Office: Nicht nachvollziehbares Verhalten nach Aufbau einer Azure AD mit Lokalem AD Sync

Hallo zusammen,

wir haben ein merkwürdiges Problem, anbei kurz unsere "Infrastruktur"

Wir haben aus der Vergangenheit ein AzureAD mit vielen Microsoft Konten.

Diese Konten sind mit einer Teams Free Lizenz ausgestattet.

Wir haben uns vor ca. 8 Wochen entschieden, das Thema AzureAD weiter auszubauen und haben dafür ein neues AzureAD Verzeichnis angelegt. Dieses wird auch mit dem Lokalen AD Synchronisiert. SSO und dergleichen funktionieren. Im neuen AzureAD nutzen wir Testweise
auch die Volle Teams Version. Jedoch aktuell nur im "kleinen" Kreis...

Seit Freitag haben wir einzelne Accounts, welche im alten Verzeichnis plötzlich keine Microsoft Accounts mehr darstellen, sondern als Externe Azure AD Accounts auf unser neues Verzeichnis zeigen. Diese Accounts können sich nicht mehr im Teams anmelden. Jeglicher
Versuch die Accounts zu reanimieren scheitert. Nur ein Löschen des Accounts ( mit allen Konsequnzen ) und neue Einladung über das neue AzureAD hat zumindest dazu geführt, dass der User wieder in Teams aufgenommen werden konnte. Jedoch sind alle alten Konversationen,
Einstellungen, Channels, etc verloren.

Weiß jemand warum dieser Effekt auftritt?

Die Azure Verzeichnisse kennen sich im übrigen nicht, sie wurden von unterschiedlichen Usern erstellt und stehen ( bis auf die Mailadresse ) nicht im Zusammenhang

Weiß jemand wie man den Ursprünglichen Account wieder hinzufügen kann, also nicht den AzureAD Account aus der neuen Umgebung, sondern den Microsoft Account.

Vielen Dank für Hinweise

:)

 

Hallo Michael-AA01,

Vielen Dank für Deine Frage. Ich bin unabhängige Beraterin und werde versuchen Dir zu helfen.

Die Verzeichnisse müssen sich kennen, ein Trust ist eine Voraussetrung für funktionierende Umgebung.

Hier sind die untertützen Topologien:
https://docs.microsoft.com/de-de/azure/active-d..., ich vermute bei euch ist was Ähnliches wie: Mehrere Gesamtstrukturen, mehrere Synchronisierungsserver zu einem Azure AD-Mandanten (kannst Du das bestätigen?).

Es ist erwartet, dass die Konten als "extern" erscheinen, die beiden Umgebungen kennen sich eigentlich nicht.

Ich empfehle eine Umstrukturierung der Umgebung, so dass sie Microsoft-supported ist.

Beste Grüsse,

Manuela

 

Hi Manuela,

danke für die rasche Antwort.

Es gibt aktuell nur eine Gesamtstruktur, einen Sync Server, keine Trusts, oder ähnliches.

Die Einzige Gemeinsamkeit die ich finden kann ist die E-Mailadresse.

Wir betreiben lt. dem Link also folgende Struktur ( neue Azure AD ):

Einzelne Gesamtstruktur, einzelner Azure AD-Mandant

Zusätzlich gibt es ein weiteres Azure AD ( alte Azure AD ). Das komplett losgelöst von dem anderen ist.

Hier sind Private Accounts registriert worden ( das war bevor wir Azure AD eingeführt haben ).

Und werden durch eine Teams Umgebung "administriert".

Die Privaten Account haben logischerweise, die gleiche Mailadresse wie die gesyncten Accounts im "neuen" Azure AD.

Merkwürdig ist auch das es nur ca. 3% aller Accounts betrifft. Alle anderen sind weiterhin normale Microsoft Accounts in der "alten" Azure AD.

Im Ende haben wir zwei Effekte die wir nicht steuern und erklären können.

Microsoft Accounts migrieren sich scheinbar selbstständig in einem unabhängigen Azure AD in External Azure AD Accounts.

Die Migrierten Accounts können sich aber nicht mehr am alten Azure AD anmelden. bzw. lässt Teams das nicht zu.

Eine Auswahl des Verzeichnisses in Teams ist vorhanden - jedoch landet man in einer Weiterleitungsschleife...

Vielen Dank und viele Grüße

Michael

 

Hallo Michael, vielen Dank für die Informationen.Ich werde ein Paar Tests machen und morgen mich bei Dir melden.