Hybrid Identity — Vollständige Referenz Hybrid Identity — Complete Reference

Was ist Hybrid Identity? What is Hybrid Identity?

Hybrid Identity bezeichnet das Konzept, bei dem Benutzer, Gruppen und Geräte sowohl in einer lokalen Active Directory Domain Services (AD DS) Umgebung als auch in Microsoft Entra ID (ehemals Azure Active Directory) existieren und dieselbe Identität nutzen. Anstatt separate Konten zu pflegen, wird eine gemeinsame Identität geschaffen, die einen nahtlosen Zugriff auf Ressourcen — unabhängig davon, ob diese on-premises oder in der Cloud liegen — ermöglicht. Hybrid Identity is the concept where users, groups, and devices exist in both an on-premises Active Directory Domain Services (AD DS) environment and in Microsoft Entra ID (formerly Azure Active Directory) and share the same identity. Instead of maintaining separate accounts, a common identity is created that enables seamless access to resources regardless of whether they are on-premises or in the cloud.

Im Kern besteht Hybrid Identity aus zwei Komponenten: der Identitätsbereitstellung (wie Objekte zwischen den Verzeichnissen synchronisiert werden) und der Authentifizierungsmethode (wo und wie die eigentliche Authentifizierung stattfindet). Beide Aspekte sind unabhängig voneinander wählbar und kombinierbar. At its core, Hybrid Identity consists of two components: identity provisioning (how objects are synchronized between directories) and the authentication method (where and how authentication actually takes place). Both aspects can be chosen and combined independently.

Provisioning vs. Synchronisation Provisioning vs. Synchronization

Synchronisation bezeichnet den Prozess, durch den Änderungen an einem Objekt (z. B. einem Benutzer in AD DS) in ein anderes Verzeichnis (Entra ID) repliziert werden. Entra Connect Sync verwendet diesen Ansatz: ein Agent liest die AD-Objekte, wendet Filterregeln und Attributtransformationen an, und schreibt das Ergebnis in Entra ID. Synchronization refers to the process by which changes to an object (e.g., a user in AD DS) are replicated into another directory (Entra ID). Entra Connect Sync uses this approach: an agent reads AD objects, applies filtering rules and attribute transformations, and writes the result to Entra ID.

Inter-Directory Provisioning (oder Cloud-seitige Bereitstellung) ist ein neuerer Ansatz, bei dem die Entra-Plattform selbst die Synchronisation steuert. Die Provisioning-Agenten (leichtgewichtige Software auf den Domain Controllern oder Member Servern) kommunizieren ausschließlich ausgehend mit dem Entra-Dienst und empfangen dort Bereitstellungsaufträge. Dies ist der Ansatz von Microsoft Entra Cloud Sync. Inter-Directory Provisioning (or cloud-side provisioning) is a newer approach where the Entra platform itself controls synchronization. The provisioning agents (lightweight software on domain controllers or member servers) communicate exclusively outbound with the Entra service and receive provisioning jobs from there. This is the approach used by Microsoft Entra Cloud Sync.

Authentifizierungsmethoden im Vergleich Authentication Methods Comparison

Die Wahl der Authentifizierungsmethode ist eine der wichtigsten Architekturentscheidungen in einer hybriden Umgebung. Sie bestimmt, wo Passwörter validiert werden, welche Ausfallresistenz besteht und welche Compliance-Anforderungen erfüllt werden können. Choosing the authentication method is one of the most important architectural decisions in a hybrid environment. It determines where passwords are validated, what resilience against outages exists, and which compliance requirements can be met.

