Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Use este artigo para entender os cenários comuns de sincronização de atributo duplicado e siga o fluxo de trabalho de diagnóstico no Microsoft Entra Connect Health.
Visão geral
Dando mais um passo para destacar erros de sincronização, o Microsoft Entra Connect Health apresenta a correção de autoatendimento. Ele soluciona erros de sincronização de atributos duplicados e corrige objetos que são órfãos do Microsoft Entra ID. O recurso de diagnóstico tem esses benefícios:
- Ele fornece um procedimento de diagnóstico que reduz os erros de sincronização de atributos duplicados. E isso dá correções específicas.
- Aplica uma correção para cenários dedicados do Microsoft Entra ID para resolver o erro em uma única etapa.
- Nenhuma atualização ou a configuração é necessária para habilitar esse recurso. Para obter mais informações sobre o Microsoft Entra ID, consulte Sincronização de identidades e resiliência de atributos duplicados.
Problemas
Um cenário comum
Quando ocorrerem erros de sincronização QuarantinedAttributeValueMustBeUnique e AttributeValueMustBeUnique, será comum ver um conflito de UserPrincipalName ou Endereços Proxy no Microsoft Entra ID. Você pode resolver os erros de sincronização atualizando o objeto de origem conflitante do lado local. O erro de sincronização de dados será resolvido após a próxima sincronização. Por exemplo, esta imagem indica que dois usuários têm um conflito com seu UserPrincipalName. Ambos são Joe.J@contoso.com. Os objetos conflitantes são colocados em quarentena no Microsoft Entra ID.
Cenário de objeto órfão
Ocasionalmente, você poderá descobrir que um usuário existente perde a Âncora de Origem. A exclusão do objeto de origem ocorreu no Active Directory local. Mas a alteração do sinal de exclusão nunca foi sincronizada com o Microsoft Entra ID. Essa perda ocorre por motivos como problemas no mecanismo de sincronização ou migração do domínio. Quando o mesmo objeto é restaurado ou recriado, logicamente, um usuário existente deve ser o usuário a sincronizar a partir da Âncora de origem.
Quando um usuário existente é um objeto somente nuvem, você também pode ver o usuário conflitante sincronizado com o Microsoft Entra ID. Não é possível fazer a correspondência do usuário em sincronia com o objeto existente. Não há nenhuma maneira direta de remapear a âncora de origem. Veja mais sobre a base de conhecimento existente.
Por exemplo, o objeto existente no Microsoft Entra ID preserva a licença de Joe. Um objeto recém-sincronizado com uma âncora de origem diferente ocorre em um estado de atributo duplicado no Microsoft Entra ID. As alterações de Joe no Active Directory no local não serão aplicadas ao usuário original do Joe (objeto existente) no Microsoft Entra ID.
Etapas de diagnóstico e solução de problemas no Connect Health
O recurso de diagnóstico suporta objetos do usuário com os seguintes atributos duplicados:
| Nome do atributo | Tipos de erro de sincronização |
|---|---|
| Nome Principal do Usuário | QuarantinedAttributeValueMustBeUnique ou AttributeValueMustBeUnique |
| ProxyAddresses | QuarantinedAttributeValueMustBeUnique ou AttributeValueMustBeUnique |
| SipProxyAddress | O valor do atributo deve ser único |
| OnPremiseSecurityIdentifier | O valor do atributo deve ser único |
Importante
Para acessar esse recurso, são necessárias, no mínimo, as permissões de Contribuidor do Azure RBAC.
Siga as etapas do centro de administração do Microsoft Entra para restringir os detalhes do erro de sincronização e fornecer soluções mais específicas:
A partir do centro de administração do Microsoft Entra, execute algumas etapas para identificar cenários específicos que podem ser corrigidos:
- No Microsoft Entra Connect Health, selecione Erros de sincronização e, em seguida, selecione a categoria Atributo duplicado.
- Localize o objeto afetado. Expanda a linha para examinar seus detalhes.
- Selecione Corrigir este erro para abrir Detalhes do Erro. Esta ação está disponível apenas para erros de atributo duplicado compatíveis.
- Compare os objetos conflitantes e existentes e selecione Solucionar problemas para abrir o assistente de diagnóstico Corrigir Erro de Sincronização.
O assistente fornece uma consulta de diretório para ajudar a verificar o usuário afetado, faz perguntas de diagnóstico e fornece diretrizes expansíveis antes de continuar a uma resolução proposta.
O painel pode mostrar os seguintes status:
| Situação | O que isso significa? |
|---|---|
| Não Iniciado | Você não concluiu o processo guiado. Dependendo do resultado do diagnóstico, você poderá corrigir o erro de sincronização diretamente de Microsoft Entra ID. |
| Correção Manual Necessária | O erro não atende aos critérios para uma correção disponível no portal. Por exemplo, os objetos conflitantes não têm suporte para objetos de usuário ou o processo guiado não encontrou nenhuma correção aplicável. Leia mais sobre as correções locais . |
| Sincronização Pendente | Uma correção foi aplicada, e o serviço está aguardando o próximo ciclo de sincronização para eliminar o erro. |
Importante
A coluna de status de diagnóstico será redefinida após cada ciclo de sincronização.
Na etapa Verificação de Identidade, responda às perguntas sobre os objetos locais e do Microsoft Entra. As respostas ajudam a identificar um caso de objeto órfão.
