Configurar a sincronização do dispositivo com o Microsoft Entra Cloud Sync

A sincronização de dispositivos permite-lhe sincronizar objetos de computador do Active Directory (AD) com o Microsoft Entra ID, utilizando a tarefa AD2AADDeviceSync numa configuração de AD para Microsoft Entra ID da Sincronização na Cloud. Após a sincronização, os dispositivos podem ficar associados de forma híbrida ao Microsoft Entra.

A sincronização do dispositivo está desativada por defeito. Antes de começar, certifique-se de que o seu ambiente cumpre os pré-requisitos. Depois configura um ponto de ligação de serviço (SCP), ativa a sincronização de dispositivos, provisiona um dispositivo a pedido, gere a sincronização de dispositivos com o Microsoft Graph e recupera os dispositivos eliminados.

Note

Este artigo explica como configurar a Sincronização de Dispositivos no Microsoft Entra Cloud Sync. Não descreve como a ferramenta de migração guiada transfere a Sincronização de Dispositivos do Microsoft Entra Connect Sync. Consulte os pré-requisitos da ferramenta de migração antes de planear a migração do Connect Sync. Para capacidades da plataforma e caminhos de migração disponíveis, consulte o guia de decisão de migração e a visão geral da migração.

Pré-requisitos

Certifique-se de que o seu ambiente cumpre estes requisitos:

  • Instale o agente de provisionamento Microsoft Entra no seu ambiente local. O agente deve estar na versão 1.1.1107 ou superior. Descarregue a versão mais recente disponível do agente no centro de administração Microsoft Entra. Para versões do agente, consulte o histórico de lançamentos do agente de provisionamento Microsoft Entra.
  • Crie uma configuração de sincronização na nuvem do AD para o Microsoft Entra ID. Para os passos de configuração, consulte Configurar provisão do Active Directory para o Microsoft Entra ID.
  • O seu ID do inquilino do Microsoft Entra e o domínio verificado que os dispositivos utilizam para autenticação. Para ambientes federados, use um domínio federado. Caso contrário, use o domínio principal *.onmicrosoft.com .
  • Se precisares de configurar o SCP, acesso temporário a uma conta que seja membro do grupo de Administradores Empresariais em cada floresta AD que contenha computadores ligados ao domínio. Use o processo de acesso privilegiado just-in-time da sua organização, se disponível.
  • Para configurar a sincronização de dispositivos no centro de administração Microsoft Entra, use uma conta com pelo menos o papel de Administrador de Identidade Híbrida.

Configurar um ponto de ligação de serviço

Configure um SCP em cada floresta do AD que contenha computadores associados a um domínio. Os dispositivos usam o SCP para descobrir o tenant do Microsoft Entra no qual se registam.

Um SCP pode já estar configurado na floresta. Antes de executares o script, verifica os valores SCP existentes e regista os valores atuais azureADNameazureADId para poderes restaurá-los, se necessário. Se os valores já identificarem o inquilino pretendido, salte para Ativar sincronização de dispositivos.

Warning

Se o SCP já existir, o script limpa os seus valores atuais keywords e substitui-os pelos valores fornecidos azureADName e azureADId. Verifica o domínio e o ID do tenant antes de o executares.

Para configurar o SCP, siga estes passos:

  1. Inicie sessão numa estação de trabalho administrativa associada a um domínio ou num controlador de domínio com uma conta que seja membro de Enterprise Admins da floresta atual. Use uma sessão PowerShell do Windows onde a política da sua organização permita scripts locais.

  2. Guarde o seguinte script como ConfigureSCP.ps1:

    #
# ConfigureSCP.ps1
# Configures the service connection point (SCP) for Microsoft Entra hybrid join in the current forest.
#
# REQUIREMENT: Must be run by an Enterprise Admin of the current forest.
#
# EXAMPLES:
#   .\ConfigureSCP.ps1 -Domain contoso.com -TenantId <guid>
#   .\ConfigureSCP.ps1 -Domain contoso.onmicrosoft.com -TenantId <guid>
#
[CmdletBinding()]
param(
    # Verified domain used for device authentication.
    # If you use federation, enter a federated domain name.
    # Otherwise, enter your primary *.onmicrosoft.com domain name.
    [Parameter(Mandatory = $true)]
    [ValidateNotNullOrEmpty()]
    [string]$Domain,

