Effettuare il provisioning di Microsoft Entra ID in Active Directory - Configurazione

Il documento seguente illustra la configurazione di Microsoft Entra Cloud Sync per i gruppi di provisioning da Microsoft Entra ID ad Active Directory. Per informazioni sul provisioning da AD a Microsoft Entra ID, vedere Configurare - il provisioning di Active Directory su Microsoft Entra ID utilizzando Microsoft Entra Cloud Sync.

Importante

L'anteprima di Group Writeback v2 in Microsoft Entra Connect Sync è deprecata e non è più supportata.

È possibile usare Microsoft Entra Cloud Sync per effettuare il provisioning di gruppi di sicurezza cloud in Servizi di dominio Active Directory locali.

Se si usa group writeback v2 in Microsoft Entra Connect Sync, è consigliabile spostare il client di sincronizzazione in Microsoft Entra Cloud Sync. Per verificare se si è idonei a passare a Microsoft Entra Cloud Sync, usare la procedura guidata di sincronizzazione utente.

Se non è possibile usare Microsoft Cloud Sync come consigliato dalla procedura guidata, è possibile eseguire Microsoft Entra Cloud Sync side-by-side con Microsoft Entra Connect Sync. In tal caso, è possibile eseguire Microsoft Entra Cloud Sync solo per effettuare il provisioning dei gruppi di sicurezza cloud in Active Directory Domain Services locale.

Se si esegue il provisioning dei gruppi di Microsoft 365 a Active Directory Domain Services, è possibile continuare a usare Group Writeback v1.

Configurazione dell'approvvigionamento

Per configurare il provisioning, attenersi alla procedura seguente.

1. Accedi all'interfaccia di amministrazione di Microsoft Entra come almeno un amministratore di identità ibrida .

2. Accedere a Entra ID>Entra Connect>Cloud sincronizzazione.

   

3. Selezionare Nuova configurazione.
4. Selezionare Microsoft Entra ID to AD sync.

5. Nella schermata di configurazione selezionare il dominio e se abilitare la sincronizzazione dell'hash delle password. Fare clic su Crea.

6. Verrà visualizzata la schermata Attività iniziali. Da qui è possibile continuare a configurare la sincronizzazione cloud.

7. La configurazione viene suddivisa nelle 5 sezioni seguenti.

Sezione	Descrizione
1. Aggiungere filtri di ambito	Usare questa sezione per definire gli oggetti visualizzati in Microsoft Entra ID
2. Eseguire il mapping degli attributi	Usare questa sezione per eseguire il mapping degli attributi tra utenti/gruppi locali con gli oggetti Microsoft Entra
3. Prova	Testare la configurazione prima di distribuirla
4. Visualizzare le proprietà predefinite	Visualizzare l'impostazione predefinita prima di abilitarle e apportare modifiche dove appropriato
5. Abilitare la tua configurazione	Una volta pronto, abilitare la configurazione e utenti/gruppi inizieranno la sincronizzazione.

Definire l'ambito del provisioning per gruppi specifici

È possibile configurare l'agente per sincronizzare tutti o specifici gruppi di sicurezza.

Per altre informazioni, vedere Filtraggio dell'ambito basato su attributi e Riferimenti per la scrittura di espressioni per la mappatura degli attributi in Microsoft Entra ID e Scenario - Uso delle estensioni di directory con il provisioning di gruppi in Active Directory.

È possibile configurare gruppi e unità organizzative all'interno di una configurazione.

1. Sulla schermata di Configurazione iniziale. Fare clic su Aggiungi filtri di ambito accanto all'icona oppure su Filtri di ambito a sinistra sotto Gestisci.

2. Selezionare il filtro di ambito. Il filtro può essere uno dei seguenti:

• Tutti i gruppi di sicurezza: definisce l'ambito della configurazione da applicare a tutti i gruppi di sicurezza cloud.
• Gruppi di sicurezza selezionati: definisce l'ambito della configurazione da applicare a gruppi di sicurezza specifici.

3. Per gruppi di sicurezza specifici selezionare Modifica gruppi e selezionare i gruppi desiderati dall'elenco.

Nota

Se si seleziona un gruppo di sicurezza con un gruppo di sicurezza annidato come membro, solo il gruppo annidato verrà riscritto e non i membri. Ad esempio, se un gruppo di sicurezza Sales è membro del gruppo di sicurezza Marketing, solo il gruppo Sales stesso verrà riscritto e non i membri del gruppo Sales.

Se si desidera annidare i gruppi ed eseguirne il provisioning in Active Directory, sarà necessario aggiungere anche tutti i gruppi membri all'ambito.

4. È possibile usare la casella Contenitore di destinazione per definire l'ambito dei gruppi che usano un contenitore specifico. Eseguire questa attività usando l'attributo parentDistinguishedName. Usare una mappatura costante, diretta o di espressione.

È possibile configurare più contenitori di destinazione usando un'espressione di mapping degli attributi con la funzione Switch(). Con questa espressione, se il valore displayName è Marketing o Sales, il gruppo viene creato nell'unità organizzativa corrispondente. Se non esiste alcuna corrispondenza, il gruppo viene creato nell'unità organizzativa predefinita.

Switch([displayName],"OU=Default,OU=container,DC=contoso,DC=com","Marketing","OU=Marketing,OU=container,DC=contoso,DC=com","Sales","OU=Sales,OU=container,DC=contoso,DC=com")

5. Il filtro dell'ambito basato su attributi è supportato. Per altre informazioni, vedere Filtraggio dell'ambito basato su attributi e Riferimenti per la scrittura di espressioni per la mappatura degli attributi in Microsoft Entra ID e Scenario - Uso delle estensioni di directory con il provisioning di gruppi in Active Directory.
6. Dopo aver configurato i filtri di ambito, fare clic su Salva.
7. Dopo il salvataggio, verrà visualizzato un messaggio che indica cosa è ancora necessario fare per configurare la sincronizzazione cloud. È possibile fare clic sul collegamento per continuare.

