Microsoft Entra Application Proxy - Vollständige Referenz Microsoft Entra Application Proxy - Complete Reference

Einordnung gegenüber VPN, Reverse Proxy und Private Access Positioning against VPN, reverse proxy, and Private Access

Klassische VPN-Lösungen öffnen einem Benutzer oft ein ganzes Netzsegment und prüfen Kontext meist nur während des initialen Verbindungsaufbaus. Application Proxy arbeitet dagegen anwendungsbezogen, identitätszentriert und eng mit Conditional Access, Cloud-MFA und Protokollierung in Entra zusammen. Classic VPN solutions often open an entire network segment to a user and usually evaluate context only during initial connection setup. Application Proxy instead works per application, identity-first, and tightly integrates with Conditional Access, cloud MFA, and Entra logging.

• Nutzen Sie Application Proxy, wenn Sie eine interne Browser-Anwendung sicher über eine externe URL bereitstellen möchten. Use Application Proxy when you need to expose an internal browser application securely through an external URL.
• Nutzen Sie Private Access, wenn Benutzer native Clients, Datenbanken oder TCP-basierte Unternehmensanwendungen erreichen müssen. Use Private Access when users need to reach native clients, databases, or TCP-based enterprise applications.
• Nutzen Sie beide parallel, wenn Sie sowohl browserbasierte Portale als auch nicht webbasierte Zugriffswege modernisieren. Use both in parallel when you are modernizing browser portals and non-web access paths at the same time.

Typische Einsatzszenarien Typical use cases

End-to-End-Fluss in sechs Schritten Six-step end-to-end flow

1. Benutzer startet die externe URL der veröffentlichten Anwendung auf einem Browser oder einer webbasierten Desktopoberfläche. The user starts the external URL of the published application in a browser or web-based desktop surface.
2. Der Endpunkt löst die öffentliche Hostname-URL auf und baut eine TLS-Sitzung zum cloudbasierten Application Proxy Service auf. The endpoint resolves the public host name and builds a TLS session to the cloud-based Application Proxy service.
3. Microsoft Entra ID führt Vorabauthentifizierung, MFA, Gerätekontrolle, Session Controls und bedingten Zugriff aus. Microsoft Entra ID performs preauthentication, MFA, device evaluation, session controls, and Conditional Access evaluation.
4. Nach erfolgreicher Authentifizierung stellt Entra das notwendige Token oder Sitzungsartefakt für den Proxy-Flow bereit. After successful authentication, Entra issues the token or session artifact required for the proxy flow.
5. Der Application Proxy Service wählt einen passenden Connector aus der zugewiesenen Connector Group aus und leitet die Anfrage über die bestehende ausgehende Verbindung an ihn weiter. The Application Proxy service selects an appropriate connector from the assigned connector group and forwards the request over the established outbound connection.
6. Der Connector ruft die interne Anwendung auf, führt erforderliches Backend-SSO durch und gibt die Antwort über den Microsoft-Dienst an den Benutzer zurück. The connector calls the internal application, performs required backend SSO, and returns the response through the Microsoft service back to the user.

User
  -> Public URL / External FQDN
  -> Microsoft Entra ID preauthentication
  -> Token and session evaluation
  -> Application Proxy service edge
  -> Private Network Connector group
  -> Internal web application
  -> Response returns through the same brokered path
                    

Komponenten und Verantwortlichkeiten Components and responsibilities

Netzwerktopologie, Ports und Firewall Network topology, ports, and firewall

Der wichtigste Unterschied zu klassischen DMZ-Reverse-Proxys besteht darin, dass der Connector nur ausgehend kommuniziert. Dadurch bleibt die veröffentlichte Anwendung intern adressiert; die öffentliche Kante liegt in Microsofts Dienst. The key difference from classic DMZ reverse proxies is that the connector communicates outbound only. The published application stays internally addressed while the public edge resides in Microsoft’s service.

DNS- und URL-Design DNS and URL design

• Vermeiden Sie absolute interne URLs in HTML, JavaScript und Redirect-Headern. Avoid absolute internal URLs in HTML, JavaScript, and redirect headers.
• Prüfen Sie, ob die Anwendung Cookies auf einen internen Domainnamen pinnt. Check whether the application pins cookies to an internal domain name.
• Planen Sie Split-DNS nur dann ein, wenn interne Benutzer dieselbe externe URL verwenden sollen. Introduce split DNS only when internal users should use the same external URL.

Hochverfügbarkeit und Skalierung High availability and scaling

Ein einzelner Connector ist funktional ausreichend, aber nicht betriebssicher. Für produktive Anwendungen sollten mindestens zwei Connectoren pro kritischem Netzwerksegment betrieben werden, idealerweise auf getrennten Hosts oder Clustern. A single connector is functionally sufficient but not operationally resilient. For production workloads, run at least two connectors per critical network segment, ideally on separate hosts or clusters.

