Vorweg: SAML-SSO mit Parallels RAS einzurichten ist mehr als ein einfacher Metadatenaustausch zwischen zwei Plattformen. Die offizielle Dokumentation bleibt oft an der Oberfläche und lässt genau die technischen Details aus, die über den Erfolg einer Bereitstellung entscheiden. Hinzu kommt, dass Administratoren beim Anbinden von Entra ID an ihre VDI-Farm häufig mit verstreuten Informationen kämpfen.
Deshalb teilen wir hier unsere tatsächliche Praxiserfahrung, um diese Lücke zu schließen. Statt nur einer einfachen Anleitung zu folgen, muss man verstehen, wie Claims und Attribute zusammenspielen. Konkret verlangt das System eine exakte Übereinstimmung zwischen dem UPN in Entra ID und den Konten im lokalen Active Directory. Wir konzentrieren uns daher auf die Einstellungen, die ein reibungsloses „Full SSO“ garantieren.
Dieser Artikel liefert die fehlenden Puzzleteile für Ihre Konfiguration. Wer auf den Ablauf der Zertifikatsregistrierung achtet, umgeht die typischen Fallstricke. Folgen Sie unserem Schritt-für-Schritt-Vorgehen, um Ihr Identitätsmanagement zu vereinfachen und Ihre Sicherheitslage zu verbessern.
Dieser Leitfaden behandelt den Full-SSO-Modus: Die SAML-Authentifizierung wird bis in die RDP-Sitzung durchgereicht, ohne dass Benutzer ihre AD-Anmeldedaten erneut eingeben müssen. Dieser Modus erfordert eine PKI (AD CS) und einen funktionierenden RAS Enrollment Server.
KB 124815 gegenüber der Praxis im Jahr 2026
Bevor es losgeht, lohnt ein Blick darauf, was die offizielle KB sagt — und was sich geändert hat oder fehlt.
Was in KB 124815 noch funktioniert: das Abrufen der App Federation Metadata URL (Abschnitt 3 der Entra-App), der Import der Metadaten in die RAS Console und das Abrufen der SP-URLs sowie der Verweis auf KB 124813 für die PKI-Konfiguration.
Was nicht mehr funktioniert: Die KB empfiehlt, die App über „Create your own application“ → „Integrate any other application you don’t find in the gallery“ anzulegen. Diese Methode erzeugt inzwischen eine Anwendung im OIDC-Modus, nicht SAML. Die Seite Single sign-on zeigt „OIDC-based Sign-on“ ohne Möglichkeit, auf SAML umzustellen.
Was die KB überhaupt nicht erwähnt: Das NameID-Format muss unspecified sein, nicht emailAddress; der Claim http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name ist für den AD-Abgleich erforderlich und fehlt in der gesamten Parallels-Dokumentation; das Feld „Override authentication domain“ im RAS-Theme ist Pflicht; die SP-URLs ändern nach jedem Apply in RAS ihren Index; ein erneuter Metadatenimport ist nötig, wenn sich das Entra-Zertifikat geändert hat.
Voraussetzungen
RAS-Infrastruktur: Parallels RAS 21.x mit mindestens einem Connection Broker und einem Enrollment Server, eine AD CS Enterprise CA, die Zertifikatvorlagen PrlsEnrollmentAgent und PrlsSmartcardLogon angelegt und veröffentlicht (KB 124813), die Dienstkonten svc_rasenrollment und svc_rasnla, ein validierter Enrollment Server (CA Server, EA Credentials und NLA Credentials alle grün) sowie der öffentliche FQDN als Published Address der RAS-Site.
Identität: ein Microsoft-Entra-ID-Tenant, Rechte als Global Admin oder Application Administrator, ein zur Entra-Domäne passendes UPN-Suffix im lokalen AD sowie AD-Benutzerkonten, deren UPN exakt dem Entra-Benutzernamen entspricht.
Schritt 1 — Die Enterprise Application in Entra anlegen
Verwenden Sie nicht „Create your own application“ — Entra legt die App inzwischen im OIDC-Modus an.
Der richtige Weg: Enterprise Applications → New application, dann in der Galerie nach „Microsoft Entra SAML Toolkit“ suchen. Wählen Sie diese App-Vorlage, geben Sie ihr einen sprechenden Namen (z. B. Parallels-RAS) und klicken Sie auf Create. Diese App ist von Anfang an im SAML-Modus vorkonfiguriert.
Schritt 2 — Die Metadaten-URL des IdP abrufen
In den Eigenschaften der App → Single sign-on → SAML → Abschnitt 3 „SAML Certificates“ kopieren Sie die App Federation Metadata URL:
https://login.microsoftonline.com/<tenantid>/federationmetadata/2007-06/federationmetadata.xml?appid=<appid>Schritt 3 — Den IdP in der RAS Console anlegen
RAS Console → Connection → SAML → Tasks → Add. Geben Sie dem IdP-Objekt einen Namen, fügen Sie die Metadaten-URL unter Import published IdP metadata ein und klicken Sie auf Next, dann auf Finish. RAS importiert automatisch das Signaturzertifikat von Entra sowie die SSO- und Logout-Endpunkte.
