Konfigurieren von Sensoren für AD FS, AD CS und Microsoft Entra Connect

Installieren und konfigurieren Sie den Defender for Identity-Sensor v2.x auf Active Directory-Verbunddienste (AD FS) (AD FS)-, Active Directory Certificate Services (AD CS)- und Microsoft Entra Connect-Servern, bei denen es sich nicht um Domänencontroller handelt. Bevor Sie beginnen, stellen Sie sicher, dass Sie die voraussetzungen abgeschlossen haben, die weiter unten in diesem Artikel aufgeführt sind.

Es gelten folgende Überlegungen:

• Für AD FS-Umgebungen werden Defender for Identity-Sensoren nur auf den Verbundservern unterstützt. Sie werden auf Webanwendungsproxy-Servern (WAP) nicht benötigt.
• Für AD CS-Umgebungen müssen Sie keine Sensoren auf AD CS-Servern installieren, die offline sind.
• Für Microsoft Entra Connect-Server müssen Sie die Sensoren sowohl auf aktiven als auch auf Stagingservern installieren.

Voraussetzungen

Voraussetzungen für die Installation von Defender for Identity-Sensoren auf AD FS-, AD CS- oder Microsoft Entra Connect-Servern finden Sie im Artikel Microsoft Defender for Identity Voraussetzungen.

Ein sensor, der auf einem AD FS-, AD CS- oder Microsoft Entra Connect-Server installiert ist, kann das lokale Dienstkonto nicht verwenden, um eine Verbindung mit der Domäne herzustellen. Stattdessen müssen Sie ein Verzeichnisdienstkonto konfigurieren.

Darüber hinaus unterstützt der Defender for Identity-Sensor für AD CS nur AD CS-Server mit dem Rollendienst „Zertifizierungsstelle“.

Konfigurieren der Ereignissammlung

Wenn Sie mit AD FS-, AD CS- oder Microsoft Entra Connect-Servern arbeiten, stellen Sie sicher, dass Sie die Überwachung nach Bedarf konfiguriert haben. Weitere Informationen finden Sie unter:

• AD FS:

  • Erforderliche AD FS-Ereignisse
  • Konfigurieren der Überwachung auf einem AD FS-Server

• AD CS:

  • Erforderliche AD CS-Ereignisse
  • Konfigurieren der Überwachung auf einem AD CS-Server

• Microsoft Entra Connect:

  • Erforderliche Microsoft Entra Connect-Ereignisse
  • Konfigurieren der Überwachung auf Microsoft Entra Connect

Konfigurieren von Leseberechtigungen für die AD FS-Datenbank

Damit Sensoren, die auf AD FS-Servern ausgeführt werden, Zugriff auf die AD FS-Datenbank haben, müssen Sie Leseberechtigungen (db_datareader) für das entsprechende Verzeichnisdienstkonto erteilen.

Wenn Sie mehr als einen AD FS-Server haben, stellen Sie sicher, dass dem Verzeichnisdienstkonto auf allen Servern die Leseberechtigung „db_datareader“ gewährt wird. Datenbankberechtigungen werden nicht serverübergreifend repliziert.

Konfigurieren Sie sql server so, dass das Verzeichnisdienstkonto mit den folgenden Berechtigungen für die AdfsConfiguration-Datenbank zugelassen wird :

• Verbinden
• Anmelden
• Lesen
• select

Gewähren des Zugriffs auf die AD FS-Datenbank

Gewähren Sie Zugriff auf die AD FS-Datenbank mithilfe von SQL Server Management Studio, Transact-SQL (T-SQL) oder PowerShell.

Die folgenden Befehle können beispielsweise hilfreich sein, wenn Sie die interne Windows-Datenbank (WID) oder einen externen SQL Server verwenden.

In diesen Beispielcodes:

• [DOMAIN1\mdiSvc01] ist der Verzeichnisdienstbenutzer des Arbeitsbereichs. Wenn Sie mit einem gMSA arbeiten, fügen Sie an das Ende des Benutzernamens an $ . Beispiel: [DOMAIN1\mdiSvc01$].
• AdfsConfigurationV4 ist ein Beispiel für einen AD FS-Datenbanknamen und kann variieren.
• server=\.\pipe\MICROSOFT##WID\tsql\queryist die Verbindungszeichenfolge zur Datenbank, wenn Sie WID verwenden.

