Escenario: uso de extensiones de directorio con aprovisionamiento de grupos en Active Directory

Escenario: tiene cientos de grupos en Microsoft Entra ID. Quiere aprovisionar algunos de estos grupos, pero no todos de vuelta a Active Directory. Le gustaría un filtro rápido que se puede aplicar a los grupos sin tener que hacer un filtro de ámbito más complicado.

El entorno que se crea en este escenario se puede usar para realizar pruebas o para familiarizarse con la sincronización en la nube.

Supuestos

• En este escenario se supone que ya tiene un entorno de trabajo que está sincronizando los usuarios con Microsoft Entra ID.
• Tenemos 4 usuarios sincronizados. Britta Simon, Lola Jacobson, Anna Ringdahl, and John Smith.
• Se han creado tres unidades organizativas en Active Directory: ventas, marketing y grupos
• Las cuentas de usuario de Britta Simon y Anna Ringdahl residen en la unidad organizativa Ventas.
• Las cuentas de usuario de Lola Jacobson y John Smith residen en la unidad organizativa Marketing.
• La unidad organizativa Grupos es donde se aprovisionan nuestros grupos de Microsoft Entra ID.

Creación de dos grupos en Microsoft Entra ID

Para empezar, cree dos grupos en Microsoft Entra ID. Un grupo es Ventas y el otro es Marketing.

Para crear dos grupos, siga estos pasos.

1. Inicie sesión en el centro de administración de Microsoft Entra al menos como Administrador de identidad híbrida.
2. Vaya aIdentidad>Grupos>Todos los grupos.
3. En la parte superior, haga clic en Nuevo grupo.
4. Asegúrese de que el Tipo de grupo está establecido en seguridad.
5. En Nombre de grupo escriba Ventas
6. Para Tipo de pertenencia manténgalo asignado.
7. Haga clic en Crear.
8. Repita este proceso con Marketing como Nombre del grupo.

Agregar usuarios a los grupos recién creados

1. Inicie sesión en el centro de administración de Microsoft Entra al menos como Administrador de identidad híbrida.
2. Vaya aIdentidad>Grupos>Todos los grupos.
3. En la parte superior, en el cuadro de búsqueda, escriba Ventas.
4. Haga clic en el nuevo grupo Ventas.
5. A la izquierda, haga clic en Miembros
6. En la parte superior, haga clic en Agregar miembros.
7. En la parte superior, en el cuadro de búsqueda, escriba Britta Simon.
8. Coloque una comprobación junto a Britta Simon y Anna Ringdahl y haga clic en Seleccionar
9. Debería agregarla correctamente al grupo.
10. En el extremo izquierdo, haga clic en Todos los grupos y repita este proceso con el grupo Marketing y agregue Lola Jacobson y John Smith a ese grupo.

Nota:

Al agregar usuarios al grupo Marketing, anote el identificador de grupo en la página de información general. Este identificador se usa más adelante para agregar la propiedad recién creada al grupo.

Instalación y conexión del SDK de PowerShell de Microsoft Graph

1. Si aún no está instalado, siga la documentación de SDK de PowerShell de Microsoft Graph para instalar los módulos principales del SDK de PowerShell de Microsoft Graph: Microsoft.Graph y Microsoft.Graph.Beta.

2. Apertura de PowerShell con privilegios administrativos

3. Para establecer la directiva de ejecución, ejecute (presione [A] Sí en todo cuando se le solicite):

   Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser
   

4. Conectarse al inquilino (asegúrese de aceptar en nombre de al iniciar sesión):

   Connect-MgGraph -Scopes "Directory.ReadWrite.All", "Application.ReadWrite.All", "User.ReadWrite.All, Group.ReadWrite.All"
   

Creación de la aplicación CloudSyncCustomExtensionApp y la entidad de servicio

Importante

La extensión de directorio para Microsoft Entra Cloud Sync solo se admite para las aplicaciones con el URI de identificación "api://<tenantId>/CloudSyncCustomExtensionsApp" y Tenant Schema Extension App creada por Microsoft Entra Connect.