Password Hash Synchronization (PHS) Password Hash Synchronization (PHS)

Bei PHS synchronisiert Entra Connect einen abgeleiteten Hash des AD-Passwort-Hashes mit Entra ID. Konkret berechnet Windows den NT-Hash (MD4 des Passworts), dann wendet Entra Connect 1.000 Iterationen PBKDF2-SHA256 mit einem zufälligen 10-Byte-Salt an und speichert das Ergebnis als 32-Byte-Wert in Entra ID. Das eigentliche Klartextpasswort oder der NT-Hash werden niemals übertragen. With PHS, Entra Connect synchronizes a derived hash of the AD password hash to Entra ID. Specifically, Windows computes the NT hash (MD4 of the password), then Entra Connect applies 1,000 iterations of PBKDF2-SHA256 with a random 10-byte salt and stores the result as a 32-byte value in Entra ID. The actual plaintext password or NT hash are never transmitted.

Architektur: Der AADC-Dienst liest den NT-Hash über eine privilegierte Verbindung zum AD DS (ähnlich dem Domänencontroller-Replikationsprotokoll). Dies erfordert die AD DS-Berechtigungen Verzeichnisänderungen replizieren und Alle Verzeichnisänderungen replizieren für das AADC-Dienstkonto. Architecture: The AADC service reads the NT hash via a privileged connection to AD DS (similar to the domain controller replication protocol). This requires the AD DS permissions Replicate Directory Changes and Replicate Directory Changes All for the AADC service account.

Seamless SSO Integration: PHS kann mit Seamless SSO (auch: Desktop SSO) kombiniert werden. Dabei wird ein Kerberos-Ticket der Domain für die Cloud-Authentifizierung verwendet, sodass intranet-basierte Benutzer ohne Passwortabfrage auf M365-Ressourcen zugreifen können. Seamless SSO Integration: PHS can be combined with Seamless SSO (also called Desktop SSO). A Kerberos ticket from the domain is used for cloud authentication, allowing intranet users to access M365 resources without a password prompt.

Verfügbarkeit: Da die Hashes in Entra ID gespeichert sind, können Benutzer sich auch dann authentifizieren, wenn die on-premises Infrastruktur nicht erreichbar ist. Dies macht PHS zur resilientesten Methode. Availability: Since hashes are stored in Entra ID, users can authenticate even when the on-premises infrastructure is unreachable. This makes PHS the most resilient method.

# PHS aktivieren via Microsoft Graph PowerShell
# PHS enable via Microsoft Graph PowerShell
Connect-MgGraph -Scopes "Directory.ReadWrite.All"
Enable-MgDirectorySyncFeature -Feature PasswordHashSync

# Aktuellen PHS-Status prüfen
# Check current PHS status
Get-MgDirectorySyncFeature | Select-Object Feature, Enabled

# Entra Connect: PHS-Synchronisierung prüfen (auf dem AADC-Server)
# On AADC server: verify PHS synchronization
Import-Module ADSync
Get-ADSyncAADCompanyFeature | Select-Object PasswordHashSync

# Delta-Synchronisation auslösen
# Trigger delta synchronization
Start-ADSyncSyncCycle -PolicyType Delta

# Vollständige Synchronisation (nach Konfigurationsänderungen)
# Full synchronization (after configuration changes)
Start-ADSyncSyncCycle -PolicyType Initial

PHS Troubleshooting: PHS Troubleshooting:

Pass-Through Authentication (PTA) Pass-Through Authentication (PTA)

Bei PTA werden Benutzeranmeldeinformationen nicht in der Cloud gespeichert. Stattdessen werden Passwortvalidierungsanfragen in Echtzeit an die on-premises AD DS weitergeleitet. Entra ID sendet einen signierten Token mit dem verschlüsselten Passwort über Azure Service Bus an einen PTA-Agenten, der lokal die Validierung gegen AD DS durchführt und das Ergebnis zurückmeldet. With PTA, user credentials are not stored in the cloud. Instead, password validation requests are forwarded to on-premises AD DS in real time. Entra ID sends a signed token with the encrypted password via Azure Service Bus to a PTA agent, which performs local validation against AD DS and reports the result back.