Aktivieren Sie auf der Registerkarte IdP des angelegten Objekts Allow unencrypted assertion. Entra sendet standardmäßig keine verschlüsselten Assertions — ohne diese Option scheitert RAS mit:
Expected 1 EncryptedAssertion; found 0.Schritt 4 — SP-URLs abrufen und in Entra eintragen
Doppelklick auf das IdP-Objekt → Registerkarte SP. Prüfen Sie, dass das Feld Host den öffentlichen FQDN des RAS anzeigt und nicht den internen Brokernamen. Kopieren Sie die vier URLs nach Entra → Basic SAML Configuration → Edit:
| Feld in RAS | Feld in Entra |
|---|---|
| SP Entity ID | Identifier (Entity ID) |
| Reply URL | Reply URL (Assertion Consumer Service URL) |
| Logon URL | Sign on URL |
| Logout URL | Logout URL |
Löschen Sie den Standardeintrag des Toolkits unter Identifier und setzen Sie beim neuen Eintrag das Häkchen bei Default.
Achtung — der Index der SP-URLs ändert sich: RAS indexiert das IdP-Objekt bei jedem Apply neu. So kann aus idp_-1 zum Beispiel idp_2 werden. Haben sich die URLs nach einem Apply geändert, aktualisieren Sie sie vor dem Test in Entra, sonst erhalten Sie:
AADSTS700016: Application with identifier '...idp_2/metadata.xml' was not found in the directorySchritt 5 — Attributes & Claims in Entra konfigurieren
Hier verbirgt sich der wichtigste und am schlechtesten dokumentierte Punkt.
NameID-Format — muss geändert werden
Klicken Sie auf „Unique User Identifier (Name ID)“ und ändern Sie das Name identifier format von Email address auf Unspecified. Bleibt das Format auf emailAddress, kann RAS die Assertion nicht auswerten. In den Broker-Logs:
Failed to verify the Assertion Signature.
SAML ID: 2 - Parse Post Assert errorDer Claim name — von Parallels nicht dokumentiert
RAS verwendet den Claim http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name, um den Benutzer im lokalen AD zu identifizieren. Dieser Claim muss in der Assertion vorhanden sein und den UPN des Benutzers enthalten. Das Entra SAML Toolkit fügt ihn standardmäßig hinzu, zugeordnet zu user.userprincipalname — prüfen Sie, dass er in der Liste der Additional claims steht.
Ohne diesen Claim hängt RAS in einer Schleife mit Failed to match AD User (0x00000006) fest, selbst wenn die NameID perfekt konfiguriert ist — und kein Log erklärt, warum. Dieser Punkt fehlt bis heute in sämtlichen Parallels-KBs.
Schritt 6 — IdP-Metadaten bei Bedarf neu importieren
Nach jeder Änderung an der Entra-App, insbesondere wenn ein neues Signaturzertifikat erzeugt wurde, passt das auf RAS-Seite zwischengespeicherte Zertifikat möglicherweise nicht mehr. Symptom in den Broker-Logs:
Failed to verify the Response Signature.Lösung: Eigenschaften des IdP-Objekts → Registerkarte IdP → die Metadaten-URL erneut importieren. Damit wird das Entra-Zertifikat auf RAS-Seite aktualisiert.
Schritt 7 — Das RAS-Theme konfigurieren
RAS Console → Farm → Site → Themes → Eigenschaften des Themes → Registerkarte Access:
- SAML Single Sign-on IdP: das in Schritt 3 angelegte IdP-Objekt auswählen
- Override authentication domain: aktivieren und die NetBIOS-Domäne des AD auswählen (z. B.
MICROSOFTGROUPS)
Dieser zweite Punkt ist entscheidend. RAS sucht den Benutzer im AD über den sAMAccountName, nicht über den vollständigen UPN. Ohne die Domänenüberschreibung versucht RAS, [email protected] als sAMAccountName zu finden — was zu keinem Objekt passt. Mit gesetzter Domänenüberschreibung entfernt RAS das Suffix und sucht nur nach thierry.frache.
Schritt 8 — Benutzer in Entra zuweisen
Entra-App → Users and groups → Add user/group — weisen Sie die berechtigten Benutzer oder Gruppen zu. Ohne diese Zuweisung gibt Entra bei der Authentifizierung AADSTS50105 zurück.
Schritt 9 — Die PKI-Vorlagen prüfen
Wenn der Enrollment Server den Fehler 0x8009480b zurückgibt:
Failed to enroll certificate for user [UPN]
One or more signatures did not include the required application or issuance policies.
The request is missing one or more required valid signatures.ist die Vorlage PrlsSmartcardLogon nicht korrekt konfiguriert. Prüfen Sie die Registerkarte Issuance Requirements: „This number of authorized signatures“ = 1, „Policy type required in signature“ = Application Policy, „Application policy“ = Certificate Request Agent. Die vollständige Vorlagenkonfiguration finden Sie in KB 124813.
Zusammenfassung — Fallen, die Sie vermeiden sollten
| Beobachteter Fehler | Ursache | Lösung |
|---|---|---|
| App im OIDC-Modus angelegt | „Create your own app“ erzeugt OIDC | SAML Toolkit aus der Galerie verwenden |
| AADSTS700016 | SP-URLs mit altem Index nach einem Apply | URLs in Entra aktualisieren |
| Unable to parse SAML Assertion | NameID-Format = emailAddress | Auf Unspecified umstellen |
| Failed to verify Response Signature | Veraltetes Entra-Zertifikat im RAS-Cache | IdP-Metadaten neu importieren |
| Failed to match AD User (0x00000006) | Fehlender Claim name oder fehlende Domänenüberschreibung | Claim + Override authentication domain prüfen |
| 0x8009480b | Vorlage PrlsSmartcardLogon falsch konfiguriert | Issuance Requirements prüfen (KB 124813) |
SAML-Full-SSO zwischen Parallels RAS und Entra ID ist oberflächlich dokumentiert, doch die entscheidenden Details sind verstreut oder fehlen. Der kritischste Punkt — der Claim http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name — taucht bis heute in keiner Parallels-KB auf.
