Hybrid Join vs. Azure AD Join
On-Premises AD only:
+ Klassisch, bewahrt
- Kein M365 SSO
- Kein Conditional Access
Entra ID Join (vollständig Cloud):
+ Moderner, kein DC nötig
+ Bestes für neue Geräte
- Kein on-premises Zugang ohne VPN
Hybrid Join (empfohlen für bestehende KMU):
+ AD + Entra ID gleichzeitig
+ SSO für on-premises und Cloud
+ Conditional Access möglich
+ Stufenweise Migration
Entra Connect installieren
# Microsoft Entra Connect (aka Azure AD Connect)
# Download: entra.microsoft.com/downloads
# Nach Installation: Konfigurationsassistent
# Express-Einstellungen (empfohlen für einzelne Forest):
# Sync: firma.local → Entra ID
# Optionen:
# Password Hash Sync: Ja (empfohlen)
# Seamless SSO: Ja
# Hybrid Join: Ja
Hybrid Join konfigurieren
# Auf Entra Connect Server:
# Azure AD Connect → Configure Hybrid Azure AD Join
# SCP (Service Connection Point) prüfen
# Automatisch von AAD Connect gesetzt:
$scp = New-Object System.DirectoryServices.DirectoryEntry
$scp.Path = "LDAP://CN=62a0ff2e-97b9-4513-943f-0d221bd30080,CN=Device Registration Configuration,CN=Services,CN=Configuration,DC=firma,DC=local"
$scp.Keywords # Sollte TenantId enthalten!
# GPO für Domain Joined Computers:
# Computer Config → Admin Templates → Windows Components →
# Device Registration:
# "Register domain joined computers as devices": Enabled
Geräte-Status prüfen
# Auf Windows 10/11 Client:
dsregcmd /status
# Ausgabe prüfen:
# AzureAdJoined: YES
# DomainJoined: YES (= Hybrid Join!)
# WorkplaceJoined: NO
# Falls Fehler:
dsregcmd /leave
gpupdate /force
# Neustart
# dsregcmd /join
# Im Entra Admin Center:
# Devices → All Devices → Filter: Join Type = Hybrid Azure AD Joined
Conditional Access für Hybrid Join
Entra Admin Center → Security → Conditional Access:
Policy: "Nur konforme Geräte"
Assignments:
Users: Alle Benutzer
Cloud Apps: Microsoft 365
Conditions:
Device State: Hybrid Azure AD Joined
Access Controls:
Grant: Require hybrid Azure AD joined device
→ NUR Firmengerate können auf M365 zugreifen!
Privatgeraete werden geblockt.
FAQ
Kann Hybrid Join ohne AD Connect funktionieren?
Nein. AD Connect (oder Entra Connect-Cloud-Sync) ist erforderlich um Geräte-Objekte zu synchronisieren.
Fazit
Hybrid Join verbindet on-premises Windows-Umgebungen nahtlos mit Microsoft 365 - ein Account für alles, SSO und Conditional Access ohne vollständige Cloud-Migration.
Windows-Server-Administration für Unternehmen in Heidelberg, Mannheim und der Rhein-Neckar-Region. Jetzt anfragen.