Configurer la synchronisation entre clients à l’aide de PowerShell ou de l’API Microsoft Graph

Cet article décrit les étapes clés de configuration de la synchronisation entre clients à l’aide de PowerShell Microsoft Graph ou de l’API Microsoft Graph. Une fois configuré, Microsoft Entra ID approvisionne et déprovisionne automatiquement les utilisateurs B2B dans votre locataire cible. Pour obtenir des instructions détaillées sur les étapes à l’aide du Centre d’administration Microsoft Entra, consultez Configurer la synchronisation interlocataire.

Prérequis

Locataire source

• Licence Microsoft Entra ID P1 ou P2. Pour plus d’informations, consultez Exigences des licences.
• Rôle Administrateur de la sécurité pour configurer les paramètres d’accès interlocataires.
• Rôle Administrateur d’identité hybride pour configurer la synchronisation interlocataire.
• Rôle Administrateur d’application cloud ou Administrateur d’application pour attribuer des utilisateurs à une configuration et supprimer une configuration.
• Rôle Administrateur général pour consentir aux autorisations requises.

Locataire cible

• Licence Microsoft Entra ID P1 ou P2. Pour plus d’informations, consultez Exigences des licences.
• Rôle Administrateur de la sécurité pour configurer les paramètres d’accès interlocataires.
• Rôle Administrateur général pour consentir aux autorisations requises.

Étape 1 : connectez-vous au locataire cible

Locataire cible

PowerShell

1. Démarrez PowerShell.

2. Si nécessaire, installez le Kit de développement logiciel (SDK) PowerShell Microsoft Graph.

3. Obtenez l’ID des locataires source et cible, puis initialisez les variables.

   $SourceTenantId = "<SourceTenantId>"
   $TargetTenantId = "<TargetTenantId>"
   

4. Utilisez la commande Connect-MgGraph pour vous connecter au locataire cible et consentir aux autorisations requises suivantes.

   • Policy.Read.All
   • Policy.ReadWrite.CrossTenantAccess

   Connect-MgGraph -TenantId $TargetTenantId -Scopes "Policy.Read.All","Policy.ReadWrite.CrossTenantAccess"
   

Microsoft Graph

Ces étapes décrivent comment utiliser l’Explorateur Microsoft Graph, mais vous pouvez également utiliser Postman ou un autre client d’API REST.

1. Démarrez l’outil Afficheur Microsoft Graph.

2. Connectez-vous au locataire cible.

3. Sélectionnez votre profil, puis Donner son consentement aux autorisations.

   

4. Consentez aux autorisations requises suivantes.

   • Policy.Read.All
   • Policy.ReadWrite.CrossTenantAccess

5. Obtenez l’ID de locataire des locataires source et cible. L’exemple de configuration décrit dans cet article utilise les ID de locataire suivants.

   • ID locataire source : {sourceTenantId}
   • ID locataire cible : {targetTenantId}

Étape 2 : Activer la synchronisation des utilisateurs dans le locataire cible

Locataire cible

PowerShell

1. Dans le locataire cible, utilisez la commande New-MgPolicyCrossTenantAccessPolicyPartner pour créer une configuration de partenaire dans une stratégie d’accès entre le locataire cible et le locataire source. Utilisez l’ID de locataire source dans la demande.

   Si vous obtenez l’erreur New-MgPolicyCrossTenantAccessPolicyPartner_Create: Another object with the same value for property tenantId already exists, vous disposez peut-être déjà d’une configuration existante. Pour plus d’informations, consultez Symptôme – erreur New-MgPolicyCrossTenantAccessPolicyPartner_Create.

   $Params = @{
       TenantId = $SourceTenantId
   }
   New-MgPolicyCrossTenantAccessPolicyPartner -BodyParameter $Params | Format-List
   

   AutomaticUserConsentSettings : Microsoft.Graph.PowerShell.Models.MicrosoftGraphInboundOutboundPolicyConfiguration
   B2BCollaborationInbound      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   B2BCollaborationOutbound     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   B2BDirectConnectInbound      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   B2BDirectConnectOutbound     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   IdentitySynchronization      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantIdentitySyncPolicyPartner
   InboundTrust                 : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyInboundTrust
   IsServiceProvider            :
   TenantId                     : <SourceTenantId>
   TenantRestrictions           : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyTenantRestrictions
   AdditionalProperties         : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#policies/crossTenantAccessPolicy/partners/$entity],
                                  [crossCloudMeetingConfiguration,
                                  System.Collections.Generic.Dictionary`2[System.String,System.Object]], [protectedContentSharing,
                                  System.Collections.Generic.Dictionary`2[System.String,System.Object]]}
   

2. Utilisez la commande Invoke-MgGraphRequest pour activer la synchronisation utilisateur dans le locataire cible.

   Si vous obtenez une Request_MultipleObjectsWithSameKeyValue erreur, vous disposez peut-être déjà d’une stratégie existante. Pour plus d’informations, consultez Symptôme : erreur Request_MultipleObjectsWithSameKeyValue.

   $Params = @{
       userSyncInbound = @{
           isSyncAllowed = $true
       }
   }
   Invoke-MgGraphRequest -Method PUT -Uri "https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/$SourceTenantId/identitySynchronization" -Body $Params
   

3. Utilisez la commande Get-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization pour vérifier que IsSyncAllowed est défini sur True.

   (Get-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization -CrossTenantAccessPolicyConfigurationPartnerTenantId $SourceTenantId).UserSyncInbound
   

   IsSyncAllowed
   -------------
   True
   

Microsoft Graph

1. Dans le locataire cible, utilisez l’API Create crossTenantAccessPolicyConfigurationPartner pour créer une configuration de partenaire dans une stratégie d’accès interlocataire entre le locataire cible et le locataire source. Utilisez l’ID de locataire source dans la demande.

   Si vous obtenez une Request_MultipleObjectsWithSameKeyValue erreur, vous disposez peut-être déjà d’une configuration existante. Pour plus d’informations, consultez Symptôme : erreur Request_MultipleObjectsWithSameKeyValue.

