# Microsoft Entra Domain Services Microsoft Entra Domain Services

Verwaltete Domäne, Kerberos, NTLM, LDAP/LDAPS, Gruppenrichtlinien, Replica Sets, Hash-Synchronisierung und Migrationsleitfaden. Managed domain, Kerberos, NTLM, LDAP/LDAPS, Group Policy, replica sets, hash synchronization, and migration guidance.

Verwaltete Domäne Managed domain

Microsoft betreibt Domänencontroller, Replikation, Patching und Monitoring als Plattformdienst. Microsoft operates domain controllers, replication, patching, and monitoring as a platform service.

Legacy-Protokolle Legacy protocols

Kerberos, NTLM, LDAP und Gruppenrichtlinien erlauben Lift-and-Shift für ältere Anwendungen. Kerberos, NTLM, LDAP, and Group Policy enable lift-and-shift for older applications.

Dediziertes Netzwerk Dedicated networking

Eine eigene Subnetzplanung, DNS-Ausrichtung und kontrollierte NSG-Regeln sind Pflicht. Dedicated subnet planning, DNS alignment, and controlled NSG rules are mandatory.

Hybrid-Migration Hybrid migration

Geeignet für Anwendungen, die AD DS erwarten, aber keine eigenen DCs in Azure benötigen. Ideal for applications that expect AD DS but do not need customer-managed DCs in Azure.

## Was ist Microsoft Entra Domain Services? What is Microsoft Entra Domain Services?

Microsoft Entra Domain Services stellt eine verwaltete Active-Directory-kompatible Domäne in Azure bereit. Der Dienst synchronisiert Benutzer, Gruppen und Kennworthashes aus Microsoft Entra ID in einen verwalteten Verzeichnisbestand, ohne dass Administratoren Domänencontroller bereitstellen oder patchen müssen. Microsoft Entra Domain Services provides a managed Active Directory compatible domain in Azure. The service synchronizes users, groups, and password hashes from Microsoft Entra ID into a managed directory store without requiring administrators to deploy or patch domain controllers.

Typische Einsatzfälle sind Legacy-Anwendungen mit LDAP- oder Kerberos-Abhängigkeiten, virtuelle Maschinen in Azure, Lift-and-Shift-Migrationen und Szenarien, in denen Domänenbeitritt oder Gruppenrichtlinien benötigt werden, aber klassische AD-DS-Betriebsaufgaben vermieden werden sollen. Typical use cases are legacy applications with LDAP or Kerberos dependencies, Azure virtual machines, lift-and-shift migrations, and scenarios that need domain join or Group Policy while avoiding traditional AD DS operational overhead.

ℹ️ Designgrundsatz ℹ️ Design principle

Entra Domain Services ist kein vollwertiger Ersatz für alle AD-DS-Szenarien. Der Dienst ist für Kompatibilität mit identitätsbezogenen Windows-Funktionen optimiert, nicht für Schema-Anpassungen oder komplexe Forest-Topologien. Entra Domain Services is not a full replacement for every AD DS scenario. The service is optimized for compatibility with identity-centric Windows features, not for schema customization or complex forest topologies.

Baustein Component | Beschreibung Description | Betriebsrelevanz Operational relevance
--- | --- | ---
Managed Domain Managed domain | Vom Dienst verwaltete AD-Domäne mit Microsoft-gemanagten Domänencontrollern. Service-managed AD domain with Microsoft-managed domain controllers. | Kein VM-Zugriff auf DCs, kein Patch- oder Backup-Management durch den Kunden. No VM access to DCs; no patching or backup management by the customer.
Replica Set Replica set | Paar aus Domänencontrollern pro Region oder virtuellem Netzwerk-Scope. Pair of domain controllers per region or virtual network scope. | Ermöglicht Hochverfügbarkeit und zusätzliche Reichweite für Anwendungen. Provides high availability and extended reach for applications.
Synchronisierungsdienst Synchronization service | Überträgt Benutzer, Gruppen und Kennworthashes aus Entra ID in die verwaltete Domäne. Transfers users, groups, and password hashes from Entra ID into the managed domain. | Hash-Aktualität und Attributfluss sind zentral für Logon und LDAP-Abfragen. Hash freshness and attribute flow are critical for logon and LDAP queries.
AAD DC Administrators AAD DC Administrators | Spezielle Gruppe für delegierte Verwaltungsrechte innerhalb der verwalteten OU-Struktur. Special group for delegated administrative rights inside the managed OU structure. | Erforderlich für Gruppenrichtlinien, OU-Verwaltung und Domänenbeitritt. Required for Group Policy, OU administration, and domain join.
Virtuelles Netzwerk Virtual network | Anwendungs-VMs müssen den DNS des Managed Domain verwenden. Application VMs must use the managed domain DNS. | Falsche DNS-Weiterleitung ist die häufigste Ursache für Join- und LDAP-Probleme. Incorrect DNS forwarding is the most common cause of join and LDAP issues.
Health Monitoring Health monitoring | Dienstinterne Prüfungen plus Azure Monitor und Aktivitätsprotokolle. Built-in service checks plus Azure Monitor and activity logs. | Wichtig für Replikationsfehler, Kennwortsynchronisierung und LDAPS-Zertifikate. Important for replication failures, password sync issues, and LDAPS certificates.

