Nakonfigurujte synchronizaci zařízení pomocí Microsoft Entra Cloud Sync

Synchronizace zařízení umožňuje synchronizovat objekty počítačů z služba Active Directory (AD) do Microsoft Entra ID pomocí úlohy AD2AADDeviceSync v konfiguraci cloudové synchronizace AD do Microsoft Entra ID. Po synchronizaci se zařízení můžou stát zařízeními s hybridním připojením k Microsoft Entra.

Synchronizace zařízení je ve výchozím nastavení zakázaná. Než začnete, ujistěte se, že vaše prostředí splňuje požadavky. Potom nakonfigurujte spojovací bod služby (SCP), povolte synchronizaci zařízení, zřiďte zařízení na vyžádání, spravujte synchronizaci zařízení pomocí Microsoft Graph a obnovte odstraněná zařízení.

Note

Tento článek vysvětluje, jak nakonfigurovat synchronizaci zařízení v Microsoft Entra cloudové synchronizaci. Nepopisuje, jak nástroj pro migraci s asistencí přenáší synchronizaci zařízení z Microsoft Entra Connect Sync. Před plánováním migrace ze služby Connect Sync si projděte požadavky nástroje pro migraci. Informace o možnostech platformy a dostupných cestách migrace najdete v průvodci rozhodováním o migraci a přehledem migrace.

Předpoklady

Ujistěte se, že vaše prostředí splňuje tyto požadavky:

Nainstalujte agenta zřizování Microsoft Entra do místního prostředí. Agent musí mít verzi 1.1.1107 nebo novější. Stáhněte si nejnovější dostupnou verzi agenta z Centrum pro správu Microsoft Entra. Informace o verzích agenta najdete v článku Historie verzí agenta pro zřizování Microsoft Entra.
Vytvořte konfiguraci synchronizace z AD do Microsoft Entra ID v cloudu. Postup konfigurace najdete v tématu Konfigurace zřizování z služba Active Directory do Microsoft Entra ID.
ID vašeho Microsoft Entra tenanta a ověřenou doménu, kterou zařízení používají k ověřování. Pro federovaná prostředí použijte federovanou doménu. V opačném případě použijte primární *.onmicrosoft.com doménu.
Pokud potřebujete nakonfigurovat bod připojení služby (SCP), budete potřebovat dočasný přístup k účtu, který je členem skupiny Enterprise Admins v každé doménové struktuře služby Active Directory, která obsahuje počítače připojené k doméně. Pokud je k dispozici, použijte proces privilegovaného přístupu just-in-time ve vaší organizaci.
Pokud chcete nakonfigurovat synchronizaci zařízení v Centrum pro správu Microsoft Entra, použijte účet s alespoň rolí správce hybridní identity.

Konfigurace spojovacího bodu služby

Nakonfigurujte bod připojení služby (SCP) v každém lese služby Active Directory, který obsahuje počítače připojené k doméně. Zařízení používají SCP ke zjištění tenanta Microsoft Entra, u kterého se registrují.

SCP už možná je v doménové struktuře nakonfigurován. Před spuštěním skriptu ověřte stávající hodnoty SCP a poznamenejte si aktuální hodnoty azureADName a azureADId, abyste je mohli v případě potřeby obnovit. Pokud už hodnoty identifikují zamýšleného tenanta, přeskočte na Povolit synchronizaci zařízení.

Výstraha

Pokud bod připojení služby již existuje, skript vymaže jeho aktuální hodnoty keywords a nahradí je zadanými hodnotami azureADName a azureADId. Před spuštěním ověřte doménu a ID tenanta.

Chcete-li nakonfigurovat SCP, postupujte takto:

Přihlaste se na pracovní stanici pro správu připojenou k doméně nebo na řadič domény pomocí účtu, který je členem skupiny Enterprise Admins pro aktuální strukturu lesa. Použijte relaci prostředí Windows PowerShell, ve které zásady vaší organizace povolují používání místních skriptů.

