Настройка синхронизации между клиентами с помощью PowerShell или API Microsoft Graph

Статья
07/19/2024

В этой статье описаны основные шаги по настройке синхронизации между клиентами с помощью Microsoft Graph PowerShell или API Microsoft Graph. При настройке идентификатор Microsoft Entra id автоматически подготавливает и отменяет подготовку пользователей B2B в целевом клиенте. Подробные инструкции, описанные в Центре администрирования Microsoft Entra, см. в разделе "Настройка синхронизации между клиентами".

Необходимые компоненты

Значок исходного клиента.
Исходный клиент

Лицензия Microsoft Entra ID P1 или P2. Дополнительные сведения см. в статье Лицензионные требования.
Роль администратора безопасности для настройки параметров доступа между клиентами.
Роль гибридного администратора удостоверений для настройки синхронизации между клиентами.
Роль администратора облачных приложений или администратора приложений для назначения пользователям конфигурации и удаления конфигурации.
Роль глобального администратора для предоставления согласия на необходимые разрешения.

Значок целевого клиента.
Целевой клиент

Лицензия Microsoft Entra ID P1 или P2. Дополнительные сведения см. в статье Лицензионные требования.
Роль администратора безопасности для настройки параметров доступа между клиентами.
Роль глобального администратора для предоставления согласия на необходимые разрешения.

Значок целевого клиента.
Целевой клиент

PowerShell
Microsoft Graph

Запустите PowerShell.
При необходимости установите пакет SDK Для Microsoft Graph PowerShell.
Получите идентификатор клиента исходного и целевого клиентов и инициализировать переменные.
```
$SourceTenantId = "<SourceTenantId>"
$TargetTenantId = "<TargetTenantId>"
```
Используйте команду Connect-MgGraph, чтобы войти в целевой клиент и предоставить согласие на следующие необходимые разрешения.
- Policy.Read.All
- Policy.ReadWrite.CrossTenantAccess
```
Connect-MgGraph -TenantId $TargetTenantId -Scopes "Policy.Read.All","Policy.ReadWrite.CrossTenantAccess"
```

В этих шагах описано, как использовать Microsoft Graph Explorer, но вы также можете использовать другой клиент REST API.

Запустите средство Microsoft Graph Explorer.
Войдите в целевой клиент.
Выберите профиль и выберите "Согласие на разрешения".
Согласие на следующие необходимые разрешения.
- Policy.Read.All
- Policy.ReadWrite.CrossTenantAccess
Получите идентификатор клиента исходного и целевого клиентов. В примере конфигурации, описанной в этой статье, используются следующие идентификаторы клиента.
- Идентификатор исходного клиента: {sourceTenantId}
- Идентификатор целевого клиента: {targetTenantId}

Шаг 2. Включение синхронизации пользователей в целевом клиенте

Значок целевого клиента.
Целевой клиент

PowerShell
Microsoft Graph

В целевом клиенте используйте команду New-MgPolicyCrossTenantAccessPolicyPartner , чтобы создать новую конфигурацию партнера в политике доступа между целевым клиентом и исходным клиентом. Используйте идентификатор исходного клиента в запросе.

Если вы получите ошибку New-MgPolicyCrossTenantAccessPolicyPartner_Create: Another object with the same value for property tenantId already exists, возможно, у вас уже есть существующая конфигурация. Дополнительные сведения см. в разделе "Симптом" — ошибка new-MgPolicyCrossTenantAccessPolicyPartner_Create.

$Params = @{
    TenantId = $SourceTenantId
}
New-MgPolicyCrossTenantAccessPolicyPartner -BodyParameter $Params | Format-List

AutomaticUserConsentSettings : Microsoft.Graph.PowerShell.Models.MicrosoftGraphInboundOutboundPolicyConfiguration
B2BCollaborationInbound      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
B2BCollaborationOutbound     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
B2BDirectConnectInbound      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
B2BDirectConnectOutbound     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
IdentitySynchronization      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantIdentitySyncPolicyPartner
InboundTrust                 : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyInboundTrust
IsServiceProvider            :
TenantId                     : <SourceTenantId>
TenantRestrictions           : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyTenantRestrictions
AdditionalProperties         : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#policies/crossTenantAccessPolicy/partners/$entity],
                               [crossCloudMeetingConfiguration,
                               System.Collections.Generic.Dictionary`2[System.String,System.Object]], [protectedContentSharing,
                               System.Collections.Generic.Dictionary`2[System.String,System.Object]]}

Используйте команду Invoke-MgGraphRequest, чтобы включить синхронизацию пользователей в целевом клиенте.

