Jump to content

Windows Server zur Account Synchronisierung


Direkt zur Lösung Gelöst von NilsK,
Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Empfohlene Beiträge

Hallo,

 

ich bin gerade dabei zu prüfen, wie wir unsere Benutzeraccounts (LDAP) mit den Microsoft Online Diensten abgleichen können (Dort haben wit ein Office 365 Abo.). Microsoft hat dafür Microsoft Azure Active Directory Connect welches auf einem Windows Server laufen muss. In den Support Dokumenten habe ich gefunden, dass sie empfehlen AAD Connect und einen generischen LDAP Connector zu benutzen.

Meine Frage ist nun: Wenn ich einen Windows Server aufsetze auf dem der LDAP Connector läuft um die Benutzer aus unserem System zu synchronisieren (ca 1500) und dann mit AAD Connect diese zur Microsoft Cloud lädt, brauche ich dann CAL's? Es nutzt ja weder ein Gerät noch ein Nutzer Dienste des Servers.

 

Vielen Dank schon mal.

Moritz Metelmann

 

Link zu diesem Kommentar

Moin,

vorweg: Ich bin kein "technisch Begabter" und halt mich deswegen auch immer aus dem Thema raus.
Aber,
wenn dies "Aktivitäten" auf dem Server sind, die ein Program selbständig oder bis zu 2 Admins anstoßen, laienhaft vergleichbar wie mit einem Backup-Doing...
dann sehe ich hier keine Notwendigkeit für irgend welche zusätzlichen WIN-SVR-CALs.
Aber,
auf der anderen Seite müßten ja alle 1.500 User ja sowieso ihre WIN-SVR-CAL lizenziert haben, oder?

VG, Franz

Link zu diesem Kommentar
  • Beste Lösung

Moin,

 

vermutlich einer der Fälle, die nirgends ausdrücklich geregelt sind.

 

Technisch dürfte AAD Connect auch in diesem Szenario der günstigste Weg sein, weil es alles, was man braucht, schon enthält. Alternativ könnte man so einen Sync auch mit anderen Tools (ohne Windows) bauen, aber ich bezweifle, dass man da was Fertiges findet, und dann ist es unangemessen viel Arbeit.

 

Lizenzrechtlich wird man wohl über Mutmaßungen nicht hinauskommen - gerade in diesem Fall, wo an den A1-Lizenzen ja auch niemand richtig Geld verdient. Intuitiv würde ich der Vermutung von Franz anhängen: Der Windows-Server ist an den Aktivitäten der Anwender nicht beteiligt, sondern er sorgt nur im Hintergrund für einen eher sporadischen Datenaustausch, den man auch anders bewerkstelligen könnte. Kein User greift direkt oder indirekt auf den Windows-Server zu. Also vermutlich (!) keine CAL-Pflicht.

 

Eine Unklarheit bleibt, und ich fürchte, wie gesagt, die wird man nicht aufgelöst kriegen.

 

Gruß, Nils

 

Link zu diesem Kommentar
vor 13 Minuten schrieb NilsK:

Moin,

 

vermutlich einer der Fälle, die nirgends ausdrücklich geregelt sind.

 

Technisch dürfte AAD Connect auch in diesem Szenario der günstigste Weg sein, weil es alles, was man braucht, schon enthält. Alternativ könnte man so einen Sync auch mit anderen Tools (ohne Windows) bauen, aber ich bezweifle, dass man da was Fertiges findet, und dann ist es unangemessen viel Arbeit.

 

Lizenzrechtlich wird man wohl über Mutmaßungen nicht hinauskommen - gerade in diesem Fall, wo an den A1-Lizenzen ja auch niemand richtig Geld verdient. Intuitiv würde ich der Vermutung von Franz anhängen: Der Windows-Server ist an den Aktivitäten der Anwender nicht beteiligt, sondern er sorgt nur im Hintergrund für einen eher sporadischen Datenaustausch, den man auch anders bewerkstelligen könnte. Kein User greift direkt oder indirekt auf den Windows-Server zu. Also vermutlich (!) keine CAL-Pflicht.

