- Startseite
- Podcasts
- IT as a Pro Podcast
Episoden
10 Minuten
Ein Server mit Entra Connect, das Active Directory als führendes System und ein Exchange Server, der nur für die Verwaltung stehen bleibt: So sah das Standardkonzept für hybride Umgebungen über Jahre aus. Drei Änderungen verschieben dieses Bild.
Die drei Änderungen
1. Cloud Sync statt Connect Sync: Microsoft hat den Übergang angekündigt und informiert Kunden phasenweise über ihr Umstellungsfenster.
2. Source of Authority: Gruppen und Benutzerkonten lassen sich in der Cloud verwalten, Cloud Sync schreibt die Änderungen ins AD zurück.
3. Exchange-Attribute in der Cloud: Mit IsExchangeCloudManaged pflegst Du die Exchange-Attribute synchronisierter Konten direkt in Exchange Online.
Wichtiger Termin
Bis zum 7. April 2027 muss Connect Sync auf Version 2.6.84.0 oder neuer laufen und auf die anwendungsbasierte Authentifizierung umgestellt sein, sonst stoppt die Synchronisation.
Microsoft Entra Connect: Version release history
Cloud Sync und Connect Sync
Ankündigung der Umstellung (Entra-Neuerungen, April 2026)
Decision Guide mit Funktionsvergleich
FAQ zur Migration: Umstellungsfenster, Ausnahmen, Parallelbetrieb
Source of Authority und Provisionierung ins AD
Group Source of Authority
User Source of Authority
Provisionierung von Entra ID ins Active Directory (Preview)
Exchange-Attribute in der Cloud verwalten
Cloud-based management of Exchange attributes
Blog
Viele weitere Artikel von mir findest Du auf dem WindowsPro Blog
https://www.windowspro.de/benjamin-burk
LinkedIn
Auf LinkedIn hast Du die Möglichkeit mehr von mir zu erfahren.
https://www.linkedin.com/in/benjaminbuerk/
Anregungen, Fragen, Kritik, Wünsche
Willst Du ein Thema gerne genauer besprochen haben? Gibt es das eine Problem, das Dich schon seit langer Zeit beschäftigt? Hast Du einen Interviewgast oder selbst ein spannendes Thema zum Berichten? Schreib mir Deine Gedanken an podcast@itasapro.de
Sterne-Bewertung
Wenn Dich die Folge weitergebracht hat, dann tue mir bitte den Gefallen und bewerte den Podcast mit 5 Sternen. Durch Deine Rezension hilfst Du mir, den Podcast weiter zu verbessern und ihn am Laufen zu halten.
Vielen Dank, dass Du den Podcast hörst!
Grafik und Design
Herzlichen Dank an den Brand Designer Martin Knupfer https://www.martinknupfer.de
Die drei Änderungen
1. Cloud Sync statt Connect Sync: Microsoft hat den Übergang angekündigt und informiert Kunden phasenweise über ihr Umstellungsfenster.
2. Source of Authority: Gruppen und Benutzerkonten lassen sich in der Cloud verwalten, Cloud Sync schreibt die Änderungen ins AD zurück.
3. Exchange-Attribute in der Cloud: Mit IsExchangeCloudManaged pflegst Du die Exchange-Attribute synchronisierter Konten direkt in Exchange Online.
Wichtiger Termin
Bis zum 7. April 2027 muss Connect Sync auf Version 2.6.84.0 oder neuer laufen und auf die anwendungsbasierte Authentifizierung umgestellt sein, sonst stoppt die Synchronisation.
Microsoft Entra Connect: Version release history
Cloud Sync und Connect Sync
Ankündigung der Umstellung (Entra-Neuerungen, April 2026)
Decision Guide mit Funktionsvergleich
FAQ zur Migration: Umstellungsfenster, Ausnahmen, Parallelbetrieb
Source of Authority und Provisionierung ins AD
Group Source of Authority
User Source of Authority
Provisionierung von Entra ID ins Active Directory (Preview)
Exchange-Attribute in der Cloud verwalten
Cloud-based management of Exchange attributes
Blog
Viele weitere Artikel von mir findest Du auf dem WindowsPro Blog
https://www.windowspro.de/benjamin-burk
Auf LinkedIn hast Du die Möglichkeit mehr von mir zu erfahren.