   Requête

   POST https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners
   Content-Type: application/json
   
   {
     "tenantId": "{sourceTenantId}"
   }
   

   Réponse

   HTTP/1.1 201 Created
   Content-Type: application/json
   
   {
     "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#policies/crossTenantAccessPolicy/partners/$entity",
     "tenantId": "{sourceTenantId}",
     "isServiceProvider": null,
     "inboundTrust": null,
     "b2bCollaborationOutbound": null,
     "b2bCollaborationInbound": null,
     "b2bDirectConnectOutbound": null,
     "b2bDirectConnectInbound": null,
     "tenantRestrictions": null,
     "crossCloudMeetingConfiguration":
     {
       "inboundAllowed": null,
       "outboundAllowed": null
     },
     "automaticUserConsentSettings":
     {
       "inboundAllowed": null,
       "outboundAllowed": null
     }
   }
   

2. Utilisez l’API Create identitySynchronization pour activer la synchronisation des utilisateurs dans le locataire cible.

   Si vous obtenez une Request_MultipleObjectsWithSameKeyValue erreur, vous disposez peut-être déjà d’une stratégie existante. Pour plus d’informations, consultez Symptôme : erreur Request_MultipleObjectsWithSameKeyValue.

   Requête

   PUT https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/{sourceTenantId}/identitySynchronization
   Content-type: application/json
   
   {
      "displayName": "Fabrikam",
      "userSyncInbound": 
       {
         "isSyncAllowed": true
       }
   }
   

   Réponse

   HTTP/1.1 204 No Content
   

Étape 3 : échanger automatiquement les invitations dans le locataire cible

Locataire cible

PowerShell

1. Dans le locataire cible, utilisez la commande Update crossTenantAccessPolicyConfigurationPartnerUpdate-MgPolicyCrossTenantAccessPolicyPartner pour accepter automatiquement les invitations et supprimer les invites de consentement pour l’accès entrant.

   $AutomaticUserConsentSettings = @{
       "InboundAllowed"="True"
   }
   Update-MgPolicyCrossTenantAccessPolicyPartner -CrossTenantAccessPolicyConfigurationPartnerTenantId $SourceTenantId -AutomaticUserConsentSettings $AutomaticUserConsentSettings
   

Microsoft Graph

1. Dans le locataire cible, utilisez l’API Update crossTenantAccessPolicyConfigurationPartner pour accepter automatiquement les invitations et supprimer les invites de consentement pour l’accès entrant.

   Requête

   PATCH https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/{sourceTenantId}
   Content-Type: application/json
   
   {
       "inboundTrust": null,
       "automaticUserConsentSettings":
       {
           "inboundAllowed": true
       }
   }
   

   Réponse

   HTTP/1.1 204 No Content
   

Étape 4 : connectez-vous au locataire source

Locataire source

PowerShell

1. Démarrez une instance de PowerShell.

2. Obtenez l’ID des locataires source et cible, puis initialisez les variables.

   $SourceTenantId = "<SourceTenantId>"
   $TargetTenantId = "<TargetTenantId>"
   

3. Utilisez la commande Connect-MgGraph pour vous connecter au locataire source et consentir aux autorisations requises suivantes.

   • Policy.Read.All
   • Policy.ReadWrite.CrossTenantAccess
   • Application.ReadWrite.All
   • Directory.ReadWrite.All
   • AuditLog.Read.All

   Connect-MgGraph -TenantId $SourceTenantId -Scopes "Policy.Read.All","Policy.ReadWrite.CrossTenantAccess","Application.ReadWrite.All","Directory.ReadWrite.All","AuditLog.Read.All"
   

Microsoft Graph

1. Démarrez une instance de l’outil Explorateur Microsoft Graph.

2. Connectez-vous au locataire source.

3. Consentez aux autorisations requises suivantes.

   • Policy.Read.All
   • Policy.ReadWrite.CrossTenantAccess
   • Application.ReadWrite.All
   • Directory.ReadWrite.All
   • AuditLog.Read.All

   Si vous voyez une page Approbation administrateur requise, vous devez vous connecter avec un utilisateur auquel le rôle Administrateur général a été attribué pour donner son consentement.

Étape 5 : échangez automatiquement les invitations dans le locataire source

Locataire source

PowerShell

1. Dans le locataire source, utilisez la commande New-MgPolicyCrossTenantAccessPolicyPartner pour créer une configuration de partenaire dans une stratégie d’accès entre le locataire source et le locataire cible. Utilisez l’ID de locataire cible dans la demande.

   Si vous obtenez l’erreur New-MgPolicyCrossTenantAccessPolicyPartner_Create: Another object with the same value for property tenantId already exists, vous disposez peut-être déjà d’une configuration existante. Pour plus d’informations, consultez Symptôme – erreur New-MgPolicyCrossTenantAccessPolicyPartner_Create.

   $Params = @{
       TenantId = $TargetTenantId
   }
   New-MgPolicyCrossTenantAccessPolicyPartner -BodyParameter $Params | Format-List
   

   AutomaticUserConsentSettings : Microsoft.Graph.PowerShell.Models.MicrosoftGraphInboundOutboundPolicyConfiguration
   B2BCollaborationInbound      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   B2BCollaborationOutbound     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   B2BDirectConnectInbound      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   B2BDirectConnectOutbound     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   IdentitySynchronization      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantIdentitySyncPolicyPartner
   InboundTrust                 : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyInboundTrust
   IsServiceProvider            :
   TenantId                     : <TargetTenantId>
   TenantRestrictions           : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyTenantRestrictions
   AdditionalProperties         : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#policies/crossTenantAccessPolicy/partners/$entity],
                                  [crossCloudMeetingConfiguration,
                                  System.Collections.Generic.Dictionary`2[System.String,System.Object]], [protectedContentSharing,
                                  System.Collections.Generic.Dictionary`2[System.String,System.Object]]}
   
   

2. Utilisez la commande Update-MgPolicyCrossTenantAccessPolicyPartner pour échanger automatiquement des invitations et supprimer les invites de consentement pour l’accès sortant.

   $AutomaticUserConsentSettings = @{
       "OutboundAllowed"="True"
   }
   Update-MgPolicyCrossTenantAccessPolicyPartner -CrossTenantAccessPolicyConfigurationPartnerTenantId $TargetTenantId -AutomaticUserConsentSettings $AutomaticUserConsentSettings
   

Microsoft Graph

1. Dans le locataire source, utilisez l’API Create crossTenantAccessPolicyConfigurationPartner pour créer une configuration de partenaire dans une stratégie d’accès interlocataire entre le locataire source et le locataire cible. Utilisez l’ID de locataire cible dans la demande.