Uložte následující skript jako ConfigureSCP.ps1:

#
# ConfigureSCP.ps1
# Configures the service connection point (SCP) for Microsoft Entra hybrid join in the current forest.
#
# REQUIREMENT: Must be run by an Enterprise Admin of the current forest.
#
# EXAMPLES:
#   .\ConfigureSCP.ps1 -Domain contoso.com -TenantId <guid>
#   .\ConfigureSCP.ps1 -Domain contoso.onmicrosoft.com -TenantId <guid>
#
[CmdletBinding()]
param(
    # Verified domain used for device authentication.
    # If you use federation, enter a federated domain name.
    # Otherwise, enter your primary *.onmicrosoft.com domain name.
    [Parameter(Mandatory = $true)]
    [ValidateNotNullOrEmpty()]
    [string]$Domain,

    # Microsoft Entra tenant identifier (GUID).
    [Parameter(Mandatory = $true)]
    [guid]$TenantId
)

$ErrorActionPreference = "Stop"

Write-Output "Configuring the SCP for Microsoft Entra hybrid join in your Active Directory forest."

try {
    ## Set variables
    $azureADName = "azureADName:" + $Domain.Trim()
    $azureADId   = "azureADId:" + $TenantId.ToString()
    $keywords    = "keywords"
    $ldap        = "LDAP://"

    $rootDSE    = New-Object System.DirectoryServices.DirectoryEntry($ldap + "RootDSE")
    $configCN   = $rootDSE.Properties["configurationNamingContext"][0].ToString()
    $servicesCN = "CN=Services," + $configCN
    $drcCN      = "CN=Device Registration Configuration," + $servicesCN
    $scpCN      = "CN=62a0ff2e-97b9-4513-943f-0d221bd30080," + $drcCN

    ## Get/Create: CN=Device Registration Configuration,CN=Services
    if ([System.DirectoryServices.DirectoryEntry]::Exists($ldap + $drcCN)) {
        $deDRC = New-Object System.DirectoryServices.DirectoryEntry($ldap + $drcCN)
    }
    else {
        $de    = New-Object System.DirectoryServices.DirectoryEntry($ldap + $servicesCN)
        $deDRC = $de.Children.Add("CN=Device Registration Configuration", "container")
        $deDRC.CommitChanges()
    }

    ## Edit/Create: CN=62a0ff2e-97b9-4513-943f-0d221bd30080,CN=Device Registration Configuration,CN=Services
    if ([System.DirectoryServices.DirectoryEntry]::Exists($ldap + $scpCN)) {
        $deSCP = New-Object System.DirectoryServices.DirectoryEntry($ldap + $scpCN)
        $deSCP.Properties[$keywords].Clear()
    }
    else {
        $deSCP = $deDRC.Children.Add("CN=62a0ff2e-97b9-4513-943f-0d221bd30080", "serviceConnectionPoint")
    }

    $deSCP.Properties[$keywords].Add($azureADName) | Out-Null
    $deSCP.Properties[$keywords].Add($azureADId)   | Out-Null
    $deSCP.CommitChanges()

    Write-Output "Configuration complete!"
}
catch {
    Write-Output "Configuration could not be completed."
    Write-Output $_
    exit 1
}

Spusťte skript pomocí hodnot pro zamýšleného tenanta:
- Pro Domainfederovaná prostředí použijte federovanou doménu. V opačném případě použijte primární *.onmicrosoft.com doménu.
- Pro TenantId použijte identifikátor GUID tenanta Microsoft Entra.
```
.\ConfigureSCP.ps1 -Domain <verified-domain> -TenantId <tenant-id>
```
Potvrďte, že powershell zobrazuje Configuration complete!. Pokud se zobrazí Configuration could not be completed., projděte si doprovodnou chybu a před pokračováním ji vyřešte.
V každé další doménové struktuře služby Active Directory, která obsahuje počítače připojené k doméně, ověřte existující hodnoty bodu připojení služby (SCP) a v případě potřeby tento postup opakujte.
Po nakonfigurování všech požadovaných doménových struktur se odhlaste od všech účtů Enterprise Admins a podle procesu privilegovaného přístupu vaší organizace odeberte nebo deaktivujte dočasný přístup.

Povolení synchronizace zařízení

Povolte synchronizaci zařízení ve stávající konfiguraci cloudové synchronizace služby AD do Microsoft Entra ID.

Přihlaste se do správcovského centra Microsoft Entra alespoň jako správce hybridní identity.
Přejděte do Entra ID>Entra Connect>Synchronizace cloudu.

