Mengonfigurasi sinkronisasi lintas penyewa menggunakan PowerShell atau Microsoft Graph API

Artikel ini menjelaskan langkah-langkah utama untuk mengonfigurasi sinkronisasi lintas penyewa menggunakan Microsoft Graph PowerShell atau Microsoft Graph API. Saat dikonfigurasi, MICROSOFT Entra ID secara otomatis memprovisi dan mendeprovisi pengguna B2B di penyewa target Anda. Untuk langkah-langkah terperinci menggunakan pusat admin Microsoft Entra, lihat Mengonfigurasi sinkronisasi lintas penyewa.

Prasyarat

Penyewa sumber

• Lisensi Microsoft Entra ID P1 atau P2. Untuk informasi selengkapnya, lihat Persyaratan lisensi.
• Peran Administrator Keamanan untuk mengonfigurasi pengaturan akses lintas penyewa.
• Peran Administrator Identitas Hibrid untuk mengonfigurasi sinkronisasi lintas penyewa.
• Peran Administrator Aplikasi Cloud atau Administrator Aplikasi untuk menetapkan pengguna ke konfigurasi dan menghapus konfigurasi.
• Peran Administrator Global untuk menyetujui izin yang diperlukan.

Penyewa target

• Lisensi Microsoft Entra ID P1 atau P2. Untuk informasi selengkapnya, lihat Persyaratan lisensi.
• Peran Administrator Keamanan untuk mengonfigurasi pengaturan akses lintas penyewa.
• Peran Administrator Global untuk menyetujui izin yang diperlukan.

Langkah 1: Masuk ke penyewa target

Penyewa target

PowerShell

1. Mulai PowerShell.

2. Jika perlu, instal Microsoft Graph PowerShell SDK.

3. Dapatkan ID penyewa dari penyewa sumber dan target dan inisialisasi variabel.

   $SourceTenantId = "<SourceTenantId>"
   $TargetTenantId = "<TargetTenantId>"
   

4. Gunakan perintah Connect-MgGraph untuk masuk ke penyewa target dan menyetujui izin yang diperlukan berikut ini.

   • Policy.Read.All
   • Policy.ReadWrite.CrossTenantAccess

   Connect-MgGraph -TenantId $TargetTenantId -Scopes "Policy.Read.All","Policy.ReadWrite.CrossTenantAccess"
   

Microsoft Graph

Langkah-langkah ini menjelaskan cara menggunakan Microsoft Graph Explorer, tetapi Anda juga dapat menggunakan klien REST API lain.

1. Mulai alat Microsoft Graph Explorer.

2. Masuk ke penyewa target.

3. Pilih profil Anda lalu pilih Persetujuan untuk izin.

   

4. Persetujuan untuk izin yang diperlukan berikut ini.

   • Policy.Read.All
   • Policy.ReadWrite.CrossTenantAccess

5. Dapatkan ID penyewa dari penyewa sumber dan target. Contoh konfigurasi yang dijelaskan dalam artikel ini menggunakan ID penyewa berikut.

   • ID penyewa sumber: {sourceTenantId}
   • ID penyewa target: {targetTenantId}

Langkah 2: Mengaktifkan sinkronisasi pengguna di penyewa target

Penyewa target

PowerShell

1. Di penyewa target, gunakan perintah New-MgPolicyCrossTenantAccessPolicyPartner untuk membuat konfigurasi mitra baru dalam kebijakan akses lintas penyewa antara penyewa target dan penyewa sumber. Gunakan ID penyewa sumber dalam permintaan.

   Jika Anda mendapatkan kesalahan New-MgPolicyCrossTenantAccessPolicyPartner_Create: Another object with the same value for property tenantId already exists, Anda mungkin sudah memiliki konfigurasi yang sudah ada. Untuk informasi selengkapnya, lihat Gejala - Kesalahan MgPolicyCrossTenantAccessPolicyPartner_Create baru.

   $Params = @{
       TenantId = $SourceTenantId
   }
   New-MgPolicyCrossTenantAccessPolicyPartner -BodyParameter $Params | Format-List
   

   AutomaticUserConsentSettings : Microsoft.Graph.PowerShell.Models.MicrosoftGraphInboundOutboundPolicyConfiguration
   B2BCollaborationInbound      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   B2BCollaborationOutbound     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   B2BDirectConnectInbound      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   B2BDirectConnectOutbound     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   IdentitySynchronization      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantIdentitySyncPolicyPartner
   InboundTrust                 : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyInboundTrust
   IsServiceProvider            :
   TenantId                     : <SourceTenantId>
   TenantRestrictions           : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyTenantRestrictions
   AdditionalProperties         : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#policies/crossTenantAccessPolicy/partners/$entity],
                                  [crossCloudMeetingConfiguration,
                                  System.Collections.Generic.Dictionary`2[System.String,System.Object]], [protectedContentSharing,
                                  System.Collections.Generic.Dictionary`2[System.String,System.Object]]}
   

2. Gunakan perintah Invoke-MgGraphRequest untuk mengaktifkan sinkronisasi pengguna di penyewa target.

   Jika Anda mendapatkan kesalahan Request_MultipleObjectsWithSameKeyValue , Anda mungkin sudah memiliki kebijakan yang sudah ada. Untuk informasi selengkapnya, lihat Gejala - kesalahan Request_MultipleObjectsWithSameKeyValue.

   $Params = @{
       userSyncInbound = @{
           isSyncAllowed = $true
       }
   }
   Invoke-MgGraphRequest -Method PUT -Uri "https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/$SourceTenantId/identitySynchronization" -Body $Params
   

3. Gunakan perintah Get-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization untuk memverifikasi IsSyncAllowed diatur ke True.

   (Get-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization -CrossTenantAccessPolicyConfigurationPartnerTenantId $SourceTenantId).UserSyncInbound
   

   IsSyncAllowed
   -------------
   True
   

Microsoft Graph

1. Di penyewa target, gunakan API Buat crossTenantAccessPolicyConfigurationPartner untuk membuat konfigurasi mitra baru dalam kebijakan akses lintas penyewa antara penyewa target dan penyewa sumber. Gunakan ID penyewa sumber dalam permintaan.

   Jika Anda mendapatkan kesalahan Request_MultipleObjectsWithSameKeyValue , Anda mungkin sudah memiliki konfigurasi yang sudah ada. Untuk informasi selengkapnya, lihat Gejala - kesalahan Request_MultipleObjectsWithSameKeyValue.

