Instalar o agente de provisionamento do Microsoft Entra
Este artigo descreve o processo de instalação do agente de provisionamento do Microsoft Entra e como configurá-lo inicialmente no centro de administração do Microsoft Entra.
Importante
As instruções de instalação a seguir consideram que você atendeu a todos os pré-requisitos.
Observação
Este artigo trata da instalação do agente de provisionamento usando o assistente. Para saber mais sobre como instalar o Agente de Provisionamento do Microsoft Entra usando uma CLI, confira Instalar o agente de provisionamento do Microsoft Entra usando uma CLI e o PowerShell.
Para obter mais informações e um exemplo, veja o seguinte vídeo:
Group Managed Service Accounts
Uma gMSA (Conta de Serviço Gerenciado de grupo) é uma conta de domínio gerenciado que fornece gerenciamento automático de senhas, gerenciamento de SPN (nome da entidade de serviço) simplificado e a capacidade de delegar o gerenciamento para outros administradores. Uma gMSA também estende essa funcionalidade para vários servidores. A Sincronização na Nuvem do Microsoft Entra dá suporte e recomenda o uso de uma gMSA para executar o agente. Para obter mais informações, consulte Contas de Serviço Gerenciado de Grupo.
Atualizar um agente existente para usar a gMSA
Para atualizar um agente existente para usar a conta de serviço gerenciado de grupo durante a instalação, atualize o serviço do agente para a versão mais recente executando AADConnectProvisioningAgent.msi. Agora execute o assistente de instalação novamente e forneça as credenciais para criar a conta quando solicitado.
Instalar o agente
- No portal do Azure, selecione Microsoft Entra ID.
- À esquerda, selecione Microsoft Entra Connect.
- À esquerda, selecione Sincronização na nuvem.
- À esquerda, selecione Agente.
- Selecione Baixar agente local e selecione Aceitar os termos e baixar.
- Depois que o Pacote do Agente de Provisionamento do Microsoft Entra Connect tiver concluído o download, execute o arquivo de instalação AADConnectProvisioningAgentSetup.exe da pasta de downloads.
Observação
Ao instalar para o uso da Nuvem do Governo dos EUA:
AADConnectProvisioningAgentSetup.exe ENVIRONMENTNAME=AzureUSGovernment
Consulte "Instalar um agente na nuvem do governo dos EUA" para obter mais informações.
- Na tela inicial, selecione Concordo com a licença e as condições e, em seguida, selecione Instalar.
- Quando a operação de instalação for concluída, o assistente de configuração será iniciado. Selecione Avançar para iniciar a configuração.
- Na tela Selecionar Extensão, selecione Provisionamento controlado por RH (Workday e SuccessFactors)/ Sincronização na nuvem do Microsoft Entra Connect e clique em Avançar.
Observação
Se estiver instalando o agente de provisionamento para uso com o provisionamento de aplicativos no local, selecione Provisionamento de aplicativo local (Microsoft Entra ID para aplicativo).
- Entre com sua conta de administrador global do Microsoft Entra ou Administrador de Identidade Híbrida. Se a segurança aprimorada do Internet Explorer estiver habilitada, ela bloqueará a entrada. Nesse caso, feche a instalação, desabilite a segurança aprimorada do Internet Explorer e reinicie a instalação do Pacote do Agente de Provisionamento do Microsoft Entra Connect.
- Na tela Configurar Conta de Serviço, selecione uma gMSA (Conta de Serviço Gerenciada de grupo). Essa conta é usada para executar o serviço do agente. Se uma conta de serviço gerenciada já estiver configurada em seu domínio por outro agente e você estiver instalando um segundo agente, selecione Criar gMSA porque o sistema detectará a conta existente e adicionará as permissões necessárias para o novo agente usar a conta gMSA. Quando solicitado, escolha:
- Criar a gMSA que permite que o agente crie a conta de serviço gerenciada provAgentgMSA$ para você. A conta de serviço gerenciada do grupo (por exemplo, CONTOSO\provAgentgMSA$) será criada no mesmo domínio do Active Directory em que o servidor de host ingressou. Para usar essa opção, insira as credenciais de administrador de domínio do Active Directory (recomendado).
- Use gMSA personalizado e forneça o nome da conta de serviço gerenciada que você criou manualmente para essa tarefa.
Para continuar, selecione Avançar.
Na tela Conectar o Active Directory, se o nome de domínio aparecer em Domínios configurados, pule para a próxima etapa. Caso contrário, digite o nome de domínio do Active Directory e selecione Adicionar diretório.
Entre com sua conta de administrador de domínio do Active Directory. A conta de administrador de domínio não deve ter uma senha expirada. Caso a senha tenha expirado ou seja alterada durante a instalação do agente, você precisará reconfigurar o agente com o novas credenciais. Esta operação adicionará o diretório local. Selecione OK e, em seguida, Avançar para continuar.
- A captura de tela a seguir mostra um exemplo do contoso.com de domínio configurado. Selecione Avançar para continuar.
Na tela Configuração concluída, selecione Confirmar. Esta operação registrará e reiniciará o agente.