Если возникает Request_MultipleObjectsWithSameKeyValue ошибка, возможно, у вас уже есть существующая политика. Дополнительные сведения см. в разделе "Симптом" — Request_MultipleObjectsWithSameKeyValue ошибка.
```
$Params = @{
    userSyncInbound = @{
        isSyncAllowed = $true
    }
}
Invoke-MgGraphRequest -Method PUT -Uri "https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/$SourceTenantId/identitySynchronization" -Body $Params
```

Используйте команду Get-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization, чтобы проверитьIsSyncAllowed, задано значение True.

(Get-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization -CrossTenantAccessPolicyConfigurationPartnerTenantId $SourceTenantId).UserSyncInbound

IsSyncAllowed
-------------
True

В целевом клиенте используйте API Create crossTenantAccessPolicyConfigurationPartner , чтобы создать новую конфигурацию партнера в политике доступа между целевым клиентом и исходным клиентом. Используйте идентификатор исходного клиента в запросе.

Если возникает Request_MultipleObjectsWithSameKeyValue ошибка, возможно, у вас уже есть существующая конфигурация. Дополнительные сведения см. в разделе "Симптом" — Request_MultipleObjectsWithSameKeyValue ошибка.

Запросить

POST https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners
Content-Type: application/json

{
  "tenantId": "{sourceTenantId}"
}

Response

HTTP/1.1 201 Created
Content-Type: application/json

{
  "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#policies/crossTenantAccessPolicy/partners/$entity",
  "tenantId": "{sourceTenantId}",
  "isServiceProvider": null,
  "inboundTrust": null,
  "b2bCollaborationOutbound": null,
  "b2bCollaborationInbound": null,
  "b2bDirectConnectOutbound": null,
  "b2bDirectConnectInbound": null,
  "tenantRestrictions": null,
  "crossCloudMeetingConfiguration":
  {
    "inboundAllowed": null,
    "outboundAllowed": null
  },
  "automaticUserConsentSettings":
  {
    "inboundAllowed": null,
    "outboundAllowed": null
  }
}

Используйте API create identitySynchronization, чтобы включить синхронизацию пользователей в целевом клиенте.

Если возникает Request_MultipleObjectsWithSameKeyValue ошибка, возможно, у вас уже есть существующая политика. Дополнительные сведения см. в разделе "Симптом" — Request_MultipleObjectsWithSameKeyValue ошибка.

Запросить
```
PUT https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/{sourceTenantId}/identitySynchronization
Content-type: application/json

{
   "displayName": "Fabrikam",
   "userSyncInbound": 
    {
      "isSyncAllowed": true
    }
}
```
Response
```
HTTP/1.1 204 No Content
```

Шаг 3. Автоматическое активация приглашений в целевом клиенте

Значок целевого клиента.
Целевой клиент

PowerShell
Microsoft Graph

В целевом клиенте используйте команду Update-MgPolicyCrossTenantAccessPolicyPartner для автоматического активации приглашений и подавления запросов на согласие для входящего доступа.
```
$AutomaticUserConsentSettings = @{
    "InboundAllowed"="True"
}
Update-MgPolicyCrossTenantAccessPolicyPartner -CrossTenantAccessPolicyConfigurationPartnerTenantId $SourceTenantId -AutomaticUserConsentSettings $AutomaticUserConsentSettings
```

В целевом клиенте используйте API Update crossTenantAccessPolicyConfigurationPartner для автоматического активации приглашений и подавления запросов на согласие для входящего доступа.

Запросить
```
PATCH https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/{sourceTenantId}
Content-Type: application/json

{
    "inboundTrust": null,
    "automaticUserConsentSettings":
    {
        "inboundAllowed": true
    }
}
```
Response
```
HTTP/1.1 204 No Content
```

Значок исходного клиента.
Исходный клиент

PowerShell
Microsoft Graph

Запустите экземпляр PowerShell.
Получите идентификатор клиента исходного и целевого клиентов и инициализировать переменные.
```
$SourceTenantId = "<SourceTenantId>"
$TargetTenantId = "<TargetTenantId>"
```
Используйте команду Connect-MgGraph, чтобы войти в исходный клиент и предоставить согласие на следующие необходимые разрешения.
- Policy.Read.All
- Policy.ReadWrite.CrossTenantAccess
- Application.ReadWrite.All
- Directory.ReadWrite.All
- AuditLog.Read.All
```
Connect-MgGraph -TenantId $SourceTenantId -Scopes "Policy.Read.All","Policy.ReadWrite.CrossTenantAccess","Application.ReadWrite.All","Directory.ReadWrite.All","AuditLog.Read.All"
```