 

Eine Unklarheit bleibt, und ich fürchte, wie gesagt, die wird man nicht aufgelöst kriegen.

 

Gruß, Nils

 

Vielen Dank für die Einschätzung. Ich markiere das hiermit als gelöst und werde den Schulträger abwägen lassen. Sollen die nochmal bei ihren Microsoft Partnern nachfragen.

Link zu diesem Kommentar

Hi,

 

wir haben aus ähnlichen Gründen uns für einen anderen Ansatz entschieden, auch weil wir die Lizenzfrage nicht sauber gelöst bekommen haben. Bei Schulen ist Gott sei Dank es relativ statisch und es kommen nicht jeden Tag neue Kollegen / Schüler.

WIr haben uns entsprechend der Vorarbeit von @FrankCarius SDS (SchoolDataSync) angeschaut und angebunden, siehe zum Beispiel https://www.msxfaq.de/cloud/identity/school_data_sync_details.htm

 

Gruß

J

Link zu diesem Kommentar

Ich zitiere mal die "Note" aus LDAP synchronization with Azure Active Directory | Microsoft Docs:

 

Zitat

Note

LDAP Connectors are an advanced configuration requiring some familiarity with Forefront Identity Manager and/or Microsoft Identity Manager. If used in production, we advise questions about this configuration should go through Premier Support or Microsoft Partner Network.

 

Link zu diesem Kommentar

Moin,

 

hm, so weit hatte ich mir das auch nicht angesehen. Scheint, als wäre die Anforderung dann in jedem Fall mit großem Aufwand und mit einigen Fachkenntnissen verbunden. Man sieht an der Seite von Frank ja sehr schön, was in so einer Situation alles zu berücksichtigen ist und wie sich sowas zu einem veritablen Projekt ausweitet.

 

Gruß, Nils

 

 

 

Link zu diesem Kommentar
vor 40 Minuten schrieb testperson:

Das sehe ich vollkommen ein, die Artikel habe ich bereits gelesen und halt auch schon einige Erfahrung unser System per LDAP an andere Systeme anzubinden, so dass ich es durchaus als möglich erachtet habe, dies nur mit den in diesem Artikel verlinkten Anleitungen durchzuführen - zumindest würde ich es gerne probieren 🙂

Link zu diesem Kommentar

Moin,

 

oberflächlich schon - aber gerade das Kennwort-Thema dürfte da auch eine Herausforderung sein. Es hat ja seinen Grund, dass Frank Carius das in seiner ISDS_Implementierung auch (noch) nicht gelöst hat ...

 

Heißt nicht, dass es nicht geht. Man unterschätze es aber nicht - zumal es hier um eine sehr sensible Sicherheitskomponente geht.

 

Gruß, Nils

Link zu diesem Kommentar

"wenn dies "Aktivitäten" auf dem Server sind, die ein Program selbständig oder bis zu 2 Admins anstoßen, laienhaft vergleichbar wie mit einem Backup-Doing...
dann sehe ich hier keine Notwendigkeit für irgend welche zusätzlichen WIN-SVR-CALs."

 

Komisch, DHCP ist aber CAL-pflichtig seit Windows 2000, das macht auch "ein Programm selbständig".

Link zu diesem Kommentar
Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Schreibe einen Kommentar

Du kannst jetzt antworten und Dich später registrieren. Falls Du bereits ein Mitglied bist, logge Dich jetzt ein.

Gast
Auf dieses Thema antworten...

×   Du hast formatierten Text eingefügt.   Formatierung jetzt entfernen

  Only 75 emoji are allowed.

×   Dein Link wurde automatisch eingebettet.   Einbetten rückgängig machen und als Link darstellen

×   Dein vorheriger Inhalt wurde wiederhergestellt.   Editor-Fenster leeren

×   Du kannst Bilder nicht direkt einfügen. Lade Bilder hoch oder lade sie von einer URL.

×
×
  • Neu erstellen...