Examine a resolução proposta em Revisão & Aplicar. Se nenhuma correção do portal estiver disponível com base em suas respostas, feche o painel e use as diretrizes de resolução manual exibidas. O status muda para Correção Manual Necessária para o ciclo de sincronização atual.
Se o painel identificar um caso de objeto órfão com suporte, selecione Aplicar Correção. O status é alterado para Sincronização Pendente.
Após o próximo ciclo de sincronização, o erro deve ser removido da lista.
Como responder às perguntas de diagnóstico
O usuário existe no seu Active Directory no local?
Esta questão tenta identificar o objeto de origem do usuário existente no Active Directory local.
- Verifique se o Microsoft Entra ID tem um objeto com UserPrincipalName fornecido. Se não, responda Não .
- Em caso afirmativo, verifique se o objeto ainda está no escopo para sincronização.
- Pesquise no espaço do conector do Microsoft Entra usando o DN.
- Se o objeto for encontrado no estado Pendente Adicionar , responda Não . O Microsoft Entra Connect não pode conectar o objeto ao objeto correto do Microsoft Entra.
- Se o objeto não for encontrado, responda Sim .
Nesses exemplos, a pergunta tenta identificar se Joe Jackson ainda existe no Active Directory local. Para o cenário comum, os usuários Joe Johnson e Joe Jackson estão presentes no Active Directory local. Os objetos em quarentena são dois usuários diferentes.
Para o cenário de objeto órfão, apenas o único usuário Joe Johnson está presente no Active Directory local:
Ambas as contas pertencem ao mesmo usuário?
Essa pergunta verifica se um usuário conflitante de entrada e o objeto de usuário existente no Microsoft Entra ID para verificar se pertencem ao mesmo usuário.
- O objeto conflitante é sincronizado recentemente com Microsoft Entra ID. Compare os atributos dos objetos:
- Nome da Exibição
- UserPrincipalName ou SignInName
- ID do objeto
- Se o Microsoft Entra ID não conseguir compará-los, verifique se o Active Directory tem objetos com o UserPrincipalNames fornecido. Responda Não se você encontrar os dois.
No exemplo a seguir, os dois objetos pertencem ao mesmo usuário Joe Johnson .
O que acontece depois que a correção é aplicada no cenário de objeto órfão
Com base nas respostas às perguntas anteriores, você verá o botão Aplicar correção quando houver uma correção disponível no Microsoft Entra ID. Nesse caso, o objeto local está sincronizando com um objeto inesperado do Microsoft Entra. Os dois objetos são mapeados usando a âncora de origem . A alteração de Aplicar Correção segue estas ou etapas semelhantes:
- Atualiza a Âncora de origem para o objeto correto no Microsoft Entra ID.
- Exclui o objeto conflitante no Microsoft Entra ID, se estiver presente.
Importante
A alteração Aplicar correção se aplica apenas a casos de objeto órfãos.
Após as etapas anteriores, o usuário pode acessar o recurso original, que é um link para um objeto existente. O valor do Status de diagnóstico na exibição de lista é atualizado para Sincronização pendente. O erro de sincronização será resolvido após a próxima sincronização. O Connect Health não mostrará mais o erro de sincronização na exibição de lista uma vez que ele seja resolvido.
Mensagens de erro e falhas
O usuário com atributo conflitante é excluído temporariamente do Microsoft Entra ID. Certifique-se de que o usuário é excluído forçadamente antes de tentar novamente.
O usuário com atributo conflitante no Microsoft Entra ID deve ser excluído antes de aplicar a correção. Confira como excluir permanentemente o usuário no Microsoft Entra ID antes de tentar a correção novamente. O usuário também será automaticamente excluído permanentemente após 30 dias no estado excluído flexível.
Não há suporte para atualizar âncora de origem para usuário baseado em nuvem no locatário.
O usuário baseado em nuvem no Microsoft Entra ID não deve ter âncora de origem. Nesse caso, não há suporte para atualizar âncora de origem. É necessário realizar uma correção manual local.
O processo de correção falhou ao atualizar os valores. Configurações específicas, como UserWriteback no Microsoft Entra Connect, não têm suporte. Desabilite nas configurações.
perguntas frequentes
Pergunta. O que acontece se a execução do Apply Fix falhar?
A. Se a execução falhar, é possível que o Microsoft Entra Connect esteja executando um erro de exportação. Atualize a página do portal e tente novamente após a próxima sincronização. O ciclo de sincronização padrão é de 30 minutos.
Pergunta. E se o objeto existente deve ser o objeto a ser excluído?
A. Se o objeto existente deve ser excluído, o processo não envolve uma mudança de Âncora de Origem . Normalmente, você pode corrigi-lo no Active Directory local.
Pergunta. Qual permissão o usuário precisa para aplicar a correção?
Um Colaborador do Azure RBAC, tem permissões para acessar o processo de diagnóstico e a solução de problemas. Essa é a permissão mínima de que você precisa.
Pergunta. Preciso configurar o Microsoft Entra Connect ou atualizar o agente do Microsoft Entra Connect Health para esse recurso?
A. Não, o processo de diagnóstico é um recurso completo baseado em nuvem.
Pergunta. Se o objeto existente for apagado, o processo de diagnóstico tornará o objeto ativo novamente?
A. Não, a correção não atualizará atributos de objetos diferentes de Âncora de origem .