Bidirektionale Passwortsynchronisation zwischen Active Directory und Tresor möglich?

Hi,

danke dir für die Frage!

Eine bidirektionale Synchronisation AD ↔ Tresor gibt es leider nicht — und die Richtung AD → Tresor ist technisch nicht vorgesehen: Active Directory und Entra ID rücken Passwörter nie im Klartext raus, man kann sie nur setzen, nicht auslesen. Wenn jemand sein Passwort selbst ändert, gibt es also schlicht nichts, was der Tresor zurücklesen und angleichen könnte.

Was aber gut funktioniert, ist die umgekehrte Richtung über das PAM-Modul: Der Tresor ist die führende Quelle und hält AD per Passwortrotation aktuell (geplant oder beim Check-in):
- Konzept: https://docs.devolutions.net/pam/concepts/password-rotation/
- Einrichtung (DVLS): https://docs.devolutions.net/pam/pam-with-devolutions-server/getting-started/reset-pam-account-passwords/
- Rotationsrichtlinien (Devolutions Cloud): https://docs.devolutions.net/pam/pam-with-devolutions-cloud/pam-password-rotation-policies/

Falls es dir eher um die persönlichen AD-Konten deiner Leute geht (die diese ja selbst ändern), würde ich das Passwort gar nicht erst im Tresor ablegen, sondern die integrierte Windows-Anmeldung nutzen — RDM meldet sich dann zur Laufzeit einfach mit den aktuellen Sitzungsdaten an, und es gibt nichts mehr zu synchronisieren, z.B. durch "My personal Credentials": https://docs.devolutions.net/rdm/ribbon-menu-bar/file/my-account-settings/my-personal-credentials


Sag mir am besten kurz, worum es genau geht — privilegierte bzw. Dienstkonten (dann PAM-Rotation) oder die persönlichen Konten deiner Leute (dann integrierte Anmeldung)?
Dann zeige ich gerne den passenden Weg im Detail.

Viele Grüße
Stephan