Zwei Verzeichnisse für zwei Welten
Active Directory Domain Services ist laut Microsoft ein Verzeichnisdienst, der Informationen über Netzwerkobjekte, etwa Benutzerkonten, Computer und Freigaben, speichert und autorisierten Nutzern zugänglich macht, integriert mit Anmeldeauthentifizierung und Zugriffskontrolle. Er läuft auf eigenen Domain Controllern im lokalen Netzwerk. Microsoft Entra ID ist dagegen laut Microsoft ein cloud-basierter Identitäts- und Zugriffsverwaltungsdienst, der Authentifizierung, Richtliniendurchsetzung und Schutz für Nutzer, Geräte, Apps und Ressourcen bereitstellt, das grundlegende Produkt der gesamten Microsoft-Entra-Produktfamilie. Jeder Microsoft-365-, Azure- oder Dynamics-365-Tenant ist laut Microsoft automatisch bereits ein Entra-ID-Tenant. Für ein Unternehmen ohne eigenes lokales Netzwerk kann das bedeuten, dass es faktisch bereits Entra-ID-Kunde ist, ohne AD DS jemals selbst betrieben zu haben.
Unterschiedliche Protokolle, unterschiedliche Denkweise
AD DS basiert auf Protokollen, die für lokale Netzwerke entwickelt wurden: Kerberos und NTLM für Authentifizierung, LDAP für Verzeichnisabfragen, Gruppenrichtlinien für zentrale Konfiguration. Entra ID setzt auf offene, webbasierte Standards wie OAuth 2.0, OpenID Connect und SAML, die für Anmeldung über das offene Internet und bei Drittanbieter-Diensten entwickelt wurden. Diese unterschiedliche Denkweise erklärt, warum ein Unternehmen selten das eine einfach durch das andere ersetzt, sondern beide für ihre jeweilige Stärke einsetzt. Ein Wechsel ist deshalb selten ein reiner Technikwechsel, sondern verlangt auch, bestehende Anwendungen und deren Anmeldeverfahren einzeln zu prüfen.
Hybride Identität: beides gleichzeitig, ein Konto für Nutzer
Microsoft beschreibt hybride Identität als gemeinsame Nutzeridentität für Authentifizierung und Autorisierung, sowohl lokal als auch in der Cloud, erreicht durch Bereitstellung (Provisioning) und Synchronisierung. Praktisch bedeutet das: Ein Mitarbeiter meldet sich einmal an und erhält damit Zugriff auf lokale Freigaben über AD DS und auf Microsoft 365 oder andere Cloud-Apps über Entra ID.
- Microsoft Entra Connect Sync: klassische, serverbasierte Synchronisierung zwischen lokalem AD DS und Entra ID
- Microsoft Entra Cloud Sync: leichtgewichtigere, agentenbasierte Alternative für einfachere Szenarien
- Federation: Anmeldung läuft über einen separaten Identitätsanbieter, während Entra ID nur die Vertrauensstellung nutzt
- Nutzung von AD DS ist laut Microsoft kostenlos in der eigenen Azure- oder On-Premises-Lizenz enthalten, ebenso die Synchronisierungsdienste
Legacy-Anwendungen und der Sonderfall Microsoft Entra Domain Services
Manche ältere Anwendungen verstehen nur Kerberos, NTLM oder LDAP und lassen sich nicht ohne Weiteres auf moderne Cloud-Authentifizierung umstellen. Für genau diesen Fall bietet Microsoft mit Entra Domain Services einen verwalteten Dienst, der klassische AD-Funktionen wie Gruppenrichtlinien, LDAP und Kerberos/NTLM-Authentifizierung in der Cloud nachbildet, ohne dass ein Unternehmen eigene Domain Controller betreiben muss. Das ist kein Ersatz für Entra ID, sondern eine Brücke für Anwendungen, die technisch noch auf dem alten Standard aufsetzen. So lässt sich eine einzelne veraltete Fachanwendung weiterbetreiben, während der Rest der Organisation bereits vollständig auf moderne Authentifizierung umgestellt ist, statt den gesamten Umzug an dieser einen Ausnahme scheitern zu lassen.
Wie IT am Main unterstützt
ITM richtet Entra ID als zentrale Identitätsquelle mit Single Sign-on, Multi-Faktor-Anmeldung und Conditional Access ein und plant den Übergang von bestehendem Active Directory dort, wo eine hybride oder vollständig Cloud-basierte Identität sinnvoll ist. Bestehende AD-Strukturen bauen wir dabei nicht leichtfertig ab, sondern erst, wenn geprüft ist, welche Anwendungen tatsächlich noch auf den klassischen Protokollen bestehen. Details finden Sie unter Identity & Access.
Quellen
- What is Microsoft Entra?, Microsoft Learn, 2026
- What is hybrid identity with Microsoft Entra ID?, Microsoft Learn, 2025
- Active Directory Domain Services overview, Microsoft Learn, 2025