In vielen Tenants, die ich betreue, ist Windows Hello for Business (WHfB) im Hybridbetrieb bisher immer wieder an denselben Hürden gescheitert. Die PKI war zu kompliziert, es gab zu viele Abhängigkeiten, und die Synchronisation der Schlüssel zwischen Cloud und On-Premises fühlte sich stets etwas wackelig an. Mit Cloud Kerberos Trust hat sich das erledigt. Man bekommt die biometrische und PIN-basierte Anmeldung mit Entra ID, ohne sich in Zertifikaten und Synchronisationsproblemen zu verlieren.

Ein Kerberos-Serverobjekt im AD ersetzt PKI und Key-Sync

Cloud Kerberos Trust ist die modernste Art, Windows Hello for Business auf hybriden oder sogar rein cloudbasierten Geräten bereitzustellen. Der Domain Controller muss dabei weder mit Zertifikaten hantieren wie bei Certificate Trust, noch muss er auf einen Key-Sync aus der Cloud warten wie bei Key Trust. Identität und Authentifizierungslogik bleiben trotzdem eng mit Entra ID verzahnt, und klassische On-Premises-Ressourcen wie Dateifreigaben erreicht man ebenfalls ohne Passwort.

Technisch hängt alles am Microsoft-Entra-Kerberos-Serverobjekt, das im Active Directory angelegt wird. Mit dem PowerShell-Modul AzureADHybridAuthenticationManagement ist das in wenigen Minuten erledigt:

# Voraussetzung: PowerShell 7, AzureADHybridAuthenticationManagement-Modul, Global Admin und Domain Admin Rechte
Install-Module -Name AzureADHybridAuthenticationManagement
Import-Module AzureADHybridAuthenticationManagement
Set-AzureADKerberosServer -DomainController <FQDN-des-DC>

Der Befehl erstellt das nötige Computerobjekt im AD und verknüpft es mit dem Microsoft-Entra-ID-Tenant. Von da an bildet die Kommunikation zwischen den Domain Controllern und der Cloud den eigentlichen Kern von Cloud Kerberos Trust. Die Einzelheiten sind in Microsofts Dokumentation gut nachvollziehbar beschrieben.

Die Liste der Voraussetzungen ist überschaubar

In Projekten merke ich oft, dass Unklarheit darüber herrscht, was eigentlich alles erfüllt sein muss. Solange aktuelle Windows-Versionen und Domain Controller laufen, ist die Liste recht kurz. Folgende Punkte müssen passen:

  • Windows 10 ab 21H2 (mit allen relevanten Updates) oder Windows 11
  • Geräte sind Hybrid-Entra-joined oder Entra-joined (ein reiner Entra Join reicht also ebenfalls)
  • Domain Controller mindestens Windows Server 2016, unbedingt auf aktuellem Patchstand
  • Weder ADFS noch ein anderer Authentifizierungsanbieter ist beteiligt
  • Entra-ID-P1-Lizenz für die meisten produktiven Szenarien (wegen Conditional Access)

Aktiviert wird das Ganze wie gewohnt über eine Intune-Richtlinie, meist im Settings Catalog mit der Einstellung „Use Cloud Trust For On Prem Auth“ (true). Alternativ greift man zum speziellen Identity-Protection-Profil für Windows Hello for Business. Sobald die Richtlinie auf den Geräten angekommen ist und die übrigen Komponenten sauber zusammenspielen, können die Benutzer Cloud Kerberos Trust verwenden. Weitere Details liefert die offizielle Anleitung zur Migration.

Die Nutzer merken vor allem, dass das Warten entfällt

Im Alltag der Anwender macht sich die Umstellung hauptsächlich bei der ersten Anmeldung an einem neuen Gerät bemerkbar. Das Windows-Hello-Merkmal, etwa Fingerabdruck, PIN oder Gesichtserkennung, richten sie so problemlos ein wie bisher. Der Unterschied liegt danach: Es gibt keine Wartezeit auf die Key-Synchronisation, wie man sie von Key Trust kennt. Wer in einer Testumgebung schon einmal darauf gewartet hat, dass die Anmeldung an On-Prem-Freigaben „endlich“ klappt, wird das zu schätzen wissen.