Запустите экземпляр средства Обозревателя Microsoft Graph.
Войдите в исходный клиент.
Согласие на следующие необходимые разрешения.
- Policy.Read.All
- Policy.ReadWrite.CrossTenantAccess
- Application.ReadWrite.All
- Directory.ReadWrite.All
- AuditLog.Read.All
Если вы видите страницу утверждения администратора, вам потребуется войти с помощью пользователя, которому назначена роль глобального администратора для предоставления согласия.

Шаг 5. Автоматическое активация приглашений в исходном клиенте

Значок исходного клиента.
Исходный клиент

PowerShell
Microsoft Graph

В исходном клиенте используйте команду New-MgPolicyCrossTenantAccessPolicyPartner , чтобы создать новую конфигурацию партнера в политике доступа между исходным клиентом и целевым клиентом. Используйте идентификатор целевого клиента в запросе.

$Params = @{
    TenantId = $TargetTenantId
}
New-MgPolicyCrossTenantAccessPolicyPartner -BodyParameter $Params | Format-List

AutomaticUserConsentSettings : Microsoft.Graph.PowerShell.Models.MicrosoftGraphInboundOutboundPolicyConfiguration
B2BCollaborationInbound      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
B2BCollaborationOutbound     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
B2BDirectConnectInbound      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
B2BDirectConnectOutbound     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
IdentitySynchronization      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantIdentitySyncPolicyPartner
InboundTrust                 : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyInboundTrust
IsServiceProvider            :
TenantId                     : <TargetTenantId>
TenantRestrictions           : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyTenantRestrictions
AdditionalProperties         : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#policies/crossTenantAccessPolicy/partners/$entity],
                               [crossCloudMeetingConfiguration,
                               System.Collections.Generic.Dictionary`2[System.String,System.Object]], [protectedContentSharing,
                               System.Collections.Generic.Dictionary`2[System.String,System.Object]]}

Используйте команду Update-MgPolicyCrossTenantAccessPolicyPartner для автоматического активации приглашений и подавления запросов согласия для исходящего доступа.
```
$AutomaticUserConsentSettings = @{
    "OutboundAllowed"="True"
}
Update-MgPolicyCrossTenantAccessPolicyPartner -CrossTenantAccessPolicyConfigurationPartnerTenantId $TargetTenantId -AutomaticUserConsentSettings $AutomaticUserConsentSettings
```

В исходном клиенте используйте API Create crossTenantAccessPolicyConfigurationPartner , чтобы создать новую конфигурацию партнера в политике доступа между исходным клиентом и целевым клиентом. Используйте идентификатор целевого клиента в запросе.

Запросить

POST https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners
Content-Type: application/json

{
  "tenantId": "{targetTenantId}"
}

Response

HTTP/1.1 201 Created
Content-Type: application/json

{
  "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#policies/crossTenantAccessPolicy/partners/$entity",
  "tenantId": "{targetTenantId}",
  "isServiceProvider": null,
  "inboundTrust": null,
  "b2bCollaborationOutbound": null,
  "b2bCollaborationInbound": null,
  "b2bDirectConnectOutbound": null,
  "b2bDirectConnectInbound": null,
  "tenantRestrictions": null,
  "crossCloudMeetingConfiguration":
  {
    "inboundAllowed": null,
    "outboundAllowed": null
  },
  "automaticUserConsentSettings":
  {
    "inboundAllowed": null,
    "outboundAllowed": null
  }
}

Используйте API Update crossTenantAccessPolicyConfigurationPartner для автоматического активации приглашений и подавления запросов согласия на исходящий доступ.