## Bereitstellungsvoraussetzungen und Deployment Prerequisites and deployment

Voraussetzung Prerequisite | Details Details | Hinweis Note
--- | --- | ---
Tenant Tenant | Ein Microsoft-Entra-Tenant mit globalen oder privilegierten Berechtigungen für die Erstbereitstellung. A Microsoft Entra tenant with global or privileged rights for initial deployment. | Die verwaltete Domäne wird an den Tenant gekoppelt und kann später nicht in einen anderen Tenant verschoben werden. The managed domain is coupled to the tenant and cannot later be moved to another tenant.
Virtuelles Netzwerk Virtual network | Azure-VNet im Zielabonnement; das Subnetz ist ausschließlich für den Dienst reserviert. Azure VNet in the target subscription; the subnet is reserved exclusively for the service. | Keine Workload-VMs oder Appliances im AADDS-Subnetz platzieren. Do not place workload VMs or appliances in the AADDS subnet.
Dediziertes Subnetz Dedicated subnet | Eigenes Subnetz ohne andere Ressourcen, keine benutzerdefinierte Delegierung. Dedicated subnet with no other resources and no custom delegation. | Änderungen an Adressräumen später sind aufwendig und risikobehaftet. Changing address ranges later is complex and risky.
DNS-Plan DNS plan | Nach Aktivierung müssen Arbeitslasten die vom Dienst veröffentlichten DNS-IP-Adressen verwenden. After activation, workloads must use the DNS IP addresses published by the service. | Bei Hub-and-Spoke ist DNS-Forwarding früh zu entwerfen. For hub-and-spoke, design DNS forwarding early.
Kennworthashes Password hashes | Benutzer benötigen kompatible Kennworthashes in Entra ID; nach Aktivierung eventuell Passwortänderung erforderlich. Users need compatible password hashes in Entra ID; after activation a password change may be required. | Gilt besonders für ältere synchronisierte Konten, die noch nie Cloud-Hashmaterial erzeugt haben. Especially relevant for older synced accounts that never generated cloud hash material.
Berechtigungen Permissions | Ressourcengruppe, Netzwerk und verwaltete Identitäten müssen im Abonnement anlegbar sein. Resource group, network, and managed identities must be creatable in the subscription. | Für IaC empfiehlt sich eine dedizierte Bereitstellungsidentität. For IaC, use a dedicated deployment identity.
SKU SKU | Standard oder Enterprise abhängig von Skalierung, Topologie und Zusatzfunktionen. Standard or Enterprise depending on scale, topology, and advanced capabilities. | Enterprise ist für größere und komplexere Bereitstellungen vorgesehen. Enterprise targets larger and more complex deployments.
Region Region | Die Region des Managed Domain muss zur Applikationslatenz und zum Netzdesign passen. The managed domain region must fit application latency and network design. | Replica Sets können die Reichweite erweitern, ersetzen aber kein sauberes Netzwerkdesign. Replica sets extend reach but do not replace good network design.

- Erstelle Ressourcengruppe, VNet und dediziertes Subnetz mit ausreichend freiem Adressraum. Create the resource group, VNet, and dedicated subnet with sufficient free address space.
- Prüfe, dass keine benutzerdefinierten DNS-Server oder NSGs den späteren DC-Datenverkehr blockieren. Verify that custom DNS servers or NSGs do not block later DC traffic.
- Aktiviere Microsoft Entra Domain Services im gewünschten Abonnement und in der Zielregion. Enable Microsoft Entra Domain Services in the desired subscription and target region.
- Warte auf die erste Bereitstellung und dokumentiere die bereitgestellten DNS-IP-Adressen. Wait for initial provisioning and document the published DNS IP addresses.
- Setze auf Arbeitslast-Subnetzen die DNS-Server auf die verwaltete Domäne oder einen Forwarder dafür. Set workload subnet DNS servers to the managed domain or a forwarder that targets it.
- Führe Passwortänderungen oder Passwort-Hash-Initialisierung für betroffene Konten durch. Trigger password changes or password hash initialization for affected accounts.
- Teste Domänenbeitritt, Kerberos, LDAP-Abfragen und Gruppenrichtlinien mit Pilot-VMs. Test domain join, Kerberos, LDAP queries, and Group Policy with pilot VMs.
- Aktiviere Monitoring, Warnungen und Zertifikatsüberwachung vor Produktionsfreigabe. Enable monitoring, alerts, and certificate surveillance before production go-live.

PowerShell PowerShell

    Import-Module Az.Accounts
    Import-Module Az.ADDomainServices

    Connect-AzAccount
    Select-AzSubscription -SubscriptionId "00000000-0000-0000-0000-000000000000"

    $params = @{
        ResourceGroupName = "rg-aadds-prod"
        Name              = "aadds-contoso"
        DomainName        = "corp.contoso.com"
        Location          = "westeurope"
        Sku               = "Enterprise"
        SubnetId          = "/subscriptions/.../subnets/aadds-subnet"
    }

    New-AzADDomainService @params

## Netzwerk-, DNS- und SKU-Design Networking, DNS, and SKU design

Aspekt Aspect | Empfehlung Recommendation | Warum Why it matters
--- | --- | ---
Subnetzgröße Subnet size | Plane Reserven für den Dienst und zukünftige Änderungen ein; kein überfülltes /29-Design. Plan headroom for the service and future changes; avoid an overcrowded /29 design. | Adressmangel erschwert spätere Skalierung und Fehlersuche. Address scarcity complicates future scaling and troubleshooting.
NSG-Regeln NSG rules | Erlaube die von Microsoft dokumentierten Management- und Verzeichnisports; blockiere nichts pauschal. Allow Microsoft-documented management and directory ports; avoid blanket blocks. | Zu restriktive NSGs verursachen Join-, LDAP- und Replikationsprobleme. Overly restrictive NSGs cause join, LDAP, and replication issues.
DNS-Forwarder DNS forwarder | Nutze in Hub-and-Spoke einen zentralen DNS-Forwarder oder Azure DNS Private Resolver. Use a central DNS forwarder or Azure DNS Private Resolver in hub-and-spoke. | Anwendungen benötigen konsistente Auflösung für die verwaltete Domäne. Applications need consistent name resolution for the managed domain.
Peering Peering | Peerte VNets müssen DNS und erlaubte Ports transportieren. Peered VNets must carry DNS and allowed ports. | Peering allein ersetzt keine DNS-Konfiguration. Peering alone does not replace DNS configuration.
ExpressRoute/VPN ExpressRoute/VPN | Hybrid-Szenarien brauchen bidirektionale Namensauflösung und routbare Pfade. Hybrid scenarios need bidirectional name resolution and routable paths. | Viele Fehler liegen in asymmetrischer Erreichbarkeit oder split-brain DNS. Many failures stem from asymmetric reachability or split-brain DNS.
Standard-SKU Standard SKU | Für kleine bis mittlere, einregionale Bereitstellungen mit Grundfunktionen. For small to midsize single-region deployments with core capabilities. | Kosteneffizient für klassische Lift-and-Shift-Workloads. Cost efficient for classic lift-and-shift workloads.
Enterprise-SKU Enterprise SKU | Für größere Objektzahlen, komplexe Topologien und zusätzliche Replica Sets oder Resource Forest. For larger object counts, complex topologies, and additional replica sets or resource forest. | Unterstützt anspruchsvollere Unternehmensszenarien. Supports more demanding enterprise scenarios.

