Solução de problemas de sincronização de nuvem

Artigo
02/06/2025

A sincronização de nuvem tem muitas dependências e interações diferentes, o que pode dar origem a vários problemas. Este artigo ajuda você a solucionar esses problemas. Ele apresenta as áreas típicas nas quais você deve se concentrar, como coletar informações adicionais e as várias técnicas que você pode usar para rastrear problemas.

Problemas de agente

Ao solucionar problemas do agente, verifique se o agente foi instalado corretamente e se ele se comunica com a ID do Microsoft Entra. Em particular, algumas das primeiras coisas que você deseja verificar com o agente são:

Ele está instalado?
O agente está em execução localmente?
O agente está no portal?
O agente foi marcado como íntegro?

Você pode verificar esses itens no portal e no servidor local que está executando o agente.

Verificação do agente do centro de administração do Microsoft Entra

Para verificar se o Azure detecta o agente e se o agente está íntegro, siga estas etapas:

Entre no Centro de Administração do Microsoft Entra como pelo menos um Administrador Híbrido.
Navegue até Identidade>Gerenciamento híbrido>Microsoft Entra Connect>Sincronização na nuvem.

Selecione sincronização de nuvem.
Você deveria ver os agentes que instalou. Verifique se o agente em questão está lá. Em caso positivo, você verá o status ativo (verde) do agente.

Verificar as portas abertas necessárias

Verifique se o agente de provisionamento do Microsoft Entra é capaz de se comunicar com êxito com datacenters do Azure. Se houver um firewall no caminho, verifique se as seguintes portas para o tráfego de saída estão abertas:

Número da porta	Como ele é usado
80	Download das listas de certificados revogados (CRLs), enquanto valida o certificado TLS/SSL.
443	Manipulando toda a comunicação de saída com o serviço Proxy de Aplicativo.

Se o firewall impor o tráfego de acordo com os usuários de origem, abra também as portas 80 e 443 para o tráfego de serviços do Windows executados como um serviço de rede.

Permitir acesso a URLs

Permitir acesso às seguintes URLs:

URL	Porto	Como ele é usado
`.msappproxy.net` `.servicebus.windows.net`	443/HTTPS	Comunicação entre o conector e o serviço de nuvem do Proxy de Aplicativo.
`crl3.digicert.com` `crl4.digicert.com` `ocsp.digicert.com` `crl.microsoft.com` `oneocsp.microsoft.com` `ocsp.msocsp.com`	80/HTTP	O conector usa essas URLs para verificar certificados.
`login.windows.net` `secure.aadcdn.microsoftonline-p.com` `.microsoftonline.com` `.microsoftonline-p.com` `.msauth.net` `.msauthimages.net` `.msecnd.net` `.msftauth.net` `.msftauthimages.net` `.phonefactor.net` `enterpriseregistration.windows.net` `management.azure.com` `policykeyservice.dc.ad.msft.net` `ctldl.windowsupdate.com` `www.microsoft.com/pkiops`	443/HTTPS	O conector usa essas URLs durante o processo de registro.
`ctldl.windowsupdate.com`	80/HTTP	O conector usa essa URL durante o processo de registro.

Você pode permitir conexões para *.msappproxy.net, *.servicebus.windows.net, e qualquer um dos URLs mencionados anteriormente, se o seu firewall ou proxy permitir que você configure regras de acesso com base em sufixos de domínio. Caso contrário, você precisa permitir o acesso aos intervalos de IP do do Azure e às tags de serviço da nuvem pública. Os intervalos de IP são atualizados a cada semana.

Importante

Evite todas as formas de inspeção e interrupção embutida nas comunicações TLS de saída entre os conectores de rede privada do Microsoft Entra e os serviços em nuvem do proxy de aplicativos do Microsoft Entra.

Resolução de nomes DNS para pontos de extremidade do proxy de aplicações do Microsoft Entra

Os registros DNS públicos para pontos de extremidade de proxy de aplicativo do Microsoft Entra são registros CNAME encadeados, apontando para um registro A. Isso garante a tolerância e a flexibilidade de falhas. É garantido que o conector de rede privada do Microsoft Entra sempre acessa nomes de host com os sufixos de domínio *.msappproxy.net ou *.servicebus.windows.net.

