Gewijzigde standaardregels in Microsoft Entra-Verbinding maken opgelost
Microsoft Entra Verbinding maken maakt gebruik van standaardregels voor synchronisatie. Helaas zijn deze regels niet universeel van toepassing op alle organisaties. Op basis van uw vereisten moet u deze mogelijk wijzigen. In dit artikel worden twee voorbeelden van de meest voorkomende aanpassingen besproken en wordt de juiste manier uitgelegd om deze aanpassingen te bewerkstelligen.
Notitie
Het wijzigen van bestaande standaardregels om een benodigde aanpassing te bereiken, wordt niet ondersteund. Als u dat doet, verhindert u dat deze regels worden bijgewerkt naar de nieuwste versie in toekomstige releases. U krijgt niet de foutoplossingen die u nodig hebt of nieuwe functies. In dit document wordt uitgelegd hoe u hetzelfde resultaat kunt bereiken zonder de bestaande standaardregels te wijzigen.
Gewijzigde standaardregels identificeren
Vanaf versie 1.3.7.0 van Microsoft Entra Verbinding maken is het eenvoudig om de gewijzigde standaardregel te identificeren. Ga naar Toepassingen op het bureaublad en selecteer Synchronisatieregelseditor.
In de editor worden gewijzigde standaardregels aangeduid met een waarschuwingspictogram voor de naam.
Een uitgeschakelde regel met dezelfde naam ernaast wordt ook weergegeven (dit is de standaardregel).
Veelvoorkomende aanpassingen
Hier volgen veelvoorkomende aanpassingen aan de standaardregels:
- Kenmerkstroom wijzigen
- Bereikfilter wijzigen
- Join-voorwaarde wijzigen
Voordat u regels wijzigt:
Schakel de synchronisatieplanner uit. De planner wordt standaard elke 30 minuten uitgevoerd. Zorg dat deze niet wordt gestart terwijl u wijzigingen aanbrengt en problemen met uw nieuwe regels oplost. Om de planner tijdelijk uit te schakelen, start u PowerShell en voert u
Set-ADSyncScheduler -SyncCycleEnabled $falseuit.
De wijziging in het bereikfilter kan leiden tot het verwijderen van objecten in de doelmap. Wees voorzichtig met het aanbrengen van wijzigingen in het bereik van objecten. U wordt aangeraden wijzigingen aan te brengen op een faseringsserver voordat u wijzigingen aanbrengt op de actieve server.
Voer een proef uit op één object, zoals vermeld in de sectie Synchronisatieregel valideren, nadat u een nieuwe regel hebt toegevoegd.
Voer een volledige synchronisatie uit nadat u een nieuwe regel hebt toegevoegd of een aangepaste synchronisatieregel hebt gewijzigd. Met deze synchronisatie worden nieuwe regels toegepast op alle objecten.
Kenmerkstroom wijzigen
Er zijn drie verschillende scenario's voor het wijzigen van de kenmerkstroom:
- Een nieuw kenmerk toevoegen.
- De waarde van een bestaand kenmerk overschrijven.
- Ervoor kiezen een bestaand kenmerk niet te synchroniseren.
U kunt deze doen zonder standaardregels te wijzigen.
Een nieuw kenmerk toevoegen
Als u merkt dat een kenmerk niet van uw bronmap naar de doelmap stroomt, gebruikt u de Microsoft Entra Verbinding maken Sync: Adreslijstextensies om dit op te lossen.
Als de extensies niet voor u werken, probeer dan twee nieuwe synchronisatieregels toe te voegen, zoals beschreven in de volgende secties.
Een regel voor inkomende synchronisatie toevoegen
Een regel voor inkomende synchronisatie betekent dat de bron van het kenmerk een connectorgebied is en dat het doel de metaverse is. Als u bijvoorbeeld een nieuwe kenmerkstroom wilt hebben van on-premises Active Directory naar Microsoft Entra ID, maakt u een nieuwe regel voor binnenkomende synchronisatie. Start de Synchronisatieregeleditor, selecteer Inkomend als richting en selecteer Nieuwe regel toevoegen.
Volg uw eigen naamconventie om de regel een naam te geven. Hier gebruiken we Aangepast in van AD - Gebruiker. Dit betekent dat de regel een aangepaste regel is en een binnenkomende regel is van het Active Directory-connectorgebied naar de metaverse.
Geef uw eigen beschrijving van de regel op, zodat toekomstig onderhoud van de regel eenvoudig is. De beschrijving kan bijvoorbeeld zijn gebaseerd op wat het doel van de regel is en waarom deze nodig is.