Kriterium Criterion | Standard Standard | Enterprise Enterprise
--- | --- | ---
Primärer Fokus Primary focus | Kernfunktionen, eine verwaltete Domäne, Basis-HA. Core capabilities, one managed domain, baseline HA. | Größere Skalierung, mehr Flexibilität und erweiterte Topologien. Higher scale, more flexibility, and advanced topologies.
Replica Sets Replica sets | Basisbereitstellung; zusätzliche Reichweite abhängig von aktuellem Dienststand. Baseline deployment; additional reach depends on current service state. | Mehrregionale oder zusätzliche Replica-Set-Szenarien für Nähe zu Workloads. Multi-region or extra replica-set scenarios for workload proximity.
Topologie Topology | User-Forest-orientierte Standardszenarien. User-forest-oriented standard scenarios. | Resource-Forest-Szenarien und größere Mandanten. Resource-forest scenarios and larger tenants.
Betriebsmodell Operating model | Einfacher Einstieg, geringere Kosten. Simpler entry point, lower cost. | Mehr Governance- und Skalierungsoptionen. More governance and scaling options.
Typische Nutzung Typical use | Pilot, kleine Legacy-App-Portfolios, Dev/Test. Pilot, small legacy app portfolios, dev/test. | Produktion, große Portfolios, mehr Netzsegmente, strenge SLAs. Production, large portfolios, more network segments, stricter SLAs.

## Authentifizierung, Funktionen und Forest-Topologien Authentication, features, and forest topologies

Feature Feature | Unterstützung Support | Praxis Operational use
--- | --- | ---
Kerberos Kerberos | Unterstützt für Windows-Logon und Kerberos-fähige Anwendungen. Supported for Windows logon and Kerberos-capable applications. | Wichtig für SMB, IIS Integrated Auth und klassische Server-Apps. Important for SMB, IIS integrated auth, and classic server apps.
NTLM NTLM | Unterstützt für ältere Anwendungen und Fallback-Szenarien. Supported for legacy applications and fallback scenarios. | Nur dort nutzen, wo Modernisierung kurzfristig nicht möglich ist. Use only where modernization is not feasible in the short term.
LDAP LDAP | Klartext-LDAP nur intern im VNet; Produktionsdesign bevorzugt LDAPS. Plain LDAP only inside the VNet; production design should prefer LDAPS. | Viele Legacy-Apps benötigen einfache Such- und Bind-Operationen. Many legacy apps require simple search and bind operations.
Secure LDAP Secure LDAP | Unterstützt via Port 636 mit Kunden- oder verwaltetem Zertifikat. Supported over port 636 with customer or managed certificate. | Erforderlich für sichere Bindings aus nicht vertrauenswürdigen Segmenten. Required for secure binds from less trusted segments.
Gruppenrichtlinien Group Policy | Unterstützt innerhalb der delegierten OU-Struktur. Supported inside the delegated OU structure. | Hilfreich für Baselines, Skripte und Legacy-Management. Useful for baselines, scripts, and legacy management.
Domänenbeitritt Domain join | Windows- und Linux-VMs können der verwalteten Domäne beitreten. Windows and Linux VMs can join the managed domain. | Benötigt korrekte DNS-Auflösung und Delegationsgruppe. Requires correct DNS resolution and delegated admin group.
User Forest User forest | Standardmodell mit direktem Bezug zu synchronisierten Benutzerobjekten. Default model directly tied to synchronized user objects. | Am einfachsten für schnelle Inbetriebnahme. Easiest for quick onboarding.
Resource Forest Resource forest | Getrennter Ressourcenforest für stärkere Trennung und bestimmte Enterprise-Szenarien. Separate resource forest for stronger separation and specific enterprise scenarios. | Geeignet bei M&A, Hosting und Trennung zwischen Identität und Ressourcen. Useful for M&A, hosting, and separation of identity from resources.

Topologie Topology | Wann sinnvoll When to use it | Wichtige Einschränkung Key limitation
--- | --- | ---
User Forest User forest | Wenn Benutzerobjekte direkt in der verwalteten Domäne sichtbar sein sollen und kein zusätzlicher Forest benötigt wird. When user objects should be directly visible in the managed domain and no extra forest is needed. | Keine klassischen Domänentrusts in diesem Modus. No traditional domain trusts in this mode.
Resource Forest Resource forest | Wenn Anwendungen Ressourcenobjekte benötigen, aber Benutzeridentitäten in Entra ID getrennt bleiben sollen. When applications need resource objects while user identities stay separated in Entra ID. | Mehr Planungsaufwand für Anwendungen, Berechtigungen und Namensräume. Requires more planning for applications, permissions, and namespaces.

