Поиск по сайту:

Как установить и настроить Entra Cloud Sync

Microsoft Entra Cloud Sync — это новый легковесный агент, который синхронизирует ваш локальный Active Directory с Microsoft Entra ID. Он позволяет синхронизировать пользователей, группы и контакты с использованием агента облачного Provisioning Microsoft Entra.

В отличие от Microsoft Entra Connect, Cloud Sync не работает на ваших локальных серверах. Обработка, выбор объектов, движок синхронизации и т.д. происходят в облаке Microsoft. Вам нужно только установить легковесный агент на сервер.

В этой статье мы рассмотрим установку и настройку Microsoft Entra Cloud Sync.

Требования

Прежде чем устанавливать Entra Cloud Sync, полезно ознакомиться с требованиями к инструменту. Наиболее важным из них является требование лицензии:

  • Лицензия Microsoft Entra ID P1 для учетной записи администратора
  • Учетная запись Microsoft Entra с ролью как минимум Гибридного администратора идентификации
  • Windows Server 2016 или новее
  • Windows Server Core не поддерживается (требуется полный графический интерфейс)
  • Локальная учетная запись администратора для установки
  • .NET Framework 4.7.1 или более новая версия установлена

Установите Entra Cloud Sync

Для установки Cloud Sync необходимо скачать агентProvisioning и установить его на сервере. Вы можете установить агента на контроллере домена или на сервере-участнике. Рекомендуется обеспечить безопасность сервера, на котором вы устанавливаете агента. Ознакомьтесь с тем, как защитить свой сервер, в документации Microsoft.

Время, необходимое: 5 минут

  1. Скачайте агента

    Сначала загрузите агентProvisioning в Центре администрирования Microsoft Entra. Вы найдете загрузку в разделе Идентификация > Гибридное управление > Microsoft Entra Connect.

    На странице Начало работы перейдите к Управление и нажмите на Загрузить агент Provisioning

    Вам потребуется принять условия для загрузки агента. По моему опыту, может пройти несколько секунд, прежде чем загрузка действительно начнется.

  2. Начать установку

    Откройте загруженный MSI-файл и распакуйте/установите агент Provisioning Entra. Когда установка будет завершена, откроется мастер конфигурации.

  3. Выберите расширение

    Нам необходимо выбрать расширение, которое мы хотим включить. Для Active Directory мы хотим выбрать Управляемое HR предоставление/Синхронизация с Microsoft Entra Cloud.

  4. Подключитесь к Microsoft Entra ID

    Нам нужно подключиться к Microsoft Entra ID. Аутентифицируйтесь с помощью учетной записи глобального администратора или учетной записи с ролью как минимум Администратора гибридной идентичности.

  5. Настроить учетную запись службы

    Если у вас еще нет управляемой учетной записи службы группы (gMSA), установщик автоматически создаст ее для вас.

  6. Подключить Active Directory

    Убедитесь, что выбран правильный домен, и нажмите «Далее», чтобы подключить Active Directory

  7. Подтвердите конфигурацию

    Опция Локальные приложения… необходима только в том случае, если вы хотите предоставить локальные приложения Azure.

  8. Завершите установку агента

    Агент теперь установлен и зарегистрирован в Microsoft Entra ID. Закройте установку и перейдите в Центр администрирования Microsoft Entra.

Настроить синхронизацию Entra Cloud

Теперь, когда агент установлен, мы можем перейти в Центр администрирования Microsoft Entra для настройки синхронизации облака. Используйте эту прямую ссылку, чтобы открыть настройки синхронизации облака, или перейдите в Идентификация >> Гибридное управление > Microsoft Entra Connect > Синхронизация облака.

  1. Нажмите на + Новая Конфигурация и выберите Синхронизация AD с Microsoft Entra ID
  2. Мы хотим включить синхронизацию хэшированных паролей, поэтому мы оставляем это включенным.
  3. Нажмите на Создать, чтобы добавить конфигурацию

Создание конфигурации займет некоторое время, после чего вы будете перенаправлены на страницу обзора. Здесь вы можете изменить область синхронизации (выбрать OU, которые вы хотите синхронизировать или исключить), или сопоставить атрибуты.

Прежде чем мы включим конфигурацию, мы хотим изменить/установить два свойства:

  1. Нажмите на Свойства
  2. Отредактируйте Основы
  3. Введите адрес электронной почты для уведомлений. Таким образом, когда возникнет проблема, вы получите уведомление.
  4. Установите порог случайного удаления

Порог по умолчанию установлен на 500 объектов. Но если у вас небольшая среда, например, всего 100 пользователей, то вам может понадобиться снизить это значение до 10. Таким образом, если будет удалено более 10 объектов, синхронизация остановится, что позволит вам проверить, всё ли в порядке.

Просмотрите и включите конфигурацию

Когда закончите, нам нужно включить конфигурацию. На странице Обзор нажмите на Проверить и включить. Это даст вам обзор конфигурации. Нажмите на Включить конфигурацию.

Включить запись пароля обратно

С успешно настроенной синхронизацией в облаке мы теперь можем включить запись паролей для синхронизированных пользователей. Таким образом, пользователи могут сбрасывать свои пароли в Microsoft 365, и они автоматически синхронизируются обратно в Active Directory.

  • В Microsoft Entra > разверните Защита и откройте Сброс пароля
  • Нажмите на Интеграцию на местном уровне
  • Включить запись пароля для синхронизированных пользователей
  • Включите обновление паролей с помощью синхронизации облака Microsoft Entra Connect
  • Нажмите на Сохранить.

Проверка статуса

После того, как вы все настроили, важно следить за статусом облачной синхронизации в течение первых 30 минут. Любые проблемы с конфигурацией могут привести к помещению настроек в карантин, что останавливает синхронизацию.

В приведенном ниже примере MFA была принудительно включена для вновь созданной сервисной учетной записи. Эта проблема была легко решена с помощью создания исключения в политике условного доступа, но подобные вещи легко упустить из виду.

Если вы разрешили проблему, вам необходимо очистить карантин в настройках. Нажмите на 3 точки и выберите "Очистить карантин", чтобы возобновить процесс синхронизации.

Заключение

Агент Entra Cloud Sync — это будущее синхронизации Active Directory с Microsoft Entra. Да, он не может синхронизировать объекты компьютеров, но лучше всего делать это с помощью Intune.

Другой вариант заключается в том, чтобы запустить Entra Connect Sync и Entra Cloud Sync параллельно и использовать Entra Connect только для объектов компьютера. Это уменьшит нагрузку на ваши локальные серверы, обеспечивая при этом готовность к любым разработкам функций с Cloud Sync.

Надеюсь, вам понравилась эта статья. Если у вас есть какие-либо вопросы, просто оставьте комментарий ниже.