1. Obtenga el identificador de inquilino:

   $tenantId = (Get-MgOrganization).Id
   $tenantId
   

Nota:

Esto generará el identificador de inquilino actual. Para confirmar este identificador de inquilino, vaya a Centro de administración de Microsoft Entra> Identity > Información general.

1. Con la variable $tenantId del paso anterior, compruebe si existe CloudSyncCustomExtensionApp.

   $cloudSyncCustomExtApp = Get-MgApplication -Filter "identifierUris/any(uri:uri eq 'api://$tenantId/CloudSyncCustomExtensionsApp')"
   $cloudSyncCustomExtApp
   

2. Si existe una aplicación CloudSyncCustomExtensionApp, vaya al paso siguiente. De lo contrario, cree la nueva aplicación CloudSyncCustomExtensionApp:

   $cloudSyncCustomExtApp = New-MgApplication -DisplayName "CloudSyncCustomExtensionsApp" -IdentifierUris "api://$tenantId/CloudSyncCustomExtensionsApp"
   $cloudSyncCustomExtApp 
   

3. Comprueba si la aplicación CloudSyncCustomExtensionsApp tiene asociada una entidad de seguridad. Si acabas de crear una nueva aplicación, vaya al paso siguiente.

   Get-MgServicePrincipal -Filter "AppId eq '$($cloudSyncCustomExtApp.AppId)'"
   

4. Si acaba de crear una aplicación o una entidad de seguridad no se devuelve, cree una entidad de seguridad para CloudSyncCustomExtensionsApp:

   New-MgServicePrincipal -AppId $cloudSyncCustomExtApp.AppId
   

Creación de nuestro atributo de extensión personalizado

Sugerencia

En este escenario, va a crear un atributo de extensión personalizado llamado WritebackEnabled para usarse en el filtro de ámbito de Microsoft Entra Cloud Sync, de modo que solo los grupos con WritebackEnabled establecido en True se escriben en Active Directory local, de forma similar a la marca habilitada para escritura diferida en el Centrode administración de Microsoft Entra.

1. Obtenga la aplicación CloudSyncCustomExtensionsApp:

   $cloudSyncCustomExtApp = Get-MgApplication -Filter "identifierUris/any(uri:uri eq 'api://$tenantId/CloudSyncCustomExtensionsApp')"
   

2. Ahora, en CloudSyncCustomExtensionApp, cree el atributo de extensión personalizado denominado "WritebackEnabled" y asígnelo a objetos Group:

   New-MgApplicationExtensionProperty -Id $cloudSyncCustomExtApp.Id -ApplicationId $cloudSyncCustomExtApp.Id -Name 'WritebackEnabled' -DataType 'Boolean' -TargetObjects 'Group'
   

3. Este cmdlet crea un atributo de extensión similar a extension_<guid>_WritebackEnabled.

Creación de la configuración de sincronización en la nube

1. Inicie sesión en el centro de administración de Microsoft Entra al menos como Administrador de identidad híbrida.

2. Vaya a Identidad>Administración híbrida>Microsoft Entra Connect>Cloud Sync.

3. Seleccione Nueva configuración.

4. Seleccione Sincronización de Microsoft Entra ID en AD.

5. En la pantalla de configuración, seleccione su dominio y si quiere habilitar la sincronización del hash de contraseñas. Haga clic en Crear.

6. Se abre la pantalla Introducción. Desde aquí, puede seguir configurando la sincronización en la nube

7. A la izquierda, haga clic en Filtros de ámbito seleccione Ámbito de grupo - Todos los grupos

8. Haga clic en Editar asignación de atributos y cambie el Contenedor de destino a OU=Groups,DC=Contoso,DC=com. Haga clic en Save(Guardar).

9. Haga clic en Agregar filtro de ámbito de atributos

10. Escriba un nombre para el filtro de ámbito: Filter groups with Writeback Enabled

11. En Atributo de destino seleccione el atributo recién creado que tiene el aspecto extension_<guid>_WritebackEnabled.

13. En Operador, seleccione IS TRUE
14. Haga clic en Save(Guardar). Y haga clic en Guardar.
15. Deje la configuración deshabilitada y vuelva a ella.

Agregar una nueva propiedad de extensión a uno de nuestros grupos

Para esta parte, vamos a agregar un valor en nuestra propiedad recién creada a uno de nuestros grupos existentes, Marketing.