   Si vous obtenez une Request_MultipleObjectsWithSameKeyValue erreur, vous disposez peut-être déjà d’une configuration existante. Pour plus d’informations, consultez Symptôme : erreur Request_MultipleObjectsWithSameKeyValue.

   Requête

   POST https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners
   Content-Type: application/json
   
   {
     "tenantId": "{targetTenantId}"
   }
   

   Réponse

   HTTP/1.1 201 Created
   Content-Type: application/json
   
   {
     "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#policies/crossTenantAccessPolicy/partners/$entity",
     "tenantId": "{targetTenantId}",
     "isServiceProvider": null,
     "inboundTrust": null,
     "b2bCollaborationOutbound": null,
     "b2bCollaborationInbound": null,
     "b2bDirectConnectOutbound": null,
     "b2bDirectConnectInbound": null,
     "tenantRestrictions": null,
     "crossCloudMeetingConfiguration":
     {
       "inboundAllowed": null,
       "outboundAllowed": null
     },
     "automaticUserConsentSettings":
     {
       "inboundAllowed": null,
       "outboundAllowed": null
     }
   }
   

2. Utilisez l’API Update crossTenantAccessPolicyConfigurationPartner pour échanger automatiquement des invitations et supprimer les invites de consentement pour l’accès sortant.

   Requête

   PATCH https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/{targetTenantId}
   Content-Type: application/json
   
   {
       "automaticUserConsentSettings":
       {
           "outboundAllowed": true
       }
   }
   

   Réponse

   HTTP/1.1 204 No Content
   

Étape 6 : créez une application de configuration dans le locataire source

Locataire source

PowerShell

1. Dans le locataire source, utilisez la commande Invoke-MgInstantiateApplicationTemplate pour ajouter une instance d’une application de configuration depuis la galerie d’applications Microsoft Entra à votre locataire.

   Invoke-MgInstantiateApplicationTemplate -ApplicationTemplateId "518e5f48-1fc8-4c48-9387-9fdf28b0dfe7" -DisplayName "Fabrikam"
   

2. Utilisez la commande Get-MgServicePrincipal pour obtenir l’ID du principal de service.

   Get-MgServicePrincipal -Filter "DisplayName eq 'Fabrikam'" | Format-List
   

   AccountEnabled                      : True
   AddIns                              : {}
   AlternativeNames                    : {}
   AppDescription                      :
   AppDisplayName                      : Fabrikam
   AppId                               : <AppId>
   AppManagementPolicies               :
   AppOwnerOrganizationId              : <AppOwnerOrganizationId>
   AppRoleAssignedTo                   :
   AppRoleAssignmentRequired           : True
   AppRoleAssignments                  :
   AppRoles                            : {<AppRoleId>}
   ApplicationTemplateId               : 518e5f48-1fc8-4c48-9387-9fdf28b0dfe7
   ClaimsMappingPolicies               :
   CreatedObjects                      :
   CustomSecurityAttributes            : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCustomSecurityAttributeValue
   DelegatedPermissionClassifications  :
   DeletedDateTime                     :
   Description                         :
   DisabledByMicrosoftStatus           :
   DisplayName                         : Fabrikam
   Endpoints                           :
   ErrorUrl                            :
   FederatedIdentityCredentials        :
   HomeRealmDiscoveryPolicies          :
   Homepage                            : https://account.activedirectory.windowsazure.com:444/applications/default.aspx?metadata=aad2aadsync|ISV9.1|primary|z
   Id                                  : <ServicePrincipalId>
   Info                                : Microsoft.Graph.PowerShell.Models.MicrosoftGraphInformationalUrl
   KeyCredentials                      : {}
   LicenseDetails                      :
   
   ...
   

3. Initialisez une variable pour l’ID du principal de service.

   Veillez à utiliser l’ID du principal de service plutôt que l’ID d’application.

   $ServicePrincipalId = "<ServicePrincipalId>"
   

4. Initialisez une variable pour l’ID de rôle d’application.

   $AppRoleId= "<AppRoleId>"
   

Microsoft Graph

1. Dans le locataire source, utilisez l’API applicationTemplate : instantiate pour ajouter une instance d’une application de configuration depuis la galerie d’applications Microsoft Entra à votre locataire.

   Requête

   POST https://graph.microsoft.com/v1.0/applicationTemplates/518e5f48-1fc8-4c48-9387-9fdf28b0dfe7/instantiate
   Content-type: application/json
   