    # Microsoft Entra tenant identifier (GUID).
    [Parameter(Mandatory = $true)]
    [guid]$TenantId
)

$ErrorActionPreference = "Stop"

Write-Output "Configuring the SCP for Microsoft Entra hybrid join in your Active Directory forest."

try {
    ## Set variables
    $azureADName = "azureADName:" + $Domain.Trim()
    $azureADId   = "azureADId:" + $TenantId.ToString()
    $keywords    = "keywords"
    $ldap        = "LDAP://"

    $rootDSE    = New-Object System.DirectoryServices.DirectoryEntry($ldap + "RootDSE")
    $configCN   = $rootDSE.Properties["configurationNamingContext"][0].ToString()
    $servicesCN = "CN=Services," + $configCN
    $drcCN      = "CN=Device Registration Configuration," + $servicesCN
    $scpCN      = "CN=62a0ff2e-97b9-4513-943f-0d221bd30080," + $drcCN

    ## Get/Create: CN=Device Registration Configuration,CN=Services
    if ([System.DirectoryServices.DirectoryEntry]::Exists($ldap + $drcCN)) {
        $deDRC = New-Object System.DirectoryServices.DirectoryEntry($ldap + $drcCN)
    }
    else {
        $de    = New-Object System.DirectoryServices.DirectoryEntry($ldap + $servicesCN)
        $deDRC = $de.Children.Add("CN=Device Registration Configuration", "container")
        $deDRC.CommitChanges()
    }

    ## Edit/Create: CN=62a0ff2e-97b9-4513-943f-0d221bd30080,CN=Device Registration Configuration,CN=Services
    if ([System.DirectoryServices.DirectoryEntry]::Exists($ldap + $scpCN)) {
        $deSCP = New-Object System.DirectoryServices.DirectoryEntry($ldap + $scpCN)
        $deSCP.Properties[$keywords].Clear()
    }
    else {
        $deSCP = $deDRC.Children.Add("CN=62a0ff2e-97b9-4513-943f-0d221bd30080", "serviceConnectionPoint")
    }

    $deSCP.Properties[$keywords].Add($azureADName) | Out-Null
    $deSCP.Properties[$keywords].Add($azureADId)   | Out-Null
    $deSCP.CommitChanges()

    Write-Output "Configuration complete!"
}
catch {
    Write-Output "Configuration could not be completed."
    Write-Output $_
    exit 1
}

  3. Execute o script usando os valores do inquilino pretendido:

    • Para Domain, use um domínio federado para ambientes federados. Caso contrário, use o domínio principal *.onmicrosoft.com .
    • Para TenantId, use o GUID do tenant do Microsoft Entra.
    .\ConfigureSCP.ps1 -Domain <verified-domain> -TenantId <tenant-id>

  4. Confirme que o PowerShell apresenta Configuration complete!. Se apresentar Configuration could not be completed., reveja o erro associado e resolva-o antes de continuar.

  5. Em cada floresta AD adicional que contenha computadores associados ao domínio, verifique os valores SCP existentes e, se necessário, repita este procedimento.

  6. Depois de configurar todas as florestas necessárias, saia de qualquer conta de Administradores Empresariais e remova ou desative o acesso temporário de acordo com o processo de acesso privilegiado da sua organização.

Ativar sincronização de dispositivos

Ative a sincronização de dispositivos na configuração existente do Cloud Sync do AD para o Microsoft Entra ID.

  1. Entre no centro de administração do Microsoft Entra como pelo menos um Administrador de Identidade Híbrida.

  2. Navegue até Entra ID>Entra Connect>Cloud sync.

    Captura de ecrã que mostra a página inicial do Microsoft Entra Connect Cloud Sync.

  1. Selecione a sua configuração atual de AD para Microsoft Entra ID.

  2. Selecione Propriedades. Em Básicos, confirme que a sincronização do dispositivo está desativada.

    Captura de ecrã das propriedades de configuração do Cloud Sync com a sincronização do dispositivo desativada.

