Delen via

Bekende problemen voor de provisioning in Microsoft Entra ID

In dit artikel worden bekende problemen besproken waar u rekening mee moet houden wanneer u werkt met het inrichten van apps of synchronisatie tussen tenants. Als u feedback wilt geven over de service voor toepassingsinrichting op UserVoice, ziet u Microsoft Entra toepassing inrichting UserVoice. We houden UserVoice nauwlettend in de gaten, zodat we de dienst kunnen verbeteren.

Notitie

Dit artikel is geen uitgebreide lijst met bekende problemen. Als u weet wat een probleem is dat niet wordt vermeld, geeft u feedback onder aan de pagina.

Synchronisatie tussen tenants

Niet-ondersteunde synchronisatiescenario's

  • Groepen, apparaten en contactpersonen synchroniseren met een andere tenant
  • Gebruikers synchroniseren in clouds
  • Foto's synchroniseren tussen tenants
  • Contactpersonen synchroniseren en contactpersonen converteren naar B2B-gebruikers
  • Vergaderruimten synchroniseren tussen gebruikers

Exchange-kenmerken bijwerken, zoals proxyAddresses en HiddenFromAddressListEnabled

Synchronisatie tussen tenants kan gebruikerseigenschappen in Entra beheren. Exchange-kenmerken worden niet rechtstreeks beheerd. Voorbeeld:

  • ProxyAddresses is een alleen-lezen-eigenschap in Microsoft Graph. Het kan worden opgenomen als een bronkenmerk in uw toewijzingen, maar kan niet worden ingesteld als een doelkenmerk.
  • Synchronisatie tussen tenants kan het kenmerk ShowInAddressList in Entra bijwerken, maar kan hiddenFromAddressListEnabled niet rechtstreeks bijwerken in Exchange.
  • TargetAddress, dat is toegewezen aan de eigenschap ExternalEmailAddress in Microsoft Exchange Online, is niet beschikbaar als een kenmerk dat u kunt kiezen. Als u dit kenmerk wilt wijzigen, moet u dit handmatig doen via het vereiste object.

Gebruikers waarvoor sms-aanmelding is ingeschakeld, worden overgeslagen

Een externe gebruiker van de thuis(bron)tenant kan niet worden ingericht in een andere tenant. Interne gastgebruikers van de brontenant kunnen niet worden toegewezen aan een andere tenant. Alleen interne leden van de brontenant kunnen worden ingevuld in de doeltenant. Zie Eigenschappen van een Microsoft Entra B2B-samenwerkingsgebruiker voor meer informatie.

Bovendien kunnen gebruikers die zijn ingeschakeld voor sms-aanmelding, niet worden gesynchroniseerd via synchronisatie tussen tenants.

Het bijwerken van de eigenschap showInAddressList mislukt

Voor bestaande B2B-samenwerkingsgebruikers wordt het kenmerk showInAddressList bijgewerkt zolang de B2B-samenwerkingsgebruiker geen postvak heeft ingeschakeld in de doeltenant. Als het postvak is ingeschakeld in de doeltenant, gebruikt u de PowerShell-cmdlet Set-MailUser om de eigenschap HiddenFromAddressListsEnabled in te stellen op een waarde van $false.

Set-MailUser [GuestUserUPN] -HiddenFromAddressListsEnabled:$false

Waarbij [GuestUserUPN] de berekende UserPrincipalName is. Voorbeeld:

Set-MailUser guestuser1_contoso.com#EXT#@fabrikam.onmicrosoft.com -HiddenFromAddressListsEnabled:$false

Zie Over de Exchange Online PowerShell-module voor meer informatie.

E-mailkenmerk wordt niet bijgewerkt

Als aan de gebruiker in de doeltenant een exchange-licentie is toegewezen, kan synchronisatie tussen tenants het e-mailkenmerk niet bijwerken. U kunt dit omzeilen door de exchange-licentie voor de gebruiker te verwijderen, het e-mailkenmerk bij te werken en de licentie opnieuw toe te wijzen aan de gebruiker.

Synchronisatie van doeltenant configureren

Het configureren van synchronisatie vanuit de doeltenant wordt niet ondersteund. Alle configuraties moeten worden uitgevoerd in de brontenant. De doelbeheerder kan synchronisatie tussen tenants op elk gewenst moment uitschakelen.

