Azure AD Connect: frissítés egy előző verzióról a legújabbra

Ez a témakör azOkat a különböző módszereket ismerteti, amelyekkel frissítheti az Azure Active Directory (Azure AD) Connect telepítését a legújabb kiadásra. A Microsoft a Swing migrálási szakasz lépéseinek használatát javasolja, ha jelentős konfigurációmódosítást vagy frissítést tesz lehetővé a régebbi 1.x verziókról.

Megjegyzés

Fontos, hogy a kiszolgálók naprakészek maradjanak a Azure AD Connect legújabb kiadásaival. Folyamatosan frissítjük az AADConnectet, és ezek közé tartoznak a biztonsági problémák és hibák javításai, valamint a javíthatóság, a teljesítmény és a méretezhetőség javítása. A legújabb verzió megtekintéséhez és a verziók közötti módosítások megismeréséhez tekintse meg a kiadási verzió előzményeit.

A Azure AD Connect 2.x-nél régebbi verziók jelenleg elavultak, további információt a Bevezetés a Azure AD Connect V2.0-hoz című témakörben talál. Jelenleg az Azure AD Csatlakozás bármely verziójáról az aktuális verzióra való frissítés támogatott. A DirSync vagy az ADSync helyben történő frissítése nem támogatott, ezért szükség van egy váltásos migrálásra. Ha a DirSyncről szeretne frissíteni, olvassa el a Frissítés Azure AD szinkronizálási eszközről (DirSync) vagy a Swing migrálási szakaszát.

A gyakorlatban előfordulhat, hogy a régi verziókban lévő ügyfelek nem közvetlenül a Azure AD Connecthez kapcsolódó problémákat tapasztalnak. Az évek óta éles környezetben lévő kiszolgálókra jellemzően több javítást alkalmaztak, és ezek nem mindegyike számolható el. Azok az ügyfelek, akik nem frissítettek 12-18 hónapon belül (körülbelül 1 és fél év) érdemes megfontolni a swing frissítést, mivel ez a legkonzervatívabb és legkevésbé kockázatos lehetőség.

A Azure AD Connect frissítéséhez többféle stratégiát is használhat.

Metódus Leírás Előnyök Hátrányok
Automatikus frissítés Ez a legegyszerűbb módszer az expressz telepítéssel rendelkező ügyfelek számára Nincs manuális beavatkozás Előfordulhat, hogy az automatikus frissítési verzió nem tartalmazza a legújabb funkciókat
Frissítés helyben Ha egyetlen kiszolgálóval rendelkezik, frissítheti a telepítést ugyanazon a kiszolgálón Nincs szükség másik kiszolgálóra Ha probléma merül fel a helyszíni frissítés során, nem lehet visszagörgetni, és a szinkronizálás megszakad
Párhuzamos migrálás Két kiszolgálóval előkészítheti az egyik kiszolgálót az új kiadással vagy konfigurációval, és ha készen áll, módosíthatja az aktív kiszolgálót. A legbiztonságosabb megközelítés és az újabb verzióra való zökkenőmentesebb áttérés. Támogatja a Windows operációs rendszer (operációs rendszerek) frissítését. A szinkronizálás nem szakad meg, és nem jelent kockázatot az éles környezetben Másik kiszolgálóra van szükség

Az engedélyekkel kapcsolatos információkért tekintse meg a frissítéshez szükséges engedélyeket.

Megjegyzés

Miután engedélyezte az új Azure AD Connect-kiszolgálót az Azure AD módosításainak szinkronizálásához, nem szabad visszatérnie a DirSync vagy a Azure AD-szinkronizáló használatára. A Azure AD csatlakozásról az örökölt ügyfelekre ( például a DirSyncre és a Azure AD-szinkronizáló) való visszalépés nem támogatott, és olyan problémákhoz vezethet, mint például az adatvesztés a Azure AD.

Frissítés helyben

A helyszíni frissítés Azure AD-szinkronizáló vagy Azure AD Connectről való áthelyezésre használható. Nem működik a DirSyncből vagy a Forefront Identity Manager (FIM) + Azure AD Connector használatával történő megoldáshoz.

