Inleiding
Het inrichten van Azure Active Directory (Azure AD) is een essentieel proces voor organisaties die willen profiteren van de voordelen van hybride identiteitsbeheer. Azure AD biedt krachtige tools voor het beheren van gebruikersaccounts, toegangscontrole en synchronisatie met on-premises Active Directory-omgevingen. In de context van moderne IT-omgevingen speelt Azure AD een centrale rol bij het beheren van identiteiten, het zekerstellen van beveiliging en het ondersteunen van een consistente gebruikerservaring op zowel on-premises als in de cloud.
Deze gids is bedoeld als een overzicht van de essentiële stappen en vereisten bij het inrichten van Azure AD, met een focus op de implementatie van een hybride identiteitsomgeving. Op basis van de beschikbare informatie, worden de vereisten voor gebruikers- en beheerdersaccounts, de stappen voor het opzetten van een hybride omgeving, de configuratie van federatie en synchronisatie, en de rol van statuscontroles bij Azure-netwerkverbindingen besproken.
Vereisten voor het inrichten van Azure AD
Beheerders- en gebruikersaccounts
Het inrichten van Azure AD vereist een bepaalde set machtigingen en rollen. Eerst en vooral is het nodig dat de gebruiker een beheerdersrol heeft, zoals de Intune beheerdersrol of de Windows 365 administrator-rol. Deze rollen zijn verantwoordelijk voor het beheren en instellen van Azure AD en gerelateerde diensten zoals Windows 365.
Daarnaast dient er ook een Active Directory-gebruikersaccount te zijn dat voldoende machtigingen heeft om een AD-domein aan te koppelen aan een organisatie-eenheid in Microsoft Entra (voormalig Azure AD). Deze machtiging is vooral relevant voor hybride gekoppelde ANC's (Azure-netwerkverbindingen), waarbij het domein en de bijbehorende resources worden gecombineerd met de cloud-omgeving.
Bij het aanmaken of bewerken van een Azure-netwerkverbinding (ANC) is bovendien vereist dat de gebruiker ten minste de rol Abonnementslezer heeft in het Azure-abonnement waar het virtuele netwerk (VNET) zich bevindt. Deze machtiging is nodig om de juiste netwerkresources te kunnen gebruiken bij het inrichten van cloud-pcs.
Technische vereisten
Naast de gebruikersaccounts zijn er ook technische voorwaarden. Deze omvatten, onder andere, het beschikken over een Azure-abonnement. Als een organisatie geen Azure-abonnement heeft, moet dit eerst worden aangemaakt, bijvoorbeeld via een gratis testaccount.
Voor het opzetten van een hybride identiteitsomgeving is het bovendien noodzakelijk om een virtuele machine te hebben waarop Windows Server Active Directory (Windows Server AD) kan worden geïnstalleerd. Het is aan te raden om Hyper-V te installeren op een machine met Windows 10 of Windows Server 2016. Daarnaast is een externe netwerkadapter nodig om de virtuele machine te verbinden met internet en zo toegang te krijgen tot Azure-resources.
Omdat de virtuele machine in contact moet komen met de Azure-omgeving, is het ook belangrijk om een kopie van Windows Server 2016 te hebben beschikbaar. Tevens moet er een aangepast domein zijn dat kan worden geverifieerd bij Microsoft Entra. Deze vereisten vormen de basis voor het instellen van een functionele hybride identiteitsomgeving.
Hybride identiteitsomgeving opzetten
Stappen bij het inrichten van een hybride omgeving
De stappen voor het inrichten van een hybride identiteitsomgeving in Azure AD zijn gericht op het integreren van de on-premises Active Directory met de cloud-omgeving. Deze integratie wordt voornamelijk bereikt via federatie of synchronisatie. De volgende stappen worden tijdens deze inrichting doorlopen:
- Virtuele machine aanmaken: Een virtuele machine wordt geïnstalleerd en geconfigureerd met Windows Server 2016 en Hyper-V.