No entanto, durante a resolução de nomes, os registros CNAME podem conter registros DNS com diferentes nomes de host e sufixos. Devido a isso, você deve garantir que o dispositivo possa resolver todos os registros na cadeia e permitir a conexão com os endereços IP resolvidos. Como os registros DNS na cadeia podem ser alterados de tempos em tempos, não podemos fornecer qualquer lista de registros DNS.

No servidor local

Para verificar se o agente está em execução, siga estas etapas:

No servidor com o agente instalado, abra Services. Para fazer isso, vá para Iniciar>Executar>Services.msc.
Em Serviços, certifique-se de que Microsoft Entra Connect Agent Updater e Microsoft Entra Provisioning Agent estejam lá. Confirme também se o status deles é Em execução.

Problemas comuns de instalação do agente

As seções a seguir descrevem alguns problemas comuns de instalação do agente e resoluções típicas desses problemas.

O agente falhou ao iniciar

Você pode receber uma mensagem de erro informando:

Falha ao iniciar o serviço 'Microsoft Entra Provisioning Agent'. Verifique se você tem privilégios suficientes para iniciar os serviços do sistema.

Esse problema normalmente é causado por uma política de grupo. A política impediu que as permissões fossem aplicadas à conta de entrada local do Serviço NT criada pelo instalador (NT SERVICE\AADConnectProvisioningAgent). Essas permissões são necessárias para iniciar o serviço.

Para resolver esse problema, siga estas etapas:

Entre no servidor com uma conta de administrador.
Abra Serviços, vá para Iniciar>Executar>Services.msc.
Em Serviços, clique duas vezes no Agente de Provisionamento do Microsoft Entra.
Na guia Logon, altere Essa conta para um administrador de domínio. Em seguida, reinicie o serviço.

O agente atinge o tempo limite ou o certificado não é válido

Você pode receber a seguinte mensagem de erro ao tentar registrar o agente.

Captura de tela que mostra uma mensagem de erro de tempo limite.

Esse problema geralmente é causado pelo agente não conseguir se conectar ao serviço de identidade híbrida. Para resolver esse problema, configure um proxy de saída.

O agente de provisionamento dá suporte ao uso de um proxy de saída. Você pode configurá-lo editando o seguinte arquivo de .config do agente: C:\Program Files\Microsoft Azure AD Connect Provisioning Agent\AADConnectProvisioningAgent.exe.config.

Adicione as seguintes linhas a ele, em direção ao final do arquivo, pouco antes da marca de fechamento </configuration>. Substitua as variáveis [proxy-server] e [proxy-port] pelos valores de porta e nome do servidor proxy.

    <system.net>
        <defaultProxy enabled="true" useDefaultCredentials="true">
            <proxy
                usesystemdefault="true"
                proxyaddress="http://[proxy-server]:[proxy-port]"
                bypassonlocal="true"
            />
        </defaultProxy>
    </system.net>

O registro do agente falha com o erro de segurança

Você pode receber uma mensagem de erro ao instalar o agente de provisionamento de nuvem. Esse problema normalmente é causado pelo agente não poder executar os scripts de registro do PowerShell devido às políticas de execução locais do PowerShell.

Para resolver esse problema, altere as políticas de execução do PowerShell no servidor. Você precisa ter políticas de computador e de usuário definidas como Undefined ou RemoteSigned. Se eles estiverem definidos como Unrestricted, você verá esse erro. Para obter mais informações, consulte as políticas de execução do PowerShell.

Arquivos de log

Por padrão, o agente emite mensagens de erro mínimas e informações de rastreamento de pilha. Você pode encontrar esses logs de rastreamento na seguinte pasta: C:\ProgramData\Microsoft\Azure AD Connect Provisioning Agent\Trace.

Para reunir detalhes adicionais para solucionar problemas relacionados ao agente, siga estas etapas.

Instalar o módulo do PowerShell do AADCloudSyncTools.
Use o cmdlet Export-AADCloudSyncToolsLogs PowerShell para capturar as informações. Você pode usar as opções a seguir para ajustar sua coleta de dados.
- SkipVerboseTrace para exportar somente os logs atuais sem capturar logs detalhados (padrão = falso).
- TracingDurationMins especificar uma duração de captura diferente (padrão = 3 minutos).
- OutputPath especificar um caminho de saída diferente (padrão = pasta Documentos do usuário).