Ez a módszer akkor ajánlott, ha egyetlen kiszolgálóval rendelkezik, és kevesebb mint 100 000 objektummal rendelkezik. Ha a beépített szinkronizálási szabályok módosulnak, a frissítés után teljes importálás és teljes szinkronizálás történik. Ez a módszer biztosítja, hogy az új konfigurációt a rendszer összes meglévő objektumára alkalmazza a rendszer. Ez a futtatás néhány órát is igénybe vehet a szinkronizálási motor hatókörébe tartozó objektumok számától függően. A normál változásszinkronizálási ütemező (amely alapértelmezés szerint 30 percenként szinkronizál) fel van függesztve, de a jelszó-szinkronizálás folytatódik. Érdemes lehet elvégezni a helyszíni frissítést a hétvégén. Ha az új Azure AD Connect kiadásban nincs változás a beépített konfigurációban, akkor helyette elindul a normál változásimportálás/szinkronizálás.

Frissítés helyben

Ha módosította a beépített szinkronizálási szabályokat, akkor ezek a szabályok vissza lesznek állítva az alapértelmezett konfigurációra a frissítéskor. Ha meg szeretné győződni arról, hogy a konfigurációt a frissítések között tartja, végezze el a módosításokat az alapértelmezett konfiguráció módosításának ajánlott eljárásai című cikkben leírtak szerint. Ha már módosította az alapértelmezett szinkronizálási szabályokat, a frissítési folyamat megkezdése előtt tekintse meg a módosított alapértelmezett szabályok kijavítása Azure AD Connectben című témakört.

A helyszíni frissítés során előfordulhatnak olyan módosítások, amelyek bizonyos szinkronizálási tevékenységeket igényelnek (beleértve a teljes importálási lépést és a teljes szinkronizálási lépést) a frissítés befejezése után. Az ilyen tevékenységek elhalasztásához tekintse meg a teljes szinkronizálás elhalasztására vonatkozó szakaszt a frissítés után.

Ha Azure AD Csatlakozás nem szabványos összekötővel (például Általános LDAP (Lightweight Directory Access Protocol) összekötő és Általános SQL-összekötő), akkor a helyi frissítés után frissítenie kell a megfelelő összekötő-konfigurációt a Szinkronizálás Service Manager. Az összekötő konfigurációjának frissítésével kapcsolatos részletekért tekintse meg az Összekötő verziószámának kiadási előzményei – Hibaelhárítás című cikket. Ha nem frissíti a konfigurációt, az importálási és exportálási futtatási lépések nem fognak megfelelően működni az összekötő esetében. Az alkalmazás eseménynaplójában a következő hibaüzenet jelenik meg:

Assembly version in AAD Connector configuration ("X.X.XXX.X") is earlier than the actual version ("X.X.XXX.X") of "C:\Program Files\Microsoft Azure AD Sync\Extensions\Microsoft.IAM.Connector.GenericLdap.dll".

Párhuzamos migrálás

Egyes ügyfelek esetében a helyszíni frissítés jelentős kockázatot jelenthet az éles környezetben, ha probléma merül fel a frissítés során, és a kiszolgáló nem állítható vissza. Előfordulhat, hogy egyetlen éles kiszolgáló sem praktikus, mivel a kezdeti szinkronizálási ciklus több napot is igénybe vehet, és ez idő alatt a rendszer nem dolgoz fel változásváltozásokat.

Ezekhez a forgatókönyvekhez ajánlott módszer a hintamigrálás használata. Ezt a módszert akkor is használhatja, ha frissítenie kell a Windows Server operációs rendszert, vagy jelentős módosításokat tervez a környezet konfigurációjában, amelyeket az éles környezetbe való leküldés előtt tesztelni kell.

Legalább két kiszolgálóra van szüksége : egy aktív kiszolgálóra és egy átmeneti kiszolgálóra. Az aktív kiszolgáló (az alábbi ábrán egyszínű kék vonalakkal) felelős az aktív éles terhelésért. Az előkészítési kiszolgáló (szaggatott lila vonalakkal) az új kiadással vagy konfigurációval készül. Ha teljesen készen áll, a kiszolgáló aktívvá lesz. Az előző aktív kiszolgáló, amelyen már telepítve van az elavult verzió vagy konfiguráció, az előkészítési kiszolgálóra kerül, és frissül.

A két kiszolgáló különböző verziókat használhat. A leszerelésre tervezett aktív kiszolgáló például használhatja a Azure AD-szinkronizáló, az új átmeneti kiszolgáló pedig Azure AD Connectet. Ha egy új konfiguráció fejlesztéséhez swing-migrálást használ, érdemes ugyanazokat a verziókat használni a két kiszolgálón.

