Legacy-Apps nach Azure migrieren: Wann Microsoft Entra Domain Services und wann IaaS-Domänencontroller die richtige Wahl sind

Von Mirko Peters · 2026-08-14

Vergleich von Microsoft Entra Domain Services und IaaS-Domänencontrollern in Azure. Architektonische Abwägungen bei der Migration von Legacy-Apps.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Beim Lift-and-Shift von Windows-Legacy-Anwendungen nach Azure stehen Architekten vor einem entscheidenden Identitätsproblem: Sollten Sie klassische virtuelle Active-Directory-Domänencontroller bereitstellen oder auf verwaltete Cloud-Dienste setzen? Dieser Leitfaden beleuchtet die architektonischen Abwägungen, den betrieblichen Aufwand und die Kostenfolgen, wenn Sie für Legacy-Workloads in Azure Microsoft Entra Domain Services statt eigener IaaS-Domänencontroller wählen.

Das Wichtigste in Kürze

• Microsoft Entra Domain Services bietet verwaltete Funktionen klassischer Windows-Domänen, ohne dass IT-Teams Domänencontroller-VMs bereitstellen, patchen oder wiederherstellen müssen.
• IaaS-Domänencontroller in Azure geben Administratoren die volle Kontrolle, einschließlich RDP-Zugriff und Domänen-Admin-Rechten, erhöhen den betrieblichen Aufwand jedoch deutlich.
• Legacy-Workloads, die auf LDAP, Kerberos, NTLM oder Gruppenrichtlinien angewiesen sind, können über eine verwaltete Domänen-Kompatibilitätsschicht nahtlos in Azure laufen.
• Entra Domain Services erzwingt ein strikt einseitiges Synchronisierungsmodell. Benutzerdaten müssen an ihrer maßgeblichen Quelle gepflegt werden und nicht direkt in der verwalteten Domäne.
• Welche Identitätsarchitektur die richtige ist, hängt stark von Anwendungsanforderungen ab, etwa von LDAP-Schreibzugriff und Schemaänderungen.

Das Dilemma der Legacy-Migration nach Azure

Wenn Sie eine Legacy-Geschäftsanwendung aus dem lokalen Serverraum in eine Azure-VM verschieben, wird diese Anwendung dadurch nicht automatisch cloudnativ. Viele etablierte Windows-Anwendungen, etwa ältere ERP-Systeme, Finanzplattformen und individuelle .NET-Anwendungen, wurden um klassisches Active Directory herum entwickelt. Kommen solche Workloads in die Cloud, erwarten sie weiterhin, Verzeichnisdienste per LDAP abzufragen, sich über Kerberos-Tickets zu authentifizieren oder Einstellungen über Gruppenrichtlinien anzuwenden.

Cloud-Architekten müssen sich damit sofort strategisch entscheiden. Sie können das virtuelle Azure-Netzwerk über einen hybriden VPN-Tunnel mit Ihren lokalen Domänencontrollern verbinden. Das führt jedoch zu Latenz und schafft einen gefährlichen Single Point of Failure, sobald die Netzwerkverbindung abbricht. Alternativ können Sie in Azure neue Windows-Server-VMs bereitstellen, sie zu Domänencontrollern heraufstufen und eine komplett neue Gesamtstruktur oder Replikatdomäne aufbauen.

Eigene Domänencontroller-VMs in Azure geben Ihnen zwar die volle Kontrolle, machen Ihr Cloud-Infrastrukturteam aber zugleich zu Active-Directory-Administratoren. Sie sind dann vollständig verantwortlich für das Patchen des Betriebssystems, die Überwachung der Verzeichnisreplikation, die Planung der Notfallwiederherstellung und den Schutz hochprivilegierter Konten vor Credential-Diebstahl. Für Organisationen, die den betrieblichen Aufwand senken und Legacy-Anwendungen dennoch am Laufen halten wollen, ist das oft eine unnötige Belastung.

Entra Domain Services vs. IaaS-Domänencontroller: Die zentralen architektonischen Unterschiede

Die architektonischen Unterschiede zwischen Microsoft Entra Domain Services und selbst betriebenen IaaS-Domänencontrollern zu verstehen, ist entscheidend für den Entwurf belastbarer Azure-Cloud-Umgebungen. Entra Domain Services fungiert als verwalteter Kompatibilitätsdienst. Microsoft betreibt und pflegt die zugrunde liegende Domänencontroller-Infrastruktur im Hintergrund und sorgt für hohe Verfügbarkeit, automatische Sicherungen und die Synchronisierung mit Entra ID.

Wenn Sie Entra Domain Services nutzen, können Ihre Azure-virtuellen Computer der Domäne beitreten, LDAP-Abfragen ausführen sowie Kerberos- oder NTLM-Anmeldungen verarbeiten, ohne dass Ihre Ingenieure sich jemals per Remotedesktop mit einem Domänencontroller verbinden müssen. Dieser verwaltete Dienst hat allerdings einen Preis: Sie geben die direkte administrative Kontrolle ab. Auf das zugrunde liegende Betriebssystem können Sie nicht zugreifen, das Active-Directory-Schema nicht ändern, und Sie erhalten keine Domänen-Admin- oder Organisations-Admin-Berechtigungen.

Umgekehrt gibt Ihnen der Betrieb eigener IaaS-Domänencontroller uneingeschränkte Kontrolle über die Verzeichnisarchitektur. Sie können das Schema erweitern, benutzerdefinierte Vertrauensstellungen konfigurieren, beliebige Organisationseinheiten anlegen und spezielle Gruppenrichtlinienobjekte ohne Einschränkungen implementieren. Der Preis für diese Flexibilität ist der Wartungsaufwand. Ihr Team muss den gesamten Lebenszyklus der Domäne verwalten, einschließlich proaktiver Integritätsprüfungen, Datenbankdefragmentierung und Notfallwiederherstellungsverfahren, falls ein Domänencontroller ausfällt.

Betriebliche Kompromisse und administrative Leitplanken

Bevor Sie sich in Azure für einen verwalteten Domänenansatz entscheiden, sollten Cloud-Administratoren genau prüfen, wie sich der tägliche Betrieb verändert. Mit eigenen IaaS-Domänencontrollern hat Ihr Team granulare Kontrolle über jeden Aspekt des Verzeichnisses. Sie können eigene PowerShell-Skripte zur Automatisierung administrativer Aufgaben schreiben, Sicherheitsagenten von Drittanbietern direkt auf den Domänencontrollern installieren und Replikationsfehler mit nativen Werkzeugen wie repadmin analysieren.

Microsoft Entra Domain Services ersetzt diesen praktischen Ansatz durch verwaltete Leitplanken. Die Administration erfolgt über eine eigens dafür vorgesehene Gruppe namens Entra Domain Services Administrators mithilfe von Verwaltungswerkzeugen, die auf einem separaten, der Domäne beigetretenen Windows-Server-Computer installiert sind. Sie können zwar Organisationseinheiten anlegen, DNS-Einträge verwalten und unterstützte Gruppenrichtlinieneinstellungen anwenden, der zentrale Infrastrukturbereich bleibt Ihnen jedoch strikt verschlossen.

Außerdem folgt die Identitätsverwaltung einem strikten Modell mit einseitiger Synchronisierung. Benutzer- und Gruppenidentitäten fließen aus Ihrer maßgeblichen Quelle – entweder reine Cloud-Benutzer in Entra ID oder synchronisierte Identitäten aus einem lokalen Active Directory – in die verwaltete Domäne. Versuchen Sie niemals, Entra Domain Services als primäres Verzeichnis zum Ändern von Benutzerattributen zu verwenden, denn diese Änderungen werden nicht zurück synchronisiert und irgendwann überschrieben.

Entscheidungsrahmen: Die richtige Architekturwahl treffen

Welcher Ansatz der richtige ist, hängt von den konkreten technischen Anforderungen Ihrer Organisation und ihrer langfristigen Cloud-Strategie ab. Wenn Ihr Hauptziel darin besteht, Legacy-Workloads nach Azure zu migrieren und den betrieblichen Aufwand für Windows-Server-Computer als Domänencontroller zu eliminieren, ist ein verwalteter Dienst fast immer die bevorzugte Lösung.