Запросить
```
PATCH https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/{targetTenantId}
Content-Type: application/json

{
    "automaticUserConsentSettings":
    {
        "outboundAllowed": true
    }
}
```
Response
```
HTTP/1.1 204 No Content
```

Шаг 6. Создание приложения конфигурации в исходном клиенте

Значок исходного клиента.
Исходный клиент

PowerShell
Microsoft Graph

В исходном клиенте используйте команду Invoke-MgInstantiateApplicationTemplate , чтобы добавить экземпляр приложения конфигурации из коллекции приложений Microsoft Entra в клиент.
```
Invoke-MgInstantiateApplicationTemplate -ApplicationTemplateId "518e5f48-1fc8-4c48-9387-9fdf28b0dfe7" -DisplayName "Fabrikam"
```

Используйте команду Get-MgServicePrincipal, чтобы получить идентификатор субъекта-службы и идентификатор роли приложения.

Get-MgServicePrincipal -Filter "DisplayName eq 'Fabrikam'" | Format-List

AccountEnabled                      : True
AddIns                              : {}
AlternativeNames                    : {}
AppDescription                      :
AppDisplayName                      : Fabrikam
AppId                               : <AppId>
AppManagementPolicies               :
AppOwnerOrganizationId              : <AppOwnerOrganizationId>
AppRoleAssignedTo                   :
AppRoleAssignmentRequired           : True
AppRoleAssignments                  :
AppRoles                            : {<AppRoleId>}
ApplicationTemplateId               : 518e5f48-1fc8-4c48-9387-9fdf28b0dfe7
ClaimsMappingPolicies               :
CreatedObjects                      :
CustomSecurityAttributes            : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCustomSecurityAttributeValue
DelegatedPermissionClassifications  :
DeletedDateTime                     :
Description                         :
DisabledByMicrosoftStatus           :
DisplayName                         : Fabrikam
Endpoints                           :
ErrorUrl                            :
FederatedIdentityCredentials        :
HomeRealmDiscoveryPolicies          :
Homepage                            : https://account.activedirectory.windowsazure.com:444/applications/default.aspx?metadata=aad2aadsync|ISV9.1|primary|z
Id                                  : <ServicePrincipalId>
Info                                : Microsoft.Graph.PowerShell.Models.MicrosoftGraphInformationalUrl
KeyCredentials                      : {}
LicenseDetails                      :

...

Инициализировать переменную для идентификатора субъекта-службы.

Не забудьте использовать идентификатор субъекта-службы вместо идентификатора приложения.
```
$ServicePrincipalId = "<ServicePrincipalId>"
```
Инициализировать переменную для идентификатора роли приложения.
```
$AppRoleId= "<AppRoleId>"
```

В исходном клиенте используйте applicationTemplate: создайте экземпляр API для добавления экземпляра приложения конфигурации из коллекции приложений Microsoft Entra в клиент.

Запросить

POST https://graph.microsoft.com/v1.0/applicationTemplates/518e5f48-1fc8-4c48-9387-9fdf28b0dfe7/instantiate
Content-type: application/json