   Permintaan

   POST https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners
   Content-Type: application/json
   
   {
     "tenantId": "{sourceTenantId}"
   }
   

   Respons

   HTTP/1.1 201 Created
   Content-Type: application/json
   
   {
     "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#policies/crossTenantAccessPolicy/partners/$entity",
     "tenantId": "{sourceTenantId}",
     "isServiceProvider": null,
     "inboundTrust": null,
     "b2bCollaborationOutbound": null,
     "b2bCollaborationInbound": null,
     "b2bDirectConnectOutbound": null,
     "b2bDirectConnectInbound": null,
     "tenantRestrictions": null,
     "crossCloudMeetingConfiguration":
     {
       "inboundAllowed": null,
       "outboundAllowed": null
     },
     "automaticUserConsentSettings":
     {
       "inboundAllowed": null,
       "outboundAllowed": null
     }
   }
   

2. Gunakan API Buat identitySynchronization untuk mengaktifkan sinkronisasi pengguna di penyewa target.

   Jika Anda mendapatkan kesalahan Request_MultipleObjectsWithSameKeyValue , Anda mungkin sudah memiliki kebijakan yang sudah ada. Untuk informasi selengkapnya, lihat Gejala - kesalahan Request_MultipleObjectsWithSameKeyValue.

   Permintaan

   PUT https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/{sourceTenantId}/identitySynchronization
   Content-type: application/json
   
   {
      "displayName": "Fabrikam",
      "userSyncInbound": 
       {
         "isSyncAllowed": true
       }
   }
   

   Respons

   HTTP/1.1 204 No Content
   

Langkah 3: Menukarkan undangan secara otomatis di penyewa target

Penyewa target

PowerShell

1. Di penyewa target, gunakan perintah Update-MgPolicyCrossTenantAccessPolicyPartner untuk secara otomatis menukarkan undangan dan menekan permintaan persetujuan untuk akses masuk.

   $AutomaticUserConsentSettings = @{
       "InboundAllowed"="True"
   }
   Update-MgPolicyCrossTenantAccessPolicyPartner -CrossTenantAccessPolicyConfigurationPartnerTenantId $SourceTenantId -AutomaticUserConsentSettings $AutomaticUserConsentSettings
   

Microsoft Graph

1. Di penyewa target, gunakan API Perbarui crossTenantAccessPolicyConfigurationPartner untuk secara otomatis menukarkan undangan dan menekan permintaan persetujuan untuk akses masuk.

   Permintaan

   PATCH https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/{sourceTenantId}
   Content-Type: application/json
   
   {
       "inboundTrust": null,
       "automaticUserConsentSettings":
       {
           "inboundAllowed": true
       }
   }
   

   Respons

   HTTP/1.1 204 No Content
   

Langkah 4: Masuk ke penyewa sumber

Penyewa sumber

PowerShell

1. Mulai instans PowerShell.

2. Dapatkan ID penyewa dari penyewa sumber dan target dan inisialisasi variabel.

   $SourceTenantId = "<SourceTenantId>"
   $TargetTenantId = "<TargetTenantId>"
   

3. Gunakan perintah Connect-MgGraph untuk masuk ke penyewa sumber dan menyetujui izin yang diperlukan berikut ini.

   • Policy.Read.All
   • Policy.ReadWrite.CrossTenantAccess
   • Application.ReadWrite.All
   • Directory.ReadWrite.All
   • AuditLog.Read.All

   Connect-MgGraph -TenantId $SourceTenantId -Scopes "Policy.Read.All","Policy.ReadWrite.CrossTenantAccess","Application.ReadWrite.All","Directory.ReadWrite.All","AuditLog.Read.All"
   

Microsoft Graph

1. Mulai instans alat Microsoft Graph Explorer.

2. Masuk ke penyewa sumber.

3. Persetujuan untuk izin yang diperlukan berikut ini.

   • Policy.Read.All
   • Policy.ReadWrite.CrossTenantAccess
   • Application.ReadWrite.All
   • Directory.ReadWrite.All
   • AuditLog.Read.All

   Jika Anda melihat halaman Perlu persetujuan admin, Anda harus masuk dengan pengguna yang telah diberi peran Administrator Global untuk menyetujui.

Langkah 5: Menukarkan undangan secara otomatis di penyewa sumber

Penyewa sumber

PowerShell

1. Di penyewa sumber, gunakan perintah New-MgPolicyCrossTenantAccessPolicyPartner untuk membuat konfigurasi mitra baru dalam kebijakan akses lintas penyewa antara penyewa sumber dan penyewa target. Gunakan ID penyewa target dalam permintaan.

   Jika Anda mendapatkan kesalahan New-MgPolicyCrossTenantAccessPolicyPartner_Create: Another object with the same value for property tenantId already exists, Anda mungkin sudah memiliki konfigurasi yang sudah ada. Untuk informasi selengkapnya, lihat Gejala - Kesalahan MgPolicyCrossTenantAccessPolicyPartner_Create baru.

   $Params = @{
       TenantId = $TargetTenantId
   }
   New-MgPolicyCrossTenantAccessPolicyPartner -BodyParameter $Params | Format-List
   

   AutomaticUserConsentSettings : Microsoft.Graph.PowerShell.Models.MicrosoftGraphInboundOutboundPolicyConfiguration
   B2BCollaborationInbound      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   B2BCollaborationOutbound     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   B2BDirectConnectInbound      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   B2BDirectConnectOutbound     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   IdentitySynchronization      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantIdentitySyncPolicyPartner
   InboundTrust                 : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyInboundTrust
   IsServiceProvider            :
   TenantId                     : <TargetTenantId>
   TenantRestrictions           : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyTenantRestrictions
   AdditionalProperties         : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#policies/crossTenantAccessPolicy/partners/$entity],
                                  [crossCloudMeetingConfiguration,
                                  System.Collections.Generic.Dictionary`2[System.String,System.Object]], [protectedContentSharing,
                                  System.Collections.Generic.Dictionary`2[System.String,System.Object]]}
   
   

2. Gunakan perintah Update-MgPolicyCrossTenantAccessPolicyPartner untuk secara otomatis menukarkan undangan dan menekan permintaan persetujuan untuk akses keluar.

   $AutomaticUserConsentSettings = @{
       "OutboundAllowed"="True"
   }
   Update-MgPolicyCrossTenantAccessPolicyPartner -CrossTenantAccessPolicyConfigurationPartnerTenantId $TargetTenantId -AutomaticUserConsentSettings $AutomaticUserConsentSettings
   

Microsoft Graph

1. Di penyewa sumber, gunakan API Buat crossTenantAccessPolicyConfigurationPartner untuk membuat konfigurasi mitra baru dalam kebijakan akses lintas penyewa antara penyewa sumber dan penyewa target. Gunakan ID penyewa target dalam permintaan.