Selecteer opties in de velden Verbonden systeem, Objecttype verbonden systeem en Objecttype metaverse.
Geef de prioriteitswaarde op van 0 t/m 99 (hoe lager het getal, hoe hoger de prioriteit). Gebruik de standaardselecties voor de velden Tag, Wachtwoordsynchronisatie inschakelen en Uitgeschakeld.
Houd Bereikfilter leeg. Dit betekent dat de regel van toepassing is op alle objecten die zijn gejoined tussen het verbonden Active Directory-systeem en de metaverse.
Houd Join-regels leeg. Dit betekent dat deze regel gebruikmaakt van de join-voorwaarde gedefinieerd in de standaardregel. Dit nog een reden om de standaardregel niet uit te schakelen of te verwijderen. Als er geen join-voorwaarde is, stroomt het kenmerk niet.
Voeg passende transformaties toe voor uw kenmerk. U kunt een constante toewijzen om een constante naar uw doelkenmerk te laten stromen. U kunt directe toewijzing tussen het bron- en doelkenmerk gebruiken. Of u kunt een expressie gebruiken voor het kenmerk. Hier volgen verschillende expressiefuncties die u kunt gebruiken.
Een regel voor uitgaande synchronisatie toevoegen
Om het kenmerk aan de doelmap te koppelen, moet u een uitgaande regel maken. Dat betekent dat de bron de metaverse is en dat het doel het verbonden systeem is. Om een uitgaande regel te maken, start u de Synchronisatieregeleditor. Wijzig de Richting in Uitgaand en selecteer Nieuwe regel toevoegen.
Net als bij de inkomende regel, kunt u uw eigen naamconventie gebruiken om de regel een naam te geven. Selecteer het Verbinding maken ed System als de Microsoft Entra-tenant en selecteer het verbonden systeemobject waarop u de kenmerkwaarde wilt instellen. Stel de prioriteit in tussen 0 en 99.
Houd Bereikfilter en Joinregels leeg. Vul de transformatie in als constante, directe of expressie.
U weet nu hoe u een nieuw kenmerk maakt voor een gebruikersobjectstroom van Active Directory naar Microsoft Entra-id. U kunt deze stappen gebruiken om elk kenmerk van elk object toe te wijzen aan bron en doel. Zie Aangepaste synchronisatieregels maken en Voorbereiden voor het inrichten van gebruikers voor meer informatie.
De waarde van een bestaand kenmerk overschrijven
Mogelijk wilt u de waarde overschrijven van een kenmerk dat al is toegewezen. Als u bijvoorbeeld altijd een null-waarde wilt instellen op een kenmerk in Microsoft Entra ID, maakt u alleen een regel voor inkomend verkeer. Maak de expressiewaarde, AuthoritativeNull, stroom naar het doelkenmerk.
Notitie
Gebruik AuthoritativeNull in plaats van Null in dit geval. Dit komt doordat de niet-null-waarde de null-waarde vervangt, zelfs als deze een lagere prioriteit heeft (een hogere getalwaarde in de regel). AuthoritativeNull wordt daarentegen niet vervangen door een niet-null-waarde door andere regels.
Bestaand kenmerk niet synchroniseren
Als u een kenmerk wilt uitsluiten van synchronisatie, gebruikt u de kenmerkfilterfunctie die is opgegeven in Microsoft Entra Verbinding maken. Start Microsoft Entra Verbinding maken vanaf het bureaubladpictogram en selecteer vervolgens Synchronisatieopties aanpassen.
Zorg ervoor dat microsoft Entra-app- en kenmerkfiltering is geselecteerd en selecteer Volgende.
Deselecteer de kenmerken die u wilt uitsluiten van synchronisatie.
Bereikfilter wijzigen
Azure AD Sync zorgt voor de meeste objecten. U kunt het bereik van objecten beperken en het aantal te exporteren objecten verminderen zonder de standaardsynchronisatieregels te wijzigen.
Gebruik een van de volgende methoden om het bereik van de objecten die u synchroniseert te beperken:
- Kenmerk cloudFiltered
- Filteren van organisatie-eenheden
Als u het bereik beperkt van de gebruikers die worden gesynchroniseerd, stopt de synchronisatie van wachtwoordhashes ook voor de uitgefilterde gebruikers. Als de objecten al worden gesynchroniseerd nadat u het bereik hebt beperkt, worden de gefilterde objecten verwijderd uit de doelmap. Zorg er daarom voor dat u het bereik zeer zorgvuldig beperkt.