Agenten-Architektur: PTA-Agenten sind leichtgewichtige .NET-Anwendungen (ca. 15 MB) auf Windows Server (2012 R2 oder neuer). Sie bauen ausschließlich ausgehende HTTPS-Verbindungen zu Azure (Port 443) auf — kein eingehender Firewall-Port erforderlich. Mindestens 3 Agenten werden für Hochverfügbarkeit empfohlen. Agent Architecture: PTA agents are lightweight .NET applications (~15 MB) on Windows Server (2012 R2 or newer). They establish exclusively outbound HTTPS connections to Azure (port 443) — no inbound firewall port required. At least 3 agents are recommended for high availability.

# PTA-Agenten-Status abrufen
# Get PTA agent status
Get-MgOrganizationOnPremiseDirectorySynchronization | Select-Object *

# PTA-Agenten auflisten (Entra Admin Center API)
# List PTA agents via Graph API
$agents = Invoke-MgGraphRequest -Method GET `
  -Uri "https://graph.microsoft.com/beta/onPremisesPublishingProfiles/provisioning/agentGroups"
$agents.value | Select-Object id, publishingType, isDefault

# PTA-Agent-Installation auf neuem Server (als Admin ausführen)
# Install PTA Agent on new server (run as admin)
# 1. Download AADConnectAuthAgent.exe from Entra Portal
# 2. Ausführen und mit Global Admin anmelden
# 3. Installation abschließen
# AADConnectAuthAgent.exe /quiet

# Agenten-Verbindung testen
# Test agent connectivity
Test-NetConnection -ComputerName "autologon.microsoftonline.com" -Port 443
Test-NetConnection -ComputerName "login.microsoftonline.com" -Port 443

PTA Einschränkungen vs. PHS: PTA Limitations vs. PHS:

Federation (AD FS) Federation (AD FS)

Active Directory Federation Services (AD FS) ermöglicht Federated Authentication, bei der Entra ID als Service Provider eine Claims-basierte Assertion von einem on-premises Identity Provider (AD FS) akzeptiert. Benutzer werden nie gegen Entra ID direkt authentifiziert — der AD FS-Server ist der eigentliche Authentifizierungsendpunkt. Active Directory Federation Services (AD FS) enables federated authentication where Entra ID as a service provider accepts a claims-based assertion from an on-premises identity provider (AD FS). Users are never authenticated directly against Entra ID — the AD FS server is the actual authentication endpoint.

Wann Federation verwenden? Federation ist sinnvoll bei: Smart-Card-Authentifizierung (PIV/CAC), strikten regulatorischen Anforderungen (kein Passwort darf die Unternehmensgrenze verlassen), komplexen Claims-Transformationen für Legacy-Apps, oder bei bestehender AD FS-Infrastruktur mit Investitionsschutz. When to use Federation? Federation makes sense for: Smart card authentication (PIV/CAC), strict regulatory requirements (no password may cross the corporate boundary), complex claims transformations for legacy apps, or existing AD FS infrastructure protecting investments.

Architektur: Mindestens zwei AD FS-Server (Farm) und zwei Web Application Proxy (WAP) Server in der DMZ für externe Erreichbarkeit. WAP übernimmt die Präauthentifizierung und schützt interne AD FS-Server vor direktem Internetzugriff. Zertifikate: Token-Signing-Zertifikat (selbstsigniert, automatisch rollover), Token-Decryption-Zertifikat, und SSL/TLS-Zertifikat für den externen Endpunkt (fs.domain.com). Architecture: At least two AD FS servers (farm) and two Web Application Proxy (WAP) servers in the DMZ for external accessibility. WAP handles pre-authentication and protects internal AD FS servers from direct internet access. Certificates: Token Signing certificate (self-signed, automatic rollover), Token Decryption certificate, and SSL/TLS certificate for the external endpoint (fs.domain.com).

Staged Rollout für AD FS Migration: Mit dem Staged Rollout Feature kann die Migration von Federation zu PHS/PTA schrittweise (gruppenbasiert) erfolgen, ohne die Domain-Konvertierung sofort für alle Benutzer durchzuführen. Dies ermöglicht einen kontrollierten, risikoarmen Migrationspfad. Staged Rollout for AD FS Migration: With the Staged Rollout feature, migration from Federation to PHS/PTA can happen gradually (group-based) without immediately converting the domain for all users. This enables a controlled, low-risk migration path.