   Jika Anda mendapatkan kesalahan Request_MultipleObjectsWithSameKeyValue , Anda mungkin sudah memiliki konfigurasi yang sudah ada. Untuk informasi selengkapnya, lihat Gejala - kesalahan Request_MultipleObjectsWithSameKeyValue.

   Permintaan

   POST https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners
   Content-Type: application/json
   
   {
     "tenantId": "{targetTenantId}"
   }
   

   Respons

   HTTP/1.1 201 Created
   Content-Type: application/json
   
   {
     "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#policies/crossTenantAccessPolicy/partners/$entity",
     "tenantId": "{targetTenantId}",
     "isServiceProvider": null,
     "inboundTrust": null,
     "b2bCollaborationOutbound": null,
     "b2bCollaborationInbound": null,
     "b2bDirectConnectOutbound": null,
     "b2bDirectConnectInbound": null,
     "tenantRestrictions": null,
     "crossCloudMeetingConfiguration":
     {
       "inboundAllowed": null,
       "outboundAllowed": null
     },
     "automaticUserConsentSettings":
     {
       "inboundAllowed": null,
       "outboundAllowed": null
     }
   }
   

2. Gunakan API Perbarui crossTenantAccessPolicyConfigurationPartner untuk secara otomatis menukarkan undangan dan menekan permintaan persetujuan untuk akses keluar.

   Permintaan

   PATCH https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/{targetTenantId}
   Content-Type: application/json
   
   {
       "automaticUserConsentSettings":
       {
           "outboundAllowed": true
       }
   }
   

   Respons

   HTTP/1.1 204 No Content
   

Langkah 6: Membuat aplikasi konfigurasi di penyewa sumber

Penyewa sumber

PowerShell

1. Di penyewa sumber, gunakan perintah Invoke-MgInstantiateApplicationTemplate untuk menambahkan instans aplikasi konfigurasi dari galeri aplikasi Microsoft Entra ke penyewa Anda.

   Invoke-MgInstantiateApplicationTemplate -ApplicationTemplateId "518e5f48-1fc8-4c48-9387-9fdf28b0dfe7" -DisplayName "Fabrikam"
   

2. Gunakan perintah Get-MgServicePrincipal untuk mendapatkan ID perwakilan layanan dan ID peran aplikasi.

   Get-MgServicePrincipal -Filter "DisplayName eq 'Fabrikam'" | Format-List
   

   AccountEnabled                      : True
   AddIns                              : {}
   AlternativeNames                    : {}
   AppDescription                      :
   AppDisplayName                      : Fabrikam
   AppId                               : <AppId>
   AppManagementPolicies               :
   AppOwnerOrganizationId              : <AppOwnerOrganizationId>
   AppRoleAssignedTo                   :
   AppRoleAssignmentRequired           : True
   AppRoleAssignments                  :
   AppRoles                            : {<AppRoleId>}
   ApplicationTemplateId               : 518e5f48-1fc8-4c48-9387-9fdf28b0dfe7
   ClaimsMappingPolicies               :
   CreatedObjects                      :
   CustomSecurityAttributes            : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCustomSecurityAttributeValue
   DelegatedPermissionClassifications  :
   DeletedDateTime                     :
   Description                         :
   DisabledByMicrosoftStatus           :
   DisplayName                         : Fabrikam
   Endpoints                           :
   ErrorUrl                            :
   FederatedIdentityCredentials        :
   HomeRealmDiscoveryPolicies          :
   Homepage                            : https://account.activedirectory.windowsazure.com:444/applications/default.aspx?metadata=aad2aadsync|ISV9.1|primary|z
   Id                                  : <ServicePrincipalId>
   Info                                : Microsoft.Graph.PowerShell.Models.MicrosoftGraphInformationalUrl
   KeyCredentials                      : {}
   LicenseDetails                      :
   
   ...
   

3. Menginisialisasi variabel untuk ID perwakilan layanan.

   Pastikan untuk menggunakan ID perwakilan layanan alih-alih ID aplikasi.

   $ServicePrincipalId = "<ServicePrincipalId>"
   

4. Menginisialisasi variabel untuk ID peran aplikasi.

   $AppRoleId= "<AppRoleId>"
   

Microsoft Graph

1. Di penyewa sumber, gunakan applicationTemplate: instantiate API untuk menambahkan instans aplikasi konfigurasi dari galeri aplikasi Microsoft Entra ke penyewa Anda.

   Permintaan

   POST https://graph.microsoft.com/v1.0/applicationTemplates/518e5f48-1fc8-4c48-9387-9fdf28b0dfe7/instantiate
   Content-type: application/json
   