https://www.linkedin.com/in/benjaminbuerk/
Anregungen, Fragen, Kritik, Wünsche
Willst Du ein Thema gerne genauer besprochen haben? Gibt es das eine Problem, das Dich schon seit langer Zeit beschäftigt? Hast Du einen Interviewgast oder selbst ein spannendes Thema zum Berichten? Schreib mir Deine Gedanken an podcast@itasapro.de
Sterne-Bewertung
Wenn Dich die Folge weitergebracht hat, dann tue mir bitte den Gefallen und bewerte den Podcast mit 5 Sternen. Durch Deine Rezension hilfst Du mir, den Podcast weiter zu verbessern und ihn am Laufen zu halten.
Vielen Dank, dass Du den Podcast hörst!
Grafik und Design
Herzlichen Dank an den Brand Designer Martin Knupfer https://www.martinknupfer.de
12 Minuten
Ein Kollege wird freigestellt, das Konto ist deaktiviert und eine halbe Stunde später schreibt er noch Mails in Outlook ?!?Kein Bug, sondern by Design. Ein Access Token gilt bis zu seinem Ablauf.
Continuous Access Evaluation (CAE) dreht das um. Exchange Online, SharePoint Online, Teams und Graph lehnen einen Token ab, sobald Entra ID ein kritisches Ereignis meldet. Der Nebeneffekt: Access Tokens leben bis zu 28 Stunden, weil der Widerruf über Ereignisse läuft statt über die Lifetime.
Die wichtigsten Punkte
Access Token und Refresh Token: zwei Tokens, zwei Aufgaben
Kritische Ereignisse laufen in jedem Tenant, ohne Richtlinie und ohne Lizenz
Standortprüfung nur mit Conditional Access und IP-basierten Named Locations
Abgedeckt sind nur Microsofts Core-Services – Office Web Apps, Gastkonten und Drittanbieter-Apps nicht
CAE muss nicht in Conditional Access eingeschalten werden
Revoke Session reicht für das Offboarding
Prüfen im Sign-in Log mit dem Filter "Is CAE Token"
Links zur Folge
Continuous access evaluation: Microsoft Learn
CAE überwachen und Fehler suchen: Microsoft Learn
Standortbedingung in Conditional Access: Microsoft Learn
Strict Location Enforcement (Preview): Microsoft Learn
️ PowerShell Commands
Revoke-MgUserSignInSession -UserId [Alle Refresh Tokens eines Anwenders widerrufen]
Passende Folgen
Folge 50 | Token Protection – wenn MFA nicht mehr reicht
Folge 54 | Conditional Access Templates - die Microsoft-Baseline aus dem Baukasten
Blog
https://www.windowspro.de/benjamin-burk
LinkedIn
https://www.linkedin.com/in/benjaminbuerk/
Anregungen, Fragen, Kritik, Wünsche
Schreib mir an podcast@itasapro.de
️ Sterne-Bewertung
Wenn Dich die Folge weitergebracht hat, bewerte den Podcast gerne mit 5 Sternen. Vielen Dank, dass Du zuhörst!
Grafik und Design
Martin Knupfer https://www.martinknupfer.de
Continuous Access Evaluation (CAE) dreht das um. Exchange Online, SharePoint Online, Teams und Graph lehnen einen Token ab, sobald Entra ID ein kritisches Ereignis meldet. Der Nebeneffekt: Access Tokens leben bis zu 28 Stunden, weil der Widerruf über Ereignisse läuft statt über die Lifetime.
Die wichtigsten Punkte
Access Token und Refresh Token: zwei Tokens, zwei Aufgaben
Kritische Ereignisse laufen in jedem Tenant, ohne Richtlinie und ohne Lizenz
Standortprüfung nur mit Conditional Access und IP-basierten Named Locations
Abgedeckt sind nur Microsofts Core-Services – Office Web Apps, Gastkonten und Drittanbieter-Apps nicht
CAE muss nicht in Conditional Access eingeschalten werden
Revoke Session reicht für das Offboarding
Prüfen im Sign-in Log mit dem Filter "Is CAE Token"
Links zur Folge
Continuous access evaluation: Microsoft Learn
CAE überwachen und Fehler suchen: Microsoft Learn
Standortbedingung in Conditional Access: Microsoft Learn
Strict Location Enforcement (Preview): Microsoft Learn
️ PowerShell Commands
Revoke-MgUserSignInSession -UserId [Alle Refresh Tokens eines Anwenders widerrufen]
Passende Folgen
Folge 50 | Token Protection – wenn MFA nicht mehr reicht
Folge 54 | Conditional Access Templates - die Microsoft-Baseline aus dem Baukasten
Blog
https://www.windowspro.de/benjamin-burk
https://www.linkedin.com/in/benjaminbuerk/
Anregungen, Fragen, Kritik, Wünsche
Schreib mir an podcast@itasapro.de
️ Sterne-Bewertung
Wenn Dich die Folge weitergebracht hat, bewerte den Podcast gerne mit 5 Sternen. Vielen Dank, dass Du zuhörst!
