Entra ID: ImmutableID korrigieren, wenn der Benutzer bereits existiert

In Hybrid-Umgebungen mit lokalem Active Directory und Entra ID (Azure AD) sind Benutzer immer wieder nicht korrekt miteinander verknüpft. Die Folge sind zum Beispiel doppelte Benutzer und Probleme bei der Anmeldung an Microsoft-365-Diensten.

Ursache

Häufig ist die ImmutableID falsch gesetzt oder bereits einem anderen Benutzer zugeordnet.

Lösung

Die folgenden Schritte zeigen, wie du die korrekte ImmutableID aus dem lokalen AD ermittelst, sie in Entra ID setzt und was zu tun ist, wenn sie bereits einem anderen Benutzer zugeordnet ist. Das ist der häufigste Fall.

Warnung: Die Schritte beinhalten das Löschen von Entra-ID-Benutzern. Prüfe vorher immer genau, welchen Benutzer du löschst.

Schritt 1: ObjectGUID des lokalen AD-Benutzers ermitteln

Ermittle zuerst die ObjectGUID des lokalen AD-Benutzers:

Get-ADUser -Identity username | Select ObjectGUID

Beispielausgabe:

d10b7a72-0a74-4cd0-9924-192985fcd2a0

Schritt 2: ObjectGUID in ImmutableID umwandeln

Die ImmutableID ist die Base64-kodierte ObjectGUID:

[Convert]::ToBase64String(
    [guid]::New("d10b7a72-0a74-4cd0-9924-192985fcd2a0").ToByteArray()
)

Ergebnis:

cnoL0XQK0EyZJBkphfzSoA==

Diese Zeichenfolge brauchst du später in Entra ID.

Schritt 3: Verbindung zu Microsoft Graph herstellen

Für Änderungen an Entra-ID-Benutzern brauchst du die entsprechenden Berechtigungen:

Connect-MgGraph -Scopes "User.ReadWrite.All"

Schritt 4: ImmutableID setzen (Normalfall)

Ist die ImmutableID noch nicht vergeben, setzt du sie direkt:

Update-MgUser `
  -UserId "user@example.com" `
  -OnPremisesImmutableId "cnoL0XQK0EyZJBkphfzSoA=="

In der Praxis schlägt dieser Schritt aber oft fehl, weil die ImmutableID bereits einem anderen Benutzer zugeordnet ist. Dann geht es mit Schritt 5 weiter.

Sonderfall: ImmutableID existiert bereits in Entra ID

Schritt 5: Benutzer mit dieser ImmutableID suchen

Prüfe zuerst, welche Benutzer die ImmutableID aktuell verwenden:

Get-MgUser -Filter "onPremisesImmutableId eq 'cnoL0XQK0EyZJBkphfzSoA=='" |
Select DisplayName, UserPrincipalName, Id

Prüfe jetzt genau, ob es sich wirklich um den falschen Benutzer handelt.

Schritt 6: Falschen Benutzer löschen

Wenn eindeutig feststeht, dass der gefundene Benutzer falsch ist, löschst du ihn:

Remove-MgUser -UserId "olduser@example.com" -Confirm:$false

Schritt 7: Benutzer aus „Gelöschte Benutzer“ entfernen

Nach dem Löschen liegt der Account im Papierkorb von Entra ID.

Wichtig: Entferne den Benutzer auch aus den „Gelöschten Benutzern“. Sonst kannst du die ImmutableID nicht erneut vergeben.

Das geht im Entra Admin Center unter Benutzer → Gelöschte Benutzer oder per PowerShell. Gelöschte Benutzer bekommen ihre Objekt-ID vor den Benutzernamen gesetzt, deshalb filterst du mit Platzhalter:

Connect-MgGraph -Scopes "User.DeleteRestore.All"
$deleted = Get-MgDirectoryDeletedItemAsUser -All | Where-Object UserPrincipalName -like "*olduser@example.com"
Remove-MgDirectoryDeletedItem -DirectoryObjectId $deleted.Id

Schritt 8: ImmutableID dem richtigen Benutzer zuweisen

Jetzt setzt du die ImmutableID beim richtigen Benutzer:

Update-MgUser `
  -UserId "user@example.com" `
  -OnPremisesImmutableId "cnoL0XQK0EyZJBkphfzSoA=="

Schritt 9: Entra Connect Sync starten

Löse zum Abschluss auf dem Server mit Entra Connect (früher Azure AD Connect) einen Delta-Sync aus:

Start-ADSyncSyncCycle -PolicyType Delta

Ergebnis

Nach dem nächsten Sync ist der Benutzer korrekt mit dem lokalen AD verknüpft. Es entstehen keine doppelten Benutzer mehr, und Anmeldung und Microsoft-365-Dienste funktionieren wieder.