# AD FS Claims Rules Beispiele (auf AD FS Server)
# AD FS Claims Rules examples (on AD FS server)

# Alle Relying Party Trusts auflisten
Get-AdfsRelyingPartyTrust | Select-Object Name, Identifier, Enabled

# Token Signing Zertifikate anzeigen
Get-AdfsCertificate -CertificateType Token-Signing

# Token Decryption Zertifikate anzeigen
Get-AdfsCertificate -CertificateType Token-Decrypting

# Azure AD Relying Party Trust prüfen
Get-AdfsRelyingPartyTrust -Name "Microsoft Office 365 Identity Platform"

# AD FS Ereignisprotokoll auf Fehler prüfen
Get-WinEvent -LogName "AD FS/Admin" -MaxEvents 50 | `
  Where-Object { $_.LevelDisplayName -in "Error","Warning" } | `
  Select-Object TimeCreated, Message | Format-List

Entscheidungsmatrix: PHS vs. PTA vs. Federation Decision Matrix: PHS vs. PTA vs. Federation

Microsoft Entra Connect Sync (V2) Microsoft Entra Connect Sync (V2)

Entra Connect Sync V2 (ehemals Azure AD Connect) ist die Hauptsynchronisierungs-Engine für komplexe hybride Identitätsszenarien. Version 2.x bringt TLS 1.2 als Mindestanforderung, .NET Framework 4.7.2+, SQL Server 2019 LocalDB als Standard-Backend und eine neue Synchronisationsregel-Engine mit verbesserter Performance. Entra Connect Sync V2 (formerly Azure AD Connect) is the primary synchronization engine for complex hybrid identity scenarios. Version 2.x brings TLS 1.2 as a minimum requirement, .NET Framework 4.7.2+, SQL Server 2019 LocalDB as default backend, and a new sync rules engine with improved performance.

Architektur und Komponenten Architecture and Components

Installationsvoraussetzungen Installation Prerequisites

Filterung: Domäne, OU, Attribut, Gruppenbasiert Filtering: Domain, OU, Attribute, Group-Based

Filterung bestimmt, welche AD-Objekte synchronisiert werden. Es gibt vier Filterebenen, die kombinierbar sind: Filtering determines which AD objects are synchronized. There are four filtering levels that can be combined:

Synchronisationsregeln-Engine Synchronization Rules Engine

Die Sync Rules Engine ist das Herzstück von AADC. Regeln haben einen Richtungssinn (Inbound oder Outbound), einen Scoping Filter (wann gilt die Regel), einen Join Filter (wie wird das Objekt im Metaverse zugeordnet) und Transformationen (wie werden Attributwerte geflossen). Jede Regel hat eine Priorität (0–99 reserviert für Microsoft, 100–999 für Kunden), wobei niedrigere Zahlen höhere Priorität haben. The Sync Rules Engine is the heart of AADC. Rules have a direction (Inbound or Outbound), a scoping filter (when the rule applies), a join filter (how the object is matched in the metaverse), and transformations (how attribute values flow). Each rule has a precedence (0–99 reserved for Microsoft, 100–999 for customers), where lower numbers indicate higher priority.

