Синхронизация microsoft Entra Подключение: настройка предпочтительного расположения данных для ресурсов Microsoft 365

Цель этого раздела — пошаговые инструкции по настройке атрибута для предпочтительного расположения данных в Microsoft Entra Подключение Sync. Если в Microsoft 365 используются возможности с поддержкой нескольких регионов, этот атрибут используется для обозначения географического расположения данных Пользователя Microsoft 365. (Термины регион и геообъект являются взаимозаменяемыми.)

Поддерживаемые расположения в нескольких регионах

Список всех регионов, поддерживаемых Microsoft Entra Подключение, см. в статье о доступности Microsoft 365 Multi-Geo

Включение синхронизации предпочтительного расположения данных

По умолчанию ресурсы Microsoft 365 для пользователей находятся в том же регионе, что и клиент Microsoft Entra. Например, если клиент находится в Северная Америка, почтовые ящики Exchange пользователей также находятся в Северная Америка. Для международной организации это может быть не самым оптимальным решением.

Установив атрибут preferredDataLocation, можно задать геообъект пользователя. Вы сможете работать с ресурсами пользователя Microsoft 365, например с почтовым ящиком и OneDrive, в том же геообъекте, что и пользователь, а также использовать один клиент для всей организации.

Внимание

По состоянию на 1 июня 2023 г. для партнеров CSP можно приобрести не менее 5% от общего количества мест подписки Microsoft 365.

Кроме того, для клиентов с активным Соглашение Enterprise доступно несколько регионов. Обратитесь к представителю корпорации Майкрософт, чтобы получить дополнительные сведения.

Список всех регионов, поддерживаемых Microsoft Entra Подключение, см. в статье о доступности Microsoft 365 Multi-Geo.

Поддержка microsoft Entra Подключение синхронизации

Microsoft Entra Подключение поддерживает синхронизацию предпочтительного атрибутаDataLocation для объектов User в версии 1.1.524.0 и более поздних версий. В частности:

• Схема типа объекта User в microsoft Entra Подключение or расширена, чтобы включить предпочтительный атрибутDataLocation. Этот атрибут является строкой с одним значением.
• Схема типа объекта Person в метавселенной расширена для включения атрибута preferredDataLocation. Этот атрибут является строкой с одним значением.

По умолчанию preferredDataLocation не включен для синхронизации. Эта функция предназначена для более крупных организаций. Схема Active Directory в Windows Server 2019 имеет атрибут msDS-preferredDataLocation, который следует использовать для этой цели. Если вы не обновили схему Active Directory и не можете сделать это, необходимо будет задать атрибут для хранения геообъекта Microsoft 365 для ваших пользователей. Этот атрибут будет индивидуальным для каждой организации.

Внимание

Идентификатор Microsoft Entra позволяет предпочтительным атрибутомDataLocation в облачных объектах user быть напрямую настроен с помощью Microsoft Graph PowerShell. Чтобы настроить этот атрибут для синхронизированных объектов User, необходимо использовать Подключение Microsoft Entra.

Перед включением синхронизации выполните следующее:

• Если вы не обновили схему Active Directory до версии 2019, то решите, какой локальный атрибут Active Directory будет использоваться в качестве исходного атрибута. Он должен быть строкой с одним значением.

• Если вы ранее настроили предпочтительный атрибутDataLocation для существующих синхронизированных объектов User в идентификаторе Microsoft Entra ID с помощью Microsoft Graph PowerShell, необходимо вернуть значения атрибутов к соответствующим объектам User в локальная служба Active Directory.

  Внимание

  Если эти значения не поддерживаются, Microsoft Entra Подключение удаляет существующие значения атрибутов в идентификаторе Microsoft Entra при включенной синхронизации для предпочтительного атрибутаDataLocation.

• Настройте исходный атрибут по меньшей мере на двух локальных объектах User Active Directory. Позже его можно использовать для проверки.

В следующих разделах описаны шаги по включению синхронизации атрибута preferredDataLocation.

Примечание.

Действия описаны в контексте развертывания Microsoft Entra с топологией с одним лесом и без пользовательских правил синхронизации. Если используется топология с несколькими лесами, которые настроены при помощи пользовательских правил синхронизации или промежуточного сервера, необходимо соответствующим образом изменить действия.