- Windows Server AD-omgeving opzetten: De virtuele machine wordt gebruikt om een Active Directory-omgeving in te richten. Hierbij wordt een AD-domein en gebruikersaccounts gemaakt.
- Certificaat aanmaken: Een certificaat wordt gegenereerd voor de federatieverbinding.
- Microsoft Entra-tenant aanmaken: Een nieuwe Microsoft Entra-tenant wordt opgezet.
- Hybride identiteitbeheerderaccount aanmaken: Een account wordt aangemaakt voor het beheren van hybride identiteiten.
- Aangepast domein toevoegen aan de directory: Het geverifieerde domein wordt aan de Microsoft Entra-tenant gekoppeld.
- Microsoft Entra Connect instellen: Hiermee wordt de synchronisatie tussen de on-premises Active Directory en Azure AD ingesteld.
- Gebruikers synchroniseren en testen: Nadat de synchronisatie is ingesteld, wordt getest of gebruikersaccounts correct worden gesynchroniseerd. Dit proces kan enkele uren duren.
Bij de uiteindelijke testfase wordt geverifieerd of de gebruikersaccounts uit de on-premises Active Directory-omgeving correct zijn gesynchroniseerd met de Microsoft Entra-tenant. Dit gebeurt via het Microsoft Entra ID-gebruikersdashboard. Naast het synchroniseren van gebruikers, wordt er ook een test-aanmelding uitgevoerd via de URL https://myapps.microsoft.com met de gebruikersnaam [email protected]. Dit zorgt ervoor dat de gebruikerservaring wordt beoordeeld en eventuele problemen worden opgespoord.
Federatie en synchronisatie
Federatie in Azure AD
Federatie is een techniek waarbij de verificatie van gebruikers wordt uitgevoerd bij een externe identiteitsprovider, in dit geval de on-premises Active Directory. Dit betekent dat de gebruikers hun referentiegegevens (gebruikersnaam en wachtwoord) opgeven bij de on-premises AD-server, in plaats van bij Azure AD. Deze methode biedt een extra beveiligingslaag, aangezien de referenties nooit worden opgeslagen in de cloud.
De federatieverbinding wordt meestal geïmplementeerd via een Active Directory Federation Services (AD FS)-omgeving. Deze instellingen moeten worden geconfigureerd en verbonden met Azure AD via Microsoft Entra Connect. Hierbij is het belangrijk om een certificaat aan te maken en te gebruiken voor de beveiliging van de federatieverbinding.
Na het instellen van de federatie is het mogelijk om gebruikers te laten inloggen via hun on-premises AD-accounts. Deze methode is vooral geschikt voor organisaties die hun eigen beheer over verificatie willen behouden, maar tegelijkertijd gebruik willen maken van de voordelen van de cloud.
Synchronisatie in Azure AD
Naast federatie biedt Azure AD ook de mogelijkheid tot synchronisatie via Azure AD Connect. Hierbij worden gebruikersaccounts en referenties periodiek gesynchroniseerd tussen de on-premises Active Directory en Azure AD. Dit zorgt ervoor dat gebruikers hun wachtwoord slechts één keer moeten instellen en gebruiken, zowel in de cloud als on-premises.
Een van de voordelen van synchronisatie is het gebruik van Single Sign On (SSO). Deze functionaliteit stelt gebruikers in staat om éénmalig in te loggen bij meerdere toepassingen, waaronder SaaS-toepassingen, door middel van onder-water-verificatie. Hierdoor is er geen extra inlogpoging nodig bij het openen van toepassingen.
Verder ondersteunt Azure AD ook Self-Service wachtwoordherstel, waardoor gebruikers zelf een nieuw wachtwoord kunnen instellen zonder hulp van de beheerder. Deze functie vermindert de belasting op IT-afdelingen en verhoogt de gebruikersproductiviteit.
Azure-netwerkverbindingen en statuscontroles
Wat zijn Azure-netwerkverbindingen (ANC's)?
