Microsoft Entra Połączenie Health — często zadawane pytania

Aby przełączyć się między różnymi dzierżawami firmy Microsoft Entra, wybierz aktualnie zalogowaną nazwę użytkownika w prawym górnym rogu, a następnie wybierz odpowiednie konto. Jeśli konto nie znajduje się na liście, wybierz pozycję Wyloguj się. Następnie użyj poświadczeń globalnego Administracja istratora katalogu z włączonym identyfikatorem Microsoft Entra ID P1 lub P2 (P1 lub P2).

W poniższej tabeli wymieniono role i obsługiwane wersje systemu operacyjnego.

Instalacje systemu Windows Server Core nie są obsługiwane.

Funkcje udostępniane przez usługę mogą się różnić w zależności od roli i systemu operacyjnego. Wszystkie funkcje mogą być niedostępne dla wszystkich wersji systemu operacyjnego. Aby uzyskać szczegółowe informacje, zobacz opisy funkcji.

• Pierwszy Połączenie Agent kondycji wymaga co najmniej jednej licencji Microsoft Entra P1 lub P2.
• Każdy dodatkowy zarejestrowany agent wymaga 25 kolejnych licencji firmy Microsoft Entra P1 lub P2.
• Liczba agentów jest równoważna całkowitej liczbie agentów zarejestrowanych we wszystkich monitorowanych rolach (AD FS, Microsoft Entra Połączenie i/lub AD DS).
• Licencjonowanie microsoft Entra Połączenie Health nie wymaga przypisania licencji do określonych użytkowników. Wymagana jest tylko wymagana liczba prawidłowych licencji.

Informacje o licencjonowaniu znajdują się również na stronie cennika firmy Microsoft Entra.

Przykład:

Tak, wszyscy agenci zostaną automatycznie zaktualizowani po utworzeniu nowej wersji agenta.

Nie, automatyczne uaktualnianie jest obowiązkowe. Jeśli nie chcesz, aby agent został uaktualniony po wydaniu nowej wersji, należy odinstalować agenta.

Wpływ instalowania agenta microsoft Entra Połączenie Health Agent, usług AD FS, serwerów proxy aplikacji internetowej, serwerów Microsoft Entra Połączenie (synchronizacja), kontrolery domeny są minimalne w odniesieniu do procesora CPU, zużycia pamięci, przepustowości sieci i magazynu.

Poniżej przedstawiono przybliżenie liczb:

• Użycie procesora CPU: wzrost o ok. 1–5%.
• Zużycie pamięci: do 10 % całkowitej pamięci systemowej.

• Magazyn buforu lokalnego dla agentów usługi Microsoft Entra Połączenie Health: ~20 MB.
• W przypadku serwerów usług AD FS zalecamy aprowizację miejsca na dysku 1024 MB (1 GB) dla kanału inspekcji usług AD FS dla firmy Microsoft Entra Połączenie Agentów kondycji, aby przetworzyć wszystkie dane inspekcji przed jego zastąpieniem.

L.p. Instalacja agentów nie będzie wymagać ponownego uruchomienia serwera. Jednak instalacja niektórych kroków wymagań wstępnych może wymagać ponownego uruchomienia serwera.

Na przykład instalacja programu .NET 4.6.2 Framework może wymagać ponownego uruchomienia serwera.

Tak. W przypadku bieżących operacji można skonfigurować agenta kondycji tak, aby używał serwera proxy HTTP do przekazywania wychodzących żądań HTTP. Przeczytaj więcej na temat konfigurowania serwera proxy HTTP dla agentów kondycji.

Jeśli musisz skonfigurować serwer proxy podczas rejestracji agenta, może być konieczne wcześniejsze zmodyfikowanie ustawień serwera proxy programu Internet Explorer.

1. Otwórz Ustawienia lan Ustawienia> Internet w programie> Internet Explorer >Połączenie ions.>
2. Wybierz pozycję Użyj serwera proxy dla sieci LAN.
3. Wybierz pozycję Zaawansowane , jeśli masz różne porty serwera proxy dla protokołów HTTP i HTTPS/Secure.

L.p. Mechanizm określania dowolnej nazwy użytkownika i hasła dla uwierzytelniania podstawowego nie jest obecnie obsługiwany.