{
  "displayName": "Fabrikam"
}

Response

HTTP/1.1 201 Created
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#microsoft.graph.applicationServicePrincipal",
    "application": {
        "id": "{id}",
        "appId": "{appId}",
        "applicationTemplateId": "518e5f48-1fc8-4c48-9387-9fdf28b0dfe7",
        "createdDateTime": "2023-07-31T23:26:24Z",
        "deletedDateTime": null,
        "displayName": "Fabrikam",
        "description": null,
        "groupMembershipClaims": null,
        "identifierUris": [],
        "isFallbackPublicClient": false,
        "signInAudience": "AzureADMyOrg",
        "tags": [],
        "tokenEncryptionKeyId": null,
        "defaultRedirectUri": null,
        "optionalClaims": null,
        "addIns": [],
        "api": {
            "acceptMappedClaims": null,
            "knownClientApplications": [],
            "requestedAccessTokenVersion": null,
            "oauth2PermissionScopes": [
                {
                    "adminConsentDescription": "Allow the application to access Fabrikam on behalf of the signed-in user.",
                    "adminConsentDisplayName": "Access Fabrikam",
                    "id": "{id}",
                    "isEnabled": true,
                    "type": "User",
                    "userConsentDescription": "Allow the application to access Fabrikam on your behalf.",
                    "userConsentDisplayName": "Access Fabrikam",
                    "value": "user_impersonation"
                }
            ],
            "preAuthorizedApplications": []
        },
        "appRoles": [
            {
                "allowedMemberTypes": [
                    "User"
                ],
                "displayName": "msiam_access",
                "id": "{appRoleId}",
                "isEnabled": true,
                "description": "msiam_access",
                "value": null,
                "origin": "Application"
            }
        ],
        "info": {
            "logoUrl": null,
            "marketingUrl": null,
            "privacyStatementUrl": null,
            "supportUrl": null,
            "termsOfServiceUrl": null
        },
        "keyCredentials": [],
        "parentalControlSettings": {
            "countriesBlockedForMinors": [],
            "legalAgeGroupRule": "Allow"
        },
        "passwordCredentials": [],
        "publicClient": {
            "redirectUris": []
        },
        "requiredResourceAccess": [],
        "verifiedPublisher": {
            "displayName": null,
            "verifiedPublisherId": null,
            "addedDateTime": null
        },
        "web": {
            "homePageUrl": "https://account.activedirectory.windowsazure.com:444/applications/default.aspx?metadata=aad2aadsync|ISV9.1|primary|z",
            "redirectUris": [],
            "logoutUrl": null
        }
    },
    "servicePrincipal": {
        "id": "{servicePrincipalId}",
        "deletedDateTime": null,
        "accountEnabled": true,
        "appId": "{appId}",
        "applicationTemplateId": "518e5f48-1fc8-4c48-9387-9fdf28b0dfe7",
        "appDisplayName": "Fabrikam",
        "alternativeNames": [],
        "appOwnerOrganizationId": "{appOwnerOrganizationId}",
        "displayName": "Fabrikam",
        "appRoleAssignmentRequired": true,
        "loginUrl": null,
        "logoutUrl": null,
        "homepage": "https://account.activedirectory.windowsazure.com:444/applications/default.aspx?metadata=aad2aadsync|ISV9.1|primary|z",
        "notificationEmailAddresses": [],
        "preferredSingleSignOnMode": null,
        "preferredTokenSigningKeyThumbprint": null,
        "replyUrls": [],
        "servicePrincipalNames": [
            "{appId}"
        ],
        "servicePrincipalType": "Application",
        "tags": [
            "WindowsAzureActiveDirectoryIntegratedApp"
        ],
        "tokenEncryptionKeyId": null,
        "samlSingleSignOnSettings": null,
        "addIns": [],
        "appRoles": [
            {
                "allowedMemberTypes": [
                    "User"
                ],
                "displayName": "msiam_access",
                "id": "{appRoleId}",
                "isEnabled": true,
                "description": "msiam_access",
                "value": null,
                "origin": "Application"
            }
        ],
        "info": {
            "logoUrl": null,
            "marketingUrl": null,
            "privacyStatementUrl": null,
            "supportUrl": null,
            "termsOfServiceUrl": null
        },
        "keyCredentials": [],
        "oauth2PermissionScopes": [
            {
                "adminConsentDescription": "Allow the application to access Fabrikam on behalf of the signed-in user.",
                "adminConsentDisplayName": "Access Fabrikam",
                "id": "{id}",
                "isEnabled": true,
                "type": "User",
                "userConsentDescription": "Allow the application to access Fabrikam on your behalf.",
                "userConsentDisplayName": "Access Fabrikam",
                "value": "user_impersonation"
            }
        ],
        "passwordCredentials": [],
        "verifiedPublisher": {
            "displayName": null,
            "verifiedPublisherId": null,
            "addedDateTime": null
        }
    }
}

Сохраните servicePrincipalId.

Не забудьте использовать идентификатор субъекта-службы вместо идентификатора приложения.
Сохраните appRoleId.

Шаг 7. Проверка подключения к целевому клиенту

Значок исходного клиента.
Исходный клиент

PowerShell
Microsoft Graph

В исходном клиенте используйте команду Invoke-MgGraphRequest для проверки подключения к целевому клиенту и проверки учетных данных.

$Params = @{
    "useSavedCredentials" = $false
    "templateId" = "Azure2Azure"
    "credentials" = @(
        @{
            "key" = "CompanyId"
            "value" = $TargetTenantId
        }
        @{
            "key" = "AuthenticationType"
            "value" = "SyncPolicy"
        }
    )
}
Invoke-MgGraphRequest -Method POST -Uri "https://graph.microsoft.com/v1.0/servicePrincipals/$ServicePrincipalId/synchronization/jobs/validateCredentials" -Body $Params

В исходном клиенте используйте задание синхронизации: проверьте APICredentials , чтобы проверить подключение к целевому клиенту и проверить учетные данные.