Twee gebruikers in de brontenant zijn gekoppeld aan dezelfde gebruiker in de doeltenant.

Wanneer twee gebruikers in de brontenant dezelfde e-mail hebben en ze beide moeten worden gemaakt in de doeltenant, wordt één gebruiker gemaakt in het doel en gekoppeld aan de twee gebruikers in de bron. Zorg ervoor dat het e-mailkenmerk niet wordt gedeeld tussen gebruikers in de brontenant. Zorg er bovendien voor dat de e-mail van de gebruiker in de brontenant afkomstig is van een geverifieerd domein. De externe gebruiker zal niet succesvol aangemaakt worden als de e-mail afkomstig is van een niet-geverifieerd domein.

Gebruik van Microsoft Entra B2B-samenwerking voor toegang tussen tenants

Autorisatie

Kan de inrichtingsmodus niet opnieuw wijzigen naar handmatig

Wanneer u de inrichting voor de eerste keer configureert, ziet u dat de inrichtingsmodus is overgeschakeld van handmatig naar automatisch. U kunt deze niet meer wijzigen in handmatig. U kunt de voorziening echter uitschakelen via de gebruikersinterface. Het uitschakelen van de voorziening in de gebruikersinterface heeft hetzelfde effect als het instellen van de vervolgkeuzelijst op handmatig.

Kenmerktoewijzingen

Kenmerk SamAccountName of userType niet beschikbaar als bronkenmerk

De kenmerken SamAccountName en userType zijn niet beschikbaar als bronkenmerken. U kunt in plaats daarvan een kenmerk van de mapextensie gebruiken als tijdelijke oplossing. Zie Ontbrekend bronkenmerk voor meer informatie.

Keuzelijst voor bronkenmerk ontbreekt bij schema-extensie

Extensies voor uw schema kunnen soms ontbreken in de bronattribuut vervolgkeuzelijst in de UI. Ga naar de geavanceerde instellingen van uw kenmerktoewijzingen en voeg de kenmerken handmatig toe. Voor meer informatie, zie Kenmerktoewijzingen aanpassen.

Null-kenmerk kan niet worden ingericht

Microsoft Entra-id kan momenteel geen null-kenmerken inrichten. Als een kenmerk null is voor het gebruikersobject, wordt het overgeslagen.

Speciale tekens worden niet ondersteund bij het samenvoegen van eigenschappen

Microsoft Entra ID kan momenteel geen filterquery's uitvoeren op waarden die speciale tekens bevatten. Daarom mislukt een provisioneringspoging van een resource (gebruiker of groep) met een speciaal teken in filterkenmerken. Een voorbeeld is dat een groep met een speciaal teken op de naam kan worden gemaakt op Microsoft Entra-id, maar niet kan worden gesynchroniseerd met een doelsysteem.

Maximum aantal tekens voor expressies voor kenmerktoewijzing

Expressies voor kenmerktoewijzing mogen maximaal 10.000 tekens bevatten.

Niet-ondersteunde bereikfilters

De kenmerken appRoleAssignments, userType, manager en datumtype (bijvoorbeeld StatusHireDate, startDate, endDate, StatusTerminationDate, accountExpires) worden niet ondersteund als bereikfilters.

OtherMails mag niet worden opgenomen in uw kenmerktoewijzingen als doelkenmerk

De eigenschap otherMails wordt automatisch berekend in de doeltenant. Wijzigingen in het gebruikersobject dat rechtstreeks in de doeltenant is aangebracht, kunnen ertoe leiden dat de andereMails-eigenschap wordt bijgewerkt en de waarde die is ingesteld door synchronisatie tussen tenants, wordt overschreven. Als gevolg hiervan mogen andereMails niet worden opgenomen in uw kenmerktoewijzingen voor kruistenantsynchronisatie als doelkenmerk.

Directory-extensies met meerdere waarden

Directory-extensies met meerdere waarden kunnen niet worden gebruikt in kenmerktoewijzingen of scopingsfilters.