Was Connectoren tun What connectors do

Der Private Network Connector ist der Vertrauensanker im internen Netz. Er authentifiziert sich bei Microsoft Entra, hält den kontrollierten Auswärtskanal offen und baut die tatsächliche Verbindung zum Zielserver auf. Für das Zielsystem wirkt der Connector wie ein interner Client. The Private Network Connector is the trust anchor inside the internal network. It authenticates to Microsoft Entra, keeps the controlled outbound channel open, and establishes the actual connection to the target server. To the target system, the connector behaves like an internal client.

Connectoren sollten auf dedizierten Windows-Servern laufen, die nahe an den zu veröffentlichenden Anwendungen stehen, aber nicht dieselben Fehlerdomänen wie das Zielsystem teilen. So bleiben Patchzyklen, Neustarts und Sicherheitsrollen entkoppelt. Connectors should run on dedicated Windows servers near the applications they publish, but not share the same fault domain as the target system. This keeps patch cycles, reboots, and security roles decoupled.

Installationsvoraussetzungen Installation prerequisites

Silent Installation mit PowerShell Silent installation with PowerShell

Für standardisierte Rollouts kann der Connector unbeaufsichtigt verteilt werden. In der Praxis kombinieren viele Teams dies mit einem goldenen Server-Image, Windows Server Core oder einer Softwareverteilung wie MECM. For standardized rollouts, the connector can be deployed unattended. In practice, many teams combine this with a golden server image, Windows Server Core, or software distribution such as MECM.

$installer = "C:\Install\AADApplicationProxyConnectorInstaller.exe"
$registrationToken = "<connector-registration-token>"
$arguments = @(
    "/quiet",
    "/norestart",
    "/RegistrationToken:$registrationToken"
)
Start-Process -FilePath $installer -ArgumentList $arguments -Wait -PassThru
Get-Service -Name AADApplicationProxyConnector, AADApplicationProxyConnectorUpdater | Select-Object Name, Status, StartType
                    

Connector Groups richtig nutzen Using connector groups correctly

Auto-Update, Health Monitoring und Troubleshooting Auto-update, health monitoring, and troubleshooting

Eine Basis-Webanwendung veröffentlichen Publishing a basic web application

Eigene Domäne und Zertifikate Custom domains and certificates

Eigene Domänen werden vor allem dann eingesetzt, wenn Browser-Cookies, SameSite-Regeln, Unternehmensbranding oder nutzerfreundliche URLs eine Rolle spielen. Die externe Domäne benötigt ein öffentlich vertrauenswürdiges Zertifikat, dessen private Schlüsselmaterial sicher verwaltet werden muss. Custom domains are mainly used when browser cookies, SameSite rules, corporate branding, or user-friendly URLs matter. The external domain requires a publicly trusted certificate whose private key material must be managed securely.

Wildcard- und Header-basierte Anwendungen Wildcard and header-based applications

Wildcard-Publishing ist hilfreich, wenn eine Anwendung viele Subpfade oder Hostnamen mit identischem Sicherheitsmodell erzeugt. Dennoch sollte ein Wildcard-Muster nicht als Abkürzung für schlechte URL-Hygiene genutzt werden, denn Berechtigungen, Cookies und Hostheader werden dadurch komplexer. Wildcard publishing is useful when an application emits many paths or host names with the same security model. It should not become a shortcut for poor URL hygiene, though, because permissions, cookies, and host headers become more complex.

URL-Übersetzung in Headern und Antwortinhalt URL translation in headers and response bodies

Vergleich der SSO-Optionen Comparison of SSO options

Integrated Windows Authentication mit Kerberos Constrained Delegation Integrated Windows Authentication with Kerberos Constrained Delegation

IWA mit KCD ist das Standardmuster für klassische Windows-Intranet-Anwendungen, die den Benutzerkontext per Kerberos annehmen. Entra authentifiziert den Benutzer in der Cloud, der Connector holt im Namen dieses Benutzers ein Kerberos-Service-Ticket für das Zielsystem. IWA with KCD is the standard pattern for classic Windows intranet applications that accept user context via Kerberos. Entra authenticates the user in the cloud, and the connector obtains a Kerberos service ticket to the target system on that user’s behalf.

setspn -S HTTP/hrweb.contoso.local CONTOSO\svc-hrweb
setspn -L CONTOSO\svc-hrweb
setspn -X
Get-ADComputer APPPROXY-CONNECTOR01 -Properties msDS-AllowedToDelegateTo |
    Select-Object -ExpandProperty msDS-AllowedToDelegateTo
                    

Dashboard, Connector-Status und Sign-in Logs Dashboard, connector status, and sign-in logs

Im laufenden Betrieb werden mindestens drei Beobachtungsebenen benötigt: der Connector-Status im Entra-Portal, die Sign-in Logs der Enterprise Application und lokale Ereignisprotokolle auf dem Connector-Host. Erst die Kombination zeigt, ob ein Fehler bei der Identität, beim Proxy oder beim Backend liegt. In ongoing operations you need at least three observation layers: connector status in the Entra portal, enterprise app sign-in logs, and local event logs on the connector host. Only the combination shows whether a problem sits in identity, proxying, or the backend.