   {
     "displayName": "Fabrikam"
   }
   

   Respons

   HTTP/1.1 201 Created
   Content-type: application/json
   
   {
       "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#microsoft.graph.applicationServicePrincipal",
       "application": {
           "id": "{id}",
           "appId": "{appId}",
           "applicationTemplateId": "518e5f48-1fc8-4c48-9387-9fdf28b0dfe7",
           "createdDateTime": "2023-07-31T23:26:24Z",
           "deletedDateTime": null,
           "displayName": "Fabrikam",
           "description": null,
           "groupMembershipClaims": null,
           "identifierUris": [],
           "isFallbackPublicClient": false,
           "signInAudience": "AzureADMyOrg",
           "tags": [],
           "tokenEncryptionKeyId": null,
           "defaultRedirectUri": null,
           "optionalClaims": null,
           "addIns": [],
           "api": {
               "acceptMappedClaims": null,
               "knownClientApplications": [],
               "requestedAccessTokenVersion": null,
               "oauth2PermissionScopes": [
                   {
                       "adminConsentDescription": "Allow the application to access Fabrikam on behalf of the signed-in user.",
                       "adminConsentDisplayName": "Access Fabrikam",
                       "id": "{id}",
                       "isEnabled": true,
                       "type": "User",
                       "userConsentDescription": "Allow the application to access Fabrikam on your behalf.",
                       "userConsentDisplayName": "Access Fabrikam",
                       "value": "user_impersonation"
                   }
               ],
               "preAuthorizedApplications": []
           },
           "appRoles": [
               {
                   "allowedMemberTypes": [
                       "User"
                   ],
                   "displayName": "msiam_access",
                   "id": "{appRoleId}",
                   "isEnabled": true,
                   "description": "msiam_access",
                   "value": null,
                   "origin": "Application"
               }
           ],
           "info": {
               "logoUrl": null,
               "marketingUrl": null,
               "privacyStatementUrl": null,
               "supportUrl": null,
               "termsOfServiceUrl": null
           },
           "keyCredentials": [],
           "parentalControlSettings": {
               "countriesBlockedForMinors": [],
               "legalAgeGroupRule": "Allow"
           },
           "passwordCredentials": [],
           "publicClient": {
               "redirectUris": []
           },
           "requiredResourceAccess": [],
           "verifiedPublisher": {
               "displayName": null,
               "verifiedPublisherId": null,
               "addedDateTime": null
           },
           "web": {
               "homePageUrl": "https://account.activedirectory.windowsazure.com:444/applications/default.aspx?metadata=aad2aadsync|ISV9.1|primary|z",
               "redirectUris": [],
               "logoutUrl": null
           }
       },
       "servicePrincipal": {
           "id": "{servicePrincipalId}",
           "deletedDateTime": null,
           "accountEnabled": true,
           "appId": "{appId}",
           "applicationTemplateId": "518e5f48-1fc8-4c48-9387-9fdf28b0dfe7",
           "appDisplayName": "Fabrikam",
           "alternativeNames": [],
           "appOwnerOrganizationId": "{appOwnerOrganizationId}",
           "displayName": "Fabrikam",
           "appRoleAssignmentRequired": true,
           "loginUrl": null,
           "logoutUrl": null,
           "homepage": "https://account.activedirectory.windowsazure.com:444/applications/default.aspx?metadata=aad2aadsync|ISV9.1|primary|z",
           "notificationEmailAddresses": [],
           "preferredSingleSignOnMode": null,
           "preferredTokenSigningKeyThumbprint": null,
           "replyUrls": [],
           "servicePrincipalNames": [
               "{appId}"
           ],
           "servicePrincipalType": "Application",
           "tags": [
               "WindowsAzureActiveDirectoryIntegratedApp"
           ],
           "tokenEncryptionKeyId": null,
           "samlSingleSignOnSettings": null,
           "addIns": [],
           "appRoles": [
               {
                   "allowedMemberTypes": [
                       "User"
                   ],
                   "displayName": "msiam_access",
                   "id": "{appRoleId}",
                   "isEnabled": true,
                   "description": "msiam_access",
                   "value": null,
                   "origin": "Application"
               }
           ],
           "info": {
               "logoUrl": null,
               "marketingUrl": null,
               "privacyStatementUrl": null,
               "supportUrl": null,
               "termsOfServiceUrl": null
           },
           "keyCredentials": [],
           "oauth2PermissionScopes": [
               {
                   "adminConsentDescription": "Allow the application to access Fabrikam on behalf of the signed-in user.",
                   "adminConsentDisplayName": "Access Fabrikam",
                   "id": "{id}",
                   "isEnabled": true,
                   "type": "User",
                   "userConsentDescription": "Allow the application to access Fabrikam on your behalf.",
                   "userConsentDisplayName": "Access Fabrikam",
                   "value": "user_impersonation"
               }
           ],
           "passwordCredentials": [],
           "verifiedPublisher": {
               "displayName": null,
               "verifiedPublisherId": null,
               "addedDateTime": null
           }
       }
   }
   

2. Simpan servicePrincipalId.

   Pastikan untuk menggunakan ID perwakilan layanan alih-alih ID aplikasi.

3. Simpan appRoleId.

Langkah 7: Uji koneksi ke penyewa target

Penyewa sumber

PowerShell

1. Di penyewa sumber, gunakan perintah Invoke-MgGraphRequest untuk menguji koneksi ke penyewa target dan memvalidasi kredensial.

   $Params = @{
       "useSavedCredentials" = $false
       "templateId" = "Azure2Azure"
       "credentials" = @(
           @{
               "key" = "CompanyId"
               "value" = $TargetTenantId
           }
           @{
               "key" = "AuthenticationType"
               "value" = "SyncPolicy"
           }
       )
   }
   Invoke-MgGraphRequest -Method POST -Uri "https://graph.microsoft.com/v1.0/servicePrincipals/$ServicePrincipalId/synchronization/jobs/validateCredentials" -Body $Params
   

Microsoft Graph

1. Di penyewa sumber, gunakan synchronizationJob: validateCredentials API untuk menguji koneksi ke penyewa target dan memvalidasi kredensial.

   Permintaan

   POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/validateCredentials
   Content-Type: application/json
   
   {
       "useSavedCredentials": false,
       "templateId": "Azure2Azure",
       "credentials": [
           {
               "key": "CompanyId",
               "value": "{targetTenantId}"
           },
           {
               "key": "AuthenticationType",
               "value": "SyncPolicy"
           }
       ]
   }
   

   Respons

   HTTP/1.1 204 No Content
   

Langkah 8: Membuat pekerjaan provisi di penyewa sumber

Penyewa sumber

Di penyewa sumber, untuk mengaktifkan provisi, buat pekerjaan provisi.

PowerShell

1. Tentukan templat sinkronisasi yang akan digunakan, seperti Azure2Azure.

   Templat memiliki pengaturan sinkronisasi yang telah dikonfigurasi sebelumnya.

2. Di penyewa sumber, gunakan perintah New-MgServicePrincipalSynchronizationJob untuk membuat pekerjaan provisi berdasarkan templat.

   New-MgServicePrincipalSynchronizationJob -ServicePrincipalId $ServicePrincipalId -TemplateId "Azure2Azure" | Format-List
   

   Id                         : <JobId>
   Schedule                   : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationSchedule
   Schema                     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationSchema
   Status                     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationStatus
   SynchronizationJobSettings : {AzureIngestionAttributeOptimization, LookaheadQueryEnabled}
   TemplateId                 : Azure2Azure
   AdditionalProperties       : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('<ServicePrincipalId>')/synchro
                                nization/jobs/$entity]}
   

3. Menginisialisasi variabel untuk ID pekerjaan.

   $JobId = "<JobId>"
   

Microsoft Graph

1. Tentukan templat sinkronisasi yang akan digunakan, seperti Azure2Azure.

   Templat memiliki pengaturan sinkronisasi yang telah dikonfigurasi sebelumnya.

