Microsoft Entra Connect - Как установить и настроить

Microsoft Entra Connect используется для синхронизации объектов вашей Active Directory с Microsoft Entra ID. Синхронизация вашей AD с Entra ID позволяет создать гибридную среду со всеми ее преимуществами, такими как единый вход, простая смена пароля и т. д.

Прежде чем начать установку Entra Connect, полезно знать, что есть и облегчённая версия - Entra Cloud Sync. Убедитесь, что вы ознакомились с различиями между этими двумя решениями в этой статье, прежде чем продолжить.

В этой статье я объясню, как установить и настроить Microsoft Entra ID Connect.

Требования

Перед установкой Entra ID Connect полезно ознакомиться с требованиями к инструменту. Если у вас большой арендатор, убедитесь, что вы проверили необходимые серверные спецификации. Другие важные требования включают:

• Windows Server 2016 или новее
• Windows Server Core не поддерживается (требуется полный графический интерфейс)
• .Net Framework 4.7.2 или более новая версия установлена
• TLS 1.2 включен - используйте этот скрипт, чтобы проверить, включен ли он.

Когда мы смотрим на необходимые системные спецификации, вы увидите, что требуется минимум 70 ГБ дискового пространства. Для небольших или средних сред вы можете обойтись меньшим объемом, но когда вы собираетесь синхронизировать 1000 или более объектов, тогда стоит иметь в виду это требование.

В теории вы можете установить Entra Connect на контроллер домена, но это не рекомендуется. Контроллеры домена требуют наивысшего уровня защиты в вашей сети, поэтому мы не хотим добавлять к ним какие-либо службы, так как это увеличивает поверхность атаки.

Также, в случае больших сред, процесс синхронизации может оказать влияние на производительность контроллера домена, поэтому лучше установить инструмент на другом сервере-члене домена.

Убедитесь, что вы запускаете инструмент IdFix перед развертыванием Entra ID Connect, чтобы устранить любые ошибки идентичности и дубликаты перед синхронизацией.

Установка Microsoft Entra Connect

Мы собираемся установить и настроить инструмент Microsoft Entra Connect. Во время установки нам потребуется наша учетная запись Глобального администратора Entra ID (имя учетной записи заканчивается на <ваш-домен>.onmicrosoft.com) и учетная запись администратора домена.

Время, необходимое: 5 минут

Сначала убедитесь, что вы загрузили последнюю версию Microsoft Entra Connect. Забавная деталь: файл MSI по-прежнему называется AzureADConnect.

1. Начните установку Entra Connect

   Откройте .msi файл, который мы скачали, и примите условия, чтобы продолжить

2. Используйте экспресс-настройки

   Вы можете выбрать между Экспресс или Индивидуальной установкой
   
   Для 90% развертываний Экспресс установка идеальна. Она может быть использована, если у вас есть один лес AD и менее 100.000 объектов в вашем AD. Она позволяет синхронизацию хешей паролей, которая может использоваться с единой аутентификацией, синхронизируя всех пользователей, группы, контакты и устройства, (вы можете изменить это на последнем шаге) и обеспечивает автоматическое обновление Microsoft Entra Connect.
   

   

3. Введите учетные данные глобального администратора Microsoft Entra ID

   Не используйте свою учетную запись администратора домена здесь, а убедитесь, что вы используете учетную запись глобального администратора Entra ID. Та, которая заканчивается на .onmicrosoft.com
   
   После нажатия на "Далее" вы увидите диалог входа в Microsoft 365 для проверки ваших учетных данных.
   

   

4. Подключитесь к вашему AD DS (Локальному Active Directory)

   Следующим шагом нам нужно подключиться к нашим службам домена Active Directory. Здесь мы используем учетную запись администратора домена.
   
   Поскольку мы используем экспресс-настройки, Microsoft Entra Connect создаст локальную учетную запись службы в вашем AD. Вы можете распознать эту учетную запись по имени пользователя MSOL_xxx.
   

   

5. Проверьте суффикс UPN

   Суффикс UPN каталога Active Directory должен соответствовать вашему пользовательскому домену в Microsoft Entra ID. Если он не совпадает, пользователи не смогут использовать свои учетные данные локально для входа.
   
