> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Passport in einer Entra ID-Verbundumgebung

> Verwenden Sie Passport in einer Microsoft Entra ID-Verbundumgebung mit Iru Endpoint. Konfigurieren Sie Authentifizierungsabläufe für AD FS und Verbunddienste von Drittanbietern.

<Callout icon="apple" color="#B84A7A" iconType="regular">Diese Anleitung gilt für Mac-Computer</Callout>

<Note>
  Microsoft Entra ID [ist der neue Name](https://learn.microsoft.com/en-us/entra/fundamentals/new-name) für Azure AD (Azure Active Directory)
</Note>

### Über Passport in Microsoft Entra ID-Verbundumgebungen

Passport in einer Microsoft Entra ID-Verbundumgebung ist relevant, wenn Entra ID der Dienstanbieter (SP) für einen externen Identitätsanbieter ist. Sowohl **Mac-Anmeldung** als auch **Webanmeldung** erfordern eine zusätzliche Konfiguration, damit Authentifizierung und Passwortvalidierung korrekt gegen Entra ID abgeschlossen werden können.

<Card title="Wichtiges Entra ID-Passport-Update" type="danger" icon="calendar-exclamation" iconType="solid">
  Ab dem **15. Juni 2026** behandelt Microsoft Entra ID den bedingten Zugriff für die Passport-Anmeldung anders.

  * **Mac-Anmeldung:** Unter [Entra ID Passport Mac-Anmeldung](/de/endpoint/library/passport/microsoft-entra-id/configure-passport-with-microsoft-entra-id-mac-login#june-2026-conditional-access-change) erfahren Sie, ob Ihr Mandant betroffen ist und was Sie vor diesem Datum aktualisieren müssen.
  * **Webanmeldung:** Aktualisierungen sind nur erforderlich, wenn Sie Webanmeldung verwenden und Passport im bedingten Zugriff von MFA ausnehmen möchten. Siehe [Entra ID Passport Webanmeldung](/de/endpoint/library/passport/microsoft-entra-id/configure-passport-with-microsoft-entra-id-web-login#june-2026-conditional-access-change).

  Microsoft erläutert die Änderung in [dieser Dokumentation](https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-enforcement-resource-exclusions).
</Card>

### Funktionsweise

Passport verwendet Entra ID weiterhin als OIDC-Autorität, auch wenn Benutzer über einen anderen IdP verbunden sind. Erstellen Sie für **Mac-Anmeldung** und **Webanmeldung** mit PowerShell eine [Home Realm Discovery (HRD)](https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/configure-authentication-for-federated-users-portal?pivots=powershell-hrd)-Richtlinie in Entra ID, damit die Passwortvalidierung in einer [Verbundumgebung](https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/whatis-fed) gegen Entra ID abgeschlossen werden kann.

### Voraussetzungen

Bestätigen Sie alle folgenden Punkte, bevor Sie die HRD-Richtlinie erstellen. Dieser Artikel gilt, wenn Sie Passport mit Entra ID für **Mac-Anmeldung** oder **Webanmeldung** in einem Verbundmandanten verwenden.

<CardGroup cols={2}>
  <Card title="Azure und Microsoft Entra ID" icon="cloud">
    * Ein aktives [Azure-Abonnement](https://azure.microsoft.com/free/) (erstellen Sie bei Bedarf ein kostenloses Konto).
    * Ein Benutzer, der Verzeichnis-Apps und -Richtlinien verwalten kann: **Global Administrator**, **Cloud Application Administrator**, **Application Administrator** oder **Dienstprinzipalbesitzer**.
  </Card>

  <Card title="Windows und PowerShell" icon="terminal">
    * Ein Windows- oder Windows Server-Computer (physisch oder VM), auf dem Sie **PowerShell** als Administrator öffnen können.
    * [AzureADPreview](https://learn.microsoft.com/en-us/powershell/azure/active-directory/install-adv2?view=azureadps-2.0#installing-the-azure-ad-module) installiert, in einem aktuellen [Preview-Build](https://learn.microsoft.com/en-us/powershell/azure/active-directory/install-adv2?view=azureadps-2.0#updating-the-azure-ad-module). GA- und Preview-Module können nicht parallel ausgeführt werden; [deinstallieren Sie das AzureAD-Modul](https://learn.microsoft.com/en-us/powershell/azure/uninstall-az-ps) zuerst, wenn beide vorhanden sind.
  </Card>