2. Di penyewa sumber, gunakan Api Buat synchronizationJob untuk membuat pekerjaan provisi berdasarkan templat.

   Permintaan

   POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs
   Content-type: application/json
   
   {
       "templateId": "Azure2Azure"
   }
   

   Respons

   HTTP/1.1 201 Created
   Content-type: application/json
   
   {
       "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('{servicePrincipalId}')/synchronization/jobs/$entity",
       "id": "{jobId}",
       "templateId": "Azure2Azure",
       "schedule": {
           "expiration": null,
           "interval": "PT40M",
           "state": "Disabled"
       },
       "status": {
           "countSuccessiveCompleteFailures": 0,
           "escrowsPruned": false,
           "code": "Paused",
           "lastExecution": null,
           "lastSuccessfulExecution": null,
           "lastSuccessfulExecutionWithExports": null,
           "quarantine": null,
           "steadyStateFirstAchievedTime": "0001-01-01T00:00:00Z",
           "steadyStateLastAchievedTime": "0001-01-01T00:00:00Z",
           "troubleshootingUrl": null,
           "progress": [],
           "synchronizedEntryCountByType": []
       },
       "synchronizationJobSettings": [
           {
               "name": "AzureIngestionAttributeOptimization",
               "value": "False"
           },
           {
               "name": "LookaheadQueryEnabled",
               "value": "False"
           }
       ]
   }
   

3. Simpan jobId.

Langkah 9: Simpan kredensial Anda

Penyewa sumber

PowerShell

1. Di penyewa sumber, gunakan perintah Invoke-MgGraphRequest untuk menyimpan kredensial Anda.

   $Params = @{
       "value" = @(
           @{
               "key" = "AuthenticationType"
               "value" = "SyncPolicy"
           }
           @{
               "key" = "CompanyId"
               "value" = $TargetTenantId
           }
       )
   }
   Invoke-MgGraphRequest -Method PUT -Uri "https://graph.microsoft.com/v1.0/servicePrincipals/$ServicePrincipalId/synchronization/secrets" -Body $Params
   

Microsoft Graph

1. Di penyewa sumber, gunakan API Tambahkan rahasia sinkronisasi untuk menyimpan kredensial Anda.

   Permintaan

   PUT https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/secrets 
   Content-Type: application/json
   
   {
       "value": [
           {
               "key": "AuthenticationType",
               "value": "SyncPolicy"
           },
           {
               "key": "CompanyId",
               "value": "{targetTenantId}"
           },
           {
               "key": "SyncNotificationSettings",
               "value": "{\"Enabled\":false,\"DeleteThresholdEnabled\":false,\"HumanResourcesLookaheadQueryEnabled\":false}"
           },
           {
               "key": "SyncAll",
               "value": "false"
           }
       ]
   }
   

   Respons

   HTTP/1.1 204 No Content
   

Langkah 10: Menetapkan pengguna ke konfigurasi

Penyewa sumber

Agar sinkronisasi lintas penyewa berfungsi, setidaknya satu pengguna internal harus ditetapkan ke konfigurasi.

PowerShell

1. Di penyewa sumber, gunakan perintah New-MgServicePrincipalAppRoleAssignedTo untuk menetapkan pengguna internal ke konfigurasi.

   $Params = @{
       PrincipalId = "<PrincipalId>"
       ResourceId = $ServicePrincipalId
       AppRoleId = $AppRoleId
   }
   New-MgServicePrincipalAppRoleAssignedTo -ServicePrincipalId $ServicePrincipalId -BodyParameter $Params | Format-List
   

   AppRoleId            : <AppRoleId>
   CreatedDateTime      : 7/31/2023 10:27:12 PM
   DeletedDateTime      :
   Id                   : <Id>
   PrincipalDisplayName : User1
   PrincipalId          : <PrincipalId>
   PrincipalType        : User
   ResourceDisplayName  : Fabrikam
   ResourceId           : <ServicePrincipalId>
   AdditionalProperties : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#appRoleAssignments/$entity]}
   

Microsoft Graph

1. Di penyewa sumber, gunakan Berikan appRoleAssignment untuk API perwakilan layanan untuk menetapkan pengguna internal ke konfigurasi.

   Permintaan

   POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/appRoleAssignedTo
   Content-type: application/json
   
   {
       "appRoleId": "{appRoleId}",
       "resourceId": "{servicePrincipalId}",
       "principalId": "{principalId}"
   }
   

   Respons

   HTTP/1.1 201 Created
   Content-Type: application/json
   {
       "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('{servicePrincipalId}')/appRoleAssignedTo/$entity",
       "id": "{keyId}",
       "deletedDateTime": null,
       "appRoleId": "{appRoleId}",
       "createdDateTime": "2023-07-31T22:23:48.6541804Z",
       "principalDisplayName": "User1",
       "principalId": "{principalId}",
       "principalType": "User",
       "resourceDisplayName": "Fabrikam",
       "resourceId": "{servicePrincipalId}"
   }
   

Langkah 11: Uji provisi sesuai permintaan

Penyewa sumber

Setelah memiliki konfigurasi, Anda dapat menguji provisi sesuai permintaan dengan salah satu pengguna Anda.

PowerShell

1. Di penyewa sumber, gunakan perintah Get-MgServicePrincipalSynchronizationJobSchema untuk mendapatkan ID aturan skema.

   $SynchronizationSchema = Get-MgServicePrincipalSynchronizationJobSchema -ServicePrincipalId $ServicePrincipalId -SynchronizationJobId $JobId
   $SynchronizationSchema.SynchronizationRules | Format-List
   

   ContainerFilter      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphContainerFilter
   Editable             : True
   GroupFilter          : Microsoft.Graph.PowerShell.Models.MicrosoftGraphGroupFilter
   Id                   : <RuleId>
   Metadata             : {defaultSourceObjectMappings, supportsProvisionOnDemand}
   Name                 : USER_INBOUND_USER
   ObjectMappings       : {Provision Azure Active Directory Users, , , ...}
   Priority             : 1
   SourceDirectoryName  : Azure Active Directory
   TargetDirectoryName  : Azure Active Directory (target tenant)
   AdditionalProperties : {}
   

2. Menginisialisasi variabel untuk ID aturan.

   $RuleId = "<RuleId>"
   

3. Gunakan perintah New-MgServicePrincipalSynchronizationJobOnDemand untuk memprovisikan pengguna uji sesuai permintaan.

   $Params = @{
       Parameters = @(
           @{
               Subjects = @(
                   @{
                       ObjectId = "<UserObjectId>"
                       ObjectTypeName = "User"
                   }
               )
               RuleId = $RuleId
           }
       )
   }
   New-MgServicePrincipalSynchronizationJobOnDemand -ServicePrincipalId $ServicePrincipalId -SynchronizationJobId $JobId -BodyParameter $Params | Format-List
   