Verwenden Sie Microsoft Entra Domain Services, wenn:

• Sie Legacy-Anwendungen nach Azure migrieren, die LDAP-Leseabfragen, Kerberos, NTLM oder die Möglichkeit zum Beitritt zur Domäne benötigen.
• Ihre Organisation den Aufwand für das Patchen, Überwachen und Wiederherstellen eigener Domänencontroller-VMs in Azure vermeiden möchte.
• Sie eine Cloud-first- oder reine Cloud-Organisation betreiben und klassische Domänendienste für einen kleinen Teil der Azure-Workloads benötigen, ohne eine lokale Infrastruktur aufzubauen.
• Anwendungen eine standardmäßige Anwendung von Gruppenrichtlinien oder die Verwaltung von Dienstkonten innerhalb eines sicheren virtuellen Netzwerks erfordern.

Wählen Sie eigene IaaS-Domänencontroller, wenn:

• Ihre Legacy-Anwendungen LDAP-Schreibzugriff benötigen oder Änderungen am Active-Directory-Schema verlangen.
• Ihre Unternehmensarchitektur komplexe Multi-Domänen-Gesamtstrukturen, benutzerdefinierte Vertrauenskonfigurationen oder direkten Zugriff auf die Betriebssysteme der Domänencontroller erfordert.
• Ihr Sicherheitsteam volle administrative Kontrolle verlangt, einschließlich Organisations-Admin-Berechtigungen und der direkten Bereitstellung spezieller Verzeichnis-Auditing-Werkzeuge.

Fazit und nächste Schritte

Eine robuste Identitätsarchitektur in Azure erfordert, dass jede Workload das genau passende Authentifizierungsmodell erhält. Moderne Cloud-Anwendungen nutzen Microsoft Entra ID für sicheres, tokenbasiertes Single Sign-on und Multi-Faktor-Authentifizierung, während Legacy-Workloads häufig klassische Windows-Domänendienste benötigen. Ob Sie verwaltete Cloud-Dienste bereitstellen oder eine eigene IaaS-Infrastruktur aufbauen, bestimmt den laufenden Betriebsaufwand Ihres Teams.

Wenn Sie dieses Thema vertiefen und Experteneinblicke zu Sicherheit im modernen Arbeitsplatz, Cloud-Architektur und Microsoft-365-Strategien erhalten möchten, hören Sie sich die vollständige Diskussion im Podcast an. Hören Sie sich die komplette Folge an, um tiefer in das Identitätsmanagement von Microsoft einzusteigen.

Häufige Fragen

Kann ich mich per RDP auf Domänencontroller verbinden, wenn ich Entra Domain Services verwende?

Nein. Microsoft verwaltet die zugrunde liegende Domänencontroller-Infrastruktur vollständig. Das bedeutet, Sie haben keinen administrativen Zugriff auf das Betriebssystem und können sich nicht per Remotedesktop mit den Domänencontrollern verbinden.

Was passiert mit Benutzerkennwörtern, wenn Entra Domain Services aktiviert wird?

Damit die Authentifizierung über Kerberos und NTLM funktioniert, benötigt Entra Domain Services spezielle Hashdaten. Bei reinen Cloud-Benutzern bedeutet das in der Regel, dass Benutzer nach der Aktivierung der verwalteten Domäne ein Kennwort ändern müssen, damit die erforderlichen kryptografischen Hashes erzeugt werden.

Kann ich das Active-Directory-Schema in Entra Domain Services ändern?

Nein. Da es sich um einen vollständig verwalteten Cloud-Dienst handelt, können Administratoren das zugrunde liegende Active-Directory-Schema nicht ändern und auch keine LDAP-Schreibvorgänge ausführen, die zentrale Verzeichnisstrukturen verändern.

Wie werden Identitäten mit Entra Domain Services synchronisiert?

Identitäten werden unidirektional von Ihrer maßgeblichen Quelle in die verwaltete Domäne übertragen, also entweder aus Entra ID für Cloud-Benutzer oder aus dem lokalen Active Directory über Entra Connect. Änderungen, die direkt in der verwalteten Domäne vorgenommen werden, werden nicht zurück in die Quelle synchronisiert.