  <Card title="Identitätssynchronisierung für Passport" icon="users">
    * Benutzer, die sich mit Passport anmelden, müssen in Entra ID so abgebildet sein, dass Ihr Anmeldeweg unterstützt wird.
    * **Hybrid Active Directory:** Verwenden Sie [Microsoft Entra Connect](https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/how-to-connect-password-hash-synchronization) mit **Kennwort-Hash-Synchronisierung**, sofern zutreffend.
    * **Cloud-Verbund-IdP:** Vergewissern Sie sich, dass Benutzernamen und Passwörter vom Verbund-IdP wie erwartet für eine Anmeldung im ROPC-Stil bei Entra ID ankommen.
  </Card>

  <Card title="Passport bereits eingerichtet" icon="apple">
    * Entra ID-App-Registrierung (Unternehmensanwendung) für Passport gemäß [Passport mit Microsoft Entra ID konfigurieren – Mac-Anmeldung](/de/endpoint/library/passport/microsoft-entra-id/configure-passport-with-microsoft-entra-id-mac-login) und/oder [Passport mit Microsoft Entra ID konfigurieren – Webanmeldung](/de/endpoint/library/passport/microsoft-entra-id/configure-passport-with-microsoft-entra-id-web-login), je nachdem, welchen Authentifizierungsmodus Sie verwenden.
    * [Das Passport Library Item konfigurieren](/de/endpoint/library/passport/configure-the-passport-library-item) in Iru Endpoint für diese Passport-Bereitstellung abgeschlossen.
  </Card>
</CardGroup>

### Authentifizierungsablauf in einer Verbundumgebung

Das folgende Diagramm zeigt den Passport-Authentifizierungsablauf, wenn Entra ID als Dienstanbieter (SP) fungiert, der mit einem anderen Identitätsanbieter (IdP) verbunden ist.

<Frame>
  <img src="https://mintcdn.com/iru/4wJJk-urrjfBXzBY/assets/media/images/iru-entra-passport-auth-flow.png?fit=max&auto=format&n=4wJJk-urrjfBXzBY&q=85&s=a45eec5033d59bf210eb07861a2cfc53" alt="Passport-Authentifizierungsablauf, wenn Entra ID mit einem anderen Identitätsanbieter verbunden ist" width="715" height="487" data-path="assets/media/images/iru-entra-passport-auth-flow.png" />
</Frame>

Wenn ein Benutzer versucht, sich mit Passport zu authentifizieren, sieht die Anfrage folgendermaßen aus:

<Steps>
  <Step title="Passport sendet Authentifizierungsanfrage">
    Passport sendet eine Authentifizierungsanfrage an Microsoft Entra ID.
  </Step>

  <Step title="Microsoft Entra ID leitet die Anfrage weiter">
    Microsoft Entra ID leitet die Authentifizierungsanfrage an den Verbund-IdP weiter.
  </Step>

  <Step title="IdP validiert die Anfrage">
    Der IdP validiert die Authentifizierungsanfrage und sendet sie an Microsoft Entra ID zurück.
  </Step>

  <Step title="Authentifizierung schlägt fehl">
    Microsoft Entra ID erhält die Validierung, hat aber keinen Grund, sie an Passport weiterzuleiten. Der Authentifizierungsversuch schlägt fehl, und Passport zeigt einen Fehler an.
  </Step>
</Steps>

### Authentifizierungsablauf mit konfiguriertem HRD

Das folgende Diagramm zeigt den Passport-Authentifizierungsablauf mit einer Home Realm Discovery-Richtlinie in Microsoft Entra ID. Wenn ein Benutzer versucht, sich mit Passport zu authentifizieren, sieht die Anfrage folgendermaßen aus:

<Frame>
  <img src="https://mintcdn.com/iru/4wJJk-urrjfBXzBY/assets/media/images/iru-entra-passport-auth-flow-hrd.png?fit=max&auto=format&n=4wJJk-urrjfBXzBY&q=85&s=554569a83d36ae3659518d0a1739c8ec" alt="Passport-Authentifizierungsablauf mit Home Realm Discovery-Richtlinie" width="257" height="410" data-path="assets/media/images/iru-entra-passport-auth-flow-hrd.png" />
</Frame>

<Steps>
  <Step title="Passport sendet Authentifizierungsanfrage">
    Passport sendet eine Authentifizierungsanfrage an Microsoft Entra ID.
  </Step>