## Kennworthash-Synchronisierung und Richtlinien Password hash synchronization and policies

Entra Domain Services nutzt kompatible Kennworthashes aus Entra ID. Für Konten, die vor der Aktivierung noch nie Cloud-Hashmaterial erzeugt haben, ist häufig eine Passwortänderung oder ein gezieltes Zurücksetzen erforderlich, damit Kerberos und NTLM in der verwalteten Domäne funktionieren. Entra Domain Services uses compatible password hashes from Entra ID. For accounts that never generated cloud hash material before activation, a password change or targeted reset is often required so Kerberos and NTLM can work inside the managed domain.

Thema Topic | Wie es funktioniert How it works | Betrieblicher Hinweis Operational note
--- | --- | ---
Hash-Generierung Hash generation | Kennworthashmaterial wird in Entra ID vorbereitet und in die verwaltete Domäne repliziert. Password hash material is prepared in Entra ID and replicated into the managed domain. | Kein direkter Zugriff auf den Hash-Speicher des Diensts. No direct access to the service hash store.
Passwortänderung Password change | Löst bei Bedarf die Neuerzeugung kompatibler Hashes aus. Can trigger regeneration of compatible hashes when required. | Bei Pilotprojekten immer mit Testkonten verifizieren. Always validate with pilot accounts.
Komplexität Complexity | Die effektive Richtlinie orientiert sich an den unterstützten AD-DS-Richtlinien des verwalteten Diensts. Effective policy follows supported AD DS style rules inside the managed service. | Feingranulare Kennwortrichtlinien sind nicht beliebig wie on-prem anpassbar. Fine-grained password policies are not endlessly customizable as on-prem.
Lockout Lockout | Klassische Domänen-Lockout-Effekte bleiben relevant für Legacy-Protokolle. Traditional domain lockout effects still matter for legacy protocols. | Monitoring von Fehlanmeldungen ist wichtig für Helpdesk und Sicherheit. Monitoring failed logons is important for helpdesk and security.
SSPR SSPR | Self-Service Password Reset wirkt auf Entra ID und damit indirekt auf spätere Hash-Synchronisierung. Self-Service Password Reset affects Entra ID and therefore later hash synchronization. | Kommunikation an Benutzer reduziert Einführungsprobleme. User communication reduces rollout issues.
FGPP FGPP | Fine-grained password policy Unterstützung ist eingeschränkt und folgt dem verwalteten Plattformmodell. Fine-grained password policy support is limited and follows the managed platform model. | Spezialanforderungen vorab gegen die aktuelle Dienstmatrix prüfen. Validate special requirements against the current service matrix up front.

## Unterstützte und nicht unterstützte Funktionen Supported and unsupported capabilities

Unterstützt Supported | Beschreibung Description | Kommentar Comment
--- | --- | ---
Domänenbeitritt Domain join | Windows Server, Windows Client und gängige Linux-Distributionen können beitreten. Windows Server, Windows Client, and common Linux distributions can join. | Immer zuerst mit einer Pilot-OU testen. Always validate with a pilot OU first.
LDAP-Abfragen LDAP queries | Lesen, Suchen und Bind für kompatible Anwendungen. Read, search, and bind for compatible applications. | Für unsichere Segmente nur LDAPS freigeben. Expose only LDAPS for less trusted segments.
Gruppenrichtlinien Group Policy | GPMC-Verwaltung in delegierten OUs. GPMC management in delegated OUs. | Root-OU bleibt vom Dienst kontrolliert. The root OU remains service controlled.
Kerberos/NTLM Kerberos/NTLM | Legacy-Authentifizierung für Workloads in Azure. Legacy authentication for workloads in Azure. | Modern Auth trotzdem bevorzugen, wo möglich. Still prefer modern auth where possible.
OU-Verwaltung unterhalb delegierter OUs OU management below delegated OUs | Eigene Unter-OUs in den verwalteten Containern sind erlaubt. Custom child OUs in delegated containers are allowed. | Nicht auf Root-Ebene. Not at root level.
Secure LDAP Secure LDAP | TLS-geschützte LDAP-Kommunikation mit Zertifikat. TLS-protected LDAP communication with certificate. | Zertifikatserneuerung operationalisieren. Operationalize certificate renewal.
Azure Monitor Integration Azure Monitor integration | Metriken, Diagnosedaten und Warnungen können exportiert werden. Metrics, diagnostic data, and alerts can be exported. | Empfehlung: Workspace plus Alert-Rules. Recommendation: workspace plus alert rules.

Nicht unterstützt Not supported | Was das bedeutet What it means | Alternative Alternative
--- | --- | ---
Schema-Erweiterungen Schema extensions | Kein Hinzufügen eigener Klassen oder Attribute im verwalteten Schema. No adding custom classes or attributes to the managed schema. | Eigene Metadaten über Entra-Attribute oder App-Datenbanken abbilden. Model custom metadata in Entra attributes or application databases.
FSMO-Zugriff FSMO access | Keine direkte Administration der Domänencontroller oder FSMO-Rollen. No direct administration of domain controllers or FSMO roles. | Betriebsmodell an den Plattformdienst anpassen. Adapt operating model to the platform service.
Root-OU-Erstellung Root OU creation | Keine neuen OUs auf Root-Ebene; nur unter delegierten Standardcontainern. No new OUs at the root; only below delegated default containers. | Design mit untergeordneten OUs und GPO-Verknüpfungen planen. Design with child OUs and GPO links.
Klassische Trusts im User Forest Traditional trusts in user forest | Domänentrusts stehen im User-Forest-Modell nicht zur Verfügung. Domain trusts are not available in the user forest model. | Bei Trust-Bedarf Resource-Forest oder klassische AD-DS-VMs prüfen. For trust requirements, evaluate resource forest or classic AD DS VMs.
Domänencontroller-Login Domain controller logon | Kein RDP oder lokales Admin-Management auf DCs. No RDP or local admin management on DCs. | Verlasse dich auf delegierte Tools und Dienstschnittstellen. Use delegated tools and service interfaces.
Beliebige AD-Tools Arbitrary AD tools | Nicht jedes Low-Level-Tool funktioniert, weil APIs und Serverzugriff eingeschränkt sind. Not every low-level AD tool works because APIs and server access are restricted. | Nur dokumentierte Verwaltungspfade verwenden. Use only documented management paths.
AD CS im Dienst AD CS on the service | Keine Integration als eigener Zertifizierungsstellen-Host im Managed Domain. No ability to host AD CS inside the managed domain service itself. | PKI getrennt betreiben. Operate PKI separately.