Шаг 1. Отключение планировщика синхронизации и остановка синхронизации

Чтобы избежать непреднамеренных изменений, экспортируемых в идентификатор Microsoft Entra, убедитесь, что синхронизация не выполняется во время обновления правил синхронизации. Чтобы отключить встроенный планировщик синхронизации, сделайте следующее:

1. Запустите сеанс PowerShell на сервере Microsoft Entra Подключение.
2. Отключите плановую синхронизацию, выполнив командлет Set-ADSyncScheduler -SyncCycleEnabled $false.
3. Запустите Synchronization Service Manager, выбрав Пуск>Служба синхронизации.
4. Перейдите на вкладку Операции и убедитесь, что на ней не отображаются операции в состоянии Выполняется.

Шаг 2. Обновление схемы для Active Directory

Если вы обновили схему Active Directory до версии 2019 и установили Connect до расширения схемы, то в кэше схемы Connect нет обновленной схемы. В этом случае необходимо обновить схему в мастере, чтобы она отображалась в пользовательском интерфейсе.

1. Запустите мастер microsoft Entra Подключение с рабочего стола.
2. Выберите пункт Обновить схему каталога и нажмите кнопку Далее.
3. Введите учетные данные Microsoft Entra и нажмите кнопку "Далее".
4. На странице Обновление схемы каталога убедитесь в том, что выбраны все леса, и нажмите кнопку Далее.
5. Закройте мастер после завершения.

Шаг 3. Добавление исходного атрибута в схему соединителя локальной службы Active Directory

Этот шаг необходим только при запуске Connect версии 1.3.21 или более ранней. Если вы используете версию 1.4.18 или более новую, перейдите к шагу 5.
Не все атрибуты Microsoft Entra импортируются в пространство соединителя локальная служба Active Directory. Если вы решили использовать атрибут, не синхронизируемый по умолчанию, то его необходимо импортировать. Чтобы добавить исходный атрибут в список импортируемых атрибутов, сделайте следующее.

1. Откройте вкладку Соединители в Synchronization Service Manager.
2. Щелкните правой кнопкой мыши локальный соединитель Active Directory и выберите Свойства.
3. Во всплывающем диалоговом окне перейдите на вкладку Выбор атрибутов.
4. Убедитесь, что нужный исходный атрибут выбран из списка атрибутов. Если атрибут не отображается, щелкните флажок Show All (Показать все).
5. Чтобы сохранить, нажмите кнопку ОК.

Шаг 4. Добавление предпочтительным элементомDataLocation в схему Microsoft Entra Подключение or

Этот шаг необходим только при запуске Connect версии 1.3.21 или более ранней. Если вы используете версию 1.4.18 или более новую, перейдите к шагу 5.
По умолчанию предпочтительный атрибутDataLocation не импортируется в пространство microsoft Entra Подключение or. Чтобы добавить его в список импортированных атрибутов, выполните следующее:

1. Откройте вкладку Соединители в Synchronization Service Manager.
2. Щелкните правой кнопкой мыши соединитель Microsoft Entra и выберите "Свойства".
3. Во всплывающем диалоговом окне перейдите на вкладку Выбор атрибутов.
4. Выберите атрибут preferredDataLocation в списке.
5. Чтобы сохранить, нажмите кнопку ОК.

Шаг 5. Создание правила входящей синхронизации

Правило входящей синхронизации позволяет передавать значение исходного атрибута из локального каталога Active Directory в метавселенную.

1. Запустите редактор правил синхронизации, выбрав Пуск>Synchronization Rules Editor (Редактор правил синхронизации).

2. В фильтре поиска для параметра Направление задайте значение Входящие.

3. Чтобы создать правило входящей синхронизации, нажмите кнопку Добавить правило.

4. На вкладке Описание укажите следующую конфигурацию:

   Атрибут	Значение	Сведения
   Имя.	Укажите имя	Например, In from AD – User PreferredDataLocation.
   Description	Введите пользовательское описание
   Подключенная система	Выберите локальный соединитель Active Directory
   Тип объекта подключенной системы	Пользователь
   Тип объекта метавселенной	Физическое лицо
   Тип ссылки	Присоединение
   Приоритет	Выберите число от 1 до 99	Значения 1–99 зарезервированы для настраиваемых правил синхронизации. Не выбирайте значение, которое используется в другом правиле синхронизации.

5. Оставьте значение Scoping filter (Фильтр области) пустым, чтобы включить все объекты. Возможно, потребуется настроить фильтр области в соответствии с развертыванием Microsoft Entra Подключение.

6. Перейдите на вкладку Преобразование и реализуйте следующее правило преобразования.

   Тип потока	Целевой атрибут	Оригинал	Применить однократно	Merge Type (Тип объединения)
   Напрямую	preferredDataLocation	Выберите исходный атрибут.	Флажок снят	Обновить

7. Чтобы создать правило входящей синхронизации, нажмите кнопку Добавить.

Шаг 6. Создание правила исходящей синхронизации

Правило исходящей синхронизации позволяет значению атрибута передаваться из метавселенной к предпочтительному атрибутуDataLocation в идентификаторе Microsoft Entra ID:

1. Перейдите в редактор правил синхронизации.

2. В фильтре поиска для параметра Направление задайте значение Исходящие.

3. Нажмите кнопку Добавить правило.

4. На вкладке Описание укажите следующую конфигурацию:

   Атрибут	Значение	Сведения
   Имя.	Укажите имя	Например, "Out to Microsoft Entra ID — User preferredDataLocation"
   Description	Укажите описание
   Подключенная система	Выберите элемент microsoft Entra Подключение or
   Тип объекта подключенной системы	Пользователь
   Тип объекта метавселенной	Физическое лицо
   Тип ссылки	Присоединение
   Приоритет	Выберите число от 1 до 99	Значения 1–99 зарезервированы для настраиваемых правил синхронизации. Не выбирайте значение, которое используется в другом правиле синхронизации.

5. Перейдите на вкладку Scoping filter (Фильтр области) и добавьте отдельную группу фильтра области с двумя предложениями.

   Атрибут	Оператор	Значение
   sourceObjectType	EQUAL	User
   cloudMastered	NOTEQUAL	Истина

   Фильтр области определяет, к каким объектам Microsoft Entra применяется это правило исходящей синхронизации. В этом примере мы используем тот же фильтр области из правила синхронизации "Out to Microsoft Entra ID — User Identity" OOB (out-of-box). Он предотвращает применение правила синхронизации к объектам Пользователь в локальной службе Active Directory, которые не синхронизируются. Возможно, потребуется настроить фильтр области в соответствии с развертыванием Microsoft Entra Подключение.

6. Перейдите на вкладку Преобразование и реализуйте следующее правило преобразования.

   Тип потока	Целевой атрибут	Оригинал	Применить однократно	Merge Type (Тип объединения)
   Напрямую	preferredDataLocation	preferredDataLocation	Флажок снят	Обновить

7. Щелкните Добавить, чтобы создать правило исходящей синхронизации.

Шаг 7. Запуск полного цикла синхронизации

Как правило, полный цикл синхронизации обязателен, Это связано с тем, что вы добавили новые атрибуты в схему Active Directory и Microsoft Entra Подключение or и ввели пользовательские правила синхронизации. Проверьте изменения перед экспортом их в идентификатор Microsoft Entra. Проверить изменения во время ручного выполнения действий, составляющих полный цикл синхронизации, можно с помощью следующих инструкций.

1. Выполните полный импорт для локального соединителя Active Directory.

   1. Откройте вкладку Connectors (Соединители) в Synchronization Service Manager.

   2. Щелкните правой кнопкой мыши локальный соединитель Active Directory и выберите Запустить.

   3. В диалоговом окне выберите Full Import (Полный импорт), а затем нажмите кнопку ОК.

   4. Дождитесь завершения операции.

      Примечание.

      Полный импорт локального соединителя Active Directory можно пропустить, если исходный атрибут уже включен в список импортируемых атрибутов. Другими словами, можно было не вносить изменения во время выполнения шага 2 в этой статье.

2. Выполните полный импорт в Подключение microsoft Entra:

   1. Щелкните правой кнопкой мыши элемент Microsoft Entra Подключение or и выберите "Выполнить".
   2. В диалоговом окне выберите Full Import (Полный импорт), а затем нажмите кнопку ОК.
   3. Дождитесь завершения операции.

3. Проверьте изменения правила синхронизации на имеющемся объекте User.

   Исходный атрибут из локальная служба Active Directory и предпочтительный атрибутDataLocation из идентификатора Microsoft Entra ID был импортирован в каждое соответствующее пространство соединителя. Перед выполнением шага полной синхронизации выполните предварительный просмотр имеющегося объекта User в пространстве локального соединителя Active Directory. У выбранного объекта должен быть заполнен исходный атрибут. Если при предварительном просмотре атрибут preferredDataLocation успешно заполнен в метавселенной, то это хороший показатель того, что вы верно настроили правила синхронизации. Сведения о том, как выполнить предварительный просмотр, см. в разделе Проверка изменений.

4. Выполните полную синхронизацию для локального соединителя Active Directory.

   1. Щелкните правой кнопкой мыши локальный соединитель Active Directory и выберите Запустить.
   2. В диалоговом окне выберите Full Synchronization (Полная синхронизация), а затем нажмите кнопку ОК.
   3. Дождитесь завершения операции.

5. Проверьте ожидающие экспорты в идентификатор Microsoft Entra:

   1. Щелкните правой кнопкой мыши элемент microsoft Entra Подключение or и выберите "Поиск Подключение пробела".

   2. В диалоговом окне Search Connector Space (Поиск пространства соединителя) сделайте следующее.

      a. Для параметра Scope (Область) укажите значение Pending Export (Ожидающая операция экспорта).
      b. Установите все три флажка: "Добавить", "Изменить" и "Удалить".
      c. Чтобы получить список объектов с изменениями для экспорта, нажмите кнопку Поиск. Чтобы проверить изменения указанного объекта, дважды щелкните его.
      d. Убедитесь, что изменения являются ожидаемыми.

6. Запуск экспорта в Подключение microsoft Entra

   1. Щелкните правой кнопкой мыши элемент Microsoft Entra Подключение or и выберите "Выполнить".
   2. В диалоговом окне Run Connector (Запуск соединителя) выберите Экспорт, а затем нажмите кнопку ОК.
   3. Дождитесь завершения операции.

Примечание.

Вы можете заметить, что шаги не включают полный шаг синхронизации на Подключение or Microsoft Entra или шаг экспорта на Подключение or Active Directory. Действия не требуются, так как значения атрибутов отправляются из локальная служба Active Directory только в Microsoft Entra.

Шаг 8. Повторное включение планировщика синхронизации

Повторно включите встроенный планировщик синхронизации.

1. Запустите сеанс PowerShell.
2. Повторно включите плановую синхронизацию, выполнив командлет Set-ADSyncScheduler -SyncCycleEnabled $true.

Шаг 9. Проверка результата

Теперь можно проверить конфигурацию и активировать ее для пользователей.

1. Добавьте геообъект в выбранный атрибут для пользователя. Список доступных геообъектов можно найти в этой таблице.
   
2. Дождитесь синхронизации атрибута с идентификатором Microsoft Entra.
3. При помощи Exchange Online PowerShell проверьте, правильно ли установлен регион почтового ящика.
   
   Учитывая, что клиент отмечен для использования этой функции, почтовый ящик перемещен в правильный геообъект. В этом можно убедиться, просмотрев имя сервера, на котором размещен почтовый ящик.

Следующие шаги

Дополнительные сведения о поддержке Multi-Geo в Microsoft 365:

• Сеансы с несколькими регионами в Ignite
• Сеансы с несколькими регионами в OneDrive
• Сеансы с несколькими регионами в SharePoint Online

Дополнительные сведения о модели конфигурации в модуле синхронизации:

• Дополнительные сведения о модели конфигурации, см. в статье о принципах декларативной подготовки.
• Дополнительные сведения о языке выражений см. в статье Служба синхронизации Azure AD Connect: общие сведения о выражениях декларативной подготовки.

Обзорные статьи:

• Синхронизация Подключение Microsoft Entra: общие сведения и настройка синхронизации
• Интеграция локальных удостоверений с идентификатором Microsoft Entra