Depois de concluir a operação, você deverá ser notificado de que A configuração do agente foi verificada com sucesso. Você pode selecionar Sair.
- Se você ainda visualizar a tela inicial, selecione Fechar.
Verificar a instalação do agente
A verificação do agente ocorre no portal do Azure e no servidor local que está executando o agente.
Verificação do agente de portal do Azure
Para verificar se o agente está registrado no Microsoft Entra ID, siga estas etapas:
- Entre no portal do Azure.
- Selecione ID do Microsoft Entra.
- Selecione Microsoft Entra Connect e, em seguida, Sincronização na nuvem.
- Na página de sincronização na nuvem, você verá os agentes que instalou. Verifique se o agente é exibido e se o status é íntegro.
No servidor local
Para verificar se o agente está em execução, siga estas etapas:
- Entre no servidor com uma conta de administrador.
- Abra Serviços navegando até essa opção ou acessando Iniciar/Executar/Services.msc.
- Em Serviços, verifique se o Atualizador do Agente do Microsoft Entra Connect e o Agente de Provisionamento do Microsoft Entra Connect estão presentes e se o status é Em execução.
Verificar a versão do agente de provisionamento
Para verificar a versão do agente em execução, siga essas etapas:
- Navegue até "C:\Arquivos de Programas\Agente de Provisionamento do Microsoft Azure AD Connect"
- Clique com o botão direito do mouse em "AADConnectProvisioningAgent.exe" e selecione propriedades.
- Clique na guia Detalhes e o número da versão será exibido ao lado da versão do Produto.
Importante
Depois de instalar o agente, você precisará configurá-lo e habilitá-lo para que ele inicie a sincronização de usuários. Consulte Criar uma nova configuração para a Sincronização na Nuvem do Microsoft Entra para configurar um novo agente.
Habilitar write-back de senha na sincronização de nuvem
Você pode habilitar o write-back de senha no SSPR diretamente no portal ou por meio do PowerShell.
Habilitar write-back de senha no portal do Azure
Para usar o write-back de senha e habilitar o serviço de redefinição de senha de autoatendimento (SSPR) para detectar o agente de sincronização de nuvem, usando o portal, conclua as seguintes etapas:
- Entre no centro de administração do Microsoft Entra como, no mínimo, um Administrador de identidade híbrida.
- À esquerda, selecione Proteção, Redefinição de senha e Integração local.
- Marque a opção para Habilitar o write-back de senha para usuários sincronizados.
- (opcional) Se os agentes de provisionamento do Microsoft Entra Connect forem detectados, você também poderá marcar a opção Fazer write-back de senhas com a Sincronização na Nuvem do Microsoft Entra.
- Marque a opção de Permitir aos usuários desbloquear contas sem redefinir a senha como Sim.
- Quando estiver pronto, selecione Salvar.
Usando o PowerShell
Para usar o write-back de senha e habilitar o serviço SSPR (redefinição de senha por autoatendimento) para detectar o agente de sincronização na nuvem, use o cmdlet Set-AADCloudSyncPasswordWritebackConfiguration e as credenciais de administrador global do locatário:
Import-Module "C:\\Program Files\\Microsoft Azure AD Connect Provisioning Agent\\Microsoft.CloudSync.Powershell.dll"
Set-AADCloudSyncPasswordWritebackConfiguration -Enable $true -Credential $(Get-Credential)
Para obter mais informações sobre como usar o write-back de senha com o Microsoft Entra Cloud Sync, consulte Tutorial: Habilitar o write-back de redefinição de senha de autoatendimento da sincronização de nuvem em um ambiente local .
Instalar um agente na nuvem do governo dos EUA
Por padrão, o agente de provisionamento do Microsoft Entra é instalado no ambiente padrão do Azure. Se você estiver instalando o agente para uso do governo dos EUA, faça esta alteração na etapa 7 do procedimento de instalação anterior:
Em vez de selecionar Abrir arquivo, selecione Iniciar>Executar e acesse o arquivo AADConnectProvisioningAgentSetup.exe. Na caixa Executar, após o executável, insira ENVIRONMENTNAME=AzureUSGovernment e selecione OK.
Sincronização de hash de senha e FIPS com sincronização de nuvem
Se o servidor tiver sido bloqueado de acordo com o padrão FIPS, o MD5 (message-digest algorithm 5) estará desabilitado.
Para habilitar o MD5 para a sincronização de hash de senha, execute as seguintes etapas:
- Acesse o Agente de Provisionamento do %programfiles%\Microsoft Azure AD Connect.
- Abra AADConnectProvisioningAgent.exe.config.
- Acesse o nó de configuração/runtime parte superior do arquivo.
- Adicione o nó
<enforceFIPSPolicy enabled="false"/>. - Salve suas alterações.
O código deve ser semelhante ao seguinte snippet:
<configuration>
<runtime>
<enforceFIPSPolicy enabled="false"/>
</runtime>
</configuration>
Para obter informações sobre segurança e FIPS, consulte Sincronização de hash de senha, criptografia e conformidade FIPS do Microsoft Entra.