## Secure LDAP / LDAPS Secure LDAP / LDAPS

Anforderung Requirement | Empfehlung Recommendation | Prüfpunkt Validation
--- | --- | ---
Zertifikat Certificate | Serverauthentifizierungszertifikat mit privatem Schlüssel, vertrauenswürdiger Kette und passendem FQDN. Server authentication certificate with private key, trusted chain, and matching FQDN. | Ablaufdatum überwachen und vorzeitig erneuern. Monitor expiration and renew early.
Port Port | Port 636 für externes oder segmentübergreifendes LDAPS zulassen. Allow port 636 for external or cross-segment LDAPS. | Mit Test-NetConnection oder ldp.exe prüfen. Validate with Test-NetConnection or ldp.exe.
NSG NSG | Eingehende Regeln nur für bekannte Quellnetze oder Jump-Hosts. Limit inbound rules to known source networks or jump hosts. | Nie 636 aus dem Internet ohne Schutz veröffentlichen. Never publish 636 to the internet without protection.
DNS-Name DNS name | Clients verbinden sich mit dem dokumentierten LDAPS-DNS-Namen der verwalteten Domäne. Clients connect to the documented LDAPS DNS name of the managed domain. | CN oder SAN muss passen. CN or SAN must match.
TLS-Version TLS version | Nur aktuelle TLS-Einstellungen und vertrauenswürdige Cipher nutzen. Use current TLS settings and trusted ciphers only. | Legacy-Clients vorab testen. Test legacy clients in advance.
Firewall-Protokollierung Firewall logging | Aktiviere Flow Logs oder äquivalente Netzwerkprotokolle. Enable flow logs or equivalent network telemetry. | Hilft bei sporadischen Bind-Fehlern. Helps with intermittent bind failures.

PowerShell PowerShell

    Test-NetConnection -ComputerName ldaps.corp.contoso.com -Port 636

    $ldap = New-Object System.DirectoryServices.Protocols.LdapConnection("ldaps.corp.contoso.com:636")
    $ldap.SessionOptions.SecureSocketLayer = $true
    $ldap.Bind()

PowerShell PowerShell

    # ldp.exe Testablauf
    # 1. Connection > Connect > ldaps.corp.contoso.com, Port 636, SSL aktivieren
    # 2. Connection > Bind mit UPN oder Domain\\User
    # 3. Browse > Search gegen die Basis-DN der verwalteten Domäne

## Domain Join, OU-Struktur und Gruppenrichtlinien Domain join, OU structure, and Group Policy

Schritt Step | Windows-VM Windows VM | Linux-VM Linux VM
--- | --- | ---
DNS DNS | Primäre DNS-Server auf die verwaltete Domäne oder passenden Forwarder setzen. Set primary DNS servers to the managed domain or an appropriate forwarder. | Gleiche Anforderung; /etc/resolv.conf oder NetworkManager prüfen. Same requirement; validate /etc/resolv.conf or NetworkManager.
Zeitquelle Time source | Zeitsynchronisierung gegen verlässliche Quelle; Kerberos toleriert nur geringe Abweichung. Use reliable time synchronization; Kerberos tolerates only small skew. | chrony oder systemd-timesyncd korrekt konfigurieren. Configure chrony or systemd-timesyncd correctly.
Delegation Delegation | Join-Konto in AAD DC Administrators oder delegierter OU-Berechtigung. Join account in AAD DC Administrators or with delegated OU rights. | sudo plus realm/join-Pakete erforderlich. Requires sudo plus realm/join packages.
OU-Ziel Target OU | Computerobjekte in verwalteten Containern oder Unter-OUs platzieren. Place computer objects in managed containers or child OUs. | Linux-Hosts logisch nach Anwendung oder Zone gruppieren. Group Linux hosts by application or zone.
GPO/SSSD GPO/SSSD | Nach Join gpupdate und Sicherheitsbaselines testen. After join, test gpupdate and security baselines. | Für Linux SSSD, Kerberos und Samba-Optionen prüfen. For Linux validate SSSD, Kerberos, and Samba settings.

OU / Container OU / container | Zweck Purpose | Hinweis Note
--- | --- | ---
AADDC Users AADDC Users | Delegierter Bereich für Benutzerobjekte und untergeordnete OUs. Delegated area for user objects and child OUs. | Empfohlener Startpunkt für GPO-Scopes. Recommended starting point for GPO scopes.
AADDC Computers AADDC Computers | Delegierter Bereich für Computerobjekte und Server-Workloads. Delegated area for computer objects and server workloads. | Separate Unter-OUs für Tiering und App-Zonen anlegen. Create child OUs for tiering and app zones.
Custom Child OUs Custom child OUs | Eigene OU-Hierarchien unterhalb der verwalteten Container. Custom OU hierarchies below the managed containers. | Nicht auf Root-Ebene anlegbar. Cannot be created at root.
Default Domain Policy Default Domain Policy | Dienstgesteuert; sparsam mit Änderungen umgehen. Service-controlled; be very conservative with changes. | Vor Änderung immer dokumentieren und testen. Document and test before changing.