   {
     "displayName": "Fabrikam"
   }
   

   Réponse

   HTTP/1.1 201 Created
   Content-type: application/json
   
   {
       "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#microsoft.graph.applicationServicePrincipal",
       "application": {
           "id": "{id}",
           "appId": "{appId}",
           "applicationTemplateId": "518e5f48-1fc8-4c48-9387-9fdf28b0dfe7",
           "createdDateTime": "2023-07-31T23:26:24Z",
           "deletedDateTime": null,
           "displayName": "Fabrikam",
           "description": null,
           "groupMembershipClaims": null,
           "identifierUris": [],
           "isFallbackPublicClient": false,
           "signInAudience": "AzureADMyOrg",
           "tags": [],
           "tokenEncryptionKeyId": null,
           "defaultRedirectUri": null,
           "optionalClaims": null,
           "addIns": [],
           "api": {
               "acceptMappedClaims": null,
               "knownClientApplications": [],
               "requestedAccessTokenVersion": null,
               "oauth2PermissionScopes": [
                   {
                       "adminConsentDescription": "Allow the application to access Fabrikam on behalf of the signed-in user.",
                       "adminConsentDisplayName": "Access Fabrikam",
                       "id": "{id}",
                       "isEnabled": true,
                       "type": "User",
                       "userConsentDescription": "Allow the application to access Fabrikam on your behalf.",
                       "userConsentDisplayName": "Access Fabrikam",
                       "value": "user_impersonation"
                   }
               ],
               "preAuthorizedApplications": []
           },
           "appRoles": [
               {
                   "allowedMemberTypes": [
                       "User"
                   ],
                   "displayName": "msiam_access",
                   "id": "{appRoleId}",
                   "isEnabled": true,
                   "description": "msiam_access",
                   "value": null,
                   "origin": "Application"
               }
           ],
           "info": {
               "logoUrl": null,
               "marketingUrl": null,
               "privacyStatementUrl": null,
               "supportUrl": null,
               "termsOfServiceUrl": null
           },
           "keyCredentials": [],
           "parentalControlSettings": {
               "countriesBlockedForMinors": [],
               "legalAgeGroupRule": "Allow"
           },
           "passwordCredentials": [],
           "publicClient": {
               "redirectUris": []
           },
           "requiredResourceAccess": [],
           "verifiedPublisher": {
               "displayName": null,
               "verifiedPublisherId": null,
               "addedDateTime": null
           },
           "web": {
               "homePageUrl": "https://account.activedirectory.windowsazure.com:444/applications/default.aspx?metadata=aad2aadsync|ISV9.1|primary|z",
               "redirectUris": [],
               "logoutUrl": null
           }
       },
       "servicePrincipal": {
           "id": "{servicePrincipalId}",
           "deletedDateTime": null,
           "accountEnabled": true,
           "appId": "{appId}",
           "applicationTemplateId": "518e5f48-1fc8-4c48-9387-9fdf28b0dfe7",
           "appDisplayName": "Fabrikam",
           "alternativeNames": [],
           "appOwnerOrganizationId": "{appOwnerOrganizationId}",
           "displayName": "Fabrikam",
           "appRoleAssignmentRequired": true,
           "loginUrl": null,
           "logoutUrl": null,
           "homepage": "https://account.activedirectory.windowsazure.com:444/applications/default.aspx?metadata=aad2aadsync|ISV9.1|primary|z",
           "notificationEmailAddresses": [],
           "preferredSingleSignOnMode": null,
           "preferredTokenSigningKeyThumbprint": null,
           "replyUrls": [],
           "servicePrincipalNames": [
               "{appId}"
           ],
           "servicePrincipalType": "Application",
           "tags": [
               "WindowsAzureActiveDirectoryIntegratedApp"
           ],
           "tokenEncryptionKeyId": null,
           "samlSingleSignOnSettings": null,
           "addIns": [],
           "appRoles": [
               {
                   "allowedMemberTypes": [
                       "User"
                   ],
                   "displayName": "msiam_access",
                   "id": "{appRoleId}",
                   "isEnabled": true,
                   "description": "msiam_access",
                   "value": null,
                   "origin": "Application"
               }
           ],
           "info": {
               "logoUrl": null,
               "marketingUrl": null,
               "privacyStatementUrl": null,
               "supportUrl": null,
               "termsOfServiceUrl": null
           },
           "keyCredentials": [],
           "oauth2PermissionScopes": [
               {
                   "adminConsentDescription": "Allow the application to access Fabrikam on behalf of the signed-in user.",
                   "adminConsentDisplayName": "Access Fabrikam",
                   "id": "{id}",
                   "isEnabled": true,
                   "type": "User",
                   "userConsentDescription": "Allow the application to access Fabrikam on your behalf.",
                   "userConsentDisplayName": "Access Fabrikam",
                   "value": "user_impersonation"
               }
           ],
           "passwordCredentials": [],
           "verifiedPublisher": {
               "displayName": null,
               "verifiedPublisherId": null,
               "addedDateTime": null
           }
       }
   }
   

2. Enregistrez le servicePrincipalId.

   Veillez à utiliser l’ID du principal de service plutôt que l’ID d’application.

3. Enregistrez appRoleId.

Étape 7 : testez la connexion au locataire cible

Locataire source

PowerShell

1. Dans le locataire source, utilisez la commande Invoke-MgGraphRequest pour tester la connexion au locataire cible et valider les informations d’identification.

   $Params = @{
       "useSavedCredentials" = $false
       "templateId" = "Azure2Azure"
       "credentials" = @(
           @{
               "key" = "CompanyId"
               "value" = $TargetTenantId
           }
           @{
               "key" = "AuthenticationType"
               "value" = "SyncPolicy"
           }
       )
   }
   Invoke-MgGraphRequest -Method POST -Uri "https://graph.microsoft.com/v1.0/servicePrincipals/$ServicePrincipalId/synchronization/jobs/validateCredentials" -Body $Params
   

Microsoft Graph

1. Dans le locataire source, utilisez l’API synchronizationJob : validateCredentials pour tester la connexion au locataire cible et valider les informations d’identification.

   Requête

   POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/validateCredentials
   Content-Type: application/json
   
   {
       "useSavedCredentials": false,
       "templateId": "Azure2Azure",
       "credentials": [
           {
               "key": "CompanyId",
               "value": "{targetTenantId}"
           },
           {
               "key": "AuthenticationType",
               "value": "SyncPolicy"
           }
       ]
   }
   

   Réponse

   HTTP/1.1 204 No Content
   

Étape 8 : Créer un travail d’approvisionnement dans le locataire source

Locataire source

Dans le locataire source, pour activer l’approvisionnement, créez un travail d’approvisionnement.

PowerShell

1. Déterminez le modèle de synchronisation à utiliser, par exemple Azure2Azure.

   Un modèle a des paramètres de synchronisation préconfigurés.

2. Dans le locataire source, utilisez la commande New-MgServicePrincipalSynchronizationJob pour créer un travail d’approvisionnement basé sur un modèle.

   New-MgServicePrincipalSynchronizationJob -ServicePrincipalId $ServicePrincipalId -TemplateId "Azure2Azure" | Format-List
   

   Id                         : <JobId>
   Schedule                   : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationSchedule
   Schema                     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationSchema
   Status                     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationStatus
   SynchronizationJobSettings : {AzureIngestionAttributeOptimization, LookaheadQueryEnabled}
   TemplateId                 : Azure2Azure
   AdditionalProperties       : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('<ServicePrincipalId>')/synchro
                                nization/jobs/$entity]}
   

3. Initialisez une variable pour l’ID de travail.

   $JobId = "<JobId>"
   

Microsoft Graph

1. Déterminez le modèle de synchronisation à utiliser, par exemple Azure2Azure.

   Un modèle a des paramètres de synchronisation préconfigurés.

2. Dans le locataire source, utilisez l’API Create synchronizationJob pour créer un travail d’approvisionnement basé sur un modèle.

   Requête

   POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs
   Content-type: application/json
   
   {
       "templateId": "Azure2Azure"
   }
   

   Réponse

   HTTP/1.1 201 Created
   Content-type: application/json
   
   {
       "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('{servicePrincipalId}')/synchronization/jobs/$entity",
       "id": "{jobId}",
       "templateId": "Azure2Azure",
       "schedule": {
           "expiration": null,
           "interval": "PT40M",
           "state": "Disabled"
       },
       "status": {
           "countSuccessiveCompleteFailures": 0,
           "escrowsPruned": false,
           "code": "Paused",
           "lastExecution": null,
           "lastSuccessfulExecution": null,
           "lastSuccessfulExecutionWithExports": null,
           "quarantine": null,
           "steadyStateFirstAchievedTime": "0001-01-01T00:00:00Z",
           "steadyStateLastAchievedTime": "0001-01-01T00:00:00Z",
           "troubleshootingUrl": null,
           "progress": [],
           "synchronizedEntryCountByType": []
       },
       "synchronizationJobSettings": [
           {
               "name": "AzureIngestionAttributeOptimization",
               "value": "False"
           },
           {
               "name": "LookaheadQueryEnabled",
               "value": "False"
           }
       ]
   }
   

3. Enregistrez le jobId.

Étape 9 : Enregistrer vos informations d’identification

Locataire source

PowerShell

1. Dans le locataire source, utilisez la commande Invoke-MgGraphRequest pour enregistrer vos informations d’identification.

   $Params = @{
       "value" = @(
           @{
               "key" = "AuthenticationType"
               "value" = "SyncPolicy"
           }
           @{
               "key" = "CompanyId"
               "value" = $TargetTenantId
           }
       )
   }
   Invoke-MgGraphRequest -Method PUT -Uri "https://graph.microsoft.com/v1.0/servicePrincipals/$ServicePrincipalId/synchronization/secrets" -Body $Params
   

Microsoft Graph

1. Dans le locataire source, utilisez l’API Ajouter les secrets de synchronisation pour enregistrer vos informations d’identification.

   Requête

   PUT https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/secrets 
   Content-Type: application/json
   
   {
       "value": [
           {
               "key": "AuthenticationType",
               "value": "SyncPolicy"
           },
           {
               "key": "CompanyId",
               "value": "{targetTenantId}"
           },
           {
               "key": "SyncNotificationSettings",
               "value": "{\"Enabled\":false,\"DeleteThresholdEnabled\":false,\"HumanResourcesLookaheadQueryEnabled\":false}"
           },
           {
               "key": "SyncAll",
               "value": "false"
           }
       ]
   }
   

   Réponse

   HTTP/1.1 204 No Content
   

Étape 10 : affectez un utilisateur à la configuration

Locataire source

Pour que la synchronisation interlocataire fonctionne, au moins un utilisateur interne doit être affecté à la configuration.

PowerShell

1. Dans le locataire source, utilisez la commande New-MgServicePrincipalAppRoleAssignedTo pour affecter un utilisateur interne à la configuration.

   $Params = @{
       PrincipalId = "<PrincipalId>"
       ResourceId = $ServicePrincipalId
       AppRoleId = $AppRoleId
   }
   New-MgServicePrincipalAppRoleAssignedTo -ServicePrincipalId $ServicePrincipalId -BodyParameter $Params | Format-List
   

   AppRoleId            : <AppRoleId>
   CreatedDateTime      : 7/31/2023 10:27:12 PM
   DeletedDateTime      :
   Id                   : <Id>
   PrincipalDisplayName : User1
   PrincipalId          : <PrincipalId>
   PrincipalType        : User
   ResourceDisplayName  : Fabrikam
   ResourceId           : <ServicePrincipalId>
   AdditionalProperties : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#appRoleAssignments/$entity]}
   

Microsoft Graph

1. Dans le locataire source, utilisez l’API Accorder appRoleAssignment pour un principal de service afin d’affecter un utilisateur interne à la configuration.

   Requête

   POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/appRoleAssignedTo
   Content-type: application/json
   
   {
       "appRoleId": "{appRoleId}",
       "resourceId": "{servicePrincipalId}",
       "principalId": "{principalId}"
   }
   

   Réponse

   HTTP/1.1 201 Created
   Content-Type: application/json
   {
       "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('{servicePrincipalId}')/appRoleAssignedTo/$entity",
       "id": "{keyId}",
       "deletedDateTime": null,
       "appRoleId": "{appRoleId}",
       "createdDateTime": "2023-07-31T22:23:48.6541804Z",
       "principalDisplayName": "User1",
       "principalId": "{principalId}",
       "principalType": "User",
       "resourceDisplayName": "Fabrikam",
       "resourceId": "{servicePrincipalId}"
   }
   

Étape 11 : Tester l’approvisionnement à la demande

Locataire source

Maintenant que vous avez une configuration, vous pouvez tester l’approvisionnement à la demande avec l’un de vos utilisateurs.

PowerShell

1. Dans le locataire source, utilisez la commande Get-MgServicePrincipalSynchronizationJobSchema pour obtenir l’ID de règle de schéma.

   $SynchronizationSchema = Get-MgServicePrincipalSynchronizationJobSchema -ServicePrincipalId $ServicePrincipalId -SynchronizationJobId $JobId
   $SynchronizationSchema.SynchronizationRules | Format-List
   

   ContainerFilter      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphContainerFilter
   Editable             : True
   GroupFilter          : Microsoft.Graph.PowerShell.Models.MicrosoftGraphGroupFilter
   Id                   : <RuleId>
   Metadata             : {defaultSourceObjectMappings, supportsProvisionOnDemand}
   Name                 : USER_INBOUND_USER
   ObjectMappings       : {Provision Azure Active Directory Users, , , …}
   Priority             : 1
   SourceDirectoryName  : Azure Active Directory
   TargetDirectoryName  : Azure Active Directory (target tenant)
   AdditionalProperties : {}
   

2. Initialiser une variable pour l’ID de règle.

   $RuleId = "<RuleId>"
   

3. Dans le locataire source, utilisez la commande New-MgServicePrincipalSynchronizationJobOnDemand pour approvisionner un utilisateur de test à la demande.