Az előkészítési kiszolgáló diagramja.

Megjegyzés

Egyes ügyfelek inkább három vagy négy kiszolgálóval rendelkeznek ehhez a forgatókönyvhöz. Az előkészítési kiszolgáló frissítésekor nem rendelkezik biztonsági mentési kiszolgálóval vészhelyreállításhoz. Három vagy négy kiszolgálóval előkészíthet egy elsődleges/készenléti kiszolgálókészletet a frissített verzióval, amely biztosítja, hogy mindig legyen egy átmeneti kiszolgáló, amely készen áll az átvételre.

Ezek a lépések az Azure AD-szinkronizáló vagy a FIM + Azure AD Connector használatával történő megoldásról is működnek. Ezek a lépések nem működnek a DirSync esetében, de ugyanaz a swing áttelepítési módszer (más néven párhuzamos üzembe helyezés) és a DirSync lépései az Azure Active Directory szinkronizálásának (DirSync) frissítésében találhatók.

Váltásos migrálás használata a frissítéshez

  1. Ha csak egy Azure AD Connect-kiszolgálóval rendelkezik, ha AD-szinkronizáló-ról frissít, vagy egy régi verzióról frissít, érdemes telepíteni az új verziót egy új Windows Serverre. Ha már két Azure AD Connect-kiszolgálóval rendelkezik, először frissítse az előkészítési kiszolgálót. és előlépteti az előkészítést aktívra. Javasoljuk, hogy mindig tartsa meg az aktív/átmeneti kiszolgáló párját, amely ugyanazt a verziót futtatja, de nem szükséges.
  2. Ha egyéni konfigurációt készített, és az előkészítési kiszolgáló nem rendelkezik vele, kövesse az Egyéni konfiguráció áthelyezése az aktív kiszolgálóról az előkészítési kiszolgálóra című szakasz lépéseit.
  3. Hagyja, hogy a szinkronizálási motor teljes importálást és teljes szinkronizálást futtasson az előkészítési kiszolgálón.
  4. Ellenőrizze, hogy az új konfiguráció nem okozott-e váratlan módosításokat a kiszolgáló konfigurációjának ellenőrzése című szakasz "Ellenőrzés" szakaszának lépéseit követve. Ha valami nem a várt módon történik, javítsa ki, futtasson egy szinkronizálási ciklust, és ellenőrizze az adatokat, amíg jól nem néz ki.
  5. A másik kiszolgáló frissítése előtt váltson átmeneti módra, és állítsa elő az előkészítési kiszolgálót aktív kiszolgálóként. Ez az "Aktív kiszolgáló váltása" folyamat utolsó lépése a kiszolgáló konfigurációjának ellenőrzéséhez.
  6. Frissítse az előkészítési módban lévő kiszolgálót a legújabb kiadásra. Az adatok és a konfiguráció frissítéséhez kövesse az előző lépésekkel megegyező lépéseket. Ha Azure AD-szinkronizáló-ról frissít, kikapcsolhatja és le is szerelheti a régi kiszolgálót.

Megjegyzés

Fontos a régi Azure AD Connect-kiszolgálók teljes leszerelése, mivel ezek szinkronizálási problémákat okozhatnak, amelyek nehezen háríthatók el, ha egy régi szinkronizálási kiszolgáló marad a hálózaton, vagy később véletlenül újra működik. Az ilyen "gazember" kiszolgálók általában felülírják Azure AD adatokat a régi adataikkal, mert előfordulhat, hogy már nem férnek hozzá a helyi Active Directory (például ha a számítógépfiók lejárt, az összekötőfiók jelszava megváltozott stb.), de továbbra is csatlakozhatnak Azure AD és az attribútumértékek folyamatosan visszaállnak minden szinkronizálási ciklusban (például 30 percenként). A Azure AD Connect-kiszolgáló teljes leszereléséhez győződjön meg arról, hogy teljesen eltávolítja a terméket és annak összetevőit, vagy véglegesen törli a kiszolgálót, ha virtuális gépről van szó.