PowerShell PowerShell

    Add-Computer -DomainName "corp.contoso.com" -Credential (Get-Credential) -Restart

PowerShell PowerShell

    # Beispiel für Ubuntu / RHEL (Kommandos dokumentieren und außerhalb des Images testen)
    sudo realm discover corp.contoso.com
    sudo realm join corp.contoso.com -U joinadmin@corp.contoso.com
    sudo kinit joinadmin@CORP.CONTOSO.COM

## Monitoring, Warnungen und Fehlerbehebung Monitoring, alerts, and troubleshooting

Signal Signal | Was beobachten What to watch | Aktion Action
--- | --- | ---
Bereitstellungsstatus Provisioning status | Erste Erstellung, Änderungen an LDAPS, Replica Sets und Netzparametern. Initial creation, LDAPS changes, replica sets, and network parameter changes. | Aktivitätsprotokoll plus Azure Monitor Alert. Use activity log plus Azure Monitor alert.
Kennwortsynchronisierung Password synchronization | Benutzer melden Kerberos- oder NTLM-Fehler nach Passwortänderungen. Users report Kerberos or NTLM failures after password changes. | Passwort erneut setzen, Sync-Zeit prüfen, Pilotkonto vergleichen. Reset password again, check sync timing, compare with a pilot account.
LDAPS-Zertifikat LDAPS certificate | Ablaufdatum, Kettenvertrauen und Port-636-Erreichbarkeit. Expiration date, chain trust, and port 636 reachability. | Renew before expiry and retest with ldp.exe. Vor Ablauf erneuern und erneut mit ldp.exe testen.
DNS-Auflösung DNS resolution | SRV-Records, A-Records und Reverse Lookups aus den Workload-Subnetzen. SRV records, A records, and reverse lookups from workload subnets. | nslookup, Resolve-DnsName und Packet Capture verwenden. Use nslookup, Resolve-DnsName, and packet capture.
Domänenbeitritt Domain join | Fehler bei Computerkonto-Erstellung oder OU-Berechtigung. Failures creating computer accounts or applying OU delegation. | Join-Konto, DNS und Uhrzeit prüfen. Validate join account, DNS, and time.
Gruppenrichtlinien Group Policy | gpupdate /force, SYSVOL-Zugriff und GPO-Verknüpfungen. gpupdate /force, SYSVOL access, and GPO links. | Mit Resultant Set of Policy gegen Test-OU arbeiten. Use Resultant Set of Policy on a test OU.

Fehlerbild Symptom | Wahrscheinliche Ursache Likely cause | Abhilfe Remediation
--- | --- | ---
Anmeldung schlägt für synchronisierten Benutzer fehl Sign-in fails for a synced user | Kompatibler Hash fehlt oder ist noch nicht repliziert. Compatible hash is missing or not replicated yet. | Passwort ändern, Replikationszeit abwarten, mit neuem Testkonto vergleichen. Change the password, wait for replication, compare with a new pilot account.
VM findet Domäne nicht VM cannot find the domain | Falscher DNS-Server oder fehlende Weiterleitung. Wrong DNS server or missing forwarding. | VNet- und NIC-DNS korrigieren; SRV-Records testen. Fix VNet/NIC DNS and test SRV records.
LDAPS Bind schlägt fehl LDAPS bind fails | Zertifikat passt nicht, Port blockiert oder TLS-Vertrauen fehlt. Certificate mismatch, blocked port, or missing TLS trust. | Zertifikat und Kette prüfen; NSG/Firewall freigeben. Validate certificate and chain; allow NSG/firewall.
GPO wird nicht angewendet GPO does not apply | Computer in falscher OU oder fehlende Leserechte. Computer is in the wrong OU or lacks read rights. | OU-Struktur und Sicherheitsfilter überprüfen. Review OU structure and security filtering.
Langsame LDAP-Suche Slow LDAP search | Netzwerklatenz, breite Suchbasis oder ineffiziente Filter. Network latency, broad search base, or inefficient filters. | Filter enger fassen und Replica Set näher an Workloads platzieren. Tighten filters and place a replica set closer to workloads.
Hybrid-App erreicht DC nicht Hybrid app cannot reach a DC | Routen, Peering oder Firewall unvollständig. Routes, peering, or firewall configuration is incomplete. | Connectivity-Tests hop-by-hop durchführen. Perform hop-by-hop connectivity tests.
OU kann an Root nicht erstellt werden Cannot create an OU at root | Dienstbeschränkung; Root bleibt verwaltet. Service limitation; root remains managed. | Untergeordnete OU unter AADDC Users oder AADDC Computers nutzen. Use child OUs under AADDC Users or AADDC Computers.

PowerShell PowerShell

    Get-AzADDomainService -ResourceGroupName "rg-aadds-prod" -Name "aadds-contoso" |
        Select-Object Name, DomainName, ProvisioningState, SyncOwner, LdapsSettings, ReplicaSets

## PowerShell, REST und Administrationsreferenz PowerShell, REST, and administration reference

Cmdlet / API Cmdlet / API | Zweck Purpose | Hinweis Note
--- | --- | ---
Get-AzADDomainService Get-AzADDomainService | Liest den Zustand und die Eigenschaften der verwalteten Domäne. Reads managed domain state and properties. | Grundbaustein für Health- und Konfigurationsprüfungen. Core building block for health and configuration checks.
New-AzADDomainService New-AzADDomainService | Erstellt eine neue verwaltete Domäne. Creates a new managed domain. | Nutzt Subscription-, Netzwerk- und SKU-Parameter. Uses subscription, networking, and SKU parameters.
Set-AzADDomainService Set-AzADDomainService | Aktualisiert Dienstparameter wie LDAPS oder Benachrichtigungen. Updates service parameters such as LDAPS or notifications. | Änderungen können längere Provisioning-Zyklen auslösen. Changes can trigger longer provisioning cycles.
Remove-AzADDomainService Remove-AzADDomainService | Löscht die verwaltete Domäne. Deletes the managed domain. | Vorher Abhängigkeiten, DNS und Recovery-Plan prüfen. Check dependencies, DNS, and recovery plan first.
Get-AzADDomainServiceReplicaSet Get-AzADDomainServiceReplicaSet | Liest Replica-Set-Informationen, sofern im Modul verfügbar. Reads replica set information when exposed by the module. | Bei älteren Modulständen über die DomainService-Eigenschaft auswerten. On older module versions inspect the domain service properties.
New-AzADDomainServiceReplicaSet New-AzADDomainServiceReplicaSet | Fügt zusätzliche Replica Sets für Reichweite oder Resilienz hinzu. Adds extra replica sets for reach or resilience. | Nur mit passender SKU und sauberem Netzdesign einplanen. Plan only with the appropriate SKU and clean network design.
Get-AzActivityLog Get-AzActivityLog | Zeigt Bereitstellungs- und Änderungsereignisse. Shows deployment and change events. | Hilfreich bei fehlgeschlagenen Update-Operationen. Helpful for failed update operations.
Invoke-MgGraphRequest Invoke-MgGraphRequest | Erlaubt tenantbezogene Graph-Abfragen für Migrationsvorbereitung. Allows tenant-focused Graph queries for migration preparation. | Domain Services selbst ist Azure Resource Manager, nicht Microsoft Graph. Domain Services itself is an Azure Resource Manager resource, not Microsoft Graph.