Grafik und Design
Martin Knupfer https://www.martinknupfer.de
13 Minuten
Beim passwortlosen Onboarding gibt es kein Initialpasswort und ohne ersten Faktor kommt der Anwender gar nicht erst zur Registrierung einer Methode. Dasselbe gilt, wenn eine Methode nicht mehr nutzbar ist. Der Temporary Access Pass ist die Brücke: eine vollständige Anmeldung, die MFA erfüllt, ganz ohne Passwort. Wir schauen uns an, was der TAP genau ist, wie Du ihn konfigurierst, welche Rollen ihn ausstellen dürfen und welche Stolperfallen in der Praxis Zeit kosten.
️ Die wichtigsten Punkte
- Der TAP ist keine zweite Stufe nach dem Passwort – er ist vollständige Anmeldung und erfüllt MFA
- Zwei Szenarien: Onboarding ohne Initialpasswort und Zugang, wenn keine Methode mehr nutzbar ist
- Erstellen und Anmelden sind zwei Dinge: Ausstellen kannst Du für jeden, anmelden nur wer in der Richtlinie steht
- Stolperfallen: Zehn-Minuten-Regel beim Einmal-TAP, Conditional Access bei der Registrierung, Interrupt-Modus der kombinierten Registrierung
️ PowerShell
- New-MgUserAuthenticationTemporaryAccessPassMethod [TAP erstellen]
- Get-MgUserAuthenticationTemporaryAccessPassMethod [TAP abfragen]
- Remove-MgUserAuthenticationTemporaryAccessPassMethod [TAP löschen]
️ Links zur Folge
Temporary Access Pass konfigurieren
https://learn.microsoft.com/entra/identity/authentication/howto-authentication-temporary-access-pass
Rollenvergleich Authentifizierung
https://learn.microsoft.com/entra/identity/role-based-access-control/privileged-roles-permissions
Kombinierte Registrierung für MFA und SSPR
https://learn.microsoft.com/entra/identity/authentication/concept-registration-mfa-sspr-combined
Registrierung von Sicherheitsinformationen mit Conditional Access schützen
https://learn.microsoft.com/entra/identity/conditional-access/policy-all-users-security-info-registration
Kontowiederherstellung in Entra ID
https://learn.microsoft.com/entra/identity/authentication/how-to-account-recovery-for-users
NIST Special Publication 800-63A
https://pages.nist.gov/800-63-3/sp800-63a.html
Blog
Viele weitere Artikel von mir findest Du auf dem WindowsPro Blog
https://www.windowspro.de/benjamin-burk
LinkedIn
Auf LinkedIn hast Du die Möglichkeit mehr von mir zu erfahren.
https://www.linkedin.com/in/benjaminbuerk/
Anregungen, Fragen, Kritik, Wünsche
Willst Du ein Thema gerne genauer besprochen haben? Gibt es das eine Problem, das Dich schon länger beschäftigt? Hast Du einen Interviewgast oder selbst ein spannendes Thema zum Berichten? Schreib mir Deine Gedanken an podcast@itasapro.de
️ Sterne-Bewertung
Wenn Dich die Folge weitergebracht hat, dann tue mir bitte den Gefallen und bewerte den Podcast mit 5 Sternen. Durch Deine Rezension hilfst Du mir, den Podcast weiter zu verbessern und ihn am Laufen zu halten.
Vielen Dank, dass Du den Podcast hörst!