Das folgende T-SQL-Skript erstellt eine SQL-Anmeldung für das Verzeichnisdienstkonto und erteilt dieser die erforderlichen Berechtigungen db_datareader, CONNECT und SELECT für die AD FS-Konfigurationsdatenbank:

USE [master]
CREATE LOGIN [DOMAIN1\mdiSvc01] FROM WINDOWS WITH DEFAULT_DATABASE=[master]
USE [AdfsConfigurationV4]
CREATE USER [DOMAIN1\mdiSvc01] FOR LOGIN [DOMAIN1\mdiSvc01]
ALTER ROLE [db_datareader] ADD MEMBER [DOMAIN1\mdiSvc01]
GRANT CONNECT TO [DOMAIN1\mdiSvc01]
GRANT SELECT TO [DOMAIN1\mdiSvc01]
GO

Das folgende PowerShell-Skript stellt eine Verbindung mit der Windows Internal Database (WID) oder einer externen SQL Server-Instanz her und erstellt die erforderliche SQL-Anmeldung, die Mitgliedschaft in der db_datareader-Datenbankrolle und die SELECT-Berechtigungen für das Verzeichnisdienstkonto für die AD FS-Konfigurationsdatenbank:

$ConnectionString = 'server=\\.\pipe\MICROSOFT##WID\tsql\query;database=AdfsConfigurationV4;trusted_connection=true;'
$SQLConnection= New-Object System.Data.SQLClient.SQLConnection($ConnectionString)
$SQLConnection.Open()
$SQLCommand = $SQLConnection.CreateCommand()
$SQLCommand.CommandText = @"
USE [master]; 
CREATE LOGIN [DOMAIN1\mdiSvc01] FROM WINDOWS WITH DEFAULT_DATABASE=[master];
USE [AdfsConfigurationV4]; 
CREATE USER [DOMAIN1\mdiSvc01] FOR LOGIN [DOMAIN1\mdiSvc01]; 
ALTER ROLE [db_datareader] ADD MEMBER [DOMAIN1\mdiSvc01]; 
GRANT CONNECT TO [DOMAIN1\mdiSvc01]; 
GRANT SELECT TO [DOMAIN1\mdiSvc01];
"@
$SqlDataReader = $SQLCommand.ExecuteReader()
$SQLConnection.Close()

Konfigurieren von Berechtigungen für die Datenbank Microsoft Entra Connect (ADSync)

Sensoren, die auf Microsoft Entra Connect-Servern ausgeführt werden, müssen Zugriff auf die ADSync-Datenbank haben und über Ausführungsberechtigungen für die relevanten gespeicherten Prozeduren verfügen. Wenn Sie über mehrere Microsoft Entra Connect-Server verfügen, müssen Sie das folgende PowerShell-Skript auf jedem Server ausführen, um ADSync-Datenbankzugriff und gespeicherte Prozedurberechtigungen zu gewähren.

So erteilen Sie dem Sensor Berechtigungen für die Microsoft Entra Connect ADSync-Datenbank mithilfe von PowerShell:

$entraConnectServerDomain = $env:USERDOMAIN
$entraConnectServerComputerAccount = $env:COMPUTERNAME
$entraConnectDBName = (Get-ItemProperty 'registry::HKLM\SYSTEM\CurrentControlSet\Services\ADSync\Parameters' -Name 'DBName').DBName
$entraConnectSqlServer = (Get-ItemProperty 'registry::HKLM\SYSTEM\CurrentControlSet\Services\ADSync\Parameters' -Name 'Server').Server
$entraConnectSqlInstance = (Get-ItemProperty 'registry::HKLM\SYSTEM\CurrentControlSet\Services\ADSync\Parameters' -Name 'SQLInstance').SQLInstance