# Alle Sync-Regeln auflisten
# List all sync rules
Get-ADSyncRule | Select-Object Name, Direction, Precedence, Connector | Sort-Object Precedence

# Benutzerdefinierte Inbound-Regel erstellen (Beispiel: extensionAttribute15 → employeeType)
# Create custom inbound rule (example: extensionAttribute15 → employeeType)
$rule = New-ADSyncRule `
  -Name "In from AD - User extensionAttribute15 to employeeType" `
  -Connector "contoso.com" `
  -Direction Inbound `
  -Precedence 110 `
  -EnablePasswordSync $false `
  -LinkType Join

$rule | Add-ADSyncAttributeFlowMapping `
  -Source extensionAttribute15 `
  -Destination employeeType `
  -FlowType Direct `
  -ExecuteOnce $false

Add-ADSyncRule -SynchronizationRule $rule

# Scheduler-Konfiguration prüfen
# Check scheduler configuration
Get-ADSyncScheduler

# Scheduler auf 15 Minuten setzen (Minimum: 30 Minuten, aber manuell auf 5+ setzbar)
# Set scheduler to 15 minutes
Set-ADSyncScheduler -SyncCycleEnabled $true -SchedulerSuspended $false
# CustomSyncCycleInterval setzt die Zeit (Minimum empfohlen: 30 Minuten)

# Synchronisierungsfehler anzeigen
# Show synchronization errors
Get-ADSyncCSObject -ConnectorName "contoso.com" | `
  Where-Object { $_.SyncError -ne $null } | `
  Select-Object DN, SyncError

Attribut-Flow-Referenz Attribute Flow Reference

Neu 2026: Interaktive Admin-Autorisierung für Konfigurationsänderungen New 2026: Interactive Admin Authorization for Configuration Changes

Ab 2026 erfordert Entra Connect Sync für bestimmte kritische Konfigurationsänderungen (z. B. Änderungen an Filterregeln, Aktivierung/Deaktivierung von PHS, Änderungen am Hard Match-Verhalten) eine interaktive Bestätigung durch einen autorisierten Administrator mit Hybrid Identity Administrator-Rolle. Dies verhindert, dass Konfigurationsänderungen unbeaufsichtigt oder durch kompromittierte Skripte durchgeführt werden. Die Autorisierung erfolgt über einen Browser-Flow mit Conditional Access-Integration. Starting in 2026, Entra Connect Sync requires interactive confirmation by an authorized administrator with the Hybrid Identity Administrator role for certain critical configuration changes (e.g., changes to filter rules, enabling/disabling PHS, changes to hard match behavior). This prevents configuration changes from being made unattended or through compromised scripts. Authorization occurs via a browser flow with Conditional Access integration.

Microsoft Entra Cloud Sync Microsoft Entra Cloud Sync

Entra Cloud Sync ist eine leichtgewichtige, agentenbasierte Alternative zu Connect Sync. Die Synchronisationslogik läuft nicht auf dem Agenten, sondern im Entra-Cloud-Dienst. Der Agent (Provisioning Agent) ist ein einfacher Brückenservice, der LDAP-Anfragen vom Entra-Dienst entgegennimmt und die Ergebnisse zurückmeldet. Entra Cloud Sync is a lightweight, agent-based alternative to Connect Sync. The synchronization logic does not run on the agent but in the Entra cloud service. The agent (Provisioning Agent) is a simple bridge service that receives LDAP requests from the Entra service and reports results back.

# Cloud Sync Provisioning Agent Status prüfen
# Check Cloud Sync Provisioning Agent status
Get-Service -Name "AADConnectProvisioningAgent"

# Cloud Sync Konfiguration via Graph API anzeigen
# View Cloud Sync configuration via Graph API
Invoke-MgGraphRequest -Method GET `
  -Uri "https://graph.microsoft.com/beta/servicePrincipals?`$filter=appId eq 'cb1056e2-e479-49de-ae31-7812af012ed8'"

# On-Demand Provisioning für spezifischen Benutzer testen
# Test on-demand provisioning for specific user
# (Im Entra Admin Center: Azure AD Connect → Cloud Sync → Provision on demand)
# Oder via Graph API:
$body = @{
  objectId = "AD-Benutzer-ObjectID"  # ObjectID des AD-Benutzers
  ruleId = "Provisioning-Regel-ID"
  taskId = "validateAndProvisionOnDemand"
} | ConvertTo-Json