Egyéni konfiguráció áthelyezése az aktív kiszolgálóról az előkészítési kiszolgálóra

Ha konfigurációs módosításokat végzett az aktív kiszolgálón, győződjön meg arról, hogy ugyanazokat a módosításokat alkalmazza az új átmeneti kiszolgálóra. Az áthelyezéshez használhatja a funkciót a szinkronizálási beállítások exportálásához és importálásához. Ezzel a funkcióval néhány lépésben üzembe helyezhet egy új átmeneti kiszolgálót, amely pontosan ugyanazokkal a beállításokkal rendelkezik, mint egy másik Azure AD Csatlakozás kiszolgáló a hálózatban.

A létrehozott egyéni szinkronizálási szabályok a PowerShell használatával helyezhetők át. Ha a többi módosítást ugyanúgy kell alkalmaznia mindkét rendszeren, és nem tudja migrálni a módosításokat, akkor előfordulhat, hogy manuálisan kell elvégeznie a következő konfigurációkat mindkét kiszolgálón:

  • Kapcsolódás ugyanahhoz az erdőhöz
  • Bármely tartomány és szervezeti egység szűrése
  • Ugyanezek az opcionális funkciók, például a jelszó-szinkronizálás és a jelszóvisszaíró

Egyéni szinkronizálási szabályok másolása
Ha egyéni szinkronizálási szabályokat szeretne más kiszolgálóra másolni, tegye a következőket:

  1. Nyissa meg a Szinkronizálási szabályok szerkesztőt az aktív kiszolgálón.

  2. Válasszon ki egy egyéni szabályt. Kattintson az Export (Exportálás) gombra. Ekkor megjelenik egy Jegyzettömb ablak. Mentse az ideiglenes fájlt EGY PS1 kiterjesztéssel. Ez egy PowerShell-szkript. Másolja a PS1 fájlt az előkészítési kiszolgálóra.

    Képernyőkép a szinkronizálási szabályok szerkesztőjének exportálási ablakával.

  3. Az összekötő GUID azonosítója (globálisan egyedi azonosító) különbözik az átmeneti kiszolgálón, ezért módosítania kell. A GUID beszerzéséhez indítsa el a Szinkronizálási szabályok szerkesztőt, válasszon ki egy olyan beépített szabályt, amely ugyanazt a csatlakoztatott rendszert képviseli, majd kattintson az Exportálás gombra. Cserélje le a PS1 fájl GUID-azonosítóját az átmeneti kiszolgáló GUID azonosítójára.

  4. Egy PowerShell-parancssorban futtassa a PS1 fájlt. Ezzel létrehozza az egyéni szinkronizálási szabályt az előkészítési kiszolgálón.

  5. Ismételje meg ezt az összes egyéni szabály esetében.

Teljes szinkronizálás elhalasztás a frissítés után

A helyszíni frissítés során előfordulhatnak olyan módosítások, amelyek bizonyos szinkronizálási tevékenységeket igényelnek (beleértve a teljes importálási lépést és a teljes szinkronizálási lépést). Az összekötőséma módosításaihoz például teljes importálási lépésre van szükség, a beépített szinkronizálási szabályok módosításaihoz pedig teljes szinkronizálási lépésre van szükség az érintett összekötőkön. A frissítés során Azure AD Connect határozza meg, hogy mely szinkronizálási tevékenységek szükségesek, és felülbírálásként rögzíti őket. A következő szinkronizálási ciklusban a szinkronizálásütemező felveszi ezeket a felülbírálásokat, és végrehajtja őket. A felülbírálás sikeres végrehajtása után a rendszer eltávolítja.

Előfordulhatnak olyan helyzetek, amikor nem szeretné, hogy ezek a felülbírálások közvetlenül a frissítés után lezajljanak. Például számos szinkronizált objektummal rendelkezik, és szeretné, ha a szinkronizálási lépések munkaidő után történnek. A felülbírálások eltávolítása:

  1. A frissítés során törölje a jelet a Szinkronizálási folyamat indítása a konfiguráció befejezésekorjelölőnégyzetből. Ez letiltja a szinkronizálásütemezőt, és megakadályozza, hogy a szinkronizálási ciklus automatikusan lezajlson a felülbírálások eltávolítása előtt.

    Képernyőkép, amely kiemeli a Szinkronizálási folyamat indítása a konfiguráció befejezésekor beállítást, amelyet törölnie kell.

  2. A frissítés befejezése után futtassa a következő parancsmagot, hogy megtudja, milyen felülbírálások lettek hozzáadva: Get-ADSyncSchedulerConnectorOverride | fl

    Megjegyzés

    A felülbírálások összekötőspecifikusak. Az alábbi példában a Teljes importálás és a Teljes szinkronizálás lépést hozzáadtuk a helyszíni AD-összekötőhöz és a Azure AD-összekötőhöz is.