Запросить

POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/validateCredentials
Content-Type: application/json

{
    "useSavedCredentials": false,
    "templateId": "Azure2Azure",
    "credentials": [
        {
            "key": "CompanyId",
            "value": "{targetTenantId}"
        },
        {
            "key": "AuthenticationType",
            "value": "SyncPolicy"
        }
    ]
}

Response

HTTP/1.1 204 No Content

Шаг 8. Создание задания подготовки в исходном клиенте

Значок исходного клиента.
Исходный клиент

Чтобы включить подготовку, создайте задание подготовки в исходном клиенте.

PowerShell
Microsoft Graph

Определите шаблон синхронизации, используемый, например Azure2Azure.

Шаблон имеет предварительно настроенные параметры синхронизации.

В исходном клиенте используйте команду New-MgServicePrincipalSynchronizationJob для создания задания подготовки на основе шаблона.

New-MgServicePrincipalSynchronizationJob -ServicePrincipalId $ServicePrincipalId -TemplateId "Azure2Azure" | Format-List

Id                         : <JobId>
Schedule                   : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationSchedule
Schema                     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationSchema
Status                     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationStatus
SynchronizationJobSettings : {AzureIngestionAttributeOptimization, LookaheadQueryEnabled}
TemplateId                 : Azure2Azure
AdditionalProperties       : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('<ServicePrincipalId>')/synchro
                             nization/jobs/$entity]}

Инициализация переменной для идентификатора задания.
```
$JobId = "<JobId>"
```

Определите шаблон синхронизации, используемый, напримерAzure2Azure.

Шаблон имеет предварительно настроенные параметры синхронизации.

В исходном клиенте используйте API create synchronizationJob для создания задания подготовки на основе шаблона.

Запросить

POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs
Content-type: application/json

{
    "templateId": "Azure2Azure"
}

Response

HTTP/1.1 201 Created
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('{servicePrincipalId}')/synchronization/jobs/$entity",
    "id": "{jobId}",
    "templateId": "Azure2Azure",
    "schedule": {
        "expiration": null,
        "interval": "PT40M",
        "state": "Disabled"
    },
    "status": {
        "countSuccessiveCompleteFailures": 0,
        "escrowsPruned": false,
        "code": "Paused",
        "lastExecution": null,
        "lastSuccessfulExecution": null,
        "lastSuccessfulExecutionWithExports": null,
        "quarantine": null,
        "steadyStateFirstAchievedTime": "0001-01-01T00:00:00Z",
        "steadyStateLastAchievedTime": "0001-01-01T00:00:00Z",
        "troubleshootingUrl": null,
        "progress": [],
        "synchronizedEntryCountByType": []
    },
    "synchronizationJobSettings": [
        {
            "name": "AzureIngestionAttributeOptimization",
            "value": "False"
        },
        {
            "name": "LookaheadQueryEnabled",
            "value": "False"
        }
    ]
}

Сохраните идентификатор задания.

Шаг 9. Сохранение учетных данных

Значок исходного клиента.
Исходный клиент

PowerShell
Microsoft Graph

В исходном клиенте используйте команду Invoke-MgGraphRequest для сохранения учетных данных.

$Params = @{
    "value" = @(
        @{
            "key" = "AuthenticationType"
            "value" = "SyncPolicy"
        }
        @{
            "key" = "CompanyId"
            "value" = $TargetTenantId
        }
    )
}
Invoke-MgGraphRequest -Method PUT -Uri "https://graph.microsoft.com/v1.0/servicePrincipals/$ServicePrincipalId/synchronization/secrets" -Body $Params

В исходном клиенте используйте API добавления секретов синхронизации для сохранения учетных данных.

Запросить

PUT https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/secrets 
Content-Type: application/json

{
    "value": [
        {
            "key": "AuthenticationType",
            "value": "SyncPolicy"
        },
        {
            "key": "CompanyId",
            "value": "{targetTenantId}"
        },
        {
            "key": "SyncNotificationSettings",
            "value": "{\"Enabled\":false,\"DeleteThresholdEnabled\":false,\"HumanResourcesLookaheadQueryEnabled\":false}"
        },
        {
            "key": "SyncAll",
            "value": "false"
        }
    ]
}

Response

HTTP/1.1 204 No Content

Шаг 10. Назначение пользователя конфигурации

Значок исходного клиента.
Исходный клиент

Чтобы синхронизация между клиентами работала, необходимо назначить по крайней мере одного внутреннего пользователя конфигурации.

PowerShell
Microsoft Graph

В исходном клиенте используйте команду New-MgServicePrincipalAppRoleAssignedTo , чтобы назначить внутреннего пользователя конфигурации.