  3. Ao lado de Básicos, selecione o ícone de edição.

  4. Selecione Ativar sincronização de dispositivos e depois selecione Aplicar.

    Captura de ecrã das definições básicas do Cloud Sync com a sincronização do dispositivo ativada.

Rever atributos sincronizados do dispositivo

A sincronização de dispositivos Cloud Sync suporta os seguintes mapeamentos de atributos do dispositivo.

Atributo Microsoft Entra Atributo AD Tipo de mapeamento
AccountEnabled userAccountControl Expressão
DeviceId objectGUID Direct
DeviceOSType operatingSystem Expressão
DeviceTrustType Nenhum. O valor é sempre ServerAd. Expressão
DisplayName displayName, dNSHostName Expressão
OnPremiseSecurityIdentifier objectSid Direct
RegisteredOwnerReference mS-DS-CreatorSID Uma vez
SourceAnchor objectGUID Direct
UserCertificate userCertificate Direct

O RegisteredOwnerReference mapeamento é aplicado apenas na primeira vez que o Cloud Sync encontra o objeto do computador no AD.

Disponibilizar um dispositivo sob demanda

Provisionar um dispositivo sob demanda para executar a sincronização de dispositivos para um objeto informático AD específico.

  1. Entre no centro de administração do Microsoft Entra como pelo menos um Administrador de Identidade Híbrida.

  2. Navegue até Entra ID>Entra Connect>Cloud sync.

    Captura de ecrã que mostra a página inicial do Microsoft Entra Connect Cloud Sync.

  1. Selecione a sua configuração atual de AD para Microsoft Entra ID.
  2. Selecione Provisionamento sob demanda.
  3. Selecione a guia Dispositivo .
  4. Introduza o nome distinto do computador do AD.
  5. Selecione Provision.

Gerir a sincronização do dispositivo com o Microsoft Graph

Pode criar e iniciar o trabalho de sincronização de dispositivos, ou provisionar um dispositivo sob demanda, usando o Microsoft Graph.

Criar e iniciar um trabalho de sincronização de dispositivos

  1. Use Create synchronizationJob para criar um job de sincronização de dispositivos.

  2. Na solicitação:

    • Utilize o ID do principal de serviço do seu principal de serviço AD para Microsoft Entra ID.
    • Defina templateId como AD2AADDeviceSync.

  3. Use Start synchronizationJob para iniciar o job de sincronização do dispositivo.

Aprovisionar um dispositivo a pedido com o Microsoft Graph

  1. Utilize Get synchronizationSchema com a sua tarefa de sincronização de dispositivos.

  2. Na resposta, obtenha o ID da regra de sincronização do dispositivo a partir de synchronizationRules.

  3. Utilize synchronizationJob: provisionOnDemand. No corpo do pedido, defina:

    • objectId a partir do nome distinto do computador no Utilizadores e Computadores do Active Directory.
    • objectTypeName para computer.
    • ruleId para o ID da regra de sincronização do dispositivo.

Recuperar um dispositivo eliminado

Um dispositivo pode ser eliminado do Microsoft Entra ID quando:

  • O computador correspondente é eliminado no AD, o que faz com que o Cloud Sync apague o dispositivo no Microsoft Entra ID.
  • O dispositivo é removido da cloud depois de dsregcmd /leave ser executado, o que leva o Azure Device Registration Service a eliminar o dispositivo no Microsoft Entra ID.
  • Um administrador elimina manualmente o dispositivo de Entra ID>Dispositivos no centro de administração do Microsoft Entra.

Se um serviço ou administrador que não seja o Cloud Sync apagar um dispositivo, o Cloud Sync não recria o dispositivo durante o próximo ciclo de sincronização, a menos que o objeto AD correspondente mude.

Use uma destas opções para recuperar o dispositivo e restaurar o seu estado híbrido de junção:

  • No centro de administração do Microsoft Entra, aceda a Entra ID>Dispositivos>Dispositivos eliminados e, em seguida, restaure o dispositivo.
  • Muda o objeto correspondente no AD e depois espera pelo próximo ciclo de sincronização do dispositivo.
  • Provisiona o dispositivo a pedido.

Conteúdo relacionado

  • Última atualização a