Vyberte existující konfiguraci AD to Microsoft Entra ID.
Vyberte Vlastnosti. V části Základy ověřte, že je synchronizace zařízenízakázaná.
Vedle položky Základy vyberte ikonu pro úpravy.
Vyberte Povolit synchronizaci zařízení a pak vyberte Použít.

Kontrola atributů synchronizovaného zařízení

Synchronizace zařízení v Cloud Sync podporuje následující mapování atributů zařízení.

Atribut systému Microsoft Entra	Atribut AD	Typ mapování
`AccountEnabled`	`userAccountControl`	Výraz
`DeviceId`	`objectGUID`	Přímo
`DeviceOSType`	`operatingSystem`	Výraz
`DeviceTrustType`	Žádný. Hodnota je vždy `ServerAd`.	Výraz
`DisplayName`	`displayName`, `dNSHostName`	Výraz
`OnPremiseSecurityIdentifier`	`objectSid`	Přímo
`RegisteredOwnerReference`	`mS-DS-CreatorSID`	Jednou
`SourceAnchor`	`objectGUID`	Přímo
`UserCertificate`	`userCertificate`	Přímo

Mapování RegisteredOwnerReference se použije pouze při prvním zjištění objektu počítače v AD.

Zřízení zařízení na vyžádání

Zřízení zařízení na vyžádání pro spuštění synchronizace zařízení pro konkrétní objekt počítače AD.

Přihlaste se do správcovského centra Microsoft Entra alespoň jako správce hybridní identity.
Přejděte do Entra ID>Entra Connect>Synchronizace cloudu.

Vyberte existující konfiguraci AD to Microsoft Entra ID.
Vyberte Poskytování na vyžádání.
Vyberte kartu Zařízení .
Zadejte rozlišující název počítače AD.
Vyberte Nastavení.

Správa synchronizace zařízení pomocí Microsoft Graph

Pomocí Microsoft Graph můžete vytvořit a spustit úlohu synchronizace zařízení nebo zřídit zařízení na vyžádání.

Vytvoření a spuštění úlohy synchronizace zařízení

Pomocí příkazu Create synchronizationJob vytvořte úlohu synchronizace zařízení.
V požadavku:
- Použijte ID instančního objektu služby vašeho instančního objektu služby AD to Microsoft Entra ID.
- Nastavte templateId na hodnotu AD2AADDeviceSync.
Pomocí příkazu Start syncJob spusťte úlohu synchronizace zařízení.

Zřízení zařízení na vyžádání pomocí Microsoft Graph

Použijte funkci Get synchronizationSchema s úlohou synchronizace zařízení.
V odpovědi získejte ID pravidla synchronizace zařízení z synchronizationRules.
Použijte synchronizační úlohu: provisionOnDemand. V textu požadavku nastavte:
- objectId k jedinečnému názvu počítače z nástroje Uživatelé a počítače služby Active Directory.
- objectTypeName na computer.
- ruleId k ID pravidla synchronizace zařízení.

Obnovení odstraněného zařízení

Zařízení lze z Microsoft Entra ID odstranit, když:

Odpovídající počítač se odstraní ve službě AD, což způsobí, že synchronizace cloudu odstraní zařízení v Microsoft Entra ID.
Zařízení se po spuštění dsregcmd /leave odpojí od cloudu, což způsobí, že Služba registrace zařízení Azure odstraní zařízení z Microsoft Entra ID.
Správce ručně odstraní zařízení z Entra ID>Devices v Centrum pro správu Microsoft Entra.

Pokud služba nebo správce jiný než Cloud Sync odstraní zařízení, cloudová synchronizace zařízení během dalšího cyklu synchronizace znovu nevytvoří, pokud se nezmění odpovídající objekt počítače AD.

Pomocí jedné z těchto možností obnovte zařízení a obnovte jeho stav hybridního připojení:

V Centrum pro správu Microsoft Entra přejděte na Entra ID>Devices>Deleted devices a potom zařízení obnovte.
Změňte odpovídající objekt počítače v AD a počkejte na další cyklus synchronizace zařízení.
Zřízení zařízení na vyžádání

Váš názor

Byla tato stránka užitečná?

Poslední aktualizace v 2026-10-22