Windows Azure Active Directory für die Authentifizierung nutzen

Microsoft-Identitätsverwaltung in der Cloud bereitstellen Windows Azure Active Directory für die Authentifizierung nutzen

19.06.2013Autor / Redakteur: Thomas Joos / Florian Karlstetter

Seit einiger Zeit stellt Microsoft mit Windows Azure Active Directory einen zentralen Dienst zur Verfügung, mit dem die Identitätsverwaltung der Windows Azure-Dienste zentral gesteuert werden kann. Der Dienst lässt sich optional auch mit lokalen Diensten kombinieren, auch die Integration von Cloud-Anwendungen von Drittanbietern ist möglich.

Anbieter zum Thema

Vogel IT-Medien GmbH

Cronon GmbH

Fujitsu Technology Solutions GmbH

Microsoft Deutschland GmbH

Identitätsmanagement für Cloud-Umgebungen mit Windows Azure Active Directory.
(© BLACK ME - Fotolia.com)

Auf der Verwaltungs-Webseite von Windows Azure können Administratoren jetzt auch auf Active Directory zugreifen und einen Verzeichnisdienst in Windows Azure betreiben. Windows Azure AD ist nicht nur ein Dienst für Windows Azure, sondern kann auch als Software as a Service (SaaS)-Produkt betrieben werden. Das bietet die Möglichkeit auch die Cloud-Dienste anderer Anbieter an das AD anzubinden und Benutzer mit Windows Azure Active Directory zu authentifizieren.

Die Funktionen in Windows Azure AD gehen weit über die Funktionen hinaus, die Unternehmen mit Active Directory und den Active Directory-Verbunddiensten nutzen können. Microsoft stellt ein Video (im MP4-Format) zur Verfügung, in dem Windows Azure Active Directory umfassend erläutert wird.

Windows Azure Active Directory verstehen und testen

Wer sich einen Überblick verschaffen will, kann einfach einen 90-Tages-Testaccount bei Windows Azure buchen. Dazu brauchen Administratoren eine Kreditkarte und eine Handynummer. Wenn der Vertrag nach der Testphase nicht verlängert wird, läuft das Konto einfach aus, es wird nichts von der Karte abgebucht. Innerhalb der Verwaltung von Windows Azure steht Windows Azure Active Directory als weiterer Dienst zur Auswahl zur Verfügung. Außerdem lassen sich über Testkonten auch alle anderen Dienste von Windows Azure nutzen und testen.

Neben der Möglichkeit, den Windows Azure-Dienst Active Directory zu nutzen, können Administratoren auch mit "Windows Azure Virtuelle Computer" virtuelle Server installieren und auf diesen ein herkömmliches Active Directory integrieren. Auch dieses lässt sich zur Authentifizierung nutzen. Allerdings bieten sich hier für Unternehmen wesentlich weniger Möglichkeiten, vor allem was die Anbindung externer Anwender und Cloud-Dienste betrifft. Dennoch haben Unternehmen die Möglichkeit auch virtuelle Domänencontroller in Windows Azure mit lokal installierten ADs zu verbinden.

Hybrides Identitätsmanagement: einheitliche Benutzerverwaltung für Netzwerk und Cloud. (© Nmedia - Fotolia.com)

Single-Sign-On in Cloud und Active Directory

Verbinden Unternehmen Windows Azure Active Directory mit einem lokal installierten Active Directory, lassen sich auch Single-Sign-On (SSO)-Szenarien darstellen. Auch die Anbindung an Active Directory-Verbundddienste (Federation Services, ADFS) ist möglich. Anwender melden sich dann lokal an ihrem Rechner am verbundenen Active Directory an und können dann auf die freigeschalteten Cloud-Dienste zugreifen. Wenn bereits Office 365 im Einsatz ist, können Unternehmen die Domänen und Benutzerverwaltung von Office 365 auch in Windows Azure Active Directory anbinden. Dazu steht der Assistent zum Hinzufügen vorhandener Verzeichnisse in Windows Azure Active Directory zur Verfügung.

Unternehmen, die Anwendungen in Windows Azure hosten, können den Dienst auch für diese zur Authentifizierung nutzen. Dazu müssen die Entwickler die Schnittstelle zum Active Directory in Windows Azure bereitstellen.

Binden Unternehmen kompatible Cloud-Dienste von Drittanbietern an Windows Azure Active Directory an, lassen sich auch hier die Anmeldungen zentral über Windows Azure steuern. Dazu unterstützt Windows Azure Active Directory die Standards OAuth 2.0 und SAML 2.0.

Access Control Namespaces nutzen

Unternehmen können Windows Azure Active Directory auch als Instanz nutzen, die Zugriffe von Anwendern nicht autorisiert, sondern über Regeln der Anwendungen selbst gestattet. Über diesen Weg lassen sich dann andere Provider anbinden und die identifizierten Anwender dieser Dienste mit den an Windows Azure angebundenen Diensten freischalten.

Beispiele dafür sind die Anbindung von Facebook, Google oder OpenID-Dienste. In diesem Szenario übernimmt die Authentifizierung der externe Dienst und Windows Azure Active Directory legt über Regeln lediglich fest, welche Rechte die einzelnen Anwender dann mit der angebundenen Anwendung haben.

Verwaltung von Windows Azure Active Directory über PowerShell

Neben den Verwaltungsmöglichkeiten im Verwaltungsportal arbeiten Administratoren zur Verwaltung von Windows Azure Active Directory vor allem mit dem Windows Azure Active Directory Module for Windows PowerShell. Dieses steht als 32-Bit und als 64-Bit zum Download zur Verfügung. Vor der Installation müssen Administratoren auf dem Rechner noch .NET Framework 3.5 SP1 aktivieren. In Windows 8 geben Administratoren dazu "optionalfeatures" auf der Startseite ein und aktivieren die Funktion.

Damit die Verwaltung über die PowerShell funktioniert ist zusätzlich noch der Microsoft Online Services-Anmelde-Assistent für IT-Experten RTW notwendig. Diesen installieren Administratoren auf dem Rechner, auf dem Windows Azure Active Directory verwaltet werden soll.

Nach der Installation starten Administratoren die Shell entweder über die Verknüpfung "Windows Azure Active Directory Module for Windows PowerShell", oder indem sie mit "import-module msonline" die CMDlets in eine normale Shell laden.

Damit sich die Befehle nutzen lassen, ist eine Anmeldung am Dienst notwendig. Dazu müssen die Anmeldedaten zunächst in einer Variable gespeichert werden. Danach werden die Daten der Variablen mit dem CMDLet "connect-msolservice" verbunden um eine Authentifizierung herzustellen.

$cred = get-credentialconnect-msolservice -credential $cred

Mit get-help *msol* lassen sich alle CMDlets anzeigen.

Fazit

Windows Azure Active Directory bietet viele Möglichkeiten für die Authentifizierung von Benutzern an Cloud-Anwendungen. Es ist durchaus empfehlenswert sich mit einem 90-Tages-Konto einen Überblick zu den Lösungen zu verschaffen. Die Testkonten von anderen Microsoft-Diensten, zum Beispiel Office 365 lassen sich mit Windows Azure und Windows Azure Active Directory verknüpfen. Daher ist es durchaus empfehlenswert etwas Zeit zu opfern und sich die Dienste näher anzusehen. Die Möglichkeiten sind vor allem für Unternehmen sehr weitreichend, die bereits auf Cloud-Dienste setzen und verschiedene Anwender authentifizieren müssen.

(ID:39958010)