Grafik und Design
Herzlichen Dank an den Brand Designer Martin Knupfer https://www.martinknupfer.de
️ Die wichtigsten Punkte
- Der TAP ist keine zweite Stufe nach dem Passwort – er ist vollständige Anmeldung und erfüllt MFA
- Zwei Szenarien: Onboarding ohne Initialpasswort und Zugang, wenn keine Methode mehr nutzbar ist
- Erstellen und Anmelden sind zwei Dinge: Ausstellen kannst Du für jeden, anmelden nur wer in der Richtlinie steht
- Stolperfallen: Zehn-Minuten-Regel beim Einmal-TAP, Conditional Access bei der Registrierung, Interrupt-Modus der kombinierten Registrierung
️ PowerShell
- New-MgUserAuthenticationTemporaryAccessPassMethod [TAP erstellen]
- Get-MgUserAuthenticationTemporaryAccessPassMethod [TAP abfragen]
- Remove-MgUserAuthenticationTemporaryAccessPassMethod [TAP löschen]
️ Links zur Folge
Temporary Access Pass konfigurieren
https://learn.microsoft.com/entra/identity/authentication/howto-authentication-temporary-access-pass
Rollenvergleich Authentifizierung
https://learn.microsoft.com/entra/identity/role-based-access-control/privileged-roles-permissions
Kombinierte Registrierung für MFA und SSPR
https://learn.microsoft.com/entra/identity/authentication/concept-registration-mfa-sspr-combined
Registrierung von Sicherheitsinformationen mit Conditional Access schützen
https://learn.microsoft.com/entra/identity/conditional-access/policy-all-users-security-info-registration
Kontowiederherstellung in Entra ID
https://learn.microsoft.com/entra/identity/authentication/how-to-account-recovery-for-users
NIST Special Publication 800-63A
https://pages.nist.gov/800-63-3/sp800-63a.html
Blog
Viele weitere Artikel von mir findest Du auf dem WindowsPro Blog
https://www.windowspro.de/benjamin-burk
Auf LinkedIn hast Du die Möglichkeit mehr von mir zu erfahren.
https://www.linkedin.com/in/benjaminbuerk/
Anregungen, Fragen, Kritik, Wünsche
Willst Du ein Thema gerne genauer besprochen haben? Gibt es das eine Problem, das Dich schon länger beschäftigt? Hast Du einen Interviewgast oder selbst ein spannendes Thema zum Berichten? Schreib mir Deine Gedanken an podcast@itasapro.de
️ Sterne-Bewertung
Wenn Dich die Folge weitergebracht hat, dann tue mir bitte den Gefallen und bewerte den Podcast mit 5 Sternen. Durch Deine Rezension hilfst Du mir, den Podcast weiter zu verbessern und ihn am Laufen zu halten.
Vielen Dank, dass Du den Podcast hörst!
Grafik und Design
Herzlichen Dank an den Brand Designer Martin Knupfer https://www.martinknupfer.de
18 Minuten
In der Theorie ist alles schön: Profile stehen, Attestation greift, die Belegschaft ist umgestellt. Dann klingelt das Telefon. "Ich hab mein Handy verloren." – "Bei uns teilen sich zwölf Leute einen Rechner." – "Warum geht mein Passkey am Windows-Anmeldebildschirm nicht?"
Diese Folge behandelt vier Szenarien aus dem Passkey-Alltag:
1. Das Gerät ist weg – Warum zwei Methoden auf zwei verschiedenen Geräten liegen müssen, und warum die Vorsorge wichtiger ist als jede Wiederherstellung.
2. Der verwaiste Passkey – Der Schlüssel liegt lokal, ist in Entra ID aber nicht mehr registriert. Entsteht oft durch eine Richtlinienänderung. Der Helpdesk sucht sonst lange.
3. Passkeys am Windows-Gerät – Die Anmeldung ist ein eigenes Setting, der auf bestehenden Geräten nicht greift. Was gar nicht funktioniert. Und wie sich Windows Hello for Business, FIDO2-Stick und Entra-Passkey die Arbeit teilen – inklusive geteilter Arbeitsplätze in Produktion und Schichtbetrieb.
4. Vier Sonderfälle – Gäste, UPN-Änderungen, die Bluetooth-Abhängigkeit beim geräteübergreifenden Anmelden – und warum sich mit einem Passkey kein Passwort zurücksetzen lässt.
Welche Methode wofür am Windows-Gerät
Windows Hello for Business – verwaltete, Entra-joined oder registrierte Firmengeräte. Meldet am Gerät an und liefert Single Sign-on gleich mit. Bleibt dort die Empfehlung.
