Seminar Microsoft 365 weiterbetreiben: Föderation und Grenzen der Entra-Ablösung

Microsoft 365 kann in geeigneten Szenarien einen externen Identitätsanbieter für die Anmeldung nutzen. Der Entra-Mandant mit seinen Benutzerobjekten und den für die Dienste benötigten Zuordnungen bleibt dabei bestehen. Das Seminar prüft diesen Unterschied anhand eines kontrollierten Föderationspiloten.

Eine dedizierte Testdomäne wird mit einer vorbereiteten, vorab auf Interoperabilität geprüften SAML-Konfiguration verbunden. Im Mittelpunkt stehen die eindeutige Verbindung zwischen lokalem Konto und Entra-Benutzer, geeignete Zertifikate und die Folgen einer Umstellung für tatsächlich eingesetzte Clients. Die Konfiguration erfolgt mit aktuellen Verwaltungsoberflächen und Microsoft Graph PowerShell.

MFA, Conditional Access, Entra Join und Intune werden getrennt untersucht. Eine beim externen Dienst erfolgte Mehrfaktoranmeldung ersetzt keine ungeprüfte Übernahme sämtlicher Entra-Richtlinien. Aus dem Pilot entsteht eine konkrete Entscheidung, ob Föderation tragfähig ist oder einzelne Microsoft-Abhängigkeiten vorerst unverändert betrieben werden müssen.

Inhalte im Überblick

• Abhängigkeiten und Föderationsmodell
• Konten und SAML-Vertrauen
• Anmelde- und Clientmatrix
• MFA, Richtlinien und Geräte
• Störung, Zertifikatswechsel und Rückfall

Seminarinhalte

Abhängigkeiten und Föderationsmodell

• Workforce-Domänenföderation, B2B-Gastföderation und die Anbindung einer einzelnen Anwendung unterscheiden.
• Benutzerobjekte, Dienstlizenzen und Microsoft-Ressourcenzugriffe im verbleibenden Entra-Mandanten erfassen.
• Eine eigene Testdomäne und eine unabhängige administrative Rückfallebene planen.

Konten und SAML-Vertrauen

• UPN und den für das Föderationsszenario benötigten stabilen Kontenanker zuordnen.
• SAML-Parameter, Signaturzertifikate und die vorgeprüfte IdP-Konfiguration vorbereiten.
• Föderationsdaten der Testdomäne über Microsoft Graph PowerShell kontrolliert verwalten.

Anmelde- und Clientmatrix

• Browser, tatsächlich eingesetzte Desktop-Clients und mobile Clients nach konkretem Anmeldeverfahren testen.
• Neuanmeldung, erneute Authentifizierung und vorhandene Sitzungen getrennt untersuchen.
• Nicht unterstützte Kombinationen dokumentieren; veraltete Kennwortanmeldung nicht als Ausweichlösung verwenden.

MFA, Richtlinien und Geräte

• Externen MFA-Nachweis und Entra-Auswertung in der konkreten Konfiguration prüfen.
• Zugriffsrichtlinien, Gerätebindung und verbleibende Intune-Anforderungen abgleichen.
• Gastzugriffe und Workload-Identitäten als zusätzliche Testfälle behandeln.

Störung, Zertifikatswechsel und Rückfall

• IdP-Ausfall, abgelaufene Zertifikate und fehlerhafte Kontenanker im Test erkennen.
• Eine Rückkehr der Testdomäne zum vorgesehenen verwalteten Anmeldeverfahren vorbereiten.
• Die nötige Verfügbarkeit von Cloudzugangsdaten, Faktoren und administrativem Zugriff vor der Rückkehr prüfen.

Praktische Übungen

1. Eine Testdomäne, repräsentative Testkonten und eine Clientmatrix vorbereiten.
2. Eine vorgeprüfte SAML-Föderation konfigurieren und die Kontenanker kontrollieren.
3. Einen Browserlogin sowie die vereinbarten Desktop- und Mobilfälle durchführen.
4. Einen fehlerhaften MFA-Nachweis oder Kontenanker erkennen und die Auswirkung auf den Zugriff prüfen.
5. Die Testdomäne in den vorbereiteten Ausgangszustand zurückführen und den unabhängigen Administrationszugang nachweisen.

Schulungsumgebung

Der Kunde stellt einen isolierten Microsoft-365-Testmandanten, eine verifizierbare eigene Testdomäne, passende Lizenzen, Testclients und einen vorgeprüften SAML-IdP bereit. Die Standarddomäne des Mandanten bleibt als unabhängiger Verwaltungsweg verfügbar. Föderationsfähigkeit und benötigte Funktionen werden vor Seminarbeginn abgestimmt.