$ConnectionString = 'server={0}\{1};database={2};trusted_connection=true;' -f $entraConnectSqlServer, $entraConnectSqlInstance, $entraConnectDBName
$SQLConnection= New-Object System.Data.SQLClient.SQLConnection($ConnectionString)
$SQLConnection.Open()
$SQLCommand = $SQLConnection.CreateCommand()
$SQLCommand.CommandText = @"
USE [master]; 
CREATE LOGIN [{0}\{1}$] FROM WINDOWS WITH DEFAULT_DATABASE=[master];
USE [{2}];
CREATE USER [{0}\{1}$] FOR LOGIN [{0}\{1}$];
GRANT CONNECT TO [{0}\{1}$];
GRANT SELECT TO [{0}\{1}$];
GRANT EXECUTE ON OBJECT::{2}.dbo.mms_get_globalsettings TO [{0}\{1}$];
GRANT EXECUTE ON OBJECT::{2}.dbo.mms_get_connectors TO [{0}\{1}$];
"@ -f $entraConnectServerDomain, $entraConnectServerComputerAccount, $entraConnectDBName
$SqlDataReader = $SQLCommand.ExecuteReader()
$SQLConnection.Close()

Schritte nach der Installation (optional)

Während der Sensorinstallation auf einem AD FS-, AD CS- oder Microsoft Entra Connect-Server wird automatisch der nächstgelegene Domänencontroller ausgewählt. Führen Sie die folgenden Schritte aus, um den ausgewählten Domänencontroller zu überprüfen oder zu ändern:

1. Navigieren Sie in Microsoft Defender XDR zu Einstellungen>Identitäten>Sensoren, um alle Ihre Defender for Identity-Sensoren anzuzeigen.

2. Suchen Sie den Sensor, den Sie auf dem Server installiert haben, und wählen Sie ihn aus.

3. Geben Sie im daraufhin geöffneten Bereich im Feld Domänencontroller (FQDN) den vollqualifizierten Domänennamen (FQDN) der Resolver-Domänencontroller ein. Wählen Sie + Hinzufügen aus, um den FQDN hinzuzufügen, und wählen Sie dann Speichern aus.

   

Die Initialisierung des Sensors kann einige Minuten dauern. Nach Abschluss des Vorgangs ändert sich der Dienst status des AD FS-, AD CS- oder Microsoft Entra Connect-Sensors von beendet in ausgeführt.

Überprüfen der erfolgreichen Bereitstellung

So überprüfen Sie, ob Sie erfolgreich einen Defender for Identity-Sensor auf einem AD FS- oder AD CS-Server bereitgestellt haben:

1. Überprüfen Sie, ob der Azure Erweiterter Schutz vor Bedrohungen-Sensordienst ausgeführt wird. Nachdem Sie die Defender for Identity-Sensoreinstellungen gespeichert haben, kann es einige Sekunden dauern, bis der Dienst gestartet wird.

2. Wenn der Dienst nicht startet, überprüfen Sie die Datei Microsoft.Tri.sensor-Errors.log, die sich standardmäßig unter %programfiles%\Azure Erweiterter Schutz vor Bedrohungen sensor\Version X\Logs befindet.

3. Verwenden Sie AD FS oder AD CS, um einen Benutzer bei einer beliebigen Anwendung zu authentifizieren, und überprüfen Sie dann, ob Defender for Identity die Authentifizierung beobachtet hat.

   Wählen Sie beispielsweise Hunting>Advanced Hunting aus. Geben Sie im Bereich Abfrage eine der folgenden Abfragen ein, und führen Sie sie aus:

   • Für AD FS:

     IdentityLogonEvents | where Protocol contains 'Adfs'
     

     Der Ergebnisbereich sollte eine Liste von Ereignissen mit einem LogonType-Wert von Logon with ADFS authentication enthalten.

   • Für AD CS:

     IdentityDirectoryEvents | where Protocol == "Adcs"
     

     Im Ergebnisbereich wird eine Liste der Ereignisse der fehlgeschlagenen und erfolgreichen Zertifikatausstellung angezeigt. Wählen Sie eine bestimmte Zeile aus, um zusätzliche Details im Bereich Datensatz überprüfen anzuzeigen.

     

Verwandte Inhalte

Weitere Informationen finden Sie unter:

• Voraussetzungen für Microsoft Defender for Identity
• Installieren Sie den Microsoft Defender for Identity-Sensor