FIDO2-Sicherheitsschlüssel – wechselnde und geteilte Arbeitsplätze. Der Schlüssel steckt im Stick und wandert mit der Person mit, statt an einem Gerät zu hängen. Unterstützt die Windows-Anmeldung.
Microsoft Entra passkey on Windows (Vorschau) – unverwaltete, private oder geteilte Rechner. Mehrere Konten pro PC möglich. Unterstützt aber keine Geräteanmeldung – nur den Zugriff auf Entra-geschützte Ressourcen.
Links zur Folge
Übersicht der Authentifizierungsmethoden – welche Methode für Anmeldung, MFA und SSPR taugt
https://learn.microsoft.com/entra/identity/authentication/overview-authentication
So funktioniert Self-Service Password Reset – inklusive der verfügbaren Methoden
https://learn.microsoft.com/entra/identity/authentication/concept-sspr-howitworks
Passwortnutzung aus Entra ID entfernen – Verwürfeln per Skript, SSPR abschalten
https://learn.microsoft.com/entra/identity/authentication/how-to-plan-password-scramble-phishing-resistant-passwordless-authentication
Microsoft Entra passkey on Windows (Vorschau) – inklusive AAGUID-Tabelle
https://learn.microsoft.com/entra/identity/authentication/how-to-authentication-entra-passkeys-on-windows
Anmeldung mit synchronisiertem Passkey – inklusive verwaister Passkeys und Bluetooth
https://learn.microsoft.com/entra/identity/authentication/how-to-sign-in-passkey
Anmeldung mit FIDO2-Sicherheitsschlüssel
https://learn.microsoft.com/entra/identity/authentication/how-to-security-key-sign-in
FIDO2-Anmeldung an Windows 10 und 11 aktivieren
https://learn.microsoft.com/entra/identity/authentication/howto-authentication-passwordless-security-key-windows
Windows Passwordless Experience
https://learn.microsoft.com/windows/security/identity-protection/passwordless-experience/
Gerätemanagement für Frontline-Mitarbeitende – Übersicht der Methoden und ihrer Voraussetzungen
https://learn.microsoft.com/microsoft-365/frontline/flw-devices
Passwortlose Authentifizierung mit Microsoft Intune – inklusive Entra passkey on Windows
https://learn.microsoft.com/intune/solutions/passwordless
LinkedIn
Auf LinkedIn hast Du die Möglichkeit mehr von mir zu erfahren.
https://www.linkedin.com/in/benjaminbuerk/
Anregungen, Fragen, Kritik, Wünsche
Willst Du ein Thema gerne genauer besprochen haben? Gibt es das eine Problem, das Dich schon lange beschäftigt? Hast Du einen Interviewgast oder selbst ein spannendes Thema zum Berichten? Schreib mir Deine Gedanken an podcast@itasapro.de
️ Sterne-Bewertung
Wenn Dich die Folge weitergebracht hat, dann tue mir bitte den Gefallen und bewerte den Podcast mit 5 Sternen.
Vielen Dank, dass Du den Podcast hörst!
Diese Folge behandelt vier Szenarien aus dem Passkey-Alltag:
1. Das Gerät ist weg – Warum zwei Methoden auf zwei verschiedenen Geräten liegen müssen, und warum die Vorsorge wichtiger ist als jede Wiederherstellung.
2. Der verwaiste Passkey – Der Schlüssel liegt lokal, ist in Entra ID aber nicht mehr registriert. Entsteht oft durch eine Richtlinienänderung. Der Helpdesk sucht sonst lange.
3. Passkeys am Windows-Gerät – Die Anmeldung ist ein eigenes Setting, der auf bestehenden Geräten nicht greift. Was gar nicht funktioniert. Und wie sich Windows Hello for Business, FIDO2-Stick und Entra-Passkey die Arbeit teilen – inklusive geteilter Arbeitsplätze in Produktion und Schichtbetrieb.
4. Vier Sonderfälle – Gäste, UPN-Änderungen, die Bluetooth-Abhängigkeit beim geräteübergreifenden Anmelden – und warum sich mit einem Passkey kein Passwort zurücksetzen lässt.