Belangrijk
Het verhogen van het bereik van objecten die zijn geconfigureerd door Microsoft Entra Verbinding maken wordt niet aanbevolen. Dit maakt het voor het Microsoft-ondersteuningsteam moeilijk om de aanpassingen te begrijpen. Als u het bereik van objecten moet vergroten, bewerk dan de bestaande regel, kloon deze en schakel de oorspronkelijke regel uit.
Kenmerk cloudFiltered
U kunt dit kenmerk niet instellen in Active Directory. Stel de waarde van dit kenmerk in door een nieuwe inkomende regel toe te voegen. Vervolgens kunt u Transformatie en Expressie gebruiken om dit kenmerk in te stellen in de metaverse. In het volgende voorbeeld wilt u geen gebruikers synchroniseren waarvan de naam van de afdeling begint met HRD (hoofdletterongevoelig):
cloudFiltered <= IIF(Left(LCase([department]), 3) = "hrd", True, NULL)
We hebben de afdeling eerst geconverteerd van bron (Active Directory) naar kleine letters. Vervolgens hebben we met de functie Left alleen de eerste drie tekens genomen en vergeleken met hrd. Als deze overeenkomt, wordt de waarde ingesteld op True, anders NULL. Bij het instellen van de waarde op null kan een andere regel met een lagere prioriteit (een hogere getalwaarde) ernaar schrijven met een andere voorwaarde. Voer een proef uit op één object om de synchronisatieregel te valideren, zoals vermeld in de sectie Synchronisatieregel valideren.
Organisatie-eenheden filteren
U kunt een of meer organisatie-eenheden (OE's) maken en de objecten verplaatsen die u niet wilt synchroniseren met deze OE's. Configureer vervolgens de OE-filtering in Microsoft Entra Verbinding maken. Start Microsoft Entra Verbinding maken vanaf het bureaubladpictogram en selecteer de volgende opties. U kunt de OE-filtering ook configureren op het moment van de installatie van Microsoft Entra Verbinding maken.
Volg de wizard en deselecteer de OE's die u niet wilt synchroniseren.
Join-voorwaarde wijzigen
Gebruik de standaardvoorwaarden voor deelname die zijn geconfigureerd door Microsoft Entra Verbinding maken. Als u de standaard Join-voorwaarden wijzigt, is het voor de Microsoft-ondersteuning moeilijk om de aanpassingen te begrijpen en het product te ondersteunen.
Synchronisatieregel valideren
U kunt de zojuist toegevoegde synchronisatieregel valideren met behulp van de previewfunctie, zonder de volledige synchronisatiecyclus uit te voeren. Selecteer synchronisatieservice in Microsoft Entra Verbinding maken.
Selecteer Metaverse zoeken. Selecteer het bereikobject als persoon, selecteer Component toevoegen en geef uw zoekcriteria op. Selecteer vervolgens Zoeken en dubbelklik op het object in de zoekresultaten. Zorg ervoor dat uw gegevens in Microsoft Entra Verbinding maken up-to-date zijn voor dat object door import en synchronisatie uit te voeren op het forest voordat u deze stap uitvoert.
Selecteer Connectors in Eigenschappen metaverse-object, selecteer het object in de desbetreffende connector (forest) en selecteer Eigenschappen....
Selecteer Preview…
Selecteer Preview genereren en Kenmerkstroom importeren in het linker deelvenster van het Preview-venster.
Hier ziet u dat de zojuist toegevoegde regel wordt uitgevoerd op het object en het kenmerk cloudFiltered op Waar heeft ingesteld.
Als u de gewijzigde regel wilt vergelijken met de standaardregel, exporteer dan beide regels afzonderlijk als tekstbestanden. Deze regels worden geëxporteerd als een PowerShell-scriptbestand. U kunt ze vergelijken met een hulpprogramma voor bestandsvergelijking (bijvoorbeeld WinDiff) om de wijzigingen te bekijken.
U ziet dat in de gewijzigde regel het kenmerk msExchMailboxGuid wordt gewijzigd naar het type Expressie, in plaats van Direct. De waarde wordt ook gewijzigd naar NULL en de optie ExecuteOnce. U kunt geïdentificeerde en prioriteitsverschillen negeren.
Als u uw regels wilt herstellen naar de standaardinstellingen, verwijder dan de gewijzigde regel en schakel de standaardregel in. Zorg dat u de aanpassing die u probeert te bewerkstelligen niet kwijtraakt. Voer Volledige synchronisatie uit wanneer u klaar bent.