Establecimiento del valor de la propiedad de extensión mediante el SDK de PowerShell de Microsoft Graph

1. Use la variable $cloudSyncCustomExtApp del paso anterior para obtener nuestra propiedad de extensión:

   $gwbEnabledExtAttrib = Get-MgBetaApplicationExtensionProperty -ApplicationId $cloudSyncCustomExtApp.Id | 
       Where-Object {$_.Name -Like '*WritebackEnabled'} | Select-Object -First 1
   $gwbEnabledExtAttrib 
   $gwbEnabledExtName = $gwbEnabledExtAttrib.Name
   

2. Ahora, grt el Marketing grupo:

   $marketingGrp = Get-MgGroup -ConsistencyLevel eventual -Filter "DisplayName eq 'Marketing'"
   $marketingGrp 
   

3. A continuación, con la variable $gwbEnabledExtName que contiene extension_<guid>_WritebackEnabled, establezca el valor True para el grupo Marketing:

   Update-MgGroup -GroupId $marketingGrp.Id -AdditionalProperties @{$gwbEnabledExtName = $true}
   

4. Para confirmarlo, puede leer el valor de la extension_<guid>_WritebackEnabled propiedad con:

   $marketingGrp = Get-MgGroup -ConsistencyLevel eventual -Filter "DisplayName eq 'Marketing'" -Property Id,$gwbEnabledExtName
   $marketingGrp.AdditionalProperties.$gwbEnabledExtName
   

Establecimiento del valor de la propiedad de extensión mediante el Explorador de Microsoft Graph

Debe asegurarse de que ha consentido Group.ReadWrite.All. Para ello, seleccione Modificar permisos.

1. Vaya al Explorador de Microsoft Graph

2. Inicie sesión con su cuenta de administrador de inquilinos. Es posible que deba ser una cuenta de administrador global. Se usó una cuenta de administrador global para crear este escenario. Una cuenta de administrador de identidad híbrida puede ser suficiente.

3. En la parte superior, cambie el GET a PATCH

4. En el cuadro de dirección, escriba: https://graph.microsoft.com/v1.0/groups/<id. de grupo>

5. En el cuerpo de la solicitud, escriba:

   {
    extension_<guid>_WritebackEnabled: true
   }
   
   

6. Haga clic en Ejecutar consulta

7. Si se ha realizado correctamente, verá [].

8. Ahora en la parte superior, cambie PATCH a GET y examine las propiedades del grupo de marketing.

9. Haga clic en Ejecutar consulta. Debería ver el atributo recién creado.

Probar nuestra configuración

Nota:

Al usar el aprovisionamiento a petición, los miembros no se aprovisionan automáticamente. Se debe seleccionar en qué miembros se desea probar, habiendo un límite de 5 miembros.

1. Inicie sesión en el Centro de administración de Microsoft Entra como Administrador híbrido como mínimo.
2. Vaya a Identidad>Administración híbrida>Microsoft Entra Connect>Cloud Sync. .

3. En Configuración, seleccione su configuración.
4. A la izquierda, seleccione Aprovisionar a petición.
5. Escriba Marketing en el cuadro de Grupo seleccionado
6. En la sección Usuarios seleccionados, seleccione algunos usuarios para probar. Seleccione Lola Jacobson y John Smith.
7. Haga clic en Aprovisionar. Debe aprovisionar correctamente.
8. Ahora pruebe con el grupo Ventas y agregue Britta Simon y Anna Ringdahl. Esto no debería aprovisionar.
9. En Active Directory, debería ver el grupo Marketing recién creado.
10. Ahora puede ir a la página Identidad>Administración híbrida>Microsoft Entra Connect>Cloud sync > Información general revisar y habilitar nuestra configuración.

Pasos siguientes

• Usar escritura diferida de grupos con Microsoft Entra Cloud Sync
• Controlar aplicaciones locales basadas en Active Directory (Kerberos) mediante la gobernanza de Microsoft Entra ID
• Migrar la escritura diferida de grupos de Microsoft Entra Connect Sync V2 a Microsoft Entra Cloud Sync