$Params = @{
    PrincipalId = "<PrincipalId>"
    ResourceId = $ServicePrincipalId
    AppRoleId = $AppRoleId
}
New-MgServicePrincipalAppRoleAssignedTo -ServicePrincipalId $ServicePrincipalId -BodyParameter $Params | Format-List

AppRoleId            : <AppRoleId>
CreatedDateTime      : 7/31/2023 10:27:12 PM
DeletedDateTime      :
Id                   : <Id>
PrincipalDisplayName : User1
PrincipalId          : <PrincipalId>
PrincipalType        : User
ResourceDisplayName  : Fabrikam
ResourceId           : <ServicePrincipalId>
AdditionalProperties : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#appRoleAssignments/$entity]}

В исходном клиенте используйте appRoleAssignment для API субъекта-службы , чтобы назначить внутреннего пользователя конфигурации.

Запросить

POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/appRoleAssignedTo
Content-type: application/json

{
    "appRoleId": "{appRoleId}",
    "resourceId": "{servicePrincipalId}",
    "principalId": "{principalId}"
}

Response

HTTP/1.1 201 Created
Content-Type: application/json
{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('{servicePrincipalId}')/appRoleAssignedTo/$entity",
    "id": "{keyId}",
    "deletedDateTime": null,
    "appRoleId": "{appRoleId}",
    "createdDateTime": "2023-07-31T22:23:48.6541804Z",
    "principalDisplayName": "User1",
    "principalId": "{principalId}",
    "principalType": "User",
    "resourceDisplayName": "Fabrikam",
    "resourceId": "{servicePrincipalId}"
}

Шаг 11. Проверка подготовки по запросу

Значок исходного клиента.
Исходный клиент

Теперь, когда у вас есть конфигурация, можно протестировать подготовку по запросу с одним из пользователей.

PowerShell
Microsoft Graph

В исходном клиенте используйте команду Get-MgServicePrincipalSynchronizationJobSchema , чтобы получить идентификатор правила схемы.

$SynchronizationSchema = Get-MgServicePrincipalSynchronizationJobSchema -ServicePrincipalId $ServicePrincipalId -SynchronizationJobId $JobId
$SynchronizationSchema.SynchronizationRules | Format-List

ContainerFilter      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphContainerFilter
Editable             : True
GroupFilter          : Microsoft.Graph.PowerShell.Models.MicrosoftGraphGroupFilter
Id                   : <RuleId>
Metadata             : {defaultSourceObjectMappings, supportsProvisionOnDemand}
Name                 : USER_INBOUND_USER
ObjectMappings       : {Provision Azure Active Directory Users, , , ...}
Priority             : 1
SourceDirectoryName  : Azure Active Directory
TargetDirectoryName  : Azure Active Directory (target tenant)
AdditionalProperties : {}

Инициализировать переменную для идентификатора правила.
```
$RuleId = "<RuleId>"
```

Используйте команду New-MgServicePrincipalSynchronizationJobOnDemand для подготовки тестового пользователя по запросу.

$Params = @{
    Parameters = @(
        @{
            Subjects = @(
                @{
                    ObjectId = "<UserObjectId>"
                    ObjectTypeName = "User"
                }
            )
            RuleId = $RuleId
        }
    )
}
New-MgServicePrincipalSynchronizationJobOnDemand -ServicePrincipalId $ServicePrincipalId -SynchronizationJobId $JobId -BodyParameter $Params | Format-List

Key                  : Microsoft.Identity.Health.CPP.Common.DataContracts.SyncFabric.StatusInfo
Value                : [{"provisioningSteps":[{"name":"EntryImport","type":"Import","status":"Success","description":"Retrieved User
                       'user1@fabrikam.com' from Azure Active Directory","timestamp":"2023-07-31T22:31:15.9116590Z","details":{"objectId":
                       "<UserObjectId>","accountEnabled":"True","displayName":"User1","mailNickname":"user1","userPrincipalName":"use
                       ...
AdditionalProperties : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#microsoft.graph.stringKeyStringValuePair]}

В исходном клиенте используйте API Get synchronizationSchema для получения идентификатора правила схемы.