Auch beim Zugriff auf Dateifreigaben, Drucker oder Altanwendungen im LAN verhält sich Cloud Kerberos Trust wie die klassische Kerberos-Ticketvergabe. Das System holt sich das passende Ticket, wenn es gebraucht wird, und nirgends muss ein Zertifikat liegen oder ein privater Schlüssel synchronisiert werden. Hin und wieder hakt es lediglich bei Altanwendungen, die spezielle Kerberos-Features wie S4U2Self nutzen. Diese sind noch nicht zu 100 % kompatibel und sollten vorab getestet werden.

Praxistipp: Ob Cloud Kerberos Trust greift, lässt sich schnell prüfen. Melden Sie sich mit Hello am Gerät an und sehen Sie mit klist in der Eingabeaufforderung nach, welche Tickets ausgestellt wurden. Taucht ein Ticket für den Microsoft-Entra-Kerberos-Server auf, ist der Nachweis erbracht.

Cloud Kerberos Trust ergänzt Certificate Trust und Key Trust als drittes Modell

Bei Windows Hello for Business hatte man früher die Wahl zwischen Certificate Trust, der eine PKI voraussetzt, und Key Trust, der auf den Key-Sync angewiesen ist. Inzwischen gibt es mit Cloud Kerberos Trust eine dritte Variante, die mit einem Cloud-Objekt im AD auskommt und weder PKI noch Key-Sync braucht. Das folgende Flussdiagramm stellt die Unterschiede gegenüber:

flowchart TD
    UserLogin["Hello-Anmeldung"]
    TrustType["Trust-Typ wählen"]
    CT["Certificate Trust"]
    KT["Key Trust"]
    CKT["Cloud Kerberos Trust"]
    PKI["Interne PKI? Ja"]
    PKI_No["Interne PKI? Nein"]
    KeySync["Key-Sync erforderlich"]
    CloudObj["AzureAD Kerberos Server-Objekt"]
    PKI --> CT
    PKI_No --> KT
    TrustType --> PKI
    TrustType --> PKI_No
    TrustType --> CKT
    CT --> UserLogin
    KT --> KeySync --> UserLogin
    CKT --> CloudObj --> UserLogin

Abbildung: Die Trust-Modelle von Windows Hello for Business und die Stelle, an der Cloud Kerberos Trust ansetzt.

Gut zu erkennen ist, dass man sich mit Cloud Kerberos Trust die meisten Altlasten erspart und moderne Authentifizierung trotzdem überall nutzen kann, lokale Ressourcen im LAN eingeschlossen.

Einige Altanwendungen brauchen weiterhin einen genauen Test

Bei allen Vorteilen gibt es noch ein paar Stolpersteine. Sie finden sich vor allem in sehr alten Umgebungen oder bei Spezialanwendungen, die stark auf Legacy-Kerberos-Features setzen. Dort sollte man gezielt testen und einzelne Geräte notfalls weiter mit Certificate Trust betreiben. Nach meiner Erfahrung ist Cloud Kerberos Trust aber für die meisten modernen Umgebungen der schnellste und am wenigsten fehleranfällige Weg, Hello for Business endlich auch im Hybridbetrieb produktiv einzusetzen. Wer sich näher mit Authentifizierungsmethoden und der Umstellung der Richtlinien beschäftigen möchte, findet in meinem Beitrag zur Migration zur Authentifizierungsmethodenrichtlinie in Entra ID weitere Hinweise.

Für mich zeigt Cloud Kerberos Trust besonders deutlich, wie Microsoft alte Zöpfe abschneidet und dabei Admins im Alltag spürbar entlastet, während die Sicherheit sogar steigt. Wer bislang wegen des Durcheinanders aus PKI und Key-Sync gezögert hat, sollte Windows Hello for Business jetzt in den produktiven Betrieb bringen.