Serviceproblemen

Niet-ondersteunde scenario's

  • Het inrichten van wachtwoorden wordt niet ondersteund.
  • Het configureren van geneste groepen buiten de eerste niveau wordt niet ondersteund.
  • Voorziening wordt niet ondersteund voor B2C-tenants, zowel naar als vanuit de tenant.
  • Provisioning wordt niet ondersteund voor tenants met een externe ID, inclusief in of uit de tenant.
  • Niet alle provisioning-apps zijn beschikbaar in alle clouds.

Automatische voorziening is niet beschikbaar voor mijn OIDC-gebaseerde toepassing.

Als u een app-registratie maakt, wordt de bijbehorende service-principal in bedrijfsapps niet ingeschakeld voor automatische inrichting van gebruikers. U moet verzoeken dat de app wordt toegevoegd aan de galerij, indien bedoeld voor gebruik door meerdere organisaties, of een tweede niet-galerij-app maken voor voorziening.

Manager is niet geconfigureerd

Als een gebruiker en hun manager beiden tot de reikwijdte van provisioning behoren, zal de service de gebruiker inrichten en vervolgens de manager bijwerken. Als de gebruiker op dag één binnen het bereik valt en de manager buiten het bereik valt, richten we de gebruiker in zonder de managerreferentie. Wanneer de manager binnen het bereik komt, wordt de verwijzing naar de manager pas bijgewerkt wanneer u het inrichtingsproces opnieuw start, waardoor de service alle gebruikers opnieuw evalueert.

Het provisioneringsinterval is vast.

De tijd tussen voorzieningscycli is momenteel niet configureerbaar.

Wijzigingen die niet van de doeltoepassing naar Microsoft Entra ID worden verplaatst

De app-provisioningservice is niet op de hoogte van wijzigingen die zijn aangebracht in externe apps. Er wordt dus geen actie ondernomen om terug te keren. De app-voorzieningsservice is afhankelijk van wijzigingen die zijn aangebracht in Microsoft Entra ID.

Overschakelen van Alles synchroniseren naar Sync Assigned werkt niet

Nadat u het bereik hebt gewijzigd van Alles synchroniseren naar Sync Assigned, moet u ook een herstart uitvoeren om ervoor te zorgen dat de wijziging van kracht wordt. U kunt het opnieuw opstarten vanuit de gebruikersinterface uitvoeren.

De inrichtingscyclus wordt voortgezet totdat deze is voltooid

Wanneer u het inrichten instelt op enabled = off of Stop selecteert, blijft de huidige inrichtingscyclus actief totdat deze is voltooid. De service stopt met het uitvoeren van toekomstige cycli totdat u de voorziening weer inschakelt.

Lid van groep niet aangewezen

Wanneer een groep binnen de scope valt en een lid buiten de scope valt, wordt de groep geconfigureerd. De gebruiker buiten de reikwijdte wordt niet aangemaakt. Als het lid weer binnen het bereik komt, detecteert de service de wijziging niet onmiddellijk. Het herstarten van provisioning lost het probleem op. Start de service regelmatig opnieuw om ervoor te zorgen dat alle gebruikers correct zijn ingericht.

Wereldwijde Lezer

De rol Global Reader kan de voorzieningsconfiguratie niet lezen. Maak een aangepaste rol met de microsoft.directory/applications/synchronization/standard/read machtiging om de inrichtingsconfiguratie te lezen vanuit het Microsoft Entra-beheercentrum.

Microsoft Azure Government Cloud

Referenties, waaronder het geheime token, de e-mailmelding en de SSO-certificaatmeldingen per e-mail, hebben samen een limiet van 1 KB in de Microsoft Azure Government Cloud.

Inrichting van on-premises toepassingen

Dit is een huidige lijst met bekende beperkingen met de Microsoft Entra ECMA Connector Host en on-premises toepassingsinrichting.

Applicatie en directories

De volgende toepassingen en mappen worden nog niet ondersteund.

