Windows 10 Azure AD Join

Das Preview von Windows 10 vom 18 Mai 2015 beinhaltet einige interessante und lange angekündigte Neuerungen. Eine der spannenden Neuerungen ist die Möglichkeit sich mit einem Azure AD /  Office 365 Konto direkt an einem Windows 10 Gerät anzumelden – „Windows 10 Azure AD Join“.

Microsoft beschreibt hier verschiedene Einsatzszenarien

Unternehmen, welche viele Ressourcen bereits in der Microsoft Azure Cloud bereitstellen oder Office 365 nutzen, erhalten so einen single sign-on Zugang zu Anwendungen und Ressourcen. Für temporäre Arbeitskräfte oder Studenten kann sehr schnell ein Zugang zu Office 365 Ressourcen wie E-Mail, SharePoint oder OneDrive for Business ermöglicht werden. Dem BYOD (bring your own device) oder CYOD (choose your own device) Trend folgend, können Mitarbeiter ihre persönlichen Windows 10 Geräte mit dem Azure AD oder Office 365 verbinden um Unternehmensressourcen zu nutzen. Für den sog. „Azure AD Join“ sind keine weiteren administrativen Tätigkeiten der IT Abteilung notwendig.

Verwaltung

Mit dem Beitritt (join) zu einem Azure AD oder Office 365 Tenant stimmt der Anwender einigen Regularien zu. Aus dem Azure Admin Portal heraus können beigetretene Geräte gelöscht werden (selective device wipe), eine Passwort Richtlinie kann durchgesetzt werden, eine Liste mit installierten Anwendungen kann angezeigt werden und die Lokation des Gerätes kann ermittelt werden. Der Azure AD Admin hat zusätzlich die Möglichkeit die Geräte automatisch in ein MDM (Mobile Device Management) wie z.B. Microsoft Intune zu übernehmen.

Vorbereitung des Azure AD / Office 365 Tenant

Im Azure Admin Portal (https://manage.windowsazure.com/) muss zunächst die Option „USERS MAY AZURE AD JOIN DEVICES“ (oder auf Deutsch: BENUTZER DÜRFEN GERÄTE IN DEN ARBEITSPLATZ EINBINDEN) aktiviert werden. Hier gibt es weitere interessante Möglichkeiten, z.B. kann die Anzahl der Geräte pro Anwender begrenzt, eine Multi-Faktor-Authentifizierung aktiviert oder ein zusätzliches Administratorkonto auf dem Windows 10 Endgerät erstellt werden.

Windows Update – „Fast-Ring“

Damit man in den Genuß der neuen Funktionen kommt muss die aktuelle Version des Windows 10 Preview installiert werden. Zur Zeit (29.05.2015) gibt es hier nur eine fertige VHD zum Download (7,5GB – habe ich vergeblich versucht…). Wenn man bereits eine Testinstallation von Windows 10 hat, kann diese über den sog. „Fast Ring“ aktualisiert werden: [Settings / Update & Wiederherstellung / Erweiterte Optionen] – Installationsart für Vorschau-Builds auswählen: Schnell.

Nun lädt Windows Update das Patch „fbl_impressive Enterprise 10122“ herunter:

Das Update 10122 ist mehr eine Neuinstallation als ein Patch. Beim ersten Reboot nach der Installation wird man freundlich mit folgender Information begrüßt: „Installing Windows – Sit back and relax„

Azure AD Join

Als OOBE (out of the box experience) gibt es nun für Windows 10 Anwender zwei Möglichkeiten einem Azure AD oder Office 365 Tenant beizutreten (Azure AD join). Beim Setup von Windows 10 gibt es eine neue Auswahlmöglichkeit „This device belongs to my organization“. Über diesen Weg kann das Endgerät direkt während der Installation den Azure AD Join durchführen.

Im zweiten Fall, wenn der Windows 10 Computer bereits in Betrieb ist, kann über [Einstellungen / System / Info] mit dem Schalter „Join Azure AD“ ein Beitritt erfolgen:

 Nach dem Klick auf „Join Azure AD“ kommt ein Hinweis, dass nach dem Azure AD Join der Organisationsadmin Daten erfassen und das Gerät administrieren kann:

 Im nächsten Schritt wird das Konto (in diesen Fall mein Office 365 Konto) angegeben, mit welchem der Azure AD Tenant identifiziert und authentifiziert werden soll.

Danach erfolgt eine Weiterleitung zum ADFS Single Sign On (SSO) Service, um die Anmeldung durchzuführen:

Ohne eine weitere Erfolgsmeldung beendet sich der Wizard. Die Systemeinstellungen zeigen nun die Option „Organisation verlassen„, was darauf schliessen lässt, dass wir erfolgreich einer Organisation (Azure AD) beigetreten sind.

Im Azure Verwaltungsportal sieht man nun den Windows 10 Computer:

Anmeldung am Windows 10 Computer mit Office 365 Account

Jetzt kommt der große Moment, nach einem Reboot bietet Windows 10 den Dialog „Anderer Benutzer“ zur Anmeldung an. Hier kann man nunn die E-Mail Adresse seines Office 365 Accounts zur Anmeldung eingeben:

Zum Beweis die Ausgabe des guten alten „whoami“ in der Dos Box, ich „bin“ azuread\jk: