Tutorial - Provisionar grupos para o Ative Directory usando o Microsoft Entra Cloud Sync

Artigo
04/27/2024

Este tutorial orienta você na criação e configuração da sincronização na nuvem para sincronizar grupos com o Ative Directory local.

Provisionar o ID do Microsoft Entra para o Ative Directory - Pré-requisitos

Os pré-requisitos a seguir são necessários para implementar grupos de provisionamento no Ative Directory.

Requisitos de licença

O uso desse recurso requer licenças do Microsoft Entra ID P1. Para encontrar a licença certa para os requisitos, veja Comparar as funcionalidades geralmente disponíveis do Microsoft Entra ID.

Requisitos gerais

Conta do Microsoft Entra com pelo menos uma função de Administrador Híbrido .
Ambiente local dos Serviços de Domínio Ative Directory com sistema operacional Windows Server 2016 ou posterior.
- Necessário para o atributo Esquema do AD - msDS-ExternalDirectoryObjectId
Agente de provisionamento com compilação versão 1.1.1370.0 ou posterior.

Nota

As permissões para a conta de serviço são atribuídas apenas durante a instalação limpa. Caso você esteja atualizando da versão anterior, as permissões precisam ser atribuídas manualmente usando o cmdlet do PowerShell:

$credential = Get-Credential  

  Set-AADCloudSyncPermissions -PermissionType UserGroupCreateDelete -TargetDomain "FQDN of domain" -EACredential $credential

Se as permissões forem definidas manualmente, você precisará garantir que Ler, Gravar, Criar e Excluir todas as propriedades de todos os Grupos descendentes e objetos de Usuário.

Essas permissões não são aplicadas a objetos AdminSDHolder por padrão , cmdlets do agente de provisionamento do Microsoft Entra gMSA PowerShell;

O agente de provisionamento deve ser capaz de se comunicar com um ou mais controladores de domínio nas portas TCP/389 (LDAP) e TCP/3268 (Catálogo Global).
- Necessário para pesquisa de catálogo global para filtrar referências de associação inválidas
Microsoft Entra Connect com build versão 2.2.8.0 ou posterior
- Necessário para suportar a associação de usuário local sincronizada usando o Microsoft Entra Connect
- Necessário para sincronizar AD:user:objectGUID com AAD:user:onPremisesObjectIdentifier

Grupos suportados

Apenas o seguinte é suportado:

Apenas os grupos de segurança criados na nuvem são suportados
Esses grupos podem ter associação atribuída ou dinâmica.
Esses grupos só podem conter usuários sincronizados no local e/ou grupos de segurança adicionais criados na nuvem.
As contas de usuário locais sincronizadas e que são membros desse grupo de segurança criado na nuvem podem ser do mesmo domínio ou entre domínios, mas todas devem ser da mesma floresta.
Esses grupos são reescritos com o escopo de grupos AD universal. Seu ambiente local deve oferecer suporte ao escopo de grupo universal.
Não há suporte para grupos com mais de 50.000 membros.
Cada grupo aninhado filho direto conta como um membro no grupo de referência
A reconciliação de grupos entre o Microsoft Entra ID e o Ative Directory não é suportada se o grupo for atualizado manualmente no Ative Directory.

Informações adicionais

A seguir estão informações adicionais sobre o provisionamento de grupos para o Ative Directory.

Os grupos provisionados para o AD usando a sincronização na nuvem só podem conter usuários sincronizados no local e/ou grupos de segurança adicionais criados na nuvem.
Todos esses usuários devem ter o atributo onPremisesObjectIdentifier definido em sua conta.
O onPremisesObjectIdentifier deve corresponder a um objectGUID correspondente no ambiente AD de destino.
Um atributo objectGUID de usuários locais para um atributo onPremisesObjectIdentifier de usuários de nuvem pode ser sincronizado usando o Microsoft Entra Cloud Sync (1.1.1370.0) ou o Microsoft Entra Connect Sync (2.2.8.0)
Se você estiver usando o Microsoft Entra Connect Sync (2.2.8.0) para sincronizar usuários, em vez do Microsoft Entra Cloud Sync, e quiser usar o Provisionamento para AD, ele deverá ser 2.2.8.0 ou posterior.
Somente locatários regulares do Microsoft Entra ID são suportados para provisionamento do Microsoft Entra ID para o Ative Directory. Locatários como B2C não são suportados.
O trabalho de provisionamento de grupo está agendado para ser executado a cada 20 minutos.

Suposições

Este tutorial pressupõe o seguinte:

Você tem um ambiente local do Ative Directory
Você tem a configuração de sincronização na nuvem para sincronizar os usuários com o Microsoft Entra ID.
Você tem dois usuários que estão sincronizados. Britta Simon e Lola Jacobson. Esses usuários existem no local e no Microsoft Entra ID.
Três Unidades Organizacionais foram criadas no Ative Directory - Grupos, Vendas e Marketing. Têm os seguintes nomes distintos:
OU=Marketing,DC=contoso,DC=com
OU=Vendas,DC=contoso,DC=com
OU=Grupos,DC=contoso,DC=com

Crie dois grupos no Microsoft Entra ID.

Para começar, criamos dois grupos no Microsoft Entra ID. Um grupo é Vendas e o outro é Marketing.

Para criar dois grupos, siga estas etapas.

Entre no centro de administração do Microsoft Entra como pelo menos um Administrador Híbrido.
Navegue até Grupos>de identidade>Todos os grupos.
Na parte superior, clique em Novo grupo.
Verifique se o tipo Grupo está definido como segurança.
Para o Nome do Grupo, insira Vendas
Para o tipo de associação, mantenha-o em atribuído.
Clique em Criar.
Repita este processo usando Marketing como o Nome do Grupo.

Adicionar usuários aos grupos recém-criados

Entre no centro de administração do Microsoft Entra como pelo menos um Administrador Híbrido.
Navegue até Grupos>de identidade>Todos os grupos.
Na parte superior, na caixa de pesquisa, digite Vendas.
Clique no novo grupo Vendas .
À esquerda, clique em Membros
Na parte superior, clique em Adicionar membros.
Na parte superior, na caixa de pesquisa, digite Brenda Fernandes.
Coloque um cheque ao lado de Brenda Fernandes e clique em Selecionar
Deve adicioná-la com sucesso ao grupo.
Na extremidade esquerda, clique em Todos os grupos e repita esse processo usando o grupo Vendas e adicionando Lola Jacobson a esse grupo.

Configurar o provisionamento

Para configurar o provisionamento, siga estas etapas.

Entre no centro de administração do Microsoft Entra como pelo menos um Administrador Híbrido.
Navegue até Gerenciamento híbrido de>identidade>Microsoft Entra Connect>Cloud sync.

Selecione Nova configuração.
Selecione Microsoft Entra ID para sincronização do AD.
No ecrã de configuração, selecione o domínio e se quer ativar a sincronização do hash de palavras-passe. Clique em Criar.
A tela Introdução é aberta. A partir daqui, pode continuar a configurar a sincronização na nuvem
À esquerda, clique em Filtros de escopo.
Em Escopo do grupo, defina-o como Todos os grupos de segurança
Em Contêiner de destino, clique em Editar mapeamento de atributos.
Alterar o tipo de mapeamento para expressão
Na caixa de expressão, digite o seguinte: Switch([displayName],"OU=Groups,DC=contoso,DC=com","Marketing","OU=Marketing,DC=contoso,DC=com","Sales","OU=Sales,DC=contoso,DC=com")
Altere o valor padrão para OU=Groups,DC=contoso,DC=com.
Clique em Aplicar - Isso altera o contêiner de destino dependendo do atributo displayName do grupo.
Clique em Guardar
À esquerda, clique em Visão geral
Na parte superior, clique em Rever e ativar
À direita, clique em Ativar configuração

Configuração de teste

Nota

Ao usar o provisionamento sob demanda, os membros não são automaticamente provados. Você precisa selecionar em quais membros deseja testar e há um limite de 5 membros.

Entre no centro de administração do Microsoft Entra como pelo menos um Administrador Híbrido.
Navegue até Gerenciamento híbrido de>identidade>Microsoft Entra Connect>Cloud sync.

Em Configuração, selecione sua configuração.
À esquerda, selecione Provisão sob demanda.
Insira Vendas na caixa Grupo selecionado
Na seção Usuários selecionados, selecione alguns usuários para testar.
Clique em Provisionar.
Você deve ver o grupo provisionado.

Verificar no Ative Directory

Agora você pode certificar-se de que o grupo está provisionado para o Ative Directory.

Efetue o seguinte procedimento:

Entre em seu ambiente local.
Iniciar usuários e computadores do Ative Directory
Verifique se o novo grupo está provisionado.

Partilhar via