   $Params = @{
       Parameters = @(
           @{
               Subjects = @(
                   @{
                       ObjectId = "<UserObjectId>"
                       ObjectTypeName = "User"
                   }
               )
               RuleId = $RuleId
           }
       )
   }
   New-MgServicePrincipalSynchronizationJobOnDemand -ServicePrincipalId $ServicePrincipalId -SynchronizationJobId $JobId -BodyParameter $Params | Format-List
   

   Key                  : Microsoft.Identity.Health.CPP.Common.DataContracts.SyncFabric.StatusInfo
   Value                : [{"provisioningSteps":[{"name":"EntryImport","type":"Import","status":"Success","description":"Retrieved User
                          'user1@fabrikam.com' from Azure Active Directory","timestamp":"2023-07-31T22:31:15.9116590Z","details":{"objectId":
                          "<UserObjectId>","accountEnabled":"True","displayName":"User1","mailNickname":"user1","userPrincipalName":"use
                          ...
   AdditionalProperties : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#microsoft.graph.stringKeyStringValuePair]}
   

Microsoft Graph

1. Dans le locataire source, utilisez l’API Get synchronizationSchema pour obtenir l’ID de règle de schéma.

   Requête

   GET https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/{jobId}/schema
   

   Réponse

   {
       "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('{servicePrincipalId}')/synchronization/jobs('{jobId}')/schema/$entity",
       "id": "{jobId}",
       "version": "v1.2",
       "synchronizationRules": [
           {
               "containerFilter": null,
               "editable": true,
               "groupFilter": null,
               "id": "{ruleId}",
               "name": "USER_INBOUND_USER",
               "priority": 1,
               "sourceDirectoryName": "Azure Active Directory",
               "targetDirectoryName": "Azure Active Directory (target tenant)",
               "metadata": [
   
               ...
   

2. Dans le locataire source, utilisez l’API synchronizationJob : provisionOnDemand pour provisionner un utilisateur de test à la demande.

   Requête

   POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/{jobId}/provisionOnDemand
   Content-Type: application/json
   
   {
       "parameters": [
           {
               "ruleId": "{ruleId}",
               "subjects": [
                   {
                       "objectId": "{userObjectId}",
                       "objectTypeName": "User"
                   }
               ]
           }
       ]
   }
   

   Réponse

   {
       "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#microsoft.graph.stringKeyStringValuePair",
       "key": "Microsoft.Identity.Health.CPP.Common.DataContracts.SyncFabric.StatusInfo",
       "value": "[{\"provisioningSteps\":[{\"name\":\"EntryImport\",\"type\":\"Import\",\"status\":\"Success\",\"description\":\"Retrieved User 'user1@fabrikam.com' from Azure Active Directory\",\"timestamp\":\"2023-07-31T00:00:16.7866324Z\",\"details\":{\"objectId\":\"{userObjectId}\",\"accountEnabled\":\"True\",\"displayName\":\"User1\",\"mailNickname\":\"user1\",\"userPrincipalName\":\"user1@fabrikam.com\",}
   
       ...
   

Étape 12 : Démarrer le travail d’approvisionnement

Locataire source

PowerShell

1. Maintenant que le travail d’approvisionnement est configuré, dans le locataire source, utilisez la commande Start-MgServicePrincipalSynchronizationJob pour démarrer le travail d’approvisionnement.

   Start-MgServicePrincipalSynchronizationJob -ServicePrincipalId $ServicePrincipalId -SynchronizationJobId $JobId
   

Microsoft Graph

1. Maintenant que le travail de provisionnement est configuré, dans le locataire source, utilisez l’API Start synchronizationJob pour démarrer le travail de provisionnement.

   Requête

   POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/{jobId}/start
   

   Réponse

   HTTP/1.1 204 No Content
   

Étape 13 : Superviser l’approvisionnement

Locataire source

PowerShell

1. Maintenant que le travail d’approvisionnement est en cours d’exécution, dans le locataire source, utilisez la commande Get-MgServicePrincipalSynchronizationJob pour superviser la progression du cycle d’approvisionnement actuel, ainsi que les statistiques à ce jour, notamment le nombre d’utilisateurs et de groupes qui ont été créés dans le système cible.

   Get-MgServicePrincipalSynchronizationJob -ServicePrincipalId $ServicePrincipalId -SynchronizationJobId $JobId | Format-List
   

   Id                         : <JobId>
   Schedule                   : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationSchedule
   Schema                     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationSchema
   Status                     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationStatus
   SynchronizationJobSettings : {AzureIngestionAttributeOptimization, LookaheadQueryEnabled}
   TemplateId                 : Azure2Azure
   AdditionalProperties       : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('<ServicePrincipalId>')/synchro
                                nization/jobs/$entity]}
   

2. En plus de superviser l’état du travail d’approvisionnement, utilisez la commande Get-MgAuditLogProvisioning pour récupérer les journaux d’approvisionnement et obtenir tous les événements d’approvisionnement qui se produisent. Par exemple, interrogez un utilisateur particulier et déterminez s’il a été correctement approvisionné.

   Get-MgAuditLogDirectoryAudit | Select -First 10 | Format-List
   

   ActivityDateTime     : 7/31/2023 12:08:17 AM
   ActivityDisplayName  : Export
   AdditionalDetails    : {Details, ErrorCode, EventName, ipaddr...}
   Category             : ProvisioningManagement
   CorrelationId        : aaaa0000-bb11-2222-33cc-444444dddddd
   Id                   : Sync_aaaa0000-bb11-2222-33cc-444444dddddd_L5BFV_161778479
   InitiatedBy          : Microsoft.Graph.PowerShell.Models.MicrosoftGraphAuditActivityInitiator1
   LoggedByService      : Account Provisioning
   OperationType        :
   Result               : success
   ResultReason         : User 'user2@fabrikam.com' was created in Azure Active Directory (target tenant)
   TargetResources      : {<ServicePrincipalId>, }
   AdditionalProperties : {}
   
   ActivityDateTime     : 7/31/2023 12:08:17 AM
   ActivityDisplayName  : Export
   AdditionalDetails    : {Details, ErrorCode, EventName, ipaddr...}
   Category             : ProvisioningManagement
   CorrelationId        : aaaa0000-bb11-2222-33cc-444444dddddd
   Id                   : Sync_aaaa0000-bb11-2222-33cc-444444dddddd_L5BFV_161778264
   InitiatedBy          : Microsoft.Graph.PowerShell.Models.MicrosoftGraphAuditActivityInitiator1
   LoggedByService      : Account Provisioning
   OperationType        :
   Result               : success
   ResultReason         : User 'user2@fabrikam.com' was updated in Azure Active Directory (target tenant)
   TargetResources      : {<ServicePrincipalId>, }
   AdditionalProperties : {}
   