Welche Methode wofür am Windows-Gerät
Windows Hello for Business – verwaltete, Entra-joined oder registrierte Firmengeräte. Meldet am Gerät an und liefert Single Sign-on gleich mit. Bleibt dort die Empfehlung.
FIDO2-Sicherheitsschlüssel – wechselnde und geteilte Arbeitsplätze. Der Schlüssel steckt im Stick und wandert mit der Person mit, statt an einem Gerät zu hängen. Unterstützt die Windows-Anmeldung.
Microsoft Entra passkey on Windows (Vorschau) – unverwaltete, private oder geteilte Rechner. Mehrere Konten pro PC möglich. Unterstützt aber keine Geräteanmeldung – nur den Zugriff auf Entra-geschützte Ressourcen.
Links zur Folge
Übersicht der Authentifizierungsmethoden – welche Methode für Anmeldung, MFA und SSPR taugt
https://learn.microsoft.com/entra/identity/authentication/overview-authentication
So funktioniert Self-Service Password Reset – inklusive der verfügbaren Methoden
https://learn.microsoft.com/entra/identity/authentication/concept-sspr-howitworks
Passwortnutzung aus Entra ID entfernen – Verwürfeln per Skript, SSPR abschalten
https://learn.microsoft.com/entra/identity/authentication/how-to-plan-password-scramble-phishing-resistant-passwordless-authentication
Microsoft Entra passkey on Windows (Vorschau) – inklusive AAGUID-Tabelle
https://learn.microsoft.com/entra/identity/authentication/how-to-authentication-entra-passkeys-on-windows
Anmeldung mit synchronisiertem Passkey – inklusive verwaister Passkeys und Bluetooth
https://learn.microsoft.com/entra/identity/authentication/how-to-sign-in-passkey
Anmeldung mit FIDO2-Sicherheitsschlüssel
https://learn.microsoft.com/entra/identity/authentication/how-to-security-key-sign-in
FIDO2-Anmeldung an Windows 10 und 11 aktivieren
https://learn.microsoft.com/entra/identity/authentication/howto-authentication-passwordless-security-key-windows
Windows Passwordless Experience
https://learn.microsoft.com/windows/security/identity-protection/passwordless-experience/
Gerätemanagement für Frontline-Mitarbeitende – Übersicht der Methoden und ihrer Voraussetzungen
https://learn.microsoft.com/microsoft-365/frontline/flw-devices
Passwortlose Authentifizierung mit Microsoft Intune – inklusive Entra passkey on Windows
https://learn.microsoft.com/intune/solutions/passwordless
Auf LinkedIn hast Du die Möglichkeit mehr von mir zu erfahren.
https://www.linkedin.com/in/benjaminbuerk/
Anregungen, Fragen, Kritik, Wünsche
Willst Du ein Thema gerne genauer besprochen haben? Gibt es das eine Problem, das Dich schon lange beschäftigt? Hast Du einen Interviewgast oder selbst ein spannendes Thema zum Berichten? Schreib mir Deine Gedanken an podcast@itasapro.de
️ Sterne-Bewertung
Wenn Dich die Folge weitergebracht hat, dann tue mir bitte den Gefallen und bewerte den Podcast mit 5 Sternen.
Vielen Dank, dass Du den Podcast hörst!
12 Minuten
Passkeys werden zum Standard. Nutzt dann einfach jeder, was er will - der eine seinen Hardware-Stick, der nächste die iCloud Keychain, der dritte einen Passwortmanager, von dem Du noch nie gehört hast? Klingt nach Wildwuchs. Muss es aber nicht sein.
In dieser Folge geht es um Passkey-Profile in Microsoft Entra ID: die drei Einstellungsmöglichkeiten, was Attestation kryptografisch wirklich nachweist, warum sich Attestation und synchronisierte Passkeys gegenseitig ausschliessen und warum eine einzige Einstellung darüber entscheidet, ob Du wirklich definierst oder nur empfiehlst.
️ Die drei Einstellungsmöglichkeiten im Passkey-Profil
Passkey-Typ – gerätegebunden, synchronisiert oder beides
Attestation – erzwungen oder nicht
Key Restrictions – einzelne Authenticator-Modelle über die AAGUID erlauben oder blockieren
Zu finden im Entra Admin Center unter Authentifizierungsmethoden, Richtlinien und bei Passkey (FIDO2) Konfigurieren.
