Cómo utilizar la función BypassDirSyncOverridesEnabled de un inquilino de Microsoft Entra.

En este artículo se describe la característica BypassDirSyncOverridesEnabled y cómo restaurar la sincronización de los atributos móvil y otroMóvil de Microsoft Entra ID a Active Directory en las instalaciones.

Las propiedades de los usuarios sincronizados no se pueden cambiar desde el identificador de Microsoft Entra ni los portales de administración de Microsoft 365, ni a través de los módulos de PowerShell disponibles. Hasta hace poco, la excepción a esto era los atributos del usuario de Microsoft Entra denominados MobilePhone y AlternateMobilePhones. Estos atributos se sincronizan desde los atributos locales de Active Directory mobile y otrosMobile, respectivamente, pero los usuarios finales solían poder actualizar su propio número de teléfono en el atributo MobilePhone de Microsoft Entra ID a través de su página de perfil. Los cambios en los atributos MobilePhone y AlternateMobilePhones ya no son posibles para los usuarios sincronizados, excepto mediante el uso de Microsoft Entra Connect o Microsoft Entra Cloud Sync.

Anteriormente, los administradores y los usuarios sincronizados tenían la capacidad de actualizar los valores de los atributos MobilePhone y AlternateMobilePhones en Microsoft Entra ID. Esto ya no es posible para los usuarios sincronizados. Cuando esto era posible, la API de sincronización no respetaba las actualizaciones de estos atributos cuando se originaron en Active Directory local. Esto se conoce normalmente como una característica "DirSyncOverrides". Los administradores notaron este comportamiento cuando las actualizaciones de los atributos mobile u otherMobile en Active Directory no actualizaron los campos MobilePhone o AlternateMobilePhones del usuario correspondiente en Microsoft Entra ID en consecuencia, aunque el objeto se sincronizó correctamente a través del motor de Microsoft Entra Connect.

Identificación de usuarios con distintos valores de Mobile

Puede exportar una lista de usuarios con diferentes valores móviles entre Active Directory y Microsoft Entra ID mediante "Compare-ADSyncToolsDirSyncOverrides" desde el módulo de PowerShell ADSyncTools . Esto le permitirá determinar los usuarios y sus valores respectivos que son diferentes entre Active Directory local y Microsoft Entra ID. Esto es importante saber porque habilitar la característica BypassDirSyncOverridesEnabled sobrescribirá todos los valores diferentes de Microsoft Entra ID con el valor procedente de Active Directory local.

Uso de Compare-ADSyncToolsDirSyncOverrides

Como requisito previo, debe ejecutar la versión 2 o posterior de Microsoft Entra Connect e instalar el módulo ADSyncTools más reciente desde Galería de PowerShell con el siguiente comando:

Install-Module ADSyncTools 

Para comparar todos los valores de Mobile del usuario sincronizado, ejecute el siguiente comando:

Compare-ADSyncToolsDirSyncOverrides

Esta función exportará un archivo CSV con una lista de usuarios en los que los valores móviles de Active Directory local son diferentes de los respectivos MobilePhone en Microsoft Entra ID.

En esta fase, puede usar estos datos para restablecer los valores de las propiedades locales de Active Directory Mobile a los valores presentes en microsoft Entra ID. De este modo, puede capturar los números de teléfono más actualizados de Microsoft Entra ID y conservar estos datos en Active Directory local, antes de habilitar la característica BypassDirSyncOverridesEnabled . Para ello, importe los datos del archivo CSV resultante y, después, use “Set-ADSyncToolsDirSyncOverrides” del módulo ADSyncTools para conservar el valor en Active Directory local.

Por ejemplo, para importar datos desde el archivo CSV y extraer los valores de Microsoft Entra ID para un UserPrincipalName determinado, use el siguiente comando:

$upn = '<UserPrincipalName>' 
$user = Import-Csv 'ADSyncTools-DirSyncOverrides_yyyyMMMdd-HHmmss.csv' | where UserPrincipalName -eq $upn | select UserPrincipalName,MobileInEntra  
Set-ADSyncToolsDirSyncOverridesUser -Identity $upn -MobileInAD $user.MobileInEntra

Habilitación de la característica BypassDirSyncOverridesEnabled

De forma predeterminada, la característica BypassDirSyncOverridesEnabled está desactivada . Al habilitar BypassDirSyncOverridesEnabled , el inquilino puede omitir los cambios realizados anteriormente en MobilePhone o AlternateMobilePhones por usuarios o administradores directamente en el id. de Microsoft Entra y respetar los valores presentes en Active Directory Mobile u OtherMobile locales.

Habilitar la característica BypassDirSyncOverridesEnabled:

Para habilitar la característica BypassDirSyncOverridesEnabled, use el módulo PowerShell de Microsoft Graph.

$directorySynchronization = Get-MgDirectoryOnPremiseSynchronization
$directorySynchronization.Features.BypassDirSyncOverridesEnabled = $true
Update-MgDirectoryOnPremiseSynchronization -OnPremisesDirectorySynchronizationId $directorySynchronization.Id -Features $directorySynchronization.Features

Compruebe el estado de la característica BypassDirSyncOverridesEnabled:

(Get-MgDirectoryOnPremiseSynchronization).Features.BypassDirSyncOverridesEnabled

Una vez habilitada la característica, inicie un ciclo de sincronización completo en Microsoft Entra Connect con el siguiente comando:

Start-ADSyncSyncCycle -PolicyType Initial

Nota:

Solo se actualizarán los objetos cuyo valor de MobilePhone o AlternateMobilePhones sea diferente del de Active Directory local.

Administración de números de teléfono móvil en Microsoft Entra ID y Active Directory local

Para administrar los números de teléfono del usuario, un administrador puede usar el siguiente conjunto de funciones del módulo ADSyncTools para leer, escribir y borrar los valores de Active Directory local y leer mobilePhone desde microsoft Entra ID.

Consiga la propiedad Mobile desde Active Directory local:

Get-ADSyncToolsDirSyncOverridesUser 'User1@Contoso.com' -FromAD

Obtenga la propiedad MobilePhone del Microsoft Entra ID:

Get-ADSyncToolsDirSyncOverridesUser 'User1@Contoso.com' -FromEntraID

Establezca la propiedad Mobile en Active Directory local:

Set-ADSyncToolsDirSyncOverridesUser 'User1@Contoso.com' -MobileInAD '999888777'

Borrar la propiedad Mobile en Active Directory local:

Clear-ADSyncToolsDirSyncOverridesUser 'User1@Contoso.com'

Pasos siguientes

Obtenga más información sobre Microsoft Entra Connect: ADSyncTools Módulo PowerShell