   ActivityDateTime     : 7/31/2023 12:08:14 AM
   ActivityDisplayName  : Synchronization rule action
   AdditionalDetails    : {Details, ErrorCode, EventName, ipaddr...}
   Category             : ProvisioningManagement
   CorrelationId        : aaaa0000-bb11-2222-33cc-444444dddddd
   Id                   : Sync_aaaa0000-bb11-2222-33cc-444444dddddd_L5BFV_161778395
   InitiatedBy          : Microsoft.Graph.PowerShell.Models.MicrosoftGraphAuditActivityInitiator1
   LoggedByService      : Account Provisioning
   OperationType        :
   Result               : success
   ResultReason         : User 'user2@fabrikam.com' will be created in Azure Active Directory (target tenant) (User is active and assigned
                          in Azure Active Directory, but no matching User was found in Azure Active Directory (target tenant))
   TargetResources      : {<ServicePrincipalId>, }
   AdditionalProperties : {}
   

Microsoft Graph

1. Maintenant que le travail de provisionnement est en cours d’exécution, dans le locataire source, utilisez l’API Get synchronizationJob pour superviser la progression du cycle de provisionnement actuel, ainsi que les statistiques à ce jour, notamment le nombre d’utilisateurs et de groupes qui ont été créés dans le système cible.

   Requête

   GET https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/{jobId}
   

   Réponse

   HTTP/1.1 200 OK
   Content-type: application/json
   
   {
       "id": "{jobId}",
       "templateId": "Azure2Azure",
       "schedule": {
           "expiration": null,
           "interval": "PT40M",
           "state": "Active"
       },
       "status": {
           "countSuccessiveCompleteFailures": 0,
           "escrowsPruned": false,
           "code": "NotRun",
           "lastSuccessfulExecution": null,
           "lastSuccessfulExecutionWithExports": null,
           "quarantine": null,
           "steadyStateFirstAchievedTime": "0001-01-01T00:00:00Z",
           "steadyStateLastAchievedTime": "0001-01-01T00:00:00Z",
           "troubleshootingUrl": "",
           "lastExecution": {
               "activityIdentifier": null,
               "countEntitled": 0,
               "countEntitledForProvisioning": 0,
               "countEscrowed": 0,
               "countEscrowedRaw": 0,
               "countExported": 0,
               "countExports": 0,
               "countImported": 0,
               "countImportedDeltas": 0,
               "countImportedReferenceDeltas": 0,
               "state": "Failed",
               "timeBegan": "0001-01-01T00:00:00Z",
               "timeEnded": "0001-01-01T00:00:00Z",
               "error": {
                   "code": "None",
                   "message": "",
                   "tenantActionable": false
               }
           },
           "progress": [],
           "synchronizedEntryCountByType": []
       },
       "synchronizationJobSettings": [
           {
               "name": "AzureIngestionAttributeOptimization",
               "value": "False"
           },
           {
               "name": "LookaheadQueryEnabled",
               "value": "False"
           }
       ]
   }
   

2. En plus de surveiller l’état du travail d’approvisionnement, utilisez l’API List provisioningObjectSummary pour récupérer les journaux d’approvisionnement et obtenir tous les événements d’approvisionnement qui se produisent. Par exemple, interrogez un utilisateur particulier et déterminez s’il a été correctement approvisionné.

   Requête

   GET https://graph.microsoft.com/v1.0/auditLogs/provisioning?$filter=((contains(tolower(servicePrincipal/id), '{servicePrincipalId}') or contains(tolower(servicePrincipal/displayName), '{servicePrincipalId}')) and activityDateTime gt 2023-07-30 and activityDateTime lt 2023-07-31)&$top=500&$orderby=activityDateTime desc
   

   Réponse

   L’objet de réponse illustré ici a été abrégé à des fins de lisibilité.

   HTTP/1.1 200 OK
   Content-type: application/json
   
   {
       "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#auditLogs/provisioning",
       "value": [
           {
               "id": "{id}",
               "activityDateTime": "2023-07-31T00:40:37Z",
               "tenantId": "{targetTenantId}",
               "jobId": "{jobId}",
               "cycleId": "{cycleId}",
               "changeId": "{changeId}",
               "provisioningAction": "create",
               "durationInMilliseconds": 4375,
               "servicePrincipal": {
                   "id": "{servicePrincipalId}",
                   "displayName": "Fabrikam"
               },
               "sourceSystem": {
                   "id": "{id}",
                   "displayName": "Azure Active Directory",
                   "details": {}
               },
               "targetSystem": {
                   "id": "{id}",
                   "displayName": "Azure Active Directory (target tenant)",
                   "details": {
                       "ApplicationId": "{applicationId}",
                       "ServicePrincipalId": "{servicePrincipalId}",
                       "ServicePrincipalDisplayName": "Fabrikam"
                   }
               },
               "initiatedBy": {
                   "id": "",
                   "displayName": "Azure AD Provisioning Service",
                   "initiatorType": "system"
               },
               "sourceIdentity": {
                   "id": "{sourceUserObjectId}",
                   "displayName": "User4",
                   "identityType": "User",
                   "details": {
                       "id": "{sourceUserObjectId}",
                       "odatatype": "User",
                       "DisplayName": "User4",
                       "UserPrincipalName": "user4@fabrikam.com"
                   }
               },
               "targetIdentity": {
                   "id": "{targetUserObjectId}",
                   "displayName": "",
                   "identityType": "User",
                   "details": {}
               },
               "provisioningStatusInfo": {
                   "status": "success",
                   "errorInformation": null
               },
           "provisioningSteps": [
               {
                   "name": "EntryImportAdd",
                   "provisioningStepType": "import",
                   "status": "success",
                   "description": "Received User 'user4@fabrikam.com' change of type (Add) from Azure Active Directory",
                   "details": {
                       "objectId": "{sourceUserObjectId}",
                       "accountEnabled": "True",
                       "department": "Marketing",
                       "displayName": "User4",
                       "mailNickname": "user4",
                       "userPrincipalName": "user4@fabrikam.com",
                       "netId": "{netId}",
                       "showInAddressList": "",
                       "alternativeSecurityIds": "None",
                       "IsSoftDeleted": "False",
                       "appRoleAssignments": "msiam_access"
                   }
               },
               {
                   "name": "EntrySynchronizationScoping",
                   "provisioningStepType": "scoping",
                   "status": "success",
                   "description": "Determine if User in scope by evaluating against each scoping filter",
                   "details": {
                       "Active in the source system": "True",
                       "Assigned to the application": "True",
                       "User has the required role": "True",
                       "Scoping filter evaluation passed": "True",
                       "ScopeEvaluationResult": "{\"Marketing department filter.department EQUALS 'Marketing'\":true}"
                   }
               },
   
               ...
   