   Я использую среду разработки, поэтому на снятом экране ниже я просто продолжаю без совпадающего UPN.
   

   

6. Установить и настроить

   С учётом всего готово, мы можем установить и настроить Microsoft Entra Connect Sync. Если вы не хотите настраивать, какие OU синхронизируются с Entra, то снимите отметку с "Запустить процесс синхронизации", таким образом вы сможете изменить конфигурацию позже.

   

7. Завершение установки

   Установка и настройка могут занять несколько минут. Когда они будут завершены, войдите в свою среду Microsoft 365, чтобы проверить учетные записи пользователей.
   

   

Проверка синхронизации

Инструмент установки выполняет первоначальную синхронизацию и настраивает автоматический график синхронизации. Давайте проверим это, чтобы убедиться, что все синхронизировано, как и ожидалось.

Существует несколько мест, где мы можем просмотреть статус синхронизации:

• Центр администрирования Microsoft 365
• Microsoft Entra ID
• Менеджер службы синхронизации

Центр администрирования Microsoft 365

В центре администрирования Microsoft 365 вы можете часто видеть текущий статус синхронизации на панели управления. Но лучше всего проверить Статус синхронизации каталога, который можно найти в разделе Состояние на боковой панели.

Это даст вам краткий обзор того, когда был выполнен последний синхронизация каталогов и паролей, а также другую соответствующую информацию.

Microsoft Entra ID

В Microsoft Entra ID вы можете увидеть немного больше деталей, когда дело касается статуса синхронизации и любых потенциальных ошибок:

1. Откройте Центр администрирования Microsoft Entra
2. Разверните Идентификацию > Гибридное управление и выберите Microsoft Entra Connect.
3. Нажмите на Подключить синхронизацию

Здесь вы также увидите время последней синхронизации, а также если какие-либо функции, такие как бесшовная единая аутентификация, включены. Если вы нажмете на Microsoft Entra Connect Health, вы также сможете увидеть любые ошибки синхронизации и ознакомиться с их фактическими деталями.

Менеджер службы синхронизации

Мы также можем просмотреть статус синхронизации на сервере, на котором установлен инструмент Entra Connect. В меню «Пуск» вы найдете Менеджер служб синхронизации в Azure AD Connect.

Инструмент отобразит статус всей синхронизации, и, как вы можете видеть, первая была полной импортировкой, которая добавила 349 элементов.

Изменение конфигурации

Мы установили инструмент Microsoft Entra Connect, используя экспресс-настройки. Как упоминалось, это идеально подходит для большинства организаций, но что если вам нужно изменить настройку? Предположим, мы не хотим синхронизировать весь Active Directory, а отфильтровать некоторые организационные единицы из синхронизации.

Для этого мы можем просто открыть инструмент синхронизации Entra Connect и изменить конфигурацию. Однако имейте в виду, что когда вы открываете инструмент конфигурации, синхронизация будет приостановлена до тех пор, пока вы не закончите.

1. Откройте Microsoft Entra Connect (всё ещё называемый Azure AD Connect в меню Пуск…)
2. Нажмите на Настроить
3. Выберите Настроить параметры синхронизации
4. Вам нужно подключиться к Microsoft Entra ID, просто нажмите «Далее» и войдите с помощью учетной записи глобального администратора Entra ID.

5. Нажмите Далее, чтобы пропустить соединение ваших каталогов.
6. Выберите Синхронизировать выбранные домены и ОУ
7. Снимите отметку с OU, которые вы больше не хотите синхронизировать

8. Нажмите Далее
9. Оставьте опциональные функции без изменений и нажмите Далее
10. Нажмите Настроить, чтобы внести изменения и (повторно) запустить процесс синхронизации.

Заключение

Установка Microsoft Entra Connect стала довольно простой благодаря экспресс-настройкам. Убедитесь, что вы используете инструмент IdFix перед началом синхронизации, чтобы найти любые ошибки.

Вы можете установить Entra ID Connect на своем контроллере домена, но только если у вас небольшой арендатор и ваш сервер имеет достаточную производительность. В противном случае лучше установить инструмент на отдельном сервере, присоединенном к домену.

Надеюсь, вы нашли эту статью полезной. Если у вас есть вопросы, просто оставьте комментарий ниже.