Azure AD Connect 프로비저닝 에이전트 설치

아티클
02/15/2023
읽는 데 11분 걸림

이 문서에서는 Azure AD(Azure Active Directory) Connect 프로비저닝 에이전트의 설치 프로세스와 Azure Portal에 이를 처음으로 구성하는 방법을 안내합니다.

중요

다음 설치 지침에서는 모든 필수 구성 요소를 충족한다고 가정합니다.

참고

이 문서에서는 마법사를 사용하여 프로비저닝 에이전트를 설치하는 방법을 다룹니다. CLI를 사용하여 Azure AD Connect 프로비저닝 에이전트를 설치하는 방법에 대한 자세한 내용은 CLI 및 PowerShell을 사용하여 Azure AD Connect 프로비저닝 에이전트 설치를 참조하세요.

자세한 내용과 예제는 다음 비디오를 참조하세요.

Group Managed Service Accounts

gMSA(그룹 관리 서비스 계정)는 자동 암호 관리, 간소화된 SPN(서비스 사용자 이름) 관리 및 다른 관리자에게 관리를 위임하는 기능을 제공하는 관리되는 도메인 계정입니다. gMSA는 또한 여러 서버에 걸쳐 이 기능을 확장합니다. Azure AD Connect 클라우드 동기화는 에이전트를 실행하기 위해 gMSA를 지원하고 권장합니다. 자세한 내용은 그룹 관리 서비스 계정을 참조하세요.

gMSA를 사용하도록 기존 에이전트 업데이트

설치 중에 만든 그룹 관리 서비스 계정을 사용하도록 기존 에이전트를 업데이트하려면 AADConnectProvisioningAgent.msi를 실행하여 에이전트 서비스를 최신 버전으로 업그레이드합니다. 이제 설치 마법사를 다시 실행하고, 이 작업을 수행하라는 메시지가 표시되면 계정을 만들 자격 증명을 제공합니다.

에이전트 설치

Azure Portal에서 Azure Active Directory를 선택합니다.
왼쪽에서 Azure AD 연결을 선택합니다.
왼쪽에서 클라우드 동기화를 선택합니다.

왼쪽에서 에이전트를 선택합니다.
온-프레미스 에이전트 다운로드를 선택하고 조건 다운로드 수락을 &선택합니다.

Azure AD Connect 프로비저닝 에이전트 패키지 다운로드가 완료되면 다운로드 폴더에서 AADConnectProvisioningAgentSetup.exe 설치 파일을 실행합니다.
시작 화면에서 라이선스 및 사용 약관에 동의함, 설치를 차례로 선택합니다.

설치 작업이 완료되면 구성 마법사가 시작됩니다. 다음을 선택하여 구성을 시작합니다.
확장 선택 화면에서 HR 기반 프로비저닝(Workday 및 SuccessFactors) /Azure AD 클라우드 동기화 연결을 선택하고 다음을 클릭합니다.

참고

온-프레미스 앱 프로비저닝에 사용할 프로비전 에이전트를 설치하는 경우 온-프레미스 애플리케이션 프로비저닝(애플리케이션에 Azure AD)을 선택합니다.

Azure AD 글로벌 관리자 계정으로 로그인합니다. Internet Explorer 보안 강화를 사용하도록 설정하면 로그인이 차단됩니다. 이 경우 설치를 닫고, Internet Explorer 보안 강화를 사용하지 않도록 설정한 다음, Azure AD Connect 프로비저닝 에이전트 패키지 설치를 다시 시작합니다.

서비스 계정 구성 화면에서 gMSA(그룹 관리 서비스 계정)를 선택합니다. 이 계정은 에이전트 서비스를 실행하는 데 사용됩니다. 관리되는 서비스 계정이 도메인에 이미 구성된 경우 이 화면을 건너뛰어도 됩니다. 선택하라는 메시지가 표시되면 다음 중 하나를 선택합니다.

gMSA 만들기: 에이전트가 provAgentgMSA$ 관리되는 서비스 계정을 만들 수 있습니다. 그룹 관리 서비스 계정(예: CONTOSO\provAgentgMSA$)은 호스트 서버가 조인된 동일한 Active Directory 도메인에 만들어집니다. 이 옵션을 사용하려면 Active Directory 도메인 관리자 자격 증명을 입력합니다.
사용자 지정 gMSA를 사용하고 관리되는 서비스 계정의 이름을 제공합니다.

계속하려면 다음을 선택합니다.

Active Directory 연결 화면에서 도메인 이름이 구성된 도메인 아래에 표시되면 다음 단계로 건너뜁니다. 그렇지 않으면 Active Directory 도메인 이름을 입력하고 디렉터리 추가를 선택합니다.
Active Directory 도메인 관리자 계정으로 로그인합니다. 도메인 관리자 계정에는 암호 변경 요구 사항이 없어야 합니다. 암호가 만료되거나 변경되는 경우 새 자격 증명을 사용하여 에이전트를 다시 구성해야 합니다. 이 작업을 수행하면 온-프레미스 디렉터리가 추가됩니다. 확인을 선택하고 다음을 선택하여 계속합니다.