Active Directory-domeindiensten (terugschrijven van gebruikers of groepen van Microsoft Entra ID met behulp van de on-premises provisioning preview)

  • Wanneer een gebruiker wordt beheerd door Microsoft Entra Connect, is de bron van autoriteit on-premises Active Directory-domein Services. Gebruikerskenmerken kunnen dus niet worden gewijzigd in Microsoft Entra-id. In deze preview wordt de bron van autoriteit niet gewijzigd voor gebruikers die worden beheerd door Microsoft Entra Connect.
  • Als u Microsoft Entra Connect en de on-premises inrichting probeert te gebruiken om groepen of gebruikers in te richten in Active Directory-domein Services, kan dit leiden tot het maken van een lus, waarbij Microsoft Entra Connect een wijziging kan overschrijven die is aangebracht door de inrichtingsservice in de cloud. Microsoft werkt aan een speciale mogelijkheid voor het terugschrijven van groepen of gebruikers. Upvote de UserVoice-feedback op deze website om de status van de preview bij te houden. U kunt ook Microsoft Identity Manager gebruiken voor het terugschrijven van gebruikers of groepen van Microsoft Entra-ID naar Active Directory.

Microsoft Entra ID

Door on-premises provisioning te gebruiken, kunt u een gebruiker die al in Microsoft Entra ID staat, opnemen en inrichten in een applicatie van derden. U kunt een gebruiker niet in de directory brengen vanuit een toepassing van derden. Klanten moeten vertrouwen op onze systeemeigen HR-integraties, Microsoft Entra Connect, Microsoft Identity Manager of Microsoft Graph, om gebruikers in de directory te brengen.

Kenmerken en objecten

De volgende kenmerken en objecten worden niet ondersteund:

  • Kenmerken met meerdere waarden.
  • Referentiekenmerken (bijvoorbeeld manager).
  • Groepen.
  • Complexe ankers (bijvoorbeeld ObjectTypeName+UserName).
  • Kenmerken met tekens zoals '.' of '['
  • Binaire kenmerken.
  • On-premises toepassingen worden soms niet gefedereerd met Microsoft Entra-id en vereisen lokale wachtwoorden. De preview-versie van de on-premises voorziening biedt geen ondersteuning voor wachtwoordsynchronisatie. Het inrichten van eerste eenmalige wachtwoorden wordt ondersteund. Zorg ervoor dat u de redact-functie gebruikt om de wachtwoorden uit de logboeken te redacteren. In de SQL- en LDAP-connectors worden de wachtwoorden niet geëxporteerd bij de eerste aanroep naar de toepassing, maar in plaats daarvan een tweede aanroep met een ingesteld wachtwoord.

SSL-certificaten

Voor de Microsoft Entra ECMA Connector-host is momenteel een SSL-certificaat vereist dat door Azure wordt vertrouwd, of het gebruik van de inrichtingsagent. Het certificaatonderwerp moet overeenkomen met de hostnaam waarop de Microsoft Entra ECMA Connector-host is geïnstalleerd.

Ankerkenmerken

De Microsoft Entra ECMA Connector-host biedt momenteel geen ondersteuning voor wijzigingen in ankerkenmerken (hernoemingen) of doelsystemen, waarvoor meerdere kenmerken nodig zijn om een anker te vormen.

Kenmerkdetectie en -toewijzing

De kenmerken die door de doeltoepassing worden ondersteund, worden gedetecteerd en weergegeven in het Microsoft Entra-beheercentrum in kenmerktoewijzingen. Nieuw toegevoegde kenmerken zullen blijven worden ontdekt. Als een kenmerktype is gewijzigd, bijvoorbeeld van string naar Boolean, en het kenmerk maakt deel uit van de toewijzingen, dan wordt het type niet automatisch gewijzigd in het Microsoft Entra-beheercentrum. Klanten moeten geavanceerde instellingen in toewijzingen invoeren en het kenmerktype handmatig bijwerken.

Voorzieningsagent

  • De agent biedt momenteel geen ondersteuning voor automatische updates voor het on-premises toepassingsinrichtingsscenario. We werken actief aan het sluiten van deze kloof en zorgen ervoor dat automatisch bijwerken standaard is ingeschakeld en vereist is voor alle klanten.
  • Dezelfde inrichtingsagent kan niet worden gebruikt voor het inrichten van on-premises apps en het inrichten van cloudsynchronisatie/HR-gestuurde inrichting.

Volgende stappen

Hoe voorzieningen werken