   Key                  : Microsoft.Identity.Health.CPP.Common.DataContracts.SyncFabric.StatusInfo
   Value                : [{"provisioningSteps":[{"name":"EntryImport","type":"Import","status":"Success","description":"Retrieved User
                          'user1@fabrikam.com' from Azure Active Directory","timestamp":"2023-07-31T22:31:15.9116590Z","details":{"objectId":
                          "<UserObjectId>","accountEnabled":"True","displayName":"User1","mailNickname":"user1","userPrincipalName":"use
                          ...
   AdditionalProperties : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#microsoft.graph.stringKeyStringValuePair]}
   

Microsoft Graph

1. Di penyewa sumber, gunakan Get synchronizationSchema API untuk mendapatkan ID aturan skema.

   Permintaan

   GET https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/{jobId}/schema
   

   Respons

   {
       "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('{servicePrincipalId}')/synchronization/jobs('{jobId}')/schema/$entity",
       "id": "{jobId}",
       "version": "v1.2",
       "synchronizationRules": [
           {
               "containerFilter": null,
               "editable": true,
               "groupFilter": null,
               "id": "{ruleId}",
               "name": "USER_INBOUND_USER",
               "priority": 1,
               "sourceDirectoryName": "Azure Active Directory",
               "targetDirectoryName": "Azure Active Directory (target tenant)",
               "metadata": [
   
               ...
   

2. Di penyewa sumber, gunakan synchronizationJob: provisionOnDemand API untuk menyediakan pengguna uji sesuai permintaan.

   Permintaan

   POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/{jobId}/provisionOnDemand
   Content-Type: application/json
   
   {
       "parameters": [
           {
               "ruleId": "{ruleId}",
               "subjects": [
                   {
                       "objectId": "{userObjectId}",
                       "objectTypeName": "User"
                   }
               ]
           }
       ]
   }
   

   Respons

   {
       "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#microsoft.graph.stringKeyStringValuePair",
       "key": "Microsoft.Identity.Health.CPP.Common.DataContracts.SyncFabric.StatusInfo",
       "value": "[{\"provisioningSteps\":[{\"name\":\"EntryImport\",\"type\":\"Import\",\"status\":\"Success\",\"description\":\"Retrieved User 'user1@fabrikam.com' from Azure Active Directory\",\"timestamp\":\"2023-07-31T00:00:16.7866324Z\",\"details\":{\"objectId\":\"{userObjectId}\",\"accountEnabled\":\"True\",\"displayName\":\"User1\",\"mailNickname\":\"user1\",\"userPrincipalName\":\"user1@fabrikam.com\",}
   
       ...
   

Langkah 12: Mulai pekerjaan provisi

Penyewa sumber

PowerShell

1. Sekarang setelah pekerjaan provisi dikonfigurasi, di penyewa sumber, gunakan perintah Start-MgServicePrincipalSynchronizationJob untuk memulai pekerjaan provisi.

   Start-MgServicePrincipalSynchronizationJob -ServicePrincipalId $ServicePrincipalId -SynchronizationJobId $JobId
   

Microsoft Graph

1. Sekarang setelah pekerjaan provisi dikonfigurasi, di penyewa sumber, gunakan API Mulai synchronizationJob untuk memulai pekerjaan provisi.

   Permintaan

   POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/{jobId}/start
   

   Respons

   HTTP/1.1 204 No Content
   

Langkah 13: Memantau provisi

Penyewa sumber

PowerShell

1. Sekarang setelah pekerjaan provisi berjalan, di penyewa sumber, gunakan perintah Get-MgServicePrincipalSynchronizationJob untuk memantau kemajuan siklus provisi saat ini serta statistik hingga saat ini seperti jumlah pengguna dan grup yang telah dibuat dalam sistem target.

   Get-MgServicePrincipalSynchronizationJob -ServicePrincipalId $ServicePrincipalId -SynchronizationJobId $JobId | Format-List
   

   Id                         : <JobId>
   Schedule                   : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationSchedule
   Schema                     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationSchema
   Status                     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationStatus
   SynchronizationJobSettings : {AzureIngestionAttributeOptimization, LookaheadQueryEnabled}
   TemplateId                 : Azure2Azure
   AdditionalProperties       : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('<ServicePrincipalId>')/synchro
                                nization/jobs/$entity]}
   

2. Selain memantau status pekerjaan provisi, gunakan perintah Get-MgAuditLogProvisioning untuk mengambil log provisi dan mendapatkan semua peristiwa provisi yang terjadi. Misalnya, kueri untuk pengguna tertentu dan menentukan apakah pengguna berhasil disediakan.

   Get-MgAuditLogDirectoryAudit | Select -First 10 | Format-List
   

   ActivityDateTime     : 7/31/2023 12:08:17 AM
   ActivityDisplayName  : Export
   AdditionalDetails    : {Details, ErrorCode, EventName, ipaddr...}
   Category             : ProvisioningManagement
   CorrelationId        : aaaa0000-bb11-2222-33cc-444444dddddd
   Id                   : Sync_aaaa0000-bb11-2222-33cc-444444dddddd_L5BFV_161778479
   InitiatedBy          : Microsoft.Graph.PowerShell.Models.MicrosoftGraphAuditActivityInitiator1
   LoggedByService      : Account Provisioning
   OperationType        :
   Result               : success
   ResultReason         : User 'user2@fabrikam.com' was created in Azure Active Directory (target tenant)
   TargetResources      : {<ServicePrincipalId>, }
   AdditionalProperties : {}
   
   ActivityDateTime     : 7/31/2023 12:08:17 AM
   ActivityDisplayName  : Export
   AdditionalDetails    : {Details, ErrorCode, EventName, ipaddr...}
   Category             : ProvisioningManagement
   CorrelationId        : aaaa0000-bb11-2222-33cc-444444dddddd
   Id                   : Sync_aaaa0000-bb11-2222-33cc-444444dddddd_L5BFV_161778264
   InitiatedBy          : Microsoft.Graph.PowerShell.Models.MicrosoftGraphAuditActivityInitiator1
   LoggedByService      : Account Provisioning
   OperationType        :
   Result               : success
   ResultReason         : User 'user2@fabrikam.com' was updated in Azure Active Directory (target tenant)
   TargetResources      : {<ServicePrincipalId>, }
   AdditionalProperties : {}
   