JSON JSON

    {
      "properties": {
        "domainName": "corp.contoso.com",
        "filteredSync": "Enabled",
        "domainConfigurationType": "FullySynced",
        "ldapsSettings": {
          "ldaps": "Enabled",
          "externalAccess": "Enabled"
        },
        "sku": "Enterprise"
      },
      "location": "westeurope"
    }

PowerShell PowerShell

    Connect-MgGraph -Scopes "User.Read.All"
    Invoke-MgGraphRequest -Method GET -Uri "https://graph.microsoft.com/v1.0/users?$select=id,displayName,userPrincipalName,onPremisesSyncEnabled"     | ConvertTo-Json -Depth 4

## Migration, Vergleich und Betriebscheckliste Migration, comparison, and operational checklist

Migrationsschritt Migration step | Warum Why | Ergebnis Outcome
--- | --- | ---
Anwendungsinventur Application inventory | Identifiziere LDAP-, Kerberos-, NTLM- und GPO-Abhängigkeiten. Identify LDAP, Kerberos, NTLM, and GPO dependencies. | Entscheidung, welche Apps mit Domain Services kompatibel sind. Determines which apps are compatible with Domain Services.
Namensraumplanung Namespace planning | Domänenname, DNS-Zonen und bestehende on-prem-Namen abstimmen. Align the domain name, DNS zones, and existing on-prem names. | Vermeidet späteren Refactoring-Aufwand. Avoids later refactoring.
Pilotgruppe Pilot group | Nur ausgewählte Benutzer und Server zuerst migrieren. Migrate only selected users and servers first. | Begrenzt Risiko und vereinfacht Hash-/Join-Tests. Limits risk and simplifies hash and join testing.
GPO-Bereinigung GPO cleanup | Übertrage nur notwendige Richtlinien in die verwalteten OUs. Carry only required policies into the managed OUs. | Vermeidet Altlasten aus on-prem AD DS. Avoids legacy baggage from on-prem AD DS.
Parallelbetrieb Parallel operation | Neue Apps gegen Domain Services testen, alte Umgebung noch verfügbar halten. Test new apps against Domain Services while keeping the old environment available. | Sichere Rückfalloption während der Transition. Provides a safe rollback option during transition.
Abschaltung Decommissioning | Erst nach stabilen Betriebswochen alte DC-Abhängigkeiten entfernen. Retire old DC dependencies only after stable operations for several weeks. | Sauberer Endzustand ohne verdeckte Legacy-Kopplungen. Clean end state without hidden legacy coupling.

Vergleich Comparison | Entra Domain Services Entra Domain Services | AD DS auf Azure-VMs / on-prem AD DS on Azure VMs / on-prem
--- | --- | ---
Patch-Management Patch management | Microsoft verwaltet DCs und Plattform. Microsoft manages DCs and the platform. | Kunde verwaltet OS, Patches, Backups und Replikation. Customer manages OS, patches, backups, and replication.
Schema Schema | Keine Schema-Erweiterungen. No schema extensions. | Volle Kontrolle über Schema und Forest-Konfiguration. Full control over schema and forest configuration.
Trusts Trusts | Eingeschränkt; im User Forest nicht verfügbar. Limited; not available in user forest. | Volle klassische Trust-Szenarien möglich. Full classic trust scenarios possible.
Betriebsaufwand Operational effort | Niedrig bis mittel. Low to medium. | Mittel bis hoch je nach Größe und Compliance-Anforderungen. Medium to high depending on scale and compliance requirements.
Legacy-Kompatibilität Legacy compatibility | Für viele LDAP/Kerberos/GPO-Szenarien ausreichend. Sufficient for many LDAP/Kerberos/GPO scenarios. | Maximale Kompatibilität inklusive Spezialfällen. Maximum compatibility including special cases.
Kostenmodell Cost model | Dienstbasierte SKU-Kosten. Service-based SKU costs. | VM-, Storage-, Backup- und Betriebsaufwand. VM, storage, backup, and operational cost.
Skalierung Scaling | Über SKU und Replica Sets des Dienstes. Through service SKU and replica sets. | Über eigene Architektur, weitere DCs und Sites. Through your own architecture, extra DCs, and sites.