Problemas de sincronização de objetos

No portal, você pode usar logs de provisionamento para ajudar a rastrear e solucionar problemas de sincronização de objetos. Para exibir os logs, selecione Logs.

captura de tela que mostra o botão de registros.

Os logs de provisionamento fornecem uma grande quantidade de informações sobre o estado dos objetos que estão sendo sincronizados entre seu ambiente do Active Directory local e o Azure.

Captura de tela que mostra informações sobre logs de provisionamento.

Você pode filtrar a exibição para se concentrar em problemas específicos, como datas. Você também pode pesquisar nos logs as atividades relacionadas a um objeto do Active Directory usando o ObjectGuid do seu Active Directory. Clique duas vezes em um evento individual para ver informações adicionais.

Captura de tela que mostra as informações da lista suspensa de logs de provisionamento.

Essas informações fornecem etapas detalhadas e onde o problema de sincronização está ocorrendo. Dessa forma, você pode identificar o local exato do problema.

Objetos ignorados

Se você estiver sincronizando usuários e grupos do Active Directory, talvez não consiga localizar um ou mais grupos na ID do Microsoft Entra. Isso pode se dever a uma sincronização que ainda não foi concluída ou ainda não foi atualizada com relação à criação do objeto no Active Directory, a um erro de sincronização que está bloqueando o objeto que está sendo criado no Microsoft Entra ID ou a uma regra de definição do escopo de regras de sincronização que pode ter sido aplicada excluindo o objeto.

Se você reiniciar a sincronização e, a seguir, quando o ciclo de provisionamento for concluído, pesquise no log de provisionamento as atividades relacionadas a um objeto que esteja usando o ObjectGuid do Active Directory desse objeto. Se um evento com uma identidade contendo apenas uma ID de origem e um status de Skipped estiver presente no log, isso poderá indicar que o agente filtrava o objeto do Active Directory porque ele estava fora do escopo.

Por padrão, as regras de escopo excluem que os seguintes objetos sejam sincronizados com a ID do Microsoft Entra:

usuários, grupos e contatos que tenham IsCriticalSystemObject definidos como TRUE, incluindo muitos dos usuários e grupos padrão no Active Directory
objetos vítimas de replicação

Restrições adicionais podem estar presentes no esquema de sincronização .

Limite de exclusão de objeto do Microsoft Entra

Se você tiver uma topologia de implementação com o Microsoft Entra Connect e o Microsoft Entra Cloud Sync, ambos exportando para o mesmo locatário do Microsoft Entra ou se você tiver desativado completamente o uso do Microsoft Entra Connect para o Microsoft Entra Cloud Sync, poderá receber a seguinte mensagem de erro de exportação ao excluir ou mover vários objetos para fora do escopo definido:

Captura de tela que mostra o erro de exportação.

Esse erro não está relacionado ao recurso de prevenção de exclusões acidentais da sincronização de nuvem do Microsoft Entra Connect. Ele é disparado pelo recurso de prevenção de exclusão acidental definido no diretório do Microsoft Entra do Microsoft Entra Connect. Se você não tiver um servidor do Microsoft Entra Connect instalado do qual você possa alternar o recurso, poderá usar o módulo "AADCloudSyncTools" PowerShell instalado com o agente de sincronização de nuvem do Microsoft Entra Connect para desabilitar a configuração no locatário e permitir que as exclusões bloqueadas sejam exportadas depois de confirmar que são esperadas e devem ser permitidas. Use o seguinte comando:

Disable-AADCloudSyncToolsDirSyncAccidentalDeletionPrevention -tenantId "aaaabbbb-0000-cccc-1111-dddd2222eeee"

Durante o próximo ciclo de provisionamento, os objetos marcados para exclusão devem ser excluídos do diretório do Microsoft Entra com êxito.

Provisionamento de problemas em quarentena

A sincronização de nuvem monitora a integridade da configuração e coloca objetos não íntegros em um estado de quarentena. Se a maioria ou todas as chamadas feitas no sistema de destino falharem consistentemente devido a um erro (por exemplo, credenciais de administrador inválidas), o trabalho de sincronização será marcado como em quarentena.

captura de tela que mostra o status da quarentena.