  <Step title="Entra ID validiert mit HRD-Richtlinie">
    Entra ID validiert die Authentifizierungsanfrage mithilfe der HRD-Richtlinie und antwortet Passport mit einer erfolgreichen Benutzerauthentifizierung.
  </Step>
</Steps>

### Eine HRD-Richtlinie erstellen

<Note>
  Sie benötigen eine HRD-Richtlinie, wenn Sie Passport mit Microsoft Entra ID verwenden und Ihr Mandant mit einem externen IdP verbunden ist. Diese Anforderung gilt sowohl für **Mac-Anmeldung** als auch für **Webanmeldung**.
</Note>

<Steps>
  <Step title="Windows-Computer aufrufen">
    Wechseln Sie zum Windows-Computer.
  </Step>

  <Step title="PowerShell als Administrator öffnen">
    Öffnen Sie PowerShell als Administrator.
  </Step>

  <Step title="Mit Entra ID verbinden">
    Stellen Sie mit dem Befehl **Connect-AzureAD** eine Verbindung zu Ihrem Entra ID-Mandanten her. Eine Webansicht wird geöffnet, in der Sie Ihre Entra ID-Anmeldedaten eingeben müssen.
  </Step>

  <Step title="HRD-Richtlinie erstellen">
    Erstellen Sie mit dem folgenden Befehl eine neue Richtlinie. Damit können sich Benutzer in einer Verbundumgebung mit ihrem Benutzernamen und Passwort direkt bei Entra ID für eine bestimmte Anwendung authentifizieren. Wenn in Ihrer Umgebung bereits HRD-Richtlinien vorhanden sind, können Sie den *DisplayName* z. B. auf **IruHRDPolicy** setzen.

    ```powershell wrap lines icon="terminal" theme={null}
    New-AzureADPolicy -Definition @("{`"HomeRealmDiscoveryPolicy`":{`"AllowCloudPasswordValidation`":true}}") -DisplayName IruHRDPolicy -Type HomeRealmDiscoveryPolicy
    ```
  </Step>

  <Step title="ObjectID der Richtlinie abrufen">
    Führen Sie den Befehl **Get-AzureADPolicy** aus, um die soeben erstellte Richtlinie aufzulisten, und kopieren Sie die *ObjectID*-Zeichenfolge aus der Spalte ID in der Ausgabe.
  </Step>

  <Step title="ObjectID des Dienstprinzipals abrufen">
    Führen Sie den Befehl **Get-AzureADServicePrincipal** aus, um die **ObjectID** des Dienstprinzipals (Azure-Unternehmensanwendung) abzurufen.

    <Note>
      Wenn Sie den Namen der Unternehmensanwendung kennen, können Sie dem obigen Befehl **-SearchString your\_app\_name\_here** hinzufügen. Beispiel: **Get-AzureADServicePrincipal -SearchString "Iru Passport"**
    </Note>
  </Step>

  <Step title="Anwendung zur HRD-Richtlinie hinzufügen">
    Führen Sie den folgenden Befehl aus, um die Iru Passport-Unternehmensanwendung zur HRD-Richtlinie hinzuzufügen. Ersetzen Sie *\<ObjectID of the Service Principal>* durch die zuvor kopierte *ObjectID* der Iru-Unternehmens-App. Ersetzen Sie *\<ObjectId of the Policy>* durch die zuvor kopierte HRD-*ObjectID*.

    ```powershell wrap lines icon="terminal" theme={null}
    Add-AzureADServicePrincipalPolicy -Id <ObjectID of the Service Principal> -RefObjectId <ObjectId of the Policy>
    ```

    <Note>
      Wenn Sie nicht die richtige Richtlinie erstellt haben, können Sie sie mit dem folgenden Befehl entfernen und es erneut versuchen.
    </Note>

    ```powershell wrap lines icon="terminal" theme={null}
    Remove-AzureADServicePrincipalPolicy -id <ObjectId of the Service Principal> -PolicyId <ObjectId of the policy>
    ```
  </Step>

  <Step title="Richtlinienzuweisung überprüfen">
    Prüfen Sie die zugewiesenen Apps mit **Get-AzureADPolicyAppliedObject -id \<ObjectId of the Policy>**.
  </Step>

  <Step title="Verbindung zu Azure trennen">
    Um die PowerShell-Sitzung von Azure zu trennen, führen Sie **Disconnect-AzureAD** aus.
  </Step>
</Steps>