem regulärem Lernzeitraum von bis zu 12 Tagen entrpechen, in fünf Tagen zu vermitteln. Prüfen Sie genau, ob dieses Lernmodell für Sie passend ist.

Aktuelle und vollständige Informationen zu den rollenbasierten Zertifizierungen finden Sie auf den englischsprachigen Seiten von Microsoft Learning. Das deutschsprachige Angebot bietet noch nicht alle Informationen.

Weitere Informationen

• Microsoft 365 Zertifizierungen
• Entwickler Zertifizierungen
• Administrator Zertifizierungen
• Solution Architect Zertifizierungen
• Berater Zertifizierungen

Viel Spaß beim Lernen und mit den neuen Zertifizierungen.