다음 스크린샷은 contoso.com 구성된 도메인의 예를 보여 줍니다. 다음을 선택하여 계속합니다.

구성 완료 화면에서 확인을 선택합니다. 이 작업을 수행하면 에이전트가 등록되고 다시 시작됩니다.
이 작업이 완료되면 에이전트 구성이 확인되었습니다.라는 알림이 표시됩니다. 종료를 선택할 수 있습니다.

초기 시작 화면이 계속 표시되면 닫기를 선택합니다.

에이전트 설치 확인

에이전트 확인은 Azure Portal 및 에이전트를 실행하는 로컬 서버에서 수행됩니다.

Azure Portal에서 에이전트 확인

에이전트가 Azure AD 등록되고 있는지 확인하려면 다음 단계를 수행합니다.

Azure Portal에 로그인합니다.
Azure Active Directory를 선택합니다.
Azure AD 연결을 선택한 다음 클라우드 동기화를 선택합니다.
클라우드 동기화 페이지에 설치한 에이전트가 표시됩니다. 에이전트가 표시되고 상태가 정상인지 확인 합니다.

로컬 서버에서 에이전트 확인

에이전트가 실행되는지 확인하려면 다음 단계를 수행합니다.

관리자 계정으로 서버에 로그인합니다.
1. 서비스로 이동하거나 시작/실행/Services.msc로 이동하여 서비스를 엽니다.
서비스에서Microsoft Azure AD Connect Agent Updater 및 Microsoft Azure AD Connect Provisioning Agent가 있고 상태가 실행 중인지 확인합니다.

중요

에이전트를 설치한 후에는 사용자 동기화를 시작하기 전에 에이전트를 구성하고 사용하도록 설정해야 합니다. 새 에이전트를 구성하려면 Azure AD Connect 클라우드 동기화에 대한 새 구성 만들기를 참조하세요.

Azure AD Connect 클라우드 동기화에서 비밀번호 쓰기 저장 사용

비밀번호 쓰기 저장을 사용하고 SSPR(셀프 서비스 암호 재설정) 서비스를 사용하도록 설정하여 클라우드 동기화 에이전트를 검색하려면 cmdlet 및 테넌트의 전역 관리자 자격 증명을 사용합니다Set-AADCloudSyncPasswordWritebackConfiguration.

 Import-Module "C:\\Program Files\\Microsoft Azure AD Connect Provisioning Agent\\Microsoft.CloudSync.Powershell.dll" 
 Set-AADCloudSyncPasswordWritebackConfiguration -Enable $true -Credential $(Get-Credential)

Azure AD Connect 클라우드 동기화에서 암호 쓰기 저장을 사용하는 방법에 대한 자세한 내용은 자습서: 온-프레미스 환경에 대한 클라우드 동기화 셀프 서비스 암호 재설정 쓰기 저장 사용(미리 보기)을 참조하세요.

미국 정부 클라우드에 에이전트 설치

기본적으로 Azure AD Connect 프로비저닝 에이전트는 기본 Azure 환경에 설치됩니다. 미국 정부용 에이전트를 설치하는 경우 이전 설치 절차의 7단계에서 이 변경을 수행합니다.

파일 열기를 선택하는 대신실행시작을> 선택한 다음 ,AADConnectProvisioningAgentSetup.exe 파일로 이동합니다. 실행 상자의 실행 파일 뒤에 ENVIRONMENTNAME=AzureUSGovernment를 입력한 다음 확인을 선택합니다.

클라우드 동기화를 통한 암호 해시 동기화 및 FIPS

FIPS(Federal Information Processing Standard)에 따라 서버가 잠겨 있으면 MD5(메시지 다이제스트 알고리즘 5)가 비활성화됩니다.

암호 해시 동기화에 MD5를 사용하도록 설정하려면 다음을 수행합니다.

%programfiles%\Microsoft Azure AD Connect 프로비저닝 에이전트로 이동합니다.
AADConnectProvisioningAgent.exe.config엽니다.
파일 맨 위에 있는 구성/런타임 노드로 이동합니다.
노드를 추가합니다 <enforceFIPSPolicy enabled="false"/> .
변경 내용을 저장합니다.

참고로 코드는 다음 코드 조각과 같이 표시됩니다.

<configuration>
   <runtime>
      <enforceFIPSPolicy enabled="false"/>
   </runtime>
</configuration>

보안 및 FIPS에 대한 자세한 내용은 Azure AD 암호 동기화, 암호화 및 FIPS 규정 준수를 참조하세요.