SSO Entra ID met Synology

[themaxpoelman1]

Huidige probleem: Gebruikers hebben geen toegang tot de share via hun Microsoft account waar ze mee ingelogd zijn.

Wat is de situatie?:: Klant X (wordt later genoemd als X) werkte voorheen met de volgende situatie (Zie afbeelding 1) . Zoals te zien is, is het werkstation van de X gekoppeld met een AD-join aan de Windows Server 2019 VM. Deze VM draait op de bovenstaande Synology NAS. De NAS is vervolgens AD-joined met De Windows Server 2019 VM. Via deze manier heb ik de gebruikers binnen het AD rechten gegeven op de share (Zie afbeelding 1). Vanwege het gebruik van M365 (Exchange) wordt er gebruik gemaakt van Azure AD connect.

(Afbeelding 1)

Recentelijk heeft X de overstap gemaakt om zo goed als volledig in de Cloud te werken en een upgrade naar Windows Server 2022. Omdat niet alle programmatuur naar de cloud verhuist kon worden, hebben we de volgende situatie gemaakt (Zie afbeelding 2). Het meeste is gelijk gebleven, behalve de AD-join van de werkstations is verdwenen. Hiervoor is nu gebruik gemaakt van een Entra-AD join via Intune. Gebruikers loggen niet meer in met een gebruiksnaam en wachtwoord, maar met hun Microsoft account.

(Afbeelding 2)

Met de nieuwe situatie is een probleem gaan spelen. De NAS heeft nog steeds dezelfde AD-join als voorheen, maar dan met de nieuwe Windows Server 2022 VM. Het probleem is als volgt:

Wanneer X de eerder genoemde share probeert te benaderen door gebruik te maken van zijn/haar Microsoft account gegevens, heeft X geen toegang. Kiest X om in te loggen names zijn/haar AD-gebruikersnaam en wachtwoord, dan lukt het wel.

Na redelijk wat te Googlen naar dit probleem, zie ik dat meerdere mensen er last van hebben. Een duidelijke oplossing heb ik nog niet voorbij zien komen. Wel kwam ik tegen dat de Synology NAS rechtstreeks gekoppeld kan worden met Entra-ID, middels een site2site tunnel (Zie afbeelding 3).

(Afbeelding 3)

https://kb.synology.com/n...in_NAS_to_Azure_AD_Domain

Voordat ik deze stappen ga doorlopen wil ik graag eerst de vraag bij jullie neerleggen. Is er een oplossing om toch via de manier die te zien is op afbeelding 2 te werken en automatisch toegang te krijgen middels de Microsoft credentials?


Alvast bedankt voor het meedenken.

[Exeavo]

Een late reactie maar dacht laat ik toch nog reageren.. Als je UPN's zouden matchen dan zou dit geen enkel probleem moeten zijn.

De oplossing die je als extra noemt is eigenlijk soort van hetzelfde, daar wordt AzureAD/EntraID je source en zal de UPN matchen met de hosted DC's die Microsoft voor je host.

[themaxpoelman1]

Hi @Exeavo ,

Bedankt voor het meedenken. Voor de test heb ik nu een user omgezet naar een gelijke UPN. Zodra ik meer weet laat ik het hieronder weten.

[nelizmastr]

Eigenlijk moet dat sowieso altijd als je azure ad connect doet, iedere user in AD de gelijke UPN als in Entra, dan heb je de oude SAM accountnaam niet meer nodig.