   ActivityDateTime     : 7/31/2023 12:08:14 AM
   ActivityDisplayName  : Synchronization rule action
   AdditionalDetails    : {Details, ErrorCode, EventName, ipaddr...}
   Category             : ProvisioningManagement
   CorrelationId        : aaaa0000-bb11-2222-33cc-444444dddddd
   Id                   : Sync_aaaa0000-bb11-2222-33cc-444444dddddd_L5BFV_161778395
   InitiatedBy          : Microsoft.Graph.PowerShell.Models.MicrosoftGraphAuditActivityInitiator1
   LoggedByService      : Account Provisioning
   OperationType        :
   Result               : success
   ResultReason         : User 'user2@fabrikam.com' will be created in Azure Active Directory (target tenant) (User is active and assigned
                          in Azure Active Directory, but no matching User was found in Azure Active Directory (target tenant))
   TargetResources      : {<ServicePrincipalId>, }
   AdditionalProperties : {}
   

Microsoft Graph

1. Sekarang setelah pekerjaan provisi berjalan, di penyewa sumber, gunakan Get synchronizationJob API untuk memantau kemajuan siklus provisi saat ini serta statistik hingga saat ini seperti jumlah pengguna dan grup yang telah dibuat dalam sistem target.

   Permintaan

   GET https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/{jobId}
   

   Respons

   HTTP/1.1 200 OK
   Content-type: application/json
   
   {
       "id": "{jobId}",
       "templateId": "Azure2Azure",
       "schedule": {
           "expiration": null,
           "interval": "PT40M",
           "state": "Active"
       },
       "status": {
           "countSuccessiveCompleteFailures": 0,
           "escrowsPruned": false,
           "code": "NotRun",
           "lastSuccessfulExecution": null,
           "lastSuccessfulExecutionWithExports": null,
           "quarantine": null,
           "steadyStateFirstAchievedTime": "0001-01-01T00:00:00Z",
           "steadyStateLastAchievedTime": "0001-01-01T00:00:00Z",
           "troubleshootingUrl": "",
           "lastExecution": {
               "activityIdentifier": null,
               "countEntitled": 0,
               "countEntitledForProvisioning": 0,
               "countEscrowed": 0,
               "countEscrowedRaw": 0,
               "countExported": 0,
               "countExports": 0,
               "countImported": 0,
               "countImportedDeltas": 0,
               "countImportedReferenceDeltas": 0,
               "state": "Failed",
               "timeBegan": "0001-01-01T00:00:00Z",
               "timeEnded": "0001-01-01T00:00:00Z",
               "error": {
                   "code": "None",
                   "message": "",
                   "tenantActionable": false
               }
           },
           "progress": [],
           "synchronizedEntryCountByType": []
       },
       "synchronizationJobSettings": [
           {
               "name": "AzureIngestionAttributeOptimization",
               "value": "False"
           },
           {
               "name": "LookaheadQueryEnabled",
               "value": "False"
           }
       ]
   }
   

2. Selain memantau status pekerjaan provisi, gunakan LIST provisioningObjectSummary API untuk mengambil log provisi dan mendapatkan semua peristiwa provisi yang terjadi. Misalnya, kueri untuk pengguna tertentu dan menentukan apakah pengguna berhasil disediakan.

   Permintaan

   GET https://graph.microsoft.com/v1.0/auditLogs/provisioning?$filter=((contains(tolower(servicePrincipal/id), '{servicePrincipalId}') or contains(tolower(servicePrincipal/displayName), '{servicePrincipalId}')) and activityDateTime gt 2023-07-30 and activityDateTime lt 2023-07-31)&$top=500&$orderby=activityDateTime desc
   

   Respons

   Objek respons yang ditampilkan di sini telah dipersingkat agar mudah dibaca.

   HTTP/1.1 200 OK
   Content-type: application/json
   
   {
       "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#auditLogs/provisioning",
       "value": [
           {
               "id": "{id}",
               "activityDateTime": "2023-07-31T00:40:37Z",
               "tenantId": "{targetTenantId}",
               "jobId": "{jobId}",
               "cycleId": "{cycleId}",
               "changeId": "{changeId}",
               "provisioningAction": "create",
               "durationInMilliseconds": 4375,
               "servicePrincipal": {
                   "id": "{servicePrincipalId}",
                   "displayName": "Fabrikam"
               },
               "sourceSystem": {
                   "id": "{id}",
                   "displayName": "Azure Active Directory",
                   "details": {}
               },
               "targetSystem": {
                   "id": "{id}",
                   "displayName": "Azure Active Directory (target tenant)",
                   "details": {
                       "ApplicationId": "{applicationId}",
                       "ServicePrincipalId": "{servicePrincipalId}",
                       "ServicePrincipalDisplayName": "Fabrikam"
                   }
               },
               "initiatedBy": {
                   "id": "",
                   "displayName": "Azure AD Provisioning Service",
                   "initiatorType": "system"
               },
               "sourceIdentity": {
                   "id": "{sourceUserObjectId}",
                   "displayName": "User4",
                   "identityType": "User",
                   "details": {
                       "id": "{sourceUserObjectId}",
                       "odatatype": "User",
                       "DisplayName": "User4",
                       "UserPrincipalName": "user4@fabrikam.com"
                   }
               },
               "targetIdentity": {
                   "id": "{targetUserObjectId}",
                   "displayName": "",
                   "identityType": "User",
                   "details": {}
               },
               "provisioningStatusInfo": {
                   "status": "success",
                   "errorInformation": null
               },
           "provisioningSteps": [
               {
                   "name": "EntryImportAdd",
                   "provisioningStepType": "import",
                   "status": "success",
                   "description": "Received User 'user4@fabrikam.com' change of type (Add) from Azure Active Directory",
                   "details": {
                       "objectId": "{sourceUserObjectId}",
                       "accountEnabled": "True",
                       "department": "Marketing",
                       "displayName": "User4",
                       "mailNickname": "user4",
                       "userPrincipalName": "user4@fabrikam.com",
                       "netId": "{netId}",
                       "showInAddressList": "",
                       "alternativeSecurityIds": "None",
                       "IsSoftDeleted": "False",
                       "appRoleAssignments": "msiam_access"
                   }
               },
               {
                   "name": "EntrySynchronizationScoping",
                   "provisioningStepType": "scoping",
                   "status": "success",
                   "description": "Determine if User in scope by evaluating against each scoping filter",
                   "details": {
                       "Active in the source system": "True",
                       "Assigned to the application": "True",
                       "User has the required role": "True",
                       "Scoping filter evaluation passed": "True",
                       "ScopeEvaluationResult": "{\"Marketing department filter.department EQUALS 'Marketing'\":true}"
                   }
               },
   
               ...
   