Checkpunkt Checkpoint | Empfehlung Recommendation | Statusfrage Validation question
--- | --- | ---
SKU & Größe SKU and size | Nach heutiger und geplanter Objektzahl dimensionieren. Size for current and planned object count. | Reicht die SKU für 24 Monate Wachstum? Does the SKU cover 24 months of growth?
DNS DNS | SRV-Auflösung aus jedem App-Subnetz testen. Test SRV resolution from every app subnet. | Lösen alle Spokes korrekt auf? Do all spokes resolve correctly?
Zertifikat Certificate | LDAPS-Zertifikate mit Ablaufmonitoring betreiben. Run LDAPS certificates with expiry monitoring. | Gibt es einen dokumentierten Renewal-Prozess? Is there a documented renewal process?
Pilot Pilot | Mindestens eine Windows- und eine Linux-Workload testen. Test at least one Windows and one Linux workload. | Sind Join, Kerberos und LDAP erfolgreich? Are join, Kerberos, and LDAP successful?
Runbook Runbook | Join, Hash-Sync, LDAPS und Störungsbehebung dokumentieren. Document join, hash sync, LDAPS, and incident response. | Kann der Betrieb ohne Einzelwissen durchgeführt werden? Can operations run without tribal knowledge?

Glossarbegriff Glossary term | Definition Definition
--- | ---
Managed Domain Managed Domain | Vom Dienst bereitgestellte AD-Domäne mit Microsoft-gemanagten Domänencontrollern. / AD domain delivered by the service with Microsoft-managed domain controllers. Vom Dienst bereitgestellte AD-Domäne mit Microsoft-gemanagten Domänencontrollern. / AD domain delivered by the service with Microsoft-managed domain controllers.
Replica Set Replica Set | Zusätzliche Domänencontroller-Instanzengruppe zur Verbesserung von Nähe und Resilienz. / Additional DC instance group for proximity and resiliency. Zusätzliche Domänencontroller-Instanzengruppe zur Verbesserung von Nähe und Resilienz. / Additional DC instance group for proximity and resiliency.
LDAPS LDAPS | LDAP über TLS auf Port 636. / LDAP over TLS on port 636. LDAP über TLS auf Port 636. / LDAP over TLS on port 636.
AAD DC Administrators AAD DC Administrators | Delegierte Verwaltungsgruppe für die verwaltete OU-Struktur. / Delegated admin group for the managed OU structure. Delegierte Verwaltungsgruppe für die verwaltete OU-Struktur. / Delegated admin group for the managed OU structure.
User Forest User Forest | Standardtopologie mit benutzernaher Sicht. / Default topology with user-centric representation. Standardtopologie mit benutzernaher Sicht. / Default topology with user-centric representation.
Resource Forest Resource Forest | Getrennter Ressourcenforest für spezielle Unternehmensszenarien. / Separate resource forest for specific enterprise scenarios. Getrennter Ressourcenforest für spezielle Unternehmensszenarien. / Separate resource forest for specific enterprise scenarios.
Hash Sync Hash Sync | Übernahme kompatibler Kennworthashes aus Entra ID. / Transfer of compatible password hashes from Entra ID. Übernahme kompatibler Kennworthashes aus Entra ID. / Transfer of compatible password hashes from Entra ID.
Delegated OU Delegated OU | Bereich, in dem Administratoren eigene Unter-OUs und GPOs anlegen dürfen. / Area where admins can create child OUs and GPOs. Bereich, in dem Administratoren eigene Unter-OUs und GPOs anlegen dürfen. / Area where admins can create child OUs and GPOs.
Filtered Sync Filtered Sync | Begrenzung des synchronisierten Objektbestands. / Restricting synchronized object scope. Begrenzung des synchronisierten Objektbestands. / Restricting synchronized object scope.
Health Alert Health Alert | Dienstwarnung zu Verfügbarkeit oder Konfiguration. / Service alert about availability or configuration. Dienstwarnung zu Verfügbarkeit oder Konfiguration. / Service alert about availability or configuration.

## Betriebscheckliste Operational checklist

Checkpunkt Checkpoint | Erwarteter Zustand Expected state | Bewertung Assessment
--- | --- | ---
Subnetz dediziert Dedicated subnet | Keine fremden Ressourcen im AADDS-Subnetz. No foreign resources in the AADDS subnet. | Ja/Nein Yes/No
DNS dokumentiert DNS documented | Alle Workload-Netze nutzen verwaltete DNS-Auflösung. All workload networks use managed DNS resolution. | Ja/Nein Yes/No
Pilotkonten getestet Pilot accounts tested | Neue und alte synchronisierte Konten erfolgreich geprüft. New and old synced accounts tested successfully. | Ja/Nein Yes/No
LDAPS abgesichert LDAPS secured | Port 636, Zertifikat und Logging betriebsbereit. Port 636, certificate, and logging operational. | Ja/Nein Yes/No
GPO-Runbook GPO runbook | OU- und GPO-Änderungen dokumentiert. OU and GPO changes documented. | Ja/Nein Yes/No
Alerts aktiv Alerts active | Provisioning, Zertifikate und Connectivity überwacht. Provisioning, certificates, and connectivity monitored. | Ja/Nein Yes/No
Migrationspfad Migration path | Legacy-App-Inventar und Parallelbetrieb geplant. Legacy app inventory and parallel run planned. | Ja/Nein Yes/No
Recovery-Prozess Recovery process | Rollback- und Eskalationspfad vorhanden. Rollback and escalation path available. | Ja/Nein Yes/No

## Glossar & Schnellreferenz Glossary & quick reference

Begriff Term | Definition Definition
--- | ---
Kerberos Kerberos | Ticketbasierte AD-Authentifizierung. Ticket-based AD authentication.
NTLM NTLM | Legacy-Challenge/Response-Protokoll. Legacy challenge/response protocol.
LDAP LDAP | Directory query and bind protocol. Directory query and bind protocol.
LDAPS LDAPS | LDAP over TLS on port 636. LDAP über TLS auf Port 636.
Replica Set Replica Set | Zusätzliche Dienstinstanzengruppe. Additional service instance group.
AADDC Computers AADDC Computers | Delegierter Container für Computerobjekte. Delegated container for computer objects.
AADDC Users AADDC Users | Delegierter Container für Benutzerobjekte. Delegated container for user objects.
Resource Forest Resource Forest | Getrennter Ressourcenforest. Separate resource forest.