Definire l'ambito del provisioning per gruppi specifici utilizzando le estensioni del servizio di directory

Per scopi e filtri più avanzati, è possibile configurare l'uso delle estensioni di directory. Per un quadro generale delle estensioni della directory, consultare Estensioni della directory per il provisioning di Microsoft Entra ID su Active Directory

Per un'esercitazione dettagliata su come estendere lo schema e quindi usare l'attributo di estensione della directory con il provisioning della sincronizzazione cloud in Active Directory, vedere Scenario - Uso delle estensioni della directory con il provisioning di gruppi in Active Directory.

Mappatura degli attributi

Microsoft Entra Cloud Sync consente di eseguire facilmente il mapping degli attributi tra gli oggetti utente/gruppo locali e gli oggetti in Microsoft Entra ID.

Puoi personalizzare i mapping degli attributi predefiniti in base alle esigenze aziendali. Quindi, puoi modificare o eliminare i mapping degli attributi esistenti oppure crearne di nuovi.

Dopo il salvataggio, verrà visualizzato un messaggio che indica cosa è ancora necessario fare per configurare la sincronizzazione cloud. È possibile fare clic sul collegamento per continuare.

Per altre informazioni, vedere Mapping degli attributi e Informazioni di riferimento per la scrittura di espressioni per i mapping degli attributi in Microsoft Entra ID.

Estensioni della directory e mappatura di attributi personalizzati.

Microsoft Entra Cloud Sync consente di estendere la directory con estensioni e fornisce il mapping degli attributi personalizzato. Per ulteriori informazioni, vedere Estensioni della directory e mappatura di attributi personalizzati.

Attivazione su richiesta

Microsoft Entra Cloud Sync consente di testare le modifiche di configurazione applicando queste modifiche a un singolo utente o gruppo.

È possibile usarlo per convalidare e verificare che le modifiche apportate alla configurazione siano state applicate correttamente e siano sincronizzate correttamente con Microsoft Entra ID.

Dopo il test, verrà visualizzato un messaggio che indica cosa è ancora necessario fare per configurare la sincronizzazione cloud. È possibile fare clic sul collegamento per continuare.

Per altre informazioni, vedere provisioning su richiesta.

Eliminazioni accidentali e notifiche tramite posta elettronica

La sezione delle proprietà predefinite fornisce informazioni sulle eliminazioni accidentali e le notifiche tramite posta elettronica.

La funzionalità di eliminazione accidentale è progettata per proteggere l'utente da modifiche accidentali alla configurazione e alle modifiche apportate alla directory locale che influirebbero su molti utenti e gruppi.

Questa funzionalità consente di:

• Configurare la possibilità di impedire eliminazioni accidentali automaticamente.
• Impostare il numero di oggetti (soglia) oltre il quale la configurazione avrà effetto
• Configurare un indirizzo di posta elettronica di notifica in modo che possano ricevere una notifica tramite posta elettronica dopo che il processo di sincronizzazione in questione viene messo in quarantena per questo scenario

Per altre informazioni, vedere Eliminazioni accidentali

Fare clic sulla matita accanto a Informazioni di base per modificare le impostazioni predefinite in una configurazione.

Abilitare la configurazione

Dopo aver finalizzato e testato la configurazione, è possibile abilitarla.

Fare clic su Abilita configurazione per abilitarla.

Quarantena

La sincronizzazione cloud monitora l'integrità della configurazione e inserisce oggetti non integri in uno stato di quarantena. Se la maggior parte o tutte le chiamate effettuate sul sistema di destinazione hanno esito negativo in modo coerente a causa di un errore, ad esempio credenziali di amministratore non valide, il processo di sincronizzazione viene contrassegnato come in quarantena. Per altre informazioni, vedere la sezione sulla risoluzione dei problemi relativa alla quarantena.

Riavviare il provisioning

Se non vuoi attendere la prossima esecuzione pianificata, attiva l'esecuzione del provisioning utilizzando il pulsante Riavvia sincronizzazione.

1. Accedi all'interfaccia di amministrazione di Microsoft Entra come almeno un amministratore di identità ibrida .

2. Accedere a Entra ID>Entra Connect>Cloud sincronizzazione.

   

4. In Configurazione selezionare la configurazione.

5. Nella parte superiore selezionare Riavvia sincronizzazione.

Rimuovere una configurazione

Per eliminare una configurazione, seguire questa procedura.

1. Accedi all'interfaccia di amministrazione di Microsoft Entra come almeno un amministratore di identità ibrida .

2. Accedere a Entra ID>Entra Connect>Cloud sincronizzazione.

   

3. In Configurazione selezionare la configurazione.

4. Nella parte superiore della schermata di configurazione selezionare Elimina configurazione.

Importante

Non viene visualizzata alcuna conferma prima di eliminare una configurazione. Assicurarsi che questa sia l'azione che si vuole eseguire prima di selezionare Elimina.

Passaggi successivi

• Writeback dei gruppi con la sincronizzazione cloud di Microsoft Entra
• Gestire le app locali basate su Active Directory (Kerberos) usando Microsoft Entra ID Governance
• Eseguire la migrazione del writeback dei gruppi di Microsoft Entra Connect Sync V2 alla sincronizzazione cloud di Microsoft Entra
• Definizione dell'ambito del filtro e del mapping degli attributi - MICROSOFT Entra ID to Active Directory