Invoke-MgGraphRequest -Method POST `
  -Uri "https://graph.microsoft.com/beta/synchronization/jobs/{jobId}/validateCredentials" `
  -Body $body -ContentType "application/json"

# Cloud Sync Synchronisierungsfehler abfragen
# Query Cloud Sync synchronization errors
Invoke-MgGraphRequest -Method GET `
  -Uri "https://graph.microsoft.com/beta/auditLogs/provisioning?`$filter=provisioningAction eq 'create' and status/errorCode ne '0'"

Seamless SSO (Desktop SSO) Seamless SSO (Desktop SSO)

Seamless SSO ermöglicht Benutzern auf in die Domain eingebundenen Rechnern die automatische Anmeldung ohne Passworteingabe. Dazu wird ein spezielles Computerkonto (AZUREADSSOACC$) in AD DS angelegt, dessen Kerberos-Schlüssel für die Token-Ausstellung verwendet werden. Der Browser des Benutzers erhält beim Aufruf von login.microsoftonline.com ein Kerberos-Ticket für dieses Computerkonto, das von Entra ID als Beweis für die AD-Authentifizierung akzeptiert wird. Seamless SSO allows users on domain-joined computers to sign in automatically without entering a password. A special computer account (AZUREADSSOACC$) is created in AD DS, whose Kerberos key is used for token issuance. The user's browser receives a Kerberos ticket for this computer account when calling login.microsoftonline.com, which Entra ID accepts as proof of AD authentication.

# Seamless SSO aktivieren (auf AADC-Server)
# Enable Seamless SSO (on AADC server)
Import-Module 'C:\Program Files\Microsoft Azure Active Directory Connect\AzureADSSO.psd1'
New-AzureADSSOAuthenticationContext

# Kerberos-Schlüssel für AZUREADSSOACC$ rotieren (empfohlen alle 30 Tage)
# Rotate Kerberos key for AZUREADSSOACC$ (recommended every 30 days)
Update-AzureADSSOForest -OnPremCredentials (Get-Credential) -PreserveCustomPermissionsOnDesktopSsoAccount

# Seamless SSO Status prüfen
# Check Seamless SSO status
Get-AzureADSSOStatus | ConvertFrom-Json | Select-Object Domains, SsoEnabled

Password Writeback Password Writeback

Password Writeback ermöglicht es Benutzern, ihr Passwort über Entra ID SSPR (Self-Service Password Reset) oder den Entra-Admin zurückzusetzen, und das neue Passwort wird sofort auf das on-premises AD DS geschrieben. Die Kommunikation erfolgt über Azure Service Bus — kein eingehender Firewall-Port erforderlich. Password Writeback allows users to reset their password through Entra ID SSPR (Self-Service Password Reset) or the Entra admin portal, with the new password immediately written back to the on-premises AD DS. Communication occurs via Azure Service Bus — no inbound firewall port required.

# Password Writeback aktivieren
# Enable Password Writeback
Import-Module ADSync
Set-ADSyncAADPasswordResetConfiguration -Enable $true

# Password Writeback Status prüfen
# Check Password Writeback status
Get-ADSyncAADPasswordResetConfiguration

# SSPR Konfiguration via Graph API
# SSPR configuration via Graph API
Get-MgPolicyAuthorizationPolicy | Select-Object AllowedToUseSSPR

Device Writeback und Hybrid Azure AD Join Device Writeback and Hybrid Azure AD Join

Device Writeback schreibt Geräte, die in Entra ID registriert sind, zurück in AD DS als Computerobjekte. Dies wird für bestimmte Szenarien benötigt, z. B. für AD FS-basierte Conditional Access, die gerätekonforme Informationen aus AD DS benötigt. In modernen Umgebungen mit Entra ID-basiertem CA ist Device Writeback selten noch erforderlich. Device Writeback writes devices registered in Entra ID back to AD DS as computer objects. This is needed for certain scenarios, e.g., AD FS-based Conditional Access that needs device compliance information from AD DS. In modern environments with Entra ID-based CA, Device Writeback is rarely required anymore.