Zapoznaj się z sekcją wymagań, aby zapoznać się z listą portów zapory i innymi wymaganiami dotyczącymi łączności.

Po usunięciu agenta z serwera serwer nie zostanie automatycznie usunięty z portalu Microsoft Entra Połączenie Health. Jeśli ręcznie usuniesz agenta z serwera lub usuniesz sam serwer, musisz ręcznie usunąć wpis serwera z portalu Microsoft Entra Połączenie Health. Aby usunąć monitorowane serwery z usługi Microsoft Entra Połączenie Health, musisz mieć uprawnienia konta microsoft Entra Global Administracja istrator lub rolę Współautor w kontroli dostępu opartej na rolach platformy Azure.

Możesz odtworzyć obraz serwera lub utworzyć nowy serwer z tymi samymi szczegółami (takimi jak nazwa maszyny). Jeśli nie usunięto jeszcze zarejestrowanego serwera z portalu Microsoft Entra Połączenie Health i zainstalowano agenta na nowym serwerze, mogą zostać wyświetlone dwa wpisy o tej samej nazwie.

W takim przypadku ręcznie usuń wpis należący do starszego serwera. Dane dla tego serwera powinny być nieaktualne.

L.p. Instalacja na serwerze Server Core nie jest obsługiwana.

Agent kondycji może nie zarejestrować się z następujących możliwych powodów:

• Agent nie może komunikować się z wymaganymi punktami końcowymi, ponieważ zapora blokuje ruch. Ten problem jest typowy na serwerach proxy aplikacji internetowej. Upewnij się, że zezwalasz na komunikację wychodzącą z wymaganymi punktami końcowymi i portami. Zobacz sekcję dotyczącą wymagań, aby uzyskać szczegółowe informacje.
• Komunikacja wychodząca jest poddawana inspekcji protokołu TLS przez warstwę sieciową. Powoduje to zastąpienie certyfikatu używanego przez agenta przez serwer inspekcji/jednostkę, a kroki ukończenia rejestracji agenta kończą się niepowodzeniem.
• Użytkownik nie ma dostępu do przeprowadzania rejestracji agenta. Administratorzy globalni domyślnie mają dostęp. Aby delegować dostęp do innych użytkowników, możesz użyć kontroli dostępu opartej na rolach (RBAC) platformy Azure.

Firma Microsoft Entra Połączenie Health generuje alert, gdy nie odbiera wszystkich punktów danych z serwera w ciągu ostatnich dwóch godzin. Dowiedz się więcej.

Nie, inspekcja nie musi być włączona na serwerach proxy aplikacji internetowej.

Alerty usługi Microsoft Entra Połączenie Health są rozwiązywane w warunku powodzenia. Firma Microsoft Entra Połączenie Health Agents wykrywa i okresowo zgłasza warunki powodzenia w usłudze. W przypadku kilku alertów pomijanie jest oparte na czasie. Innymi słowy, jeśli ten sam warunek błędu nie zostanie zaobserwowany w ciągu 72 godzin od wygenerowania alertu, alert zostanie automatycznie rozwiązany.

Program Microsoft Entra Połączenie Health dla usług AD FS generuje ten alert, gdy agent kondycji zainstalowany na serwerze usług AD FS nie może uzyskać tokenu w ramach syntetycznej transakcji zainicjowanej przez agenta kondycji. Agent kondycji używa lokalnego kontekstu systemu i próbuje uzyskać token dla jednostki uzależnionej. To zachowanie jest testem catch-all, aby upewnić się, że usługi AD FS są w stanie tokenów wystawiających.

Najczęściej ten test kończy się niepowodzeniem, ponieważ agent kondycji nie może rozpoznać nazwy farmy usług AD FS. Ten stan może wystąpić, jeśli serwery usług AD FS znajdują się za modułami równoważenia obciążenia sieciowego, a żądanie zostanie zainicjowane z węzła, który znajduje się za modułem równoważenia obciążenia (w przeciwieństwie do zwykłego klienta, który znajduje się przed modułem równoważenia obciążenia). Ten problem można rozwiązać, aktualizując plik "hosts" znajdujący się w obszarze "C:\Windows\System32\drivers\etc", aby uwzględnić adres IP serwera usług AD FS lub adres IP sprzężenia zwrotnego (127.0.0.1) dla nazwy farmy usług AD FS (na przykład sts.contoso.com). Dodanie pliku hosta spowoduje zwarcie wywołania sieciowego, co umożliwi agentowi kondycji pobranie tokenu.