️ Änderungen wirken rückwirkend – ausser bei der Attestation
Passkey-Typ und Key Restrictions gelten für Registrierung und Anmeldung. Entziehst Du nachträglich einen Typ oder eine AAGUID, kommen bereits registrierte Anwender nicht mehr rein.
Die Attestation greift dagegen nur bei der Registrierung. Wer ohne Attestation registriert hat, kann sich weiterhin anmelden. Attestation nachträglich einzuschalten räumt also nicht auf – das musst Du beim jeweiligen Benutzer einzeln erledigen.
Microsofts Beispieltabelle – der Direkteinstieg
Wenn Du nur einen Link aus dieser Folge mitnimmst, dann diesen. Microsoft zeigt dort zwei fertige Profilkonfigurationen: gerätegebunden mit erzwungener Attestation für IT-Admins, Geschäftsleitung und Engineering – beide Typen ohne Attestation für HR und Vertrieb. Direkt darunter steht ausserdem ein zweites Beispiel für den pilotierten Rollout von Passkeys im Microsoft Authenticator über AAGUIDs.
https://learn.microsoft.com/entra/identity/authentication/how-to-authentication-passkeys-fido2#special-consideration-for-high-privileged-accounts
Links aus der Folge
Passkeys (FIDO2) in Microsoft Entra ID aktivieren – inklusive Passkey-Profile
https://learn.microsoft.com/entra/identity/authentication/how-to-authentication-passkeys-fido2
Synchronisierte Passkeys aktivieren
https://learn.microsoft.com/entra/identity/authentication/how-to-synced-passkeys
Passkeys im Microsoft Authenticator aktivieren – inklusive der beiden AAGUIDs
https://learn.microsoft.com/entra/identity/authentication/how-to-enable-authenticator-passkey
Attestation in Entra ID – Anforderungen und Liste der berechtigten FIDO2-Schlüssel
https://learn.microsoft.com/entra/identity/authentication/concept-fido2-hardware-vendor
Passkeys als Standard und Rückzug von SMS und Voice – die Termine im Überblick
https://learn.microsoft.com/entra/identity/authentication/concept-sms-voice-retirement
FIDO Alliance Metadata Service
https://fidoalliance.org/metadata/
Dazu passende Folgen
Folge 56 | Was sind Passkeys – und warum sind sie mehr als nur ein zweiter Faktor?
Homepage
Den Podcast findest Du unter https://itasapro.podigee.io
Blog
Viele, weitere Artikel von mir findest Du auf dem WindowsPro Blog
https://www.windowspro.de/benjamin-burk
LinkedIn
Auf LinkedIn hast Du die Möglichkeit mehr von mir zu erfahren.
https://www.linkedin.com/in/benjaminbuerk/
Anregungen, Fragen, Kritik, Wünsche
Willst Du ein Thema gerne genauer besprochen haben? Gibt es das eine Problem, das Dich schon lange beschäftigt? Hast Du einen Interviewgast oder selbst ein spannendes Thema zum Berichten? Schreib mir Deine Gedanken an podcast@itasapro.de
️ Sterne-Bewertung
Wenn Dich die Folge weitergebracht hat, dann tue mir bitte den Gefallen und bewerte den Podcast mit 5 Sternen. Durch Deine Rezension hilfst Du mir, den Podcast weiter zu verbessern und ihn am Laufen zu halten.
Vielen Dank, dass Du den Podcast hörst!
Grafik und Design
Herzlichen Dank an den Brand Designer Martin Knupfer https://www.martinknupfer.de
In dieser Folge geht es um Passkey-Profile in Microsoft Entra ID: die drei Einstellungsmöglichkeiten, was Attestation kryptografisch wirklich nachweist, warum sich Attestation und synchronisierte Passkeys gegenseitig ausschliessen und warum eine einzige Einstellung darüber entscheidet, ob Du wirklich definierst oder nur empfiehlst.
️ Die drei Einstellungsmöglichkeiten im Passkey-Profil
Passkey-Typ – gerätegebunden, synchronisiert oder beides
Attestation – erzwungen oder nicht
Key Restrictions – einzelne Authenticator-Modelle über die AAGUID erlauben oder blockieren
Zu finden im Entra Admin Center unter Authentifizierungsmethoden, Richtlinien und bei Passkey (FIDO2) Konfigurieren.