Häufige Fehlerbilder Common failure patterns

$targets = @(
    "login.microsoftonline.com",
    "graph.microsoft.com",
    "hr.contoso.local"
)
foreach ($target in $targets) {
    Test-NetConnection -ComputerName $target -Port 443 |
        Select-Object ComputerName, RemotePort, TcpTestSucceeded
}
Resolve-DnsName hr.contoso.local
                    

Performance-Optimierung Performance optimization

• Connectoren in dasselbe Netz oder dieselbe VNet-Zone wie die App setzen, um interne Latenz zu reduzieren. Place connectors in the same network or VNet zone as the app to reduce internal latency.
• Schwere HTML-Body-Übersetzungen vermeiden und die App auf relative URLs umstellen, wenn möglich. Avoid heavy HTML body translation and refactor the app to relative URLs where possible.
• Mehrere Connectoren pro Gruppe bereitstellen und auf identische Patch- und Konfigurationsstände achten. Deploy multiple connectors per group and keep them on identical patch and configuration levels.
• Nicht nur den Proxy, sondern auch die Backend-Server-Timings, Datenbankpfade und Auth-Provider messen. Measure not only the proxy but also backend server timings, database paths, and auth providers.

App-Proxy-Anwendungen inventarisieren Inventory App Proxy applications

Enterprise Applications mit aktivierter On-Premises-Publishing-Konfiguration lassen sich per Graph inventarisieren. Für große Umgebungen ist das der schnellste Weg, um externe URLs, interne URLs, Connector Groups und Authentifizierungsarten zu exportieren. Enterprise applications with on-premises publishing enabled can be inventoried through Graph. In large environments, this is the fastest way to export external URLs, internal URLs, connector groups, and authentication modes.

Connect-MgGraph -Scopes "Application.Read.All","Directory.Read.All"
Get-MgServicePrincipal -All |
    Where-Object { $_.Tags -contains "WindowsAzureActiveDirectoryOnPremApp" } |
    Select-Object DisplayName, AppId, Id, Tags |
    Sort-Object DisplayName
                    

Application Proxy per Graph konfigurieren Configure Application Proxy through Graph

Microsoft Graph erlaubt das Instanziieren einer App-Proxy-Anwendung und das Patchen des onPremisesPublishing-Objekts. Prüfen Sie dennoch vor produktivem Einsatz immer die aktuell dokumentierten Endpunkte und Properties, da einzelne Bereiche der API historisch zwischen v1.0 und beta gewandert sind. Microsoft Graph lets you instantiate an App Proxy application and patch the onPremisesPublishing object. Before production use, still verify the currently documented endpoints and properties because parts of the API have historically moved between v1.0 and beta.

Connect-MgGraph -Scopes "Application.ReadWrite.All","Directory.ReadWrite.All"
$body = @{ displayName = "HR Portal via App Proxy" } | ConvertTo-Json
$instance = Invoke-MgGraphRequest -Method POST `
    -Uri "https://graph.microsoft.com/v1.0/applicationTemplates/8adf8e6e-67b2-4cf2-a259-e3dc5476c621/instantiate" `
    -Body $body -ContentType "application/json"

$appId = $instance.application.id
$publishing = @{
    internalUrl = "https://hr.contoso.local"
    externalUrl = "https://hr.contoso.com"
    externalAuthenticationType = "aadPreAuthentication"
    isBackendCertificateValidationEnabled = $true
} | ConvertTo-Json

Invoke-MgGraphRequest -Method PATCH `
    -Uri "https://graph.microsoft.com/v1.0/applications/$appId/onPremisesPublishing" `
    -Body $publishing -ContentType "application/json"
                    

Connector Group automatisiert zuweisen Automate connector group assignment

$connectorGroupId = "11111111-2222-3333-4444-555555555555"
$assignment = @{ connectorGroupId = $connectorGroupId } | ConvertTo-Json
Invoke-MgGraphRequest -Method PATCH `
    -Uri "https://graph.microsoft.com/v1.0/applications/$appId/onPremisesPublishing" `
    -Body $assignment -ContentType "application/json"
                    

Bulk Publishing und Export Bulk publishing and export

Import-Csv C:\Scripts\app-proxy-publish.csv | ForEach-Object {
    $displayName = $_.DisplayName
    $internalUrl = $_.InternalUrl
    $externalUrl = $_.ExternalUrl
    Write-Host "Publishing $displayName"
    # Instantiate, patch onPremisesPublishing and assign connector group here
}

Get-MgApplication -All |
    ForEach-Object {
        $app = $_
        try {
            $publishing = Invoke-MgGraphRequest -Method GET `
                -Uri "https://graph.microsoft.com/v1.0/applications/$($app.Id)/onPremisesPublishing"
            [pscustomobject]@{
                DisplayName = $app.DisplayName
                InternalUrl = $publishing.internalUrl
                ExternalUrl = $publishing.externalUrl
                ConnectorGroupId = $publishing.connectorGroupId
                ExternalAuth = $publishing.externalAuthenticationType
            }
        } catch { }
    } | Export-Csv C:\Scripts\app-proxy-export.csv -NoTypeInformation