    DisableFullSyncAfterUpgrade

  3. Jegyezze fel a már meglévő felülbírálásokat.

  4. Ha el szeretné távolítani a teljes importálás és a teljes szinkronizálás felülbírálásait egy tetszőleges összekötőn, futtassa a következő parancsmagot: Set-ADSyncSchedulerConnectorOverride -ConnectorIdentifier <Guid-of-ConnectorIdentifier> -FullImportRequired $false -FullSyncRequired $false

    Az összes összekötő felülbírálásainak eltávolításához hajtsa végre a következő PowerShell-szkriptet:

    foreach ($connectorOverride in Get-ADSyncSchedulerConnectorOverride)
    {
        Set-ADSyncSchedulerConnectorOverride -ConnectorIdentifier $connectorOverride.ConnectorIdentifier.Guid -FullSyncRequired $false -FullImportRequired $false
    }
    
  5. Az ütemező folytatásához futtassa a következő parancsmagot: Set-ADSyncScheduler -SyncCycleEnabled $true

    Fontos

    Ne felejtse el végrehajtani a szükséges szinkronizálási lépéseket a lehető leghamarabb. Ezeket a lépéseket manuálisan is végrehajthatja a Szinkronizálás Service Manager használatával, vagy hozzáadhatja a felülbírálásokat a Set-ADSyncSchedulerConnectorOverride parancsmaggal.

Ha felülbírálásokat szeretne hozzáadni a teljes importáláshoz és a teljes szinkronizáláshoz egy tetszőleges összekötőn, futtassa a következő parancsmagot: Set-ADSyncSchedulerConnectorOverride -ConnectorIdentifier <Guid> -FullImportRequired $true -FullSyncRequired $true

A kiszolgáló operációs rendszerének frissítése

Ha frissítenie kell a Azure AD Connect-kiszolgáló operációs rendszerét, ne használja az operációs rendszer (operációs rendszer) helyben történő frissítését. Ehelyett készítsen elő egy új kiszolgálót a kívánt operációs rendszerrel, és hajtsa végre a swing áttelepítést.

Hibaelhárítás

A következő szakasz hibaelhárítást és információkat tartalmaz, amelyeket akkor használhat, ha probléma merül fel a Azure AD Connect frissítésével kapcsolatban.

Az Azure Active Directory-összekötő hiányzó hibája Azure AD Connect-frissítés során

Ha egy korábbi verzióról frissíti Azure AD Connectet, a frissítés elején a következő hibaüzenet jelenhet meg:

Hiba

Ez a hiba azért fordul elő, mert a b891884f-051e-4a83-95af-2544101c9083 azonosítójú Azure Active Directory-összekötő nem létezik az aktuális Azure AD Connect-konfigurációban. Ennek ellenőrzéséhez nyisson meg egy PowerShell-ablakot, és futtassa a parancsmagot Get-ADSyncConnector -Identifier b891884f-051e-4a83-95af-2544101c9083

PS C:\> Get-ADSyncConnector -Identifier b891884f-051e-4a83-95af-2544101c9083
Get-ADSyncConnector : Operation failed because the specified MA could not be found.
At line:1 char:1
+ Get-ADSyncConnector -Identifier b891884f-051e-4a83-95af-2544101c9083
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : ReadError: (Microsoft.Ident...ConnectorCmdlet:GetADSyncConnectorCmdlet) [Get-ADSyncConne
   ctor], ConnectorNotFoundException
    + FullyQualifiedErrorId : Operation failed because the specified MA could not be found.,Microsoft.IdentityManageme
   nt.PowerShell.Cmdlet.GetADSyncConnectorCmdlet

A PowerShell-parancsmag azt a hibát jelenti, hogy a megadott ma nem található.

Ez a hiba azért fordul elő, mert az aktuális Azure AD Connect-konfiguráció nem támogatott a frissítéshez.

Ha a Azure AD Connect újabb verzióját szeretné telepíteni: zárja be a Azure AD Connect varázslót, távolítsa el a meglévő Azure AD Connectet, és végezze el az újabb Azure AD Connect tiszta telepítését.

Következő lépések

További információ a helyszíni identitások Azure Active Directoryval való integrálásáról.