           }
       ]
   }
   

Tips Pemecahan Masalah

PowerShell

Gejala - Kesalahan hak istimewa tidak memadai

Saat mencoba melakukan tindakan, Anda menerima pesan kesalahan yang mirip dengan yang berikut ini:

code: Authorization_RequestDenied
message: Insufficient privileges to complete the operation.

Penyebab

Pengguna yang masuk tidak memiliki hak istimewa yang memadai, atau Anda perlu menyetujui salah satu izin yang diperlukan.

Solusi

1. Pastikan Anda diberi peran yang diperlukan. Lihat Prasyarat sebelumnya di artikel ini.

2. Saat Anda masuk dengan Connect-MgGraph, pastikan Anda menentukan cakupan yang diperlukan. Lihat Langkah 1: Masuk ke penyewa target dan Langkah 4: Masuk ke penyewa sumber sebelumnya di artikel ini.

Gejala - Kesalahan MgPolicyCrossTenantAccessPolicyPartner_Create baru

Saat mencoba membuat konfigurasi mitra baru, Anda menerima pesan kesalahan yang mirip dengan yang berikut ini:

New-MgPolicyCrossTenantAccessPolicyPartner_Create: Another object with the same value for property tenantId already exists.

Penyebab

Anda mungkin mencoba membuat konfigurasi atau objek yang sudah ada, mungkin dari konfigurasi sebelumnya.

Solusi

1. Verifikasi sintaks anda dan bahwa Anda menggunakan ID penyewa yang benar.

2. Gunakan perintah Get-MgPolicyCrossTenantAccessPolicyPartner untuk mencantumkan objek yang ada.

3. Jika Anda memiliki objek yang sudah ada, Anda mungkin perlu membuat pembaruan menggunakan Update-MgPolicyCrossTenantAccessPolicyPartner

Gejala - kesalahan Request_MultipleObjectsWithSameKeyValue

Saat Anda mencoba mengaktifkan sinkronisasi pengguna, Anda menerima pesan kesalahan yang mirip dengan yang berikut ini:

Invoke-MgGraphRequest: PUT https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/<SourceTenantId>/identitySynchronization
HTTP/1.1 409 Conflict
...
{"error":{"code":"Request_MultipleObjectsWithSameKeyValue","message":"A conflicting object with one or more of the specified property values is present in the directory.","details":[{"code":"ConflictingObjects","message":"A conflicting object with one or more of the specified property values is present in the directory.", ... }}}

Penyebab

Anda kemungkinan mencoba membuat kebijakan yang sudah ada, mungkin dari konfigurasi sebelumnya.

Solusi

1. Verifikasi sintaks anda dan bahwa Anda menggunakan ID penyewa yang benar.

2. Gunakan perintah Get-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization untuk mencantumkan IsSyncAllowed pengaturan.

   (Get-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization -CrossTenantAccessPolicyConfigurationPartnerTenantId $SourceTenantId).UserSyncInbound
   

3. Jika Anda memiliki kebijakan yang sudah ada, Anda mungkin perlu membuat pembaruan menggunakan perintah Set-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization untuk mengaktifkan sinkronisasi pengguna.

   $Params = @{
       userSyncInbound = @{
           isSyncAllowed = $true
       }
   }
   Set-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization -CrossTenantAccessPolicyConfigurationPartnerTenantId $SourceTenantId -BodyParameter $Params
   

Microsoft Graph

Gejala - Kesalahan hak istimewa tidak memadai

Saat mencoba melakukan tindakan, Anda menerima pesan kesalahan yang mirip dengan yang berikut ini:

code: Authorization_RequestDenied
message: Insufficient privileges to complete the operation.

Penyebab

Pengguna yang masuk tidak memiliki hak istimewa yang memadai, atau Anda perlu menyetujui salah satu izin yang diperlukan.

Solusi

1. Pastikan Anda diberi peran yang diperlukan. Lihat Prasyarat sebelumnya di artikel ini.

2. Di alat Microsoft Graph Explorer, pastikan Anda menyetujui izin yang diperlukan. Lihat Langkah 1: Masuk ke penyewa target dan Langkah 4: Masuk ke penyewa sumber sebelumnya di artikel ini.

Gejala - kesalahan Request_MultipleObjectsWithSameKeyValue

Saat mencoba melakukan panggilan Microsoft Graph API, Anda menerima pesan kesalahan yang mirip dengan yang berikut ini:

code: Request_MultipleObjectsWithSameKeyValue
message: Another object with the same value for property tenantId already exists.
message: A conflicting object with one or more of the specified property values is present in the directory.

Penyebab

Anda mungkin mencoba membuat konfigurasi atau objek yang sudah ada, mungkin dari konfigurasi sebelumnya.

Solusi

1. Verifikasi sintaks permintaan Anda dan Anda menggunakan ID penyewa yang benar.

2. Buat GET permintaan untuk mencantumkan objek yang ada.

3. Jika Anda memiliki objek yang sudah ada, alih-alih membuat permintaan buat menggunakan POST atau PUT, Anda mungkin perlu membuat permintaan pembaruan menggunakan PATCH, seperti:

   • Memperbarui crossTenantAccessPolicyConfigurationPartner
   • Memperbarui crossTenantIdentitySyncPolicyPartner

Gejala - kesalahan Directory_ObjectNotFound

Saat mencoba melakukan panggilan Microsoft Graph API, Anda menerima pesan kesalahan yang mirip dengan yang berikut ini:

code: Directory_ObjectNotFound
message: Unable to read the company information from the directory.

Penyebab

Anda kemungkinan mencoba memperbarui objek yang tidak ada menggunakan PATCH.

Solusi

1. Verifikasi sintaks permintaan Anda dan Anda menggunakan ID penyewa yang benar.

2. Buat GET permintaan untuk memverifikasi objek tidak ada.

3. Jika objek tidak ada, alih-alih membuat permintaan pembaruan menggunakan PATCH, Anda mungkin perlu membuat permintaan buat menggunakan POST atau PUT, seperti:

   • Membuat identitySynchronization

Langkah berikutnya

• Gambaran umum API sinkronisasi Microsoft Entra
• Tutorial: Mengembangkan dan merencanakan provisi untuk titik akhir SCIM di ID Microsoft Entra