Usługa Microsoft Entra Połączenie Health przeskanowała wszystkie monitorowane maszyny, aby upewnić się, że zainstalowano wymagane poprawki. Wiadomość e-mail została wysłana do administratorów dzierżawy, jeśli co najmniej jedna maszyna nie ma poprawek krytycznych. Następująca logika została użyta do ustalenia tej decyzji.

1. Znajdź wszystkie poprawki zainstalowane na maszynie.
2. Sprawdź, czy istnieje co najmniej jeden z hotfixes ze zdefiniowanej listy.
3. Jeśli tak, maszyna jest chroniona. Jeśli nie, maszyna jest zagrożona atakiem.

Aby wykonać to sprawdzanie ręcznie, możesz użyć następującego skryptu programu PowerShell. Implementuje on powyższą logikę.

Function CheckForMS17-010 ()
{
    $hotfixes = "KB3205409", "KB3210720", "KB3210721", "KB3212646", "KB3213986", "KB4012212", "KB4012213", "KB4012214", "KB4012215", "KB4012216", "KB4012217", "KB4012218", "KB4012220", "KB4012598", "KB4012606", "KB4013198", "KB4013389", "KB4013429", "KB4015217", "KB4015438", "KB4015546", "KB4015547", "KB4015548", "KB4015549", "KB4015550", "KB4015551", "KB4015552", "KB4015553", "KB4015554", "KB4016635", "KB4019213", "KB4019214", "KB4019215", "KB4019216", "KB4019263", "KB4019264", "KB4019472", "KB4015221", "KB4019474", "KB4015219", "KB4019473"

    #checks the computer it's run on if any of the listed hotfixes are present
    $hotfix = Get-HotFix -ComputerName $env:computername | Where-Object {$hotfixes -contains $_.HotfixID} | Select-Object -property "HotFixID"

    #confirms whether hotfix is found or not
    if (Get-HotFix | Where-Object {$hotfixes -contains $_.HotfixID})
    {
        "Found HotFix: " + $hotfix.HotFixID
    } else {
        "Didn't Find HotFix"
    }
}

CheckForMS17-010

Polecenie Get-MsolDirSyncProvisioningError zwróci tylko błędy aprowizacji narzędzia DirSync. Portal Połączenie Health pokazuje również inne typy błędów synchronizacji, takie jak błędy eksportu. Dowiedz się więcej o błędach usługi Microsoft Entra Połączenie Sync.

Użyj polecenia cmdlet programu PowerShell Get-AdfsProperties -AuditLevel , aby upewnić się, że dzienniki inspekcji nie są w stanie wyłączonym. Przeczytaj więcej na temat dzienników inspekcji usług AD FS. Zwróć uwagę, że istnieją zaawansowane ustawienia inspekcji wypychane do serwera usług AD FS, wszelkie zmiany z auditpol.exe zostaną zastąpione (zdarzenie, jeśli aplikacja wygenerowana nie jest skonfigurowana). W takim przypadku ustaw lokalne zasady zabezpieczeń, aby rejestrować błędy wygenerowane przez aplikację i powodzenie.

Certyfikat agenta zostanie automatycznie odnowiony 6 miesięcy przed datą wygaśnięcia. Jeśli nie zostanie odnowiona, upewnij się, że połączenie sieciowe agenta jest stabilne. Ponowne uruchomienie usług agenta lub aktualizacja do najnowszej wersji może również rozwiązać problem.

Pokrewne łącza

• Microsoft Entra Połączenie Health
• Instalacja programu Microsoft Entra Połączenie Health Agent
• Microsoft Entra Połączenie Health operations (Operacje usługi Microsoft Entra Połączenie Health)
• Używanie usługi Microsoft Entra Połączenie Health z usługami AD FS
• Używanie usługi Microsoft Entra Połączenie Health do celów synchronizacji
• Używanie usługi Microsoft Entra Połączenie Health z usługami AD DS
• Historia wersji programu Microsoft Entra Połączenie Health