Een Azure-netwerkverbinding (ANC) is een essentiële component bij de inrichting van cloud-pcs via Windows 365. Deze verbindingen worden gebruikt om de netwerkresources van Azure (zoals virtuele netwerken en subnetten) te koppelen aan cloud-pcs. Dit zorgt voor een gestructureerde en beveiligde toegang tot de cloud-resources en zorgt ervoor dat de cloud-pcs correct worden ingesteld en functioneren.
Statuscontroles bij ANC's
Om ervoor te zorgen dat de inrichting van cloud-pcs correct verloopt, worden statuscontroles uitgevoerd op Azure-netwerkverbindingen. Deze controles worden uitgevoerd op een tijdelijke virtuele Azure-machine die automatisch wordt aangemaakt. De virtuele machine wordt verbonden met het opgegeven virtuele netwerk (VNET) en uitgevoerde controles bepalen of de inrichting zal slagen.
De frequentie van deze statuscontroles varieert van één tot zes uur, afhankelijk van de instellingen en het abonnement. De controles kunnen maximaal 30 minuten duren en worden gebruikt om configuratieproblemen te identificeren die kunnen leiden tot inrichtingsfouten of een slechte gebruikerservaring.
Na het uitvoeren van de statuscontroles worden de resultaten getoond in het Microsoft Intune-beheercentrum. Hiermee kunnen beheerders controleren of de ANC's correct zijn geconfigureerd en of eventuele wijzigingen nodig zijn.
Handmatige statuscontrole
Als een ANC niet correct functioneert, is het mogelijk om een volledige statuscontrole handmatig uit te voeren. Dit gebeurt via het Microsoft Intune-beheercentrum, waar beheerders kunnen selecteren om een statuscontrole opnieuw te proberen. Deze actie is vooral nuttig bij het opsporen van problemen bij het inrichten van cloud-pcs.
Het is belangrijk om te weten dat het wijzigen van ANC-instellingen geen invloed heeft op cloud-pcs die zijn ingericht met de oude instellingen. Alleen cloud-pcs die na de wijzigingen zijn ingericht, zullen de nieuwe instellingen gebruiken. Als er wijzigingen zijn gewenst voor bestaande cloud-pcs, is het nodig om deze opnieuw in te richten. Dit is een destructieve actie en dient zorgvuldig te worden overwogen.
Verwijderen van een ANC
Het verwijderen van een ANC is alleen mogelijk als de ANC niet langer in gebruik is. Dit betekent dat alle inrichtingsbeleidsregels die gebruik maken van de ANC moeten worden bijgewerkt of verwijderd. De mogelijkheid om een ANC te verwijderen is belangrijk voor het beheren van netwerkresources en het vermijden van onnodige kosten.
Conclusie
Het inrichten van Azure Active Directory is een complex maar essentieel proces voor organisaties die willen profiteren van de voordelen van hybride identiteitsbeheer. Door het instellen van een hybride identiteitsomgeving met Azure AD, kunnen organisaties hun on-premises Active Directory-omgeving combineren met de voordelen van de cloud. Dit zorgt voor een gestructureerde toegangscontrole, een consistente gebruikerservaring en een verhoogde beveiliging.
De inrichting van Azure AD vereist niet alleen technische kennis, maar ook een goed begrip van de benodigde machtigingen en rollen. Daarnaast zijn statuscontroles bij Azure-netwerkverbindingen een essentieel onderdeel van het proces, omdat deze ervoor zorgen dat cloud-pcs correct worden ingericht en functioneren.
Voor organisaties die overwegen om hun IT-omgeving naar de cloud te verhuizen, is Azure AD een krachtige tool die de overgang kan vergemakkelijken. Of het nu gaat om het beheren van gebruikersaccounts, het synchroniseren van on-premises resources of het implementeren van federatieverbindingen, Azure AD biedt een breed scala aan opties die afgestemd kunnen worden op de behoeften van de organisatie.