Hybrid Azure AD Join (HAADJ) ist der Prozess, durch den on-premises in die Domain eingebundene Geräte auch in Entra ID registriert werden. HAADJ nutzt entweder Service Connection Point (SCP) in AD DS für die Erkennung des Tenants, oder eine Group Policy Object (GPO) für automatische Registrierung. Das Ergebnis ist ein Gerät, das sowohl AD DS als auch Entra ID kennt und ein Primary Refresh Token (PRT) für SSO hat. Hybrid Azure AD Join (HAADJ) is the process by which on-premises domain-joined devices are also registered in Entra ID. HAADJ uses either a Service Connection Point (SCP) in AD DS for tenant discovery, or a Group Policy Object (GPO) for automatic registration. The result is a device that is known to both AD DS and Entra ID and has a Primary Refresh Token (PRT) for SSO.

Group Writeback V2 / Cloud Sync Pfad Group Writeback V2 / Cloud Sync Path

Group Writeback V2 ermöglicht es, Microsoft 365-Gruppen und Sicherheitsgruppen aus Entra ID in AD DS zu schreiben. Dies ist relevant für Szenarien, in denen on-premises Applikationen Gruppeninformationen aus AD DS konsumieren. Die neue V2-Version unterstützt auch das Schreiben von cloudbasierten Gruppen und ist über Cloud Sync (ohne Connect Sync) verfügbar. Group Writeback V2 allows Microsoft 365 groups and security groups from Entra ID to be written to AD DS. This is relevant for scenarios where on-premises applications consume group information from AD DS. The new V2 version also supports writing cloud-based groups and is available via Cloud Sync (without Connect Sync).

# Group Writeback V2 aktivieren (Connect Sync)
# Enable Group Writeback V2 (Connect Sync)
Import-Module ADSync
Set-ADSyncAADCompanyFeature -GroupWritebackEnabled $true

# Ziel-OU für Group Writeback festlegen
# Set target OU for Group Writeback
$aadConnector = Get-ADSyncConnector | Where-Object {$_.Type -eq "Extensible2"}
Set-ADSyncAADPasswordResetConfiguration # (Verwende AADC Wizard für OU-Auswahl)

# Gruppen-Synchronisierungsstatus prüfen
# Check group sync status
Get-MgGroup -Filter "onPremisesSyncEnabled eq true" | `
  Select-Object DisplayName, OnPremisesSyncEnabled, OnPremisesLastSyncDateTime

Staged Rollout Staged Rollout

Staged Rollout ermöglicht die schrittweise Migration von Benutzern von Federation (AD FS) zu Managed Authentication (PHS oder PTA), ohne die Domain-Konvertierung für alle Benutzer gleichzeitig durchführen zu müssen. Benutzer in der Staged-Rollout-Gruppe werden gegen Entra ID authentifiziert, während alle anderen weiterhin über AD FS authentifiziert werden. Staged Rollout allows the gradual migration of users from Federation (AD FS) to Managed Authentication (PHS or PTA) without having to convert the domain for all users at once. Users in the Staged Rollout group are authenticated against Entra ID while all others continue to be authenticated via AD FS.

# Staged Rollout Feature-Richtlinien anzeigen (Graph API)
# View Staged Rollout feature policies (Graph API)
Invoke-MgGraphRequest -Method GET `
  -Uri "https://graph.microsoft.com/beta/policies/featureRolloutPolicies"

# Neue Staged Rollout Policy erstellen
# Create new Staged Rollout policy
$body = @{
    displayName = "PHS Pilot - Abt. IT"
    description = "Pilotgruppe für PHS-Migration"
    feature = "passwordHashSync"
    isEnabled = $true
    isAppliedToOrganization = $false
} | ConvertTo-Json

$policy = Invoke-MgGraphRequest -Method POST `
  -Uri "https://graph.microsoft.com/beta/policies/featureRolloutPolicies" `
  -Body $body -ContentType "application/json"