️ Änderungen wirken rückwirkend – ausser bei der Attestation
Passkey-Typ und Key Restrictions gelten für Registrierung und Anmeldung. Entziehst Du nachträglich einen Typ oder eine AAGUID, kommen bereits registrierte Anwender nicht mehr rein.
Die Attestation greift dagegen nur bei der Registrierung. Wer ohne Attestation registriert hat, kann sich weiterhin anmelden. Attestation nachträglich einzuschalten räumt also nicht auf – das musst Du beim jeweiligen Benutzer einzeln erledigen.
Microsofts Beispieltabelle – der Direkteinstieg
Wenn Du nur einen Link aus dieser Folge mitnimmst, dann diesen. Microsoft zeigt dort zwei fertige Profilkonfigurationen: gerätegebunden mit erzwungener Attestation für IT-Admins, Geschäftsleitung und Engineering – beide Typen ohne Attestation für HR und Vertrieb. Direkt darunter steht ausserdem ein zweites Beispiel für den pilotierten Rollout von Passkeys im Microsoft Authenticator über AAGUIDs.
https://learn.microsoft.com/entra/identity/authentication/how-to-authentication-passkeys-fido2#special-consideration-for-high-privileged-accounts
Links aus der Folge
Passkeys (FIDO2) in Microsoft Entra ID aktivieren – inklusive Passkey-Profile
https://learn.microsoft.com/entra/identity/authentication/how-to-authentication-passkeys-fido2
Synchronisierte Passkeys aktivieren
https://learn.microsoft.com/entra/identity/authentication/how-to-synced-passkeys
Passkeys im Microsoft Authenticator aktivieren – inklusive der beiden AAGUIDs
https://learn.microsoft.com/entra/identity/authentication/how-to-enable-authenticator-passkey
Attestation in Entra ID – Anforderungen und Liste der berechtigten FIDO2-Schlüssel
https://learn.microsoft.com/entra/identity/authentication/concept-fido2-hardware-vendor
Passkeys als Standard und Rückzug von SMS und Voice – die Termine im Überblick
https://learn.microsoft.com/entra/identity/authentication/concept-sms-voice-retirement
FIDO Alliance Metadata Service
https://fidoalliance.org/metadata/
Dazu passende Folgen
Folge 56 | Was sind Passkeys – und warum sind sie mehr als nur ein zweiter Faktor?
Homepage
Den Podcast findest Du unter https://itasapro.podigee.io
Blog
Viele, weitere Artikel von mir findest Du auf dem WindowsPro Blog
https://www.windowspro.de/benjamin-burk
Auf LinkedIn hast Du die Möglichkeit mehr von mir zu erfahren.
https://www.linkedin.com/in/benjaminbuerk/
Anregungen, Fragen, Kritik, Wünsche
Willst Du ein Thema gerne genauer besprochen haben? Gibt es das eine Problem, das Dich schon lange beschäftigt? Hast Du einen Interviewgast oder selbst ein spannendes Thema zum Berichten? Schreib mir Deine Gedanken an podcast@itasapro.de
️ Sterne-Bewertung
Wenn Dich die Folge weitergebracht hat, dann tue mir bitte den Gefallen und bewerte den Podcast mit 5 Sternen. Durch Deine Rezension hilfst Du mir, den Podcast weiter zu verbessern und ihn am Laufen zu halten.
Vielen Dank, dass Du den Podcast hörst!
Grafik und Design
Herzlichen Dank an den Brand Designer Martin Knupfer https://www.martinknupfer.de
In Podcasts werben
Schalte jetzt Werbung in Podcasts.
Über diesen Podcast
Der IT as a Pro Podcast erklärt IT-Themen zwischen on-premises
Infrastrukturen und Cloud Lösungen. Im Fokus stehen IT
Herausforderungen vor denen KMUs (Mittlerständler) und grössere
Unternehmen (Enterprises) stehen. Es sollen Lösungen und
Möglichkeiten besprochen werden, um gute Entscheidungen zu treffen,
stabilere System zu haben, effizienter zu sein und Budgets
effektiver einzusetzen. Verständlich und aus praktischer Sichtweise
präsentiert von einem langjährigen Senior System Engineer -
Benjamin Bürk
Abonnenten
Ta
Kommentare (0)
Melde dich an, um einen Kommentar zu schreiben.