Ich absolviere derzeit eine Umschulung zum Fachinformatiker für Systemintegration und bereite mich auf die Abschlussprüfung AP2 vor. In meinem Projekt soll die IT-Umgebung eines Unternehmens von einer gemeinsam genutzten Active-Directory-Domäne getrennt werden. Die bisher verwendeten Benutzerkonten sollen möglichst erhalten bleiben, ebenso die lokalen Benutzerprofile und darin gespeicherten Daten. Der vorhandene Domänencontroller soll anschließend abgeschaltet werden.
Meine konkrete Frage ist: Können bestehende Benutzerkonten aus der Active-Directory-Domäne nach Microsoft Entra ID übernommen werden, und welcher technische Ablauf wäre dafür geeignet? Außerdem interessiert mich, wie sich lokale Windows-Profile, Berechtigungen, Druckdienste, Datensicherungen und weitere vorhandene Dienste bei der Umstellung berücksichtigen lassen.
Im Projekt sollen verschiedene Varianten für Benutzerverwaltung, Clientverwaltung und Netzwerksicherheit untersucht, wirtschaftlich und technisch bewertet sowie anschließend eine begründete Lösung umgesetzt und dokumentiert werden. Als mögliche Varianten kommen unter anderem eine weitere lokale Domäne, eine hybride Umgebung oder eine vollständig cloudbasierte Verwaltung mit Microsoft Entra ID und Intune infrage.
3 Answers
Ja, die Benutzerkonten können grundsätzlich übernommen werden. Wenn die Active-Directory-Domäne zunächst bestehen bleibt, lässt sie sich mit Microsoft Entra Connect oder Entra Cloud Sync mit dem Entra-Mandanten synchronisieren. Dabei werden die Benutzer und unterstützten Attribute in Entra angelegt. Die lokale Domäne muss für diesen Ansatz aber weiterhin funktionieren, weil sie die Quelle der Synchronisierung ist.
Wenn der Domänencontroller vollständig abgeschaltet werden soll, ist das keine reine Synchronisierung mehr. Dann müssen die Konten als cloudbasierte Benutzer in Entra angelegt beziehungsweise migriert werden. Kennwörter, Gruppen, Rollen, Lizenzen und Berechtigungen müssen dabei sauber geplant und getestet werden. Die Synchronisierung sollte erst beendet werden, wenn die Clients und abhängigen Dienste auf die neue Anmeldung umgestellt sind.
Für die Projektdokumentation würde ich mehrere Varianten gegenüberstellen: bestehende Domäne behalten, hybride Identität mit Entra Connect oder vollständige Cloud-Verwaltung mit Entra ID und Intune. Bewerte dabei nicht nur die Technik, sondern auch Kosten, Administrationsaufwand, Abhängigkeit vom Internet, Sicherheitsfunktionen, vorhandenes Know-how und die Anforderungen an Drucker, Backup und Dateifreigaben.
Die Entscheidung sollte nicht einfach mit einer Vorgabe des Unternehmens begründet werden. Zeige, welche Anforderungen bestehen, welche Alternativen du geprüft hast und warum die gewählte Lösung diese Anforderungen am besten erfüllt. Ein geplanter Rückfall- und Testplan macht das Projekt zusätzlich belastbarer.
Wichtig ist, Benutzerkonto und Windows-Benutzerprofil getrennt zu betrachten. Durch das Anlegen eines Entra-Kontos werden lokale Profile und deren Daten nicht automatisch übernommen. Bei der Anmeldung mit dem neuen Entra-Konto entsteht normalerweise zunächst ein neues Profil.
Für die Übernahme brauchst du daher ein eigenes Migrationskonzept, zum Beispiel mit USMT, einem Profil-Migrationswerkzeug oder einer kontrollierten manuellen Übernahme. Dabei müssen Desktop, Dokumente, Browserdaten, Zertifikate, Outlook-Profile und lokale Anwendungen berücksichtigt werden. Vorher sollte eine vollständige Sicherung erstellt und mit Testbenutzern geprüft werden, ob Daten und Berechtigungen korrekt funktionieren.
Genau das ist der geplante Ablauf: Der bisherige Server soll am Ende abgeschaltet werden. Dann wäre für mich vermutlich eine cloud-only-Variante mit Entra ID und gegebenenfalls Intune sinnvoller als eine dauerhafte Synchronisierung.