Selecionando o status, você pode ver informações adicionais sobre a quarentena. Você também pode obter o código de erro e a mensagem.

Captura de tela que mostra informações adicionais sobre a quarentena.

Clicar com o botão direito do mouse no status apresentará opções adicionais para:

Exiba os logs de provisionamento.
Exibir os agentes.
Limpar a quarentena.

Captura de tela que mostra as opções de menu com o botão direito do mouse.

Resolver uma quarentena

Há duas maneiras diferentes de resolver uma quarentena. Você pode limpar a quarentena ou reiniciar o trabalho de provisionamento.

Limpar a quarentena

Para limpar a marca d'água e executar uma sincronização delta no trabalho de provisionamento após a verificação, clique com o botão direito do mouse no status e selecioneLimpar quarentena.

Você deve ver um aviso de que a quarentena está sendo encerrada.

Captura de tela que mostra o aviso de que a quarentena está sendo removida.

Em seguida, você deve ver o status do seu agente como íntegro.

Captura de tela que mostra que o status do agente está íntegro.

Reiniciar o trabalho de provisionamento

Use o portal para reiniciar o trabalho de provisionamento. Na página de configuração do agente, selecione Reiniciar sincronização.

Captura de tela que mostra as opções na página de configuração do agente.

Como alternativa, é possível usar o Microsoft Graph para reiniciar o trabalho de provisionamento. Você tem controle total sobre o que reinicia. Você pode optar por limpar:

O caução, para reiniciar o contador de caução acumulado no status de quarentena.
Quarentena, para remover o aplicativo da quarentena.
As marcas d'água.

Use a seguinte solicitação:

POST /servicePrincipals/{id}/synchronization/jobs/{jobId}/restart

Reparar a conta de serviço de sincronização de nuvem

Se você precisar reparar a conta de serviço de sincronização de nuvem, poderá usar o comando Repair-AADCloudSyncToolsAccount.

Instale o módulo do PowerShell AADCloudSyncTools.
Em uma sessão do PowerShell com privilégios administrativos, digite ou copie e cole o seguinte:
```
Connect-AADCloudSyncTools
```
Insira suas credenciais de Administrador Global do Microsoft Entra.
Digite ou copie e cole o seguinte:
```
Repair-AADCloudSyncToolsAccount
```
Depois que isso for concluído, ele deverá dizer que a conta foi reparada com êxito.

Restauração de senha

Para habilitar e usar o write-back de senha com a sincronização de nuvem, tenha o seguinte em mente:

Se você precisar atualizar as permissões gMSA, pode levar uma hora ou mais para que essas permissões sejam replicadas para todos os objetos em seu diretório. Se você não atribuir essas permissões, o write-back poderá parecer estar configurado corretamente, mas os usuários poderão encontrar erros ao atualizar suas senhas locais da nuvem. As permissões precisam ser aplicadas para que esse objeto e todos os objetos descendentes de Não Permitir Expiração de Senha sejam exibidos.
Se as senhas de algumas contas de usuário não forem gravadas no diretório local, verifique se a herança não está desabilitada para a conta no ambiente do AD DS (Active Directory Domain Services) local. As permissões de gravação para senhas devem ser aplicadas a objetos descendentes para que o recurso funcione corretamente.
As políticas de senha no ambiente do AD DS local podem impedir que as redefinições de senha sejam processadas corretamente. Se você estiver testando esse recurso e quiser redefinir senhas para usuários mais de uma vez por dia, a política de grupo para a idade mínima da senha deverá ser definida como 0. Você pode encontrar essa configuração no seguinte local: Configuração do Computador>Políticas>Configurações do Windows>Configurações de Segurança>Políticas de Contas, em gpmc.msc.
- Se você atualizar a política de grupo, aguarde até que a política atualizada seja replicada ou use o comando gpupdate /force.
- Para que as senhas sejam alteradas imediatamente, a idade mínima da senha deve ser definida como 0. No entanto, se os usuários aderirem às políticas locais e a idade mínima da senha for definida como um valor maior que 0, o write-back de senha não funcionará depois que as políticas locais forem avaliadas.

Próximas etapas

Limitações conhecidas
códigos de erro

Compartilhar via