# Gruppe zur Staged Rollout Policy hinzufügen
# Add group to Staged Rollout policy
$groupBody = @{ "@odata.id" = "https://graph.microsoft.com/v1.0/groups/{groupId}" } | ConvertTo-Json
Invoke-MgGraphRequest -Method POST `
  -Uri "https://graph.microsoft.com/beta/policies/featureRolloutPolicies/$($policy.id)/appliesTo/`$ref" `
  -Body $groupBody -ContentType "application/json"

Entra Connect Health — Gesundheitsüberwachung Entra Connect Health — Health Monitoring

Microsoft Entra Connect Health bietet ein zentralisiertes Dashboard zur Überwachung der Hybrid-Identity-Infrastruktur. Es überwacht AADC-Server, AD FS-Farmen, AD DS-Domänencontroller und PTA-Agenten. Daten werden automatisch an Entra ID gesendet, wenn der Health Agent installiert ist. Microsoft Entra Connect Health provides a centralized dashboard for monitoring hybrid identity infrastructure. It monitors AADC servers, AD FS farms, AD DS domain controllers, and PTA agents. Data is automatically sent to Entra ID when the Health Agent is installed.

# Entra Connect Health Agent Status prüfen
# Check Entra Connect Health Agent status
Get-Service -Name MicrosoftEntraConnectHealth*

# Connect Health Synchronisierungsfehler via Graph API
# Connect Health sync errors via Graph API
Invoke-MgGraphRequest -Method GET `
  -Uri "https://graph.microsoft.com/beta/directory/onPremisesSynchronization"

# AADC Synchronisation Overview via PowerShell
# AADC Synchronization overview via PowerShell
Import-Module ADSync
$stats = Get-ADSyncConnectorRunStatus
$stats | Select-Object ConnectorName, RunProfileName, StartTime, Result

PowerShell-Referenz: Vollständige Befehlsübersicht PowerShell Reference: Complete Command Overview

# Umfassendes Hybrid Identity Diagnoseskript
# Comprehensive Hybrid Identity Diagnostics Script

Write-Host "=== ENTRA CONNECT SYNC DIAGNOSTICS ===" -ForegroundColor Cyan
Import-Module ADSync -ErrorAction SilentlyContinue

# 1. Scheduler Status
Write-Host "`n[1] Scheduler Status" -ForegroundColor Yellow
Get-ADSyncScheduler | Format-List SyncCycleEnabled, NextSyncCyclePolicyType, CurrentlyRunning, NextSyncCycleStartTimeInUTC

# 2. Letzte Sync-Läufe
Write-Host "`n[2] Letzte Sync-Läufe / Last sync runs" -ForegroundColor Yellow
Get-ADSyncConnectorRunStatus | Sort-Object StartTime -Descending | Select-Object -First 10 | `
  Format-Table ConnectorName, RunProfileName, Result, StartTime, EndTime -AutoSize

# 3. Sync-Fehler
Write-Host "`n[3] Synchronisierungsfehler / Sync errors" -ForegroundColor Yellow
$errors = Get-ADSyncCSObject -ConnectorName (Get-ADSyncConnector | Where-Object Type -eq "AD").Name | `
  Where-Object { $_.SyncError -ne $null }
if ($errors) { $errors | Select-Object DN, SyncError | Format-List }
else { Write-Host "Keine Synchronisierungsfehler gefunden / No sync errors found." -ForegroundColor Green }

# 4. PHS Status
Write-Host "`n[4] PHS Status" -ForegroundColor Yellow
(Get-ADSyncAADCompanyFeature).PasswordHashSync

# 5. Password Writeback
Write-Host "`n[5] Password Writeback Status" -ForegroundColor Yellow
(Get-ADSyncAADPasswordResetConfiguration).Enabled

# 6. Entra Connect Health Agent Status
Write-Host "`n[6] Health Agent Status" -ForegroundColor Yellow
Get-Service MicrosoftEntraConnectHealth* | Select-Object Name, Status, StartType