           }
       ]
   }
   

Conseils de dépannage

PowerShell

Symptôme - Erreur de privilèges insuffisants

Lorsque vous essayez d’effectuer une action, vous recevez un message d’erreur semblable au suivant :

code: Authorization_RequestDenied
message: Insufficient privileges to complete the operation.

Cause

Soit l’utilisateur connecté ne dispose pas de privilèges suffisants, soit vous devez consentir à l’une des autorisations requises.

Solution

1. Vérifiez que les rôles nécessaires vous sont attribués. Consultez Prérequis, précédemment dans cet article.

2. Lorsque vous vous connectez avec Connect-MgGraph, veillez à spécifier les étendues requises. Consultez Étape 1 : se connecter au locataire cible et Étape 4 : se connecter au locataire source plus haut dans cet article.

Symptôme – erreur New-MgPolicyCrossTenantAccessPolicyPartner_Create

Lorsque vous essayez de créer une configuration de partenaire, vous recevez un message d’erreur semblable au suivant :

New-MgPolicyCrossTenantAccessPolicyPartner_Create: Another object with the same value for property tenantId already exists.

Cause

Vous essayez probablement de créer une configuration ou un objet qui existe déjà, éventuellement à partir d’une configuration précédente.

Solution

1. Vérifiez votre syntaxe et que vous utilisez l’ID de locataire correct.

2. Utilisez la commande Get-MgPolicyCrossTenantAccessPolicyPartner pour répertorier l’objet existant.

3. Si vous disposez d’un objet, vous devrez peut-être effectuer une mise à jour à l’aide de Update-MgPolicyCrossTenantAccessPolicyPartner

Symptôme : erreur Request_MultipleObjectsWithSameKeyValue

Lorsque vous essayez d’activer la synchronisation utilisateur, vous recevez un message d’erreur semblable au suivant :

Invoke-MgGraphRequest: PUT https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/<SourceTenantId>/identitySynchronization
HTTP/1.1 409 Conflict
...
{"error":{"code":"Request_MultipleObjectsWithSameKeyValue","message":"A conflicting object with one or more of the specified property values is present in the directory.","details":[{"code":"ConflictingObjects","message":"A conflicting object with one or more of the specified property values is present in the directory.", ... }}}

Cause

Vous essayez probablement de créer une stratégie qui existe déjà, éventuellement à partir d’une configuration précédente.

Solution

1. Vérifiez votre syntaxe et que vous utilisez l’ID de locataire correct.

2. Utilisez la commande Get-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization pour répertorier le paramètre IsSyncAllowed.

   (Get-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization -CrossTenantAccessPolicyConfigurationPartnerTenantId $SourceTenantId).UserSyncInbound
   

3. Si vous avez une stratégie existante, vous devez peut-être effectuer une mise à jour avec la commande Set-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization pour activer la synchronisation des utilisateurs.

   $Params = @{
       userSyncInbound = @{
           isSyncAllowed = $true
       }
   }
   Set-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization -CrossTenantAccessPolicyConfigurationPartnerTenantId $SourceTenantId -BodyParameter $Params
   

Microsoft Graph

Symptôme - Erreur de privilèges insuffisants

Lorsque vous essayez d’effectuer une action, vous recevez un message d’erreur semblable au suivant :

code: Authorization_RequestDenied
message: Insufficient privileges to complete the operation.

Cause

Soit l’utilisateur connecté ne dispose pas de privilèges suffisants, soit vous devez consentir à l’une des autorisations requises.

Solution

1. Vérifiez que les rôles nécessaires vous sont attribués. Consultez Prérequis, précédemment dans cet article.

2. Dans l’outil Afficheur Microsoft Graph, veillez à donner votre consentez aux autorisations requises. Consultez Étape 1 : se connecter au locataire cible et Étape 4 : se connecter au locataire source plus haut dans cet article.

Symptôme : erreur Request_MultipleObjectsWithSameKeyValue

Lorsque vous essayez de faire un appel Graph API, vous recevez un message d’erreur semblable au suivant :

code: Request_MultipleObjectsWithSameKeyValue
message: Another object with the same value for property tenantId already exists.
message: A conflicting object with one or more of the specified property values is present in the directory.

Cause

Vous essayez probablement de créer une configuration ou un objet qui existe déjà, éventuellement à partir d’une configuration précédente.

Solution

1. Vérifiez la syntaxe de votre requête et que vous utilisez l’ID de locataire correct.

2. Effectuez une GET demande de liste de l’objet existant.

3. Si vous avez un objet existant, au lieu d’effectuer une demande de création à l’aide POST de ou PUT, vous devrez peut-être effectuer une demande de mise à jour à l’aide PATCHde , par exemple :

   • Update crossTenantAccessPolicyConfigurationPartner
   • Update crossTenantIdentitySyncPolicyPartner

Symptôme : erreur Directory_ObjectNotFound

Lorsque vous essayez de faire un appel Graph API, vous recevez un message d’erreur semblable au suivant :

code: Directory_ObjectNotFound
message: Unable to read the company information from the directory.

Cause

Vous essayez probablement de mettre à jour un objet qui n’existe pas à l’aide de PATCH.

Solution

1. Vérifiez la syntaxe de votre requête et que vous utilisez l’ID de locataire correct.

2. Effectuez une GET demande pour vérifier que l’objet n’existe pas.

3. Si l’objet n’existe pas, au lieu d’effectuer une demande de mise à jour à l’aide PATCHde , vous devrez peut-être effectuer une demande de création à l’aide POST de ou PUT, par exemple :

   • Créer une identitéSynchronization

Étapes suivantes

• Vue d’ensemble de l’API de synchronisation Microsoft Entra
• Tutoriel : développer et planifier l’approvisionnement d’un point de terminaison SCIM dans Microsoft Entra ID