Запросить

GET https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/{jobId}/schema

Response

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('{servicePrincipalId}')/synchronization/jobs('{jobId}')/schema/$entity",
    "id": "{jobId}",
    "version": "v1.2",
    "synchronizationRules": [
        {
            "containerFilter": null,
            "editable": true,
            "groupFilter": null,
            "id": "{ruleId}",
            "name": "USER_INBOUND_USER",
            "priority": 1,
            "sourceDirectoryName": "Azure Active Directory",
            "targetDirectoryName": "Azure Active Directory (target tenant)",
            "metadata": [

            ...

В исходном клиенте используйте синхронизациюJob : provisionOnDemand API для подготовки тестового пользователя по запросу.

Запросить

POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/{jobId}/provisionOnDemand
Content-Type: application/json

{
    "parameters": [
        {
            "ruleId": "{ruleId}",
            "subjects": [
                {
                    "objectId": "{userObjectId}",
                    "objectTypeName": "User"
                }
            ]
        }
    ]
}

Response

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#microsoft.graph.stringKeyStringValuePair",
    "key": "Microsoft.Identity.Health.CPP.Common.DataContracts.SyncFabric.StatusInfo",
    "value": "[{\"provisioningSteps\":[{\"name\":\"EntryImport\",\"type\":\"Import\",\"status\":\"Success\",\"description\":\"Retrieved User 'user1@fabrikam.com' from Azure Active Directory\",\"timestamp\":\"2023-07-31T00:00:16.7866324Z\",\"details\":{\"objectId\":\"{userObjectId}\",\"accountEnabled\":\"True\",\"displayName\":\"User1\",\"mailNickname\":\"user1\",\"userPrincipalName\":\"user1@fabrikam.com\",}

    ...

Шаг 12. Запуск задания подготовки

Значок исходного клиента.
Исходный клиент

PowerShell
Microsoft Graph

Теперь, когда задание подготовки настроено в исходном клиенте, используйте команду Start-MgServicePrincipalSynchronizationJob для запуска задания подготовки.
```
Start-MgServicePrincipalSynchronizationJob -ServicePrincipalId $ServicePrincipalId -SynchronizationJobId $JobId
```

Теперь, когда задание подготовки настроено в исходном клиенте, используйте API начальной синхронизации Для запуска задания подготовки.

Запросить
```
POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/{jobId}/start
```
Response
```
HTTP/1.1 204 No Content
```

Шаг 13. Мониторинг подготовки

Значок исходного клиента.
Исходный клиент

PowerShell
Microsoft Graph

Теперь, когда задание подготовки выполняется в исходном клиенте, используйте команду Get-MgServicePrincipalSynchronizationJob для отслеживания хода выполнения текущего цикла подготовки, а также статистики до даты, например количества пользователей и групп, созданных в целевой системе.

Get-MgServicePrincipalSynchronizationJob -ServicePrincipalId $ServicePrincipalId -SynchronizationJobId $JobId | Format-List

Id                         : <JobId>
Schedule                   : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationSchedule
Schema                     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationSchema
Status                     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationStatus
SynchronizationJobSettings : {AzureIngestionAttributeOptimization, LookaheadQueryEnabled}
TemplateId                 : Azure2Azure
AdditionalProperties       : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('<ServicePrincipalId>')/synchro
                             nization/jobs/$entity]}

Помимо мониторинга состояния задания подготовки, используйте команду Get-MgAuditLogProvisioning для получения журналов подготовки и получения всех происходящих событий подготовки. Например, можно отправить запрос конкретному пользователю, чтобы узнать, насколько успешно прошла для него подготовка.

Get-MgAuditLogDirectoryAudit | Select -First 10 | Format-List

ActivityDateTime     : 7/31/2023 12:08:17 AM
ActivityDisplayName  : Export
AdditionalDetails    : {Details, ErrorCode, EventName, ipaddr...}
Category             : ProvisioningManagement
CorrelationId        : aaaa0000-bb11-2222-33cc-444444dddddd
Id                   : Sync_aaaa0000-bb11-2222-33cc-444444dddddd_L5BFV_161778479
InitiatedBy          : Microsoft.Graph.PowerShell.Models.MicrosoftGraphAuditActivityInitiator1
LoggedByService      : Account Provisioning
OperationType        :
Result               : success
ResultReason         : User 'user2@fabrikam.com' was created in Azure Active Directory (target tenant)
TargetResources      : {<ServicePrincipalId>, }
AdditionalProperties : {}

ActivityDateTime     : 7/31/2023 12:08:17 AM
ActivityDisplayName  : Export
AdditionalDetails    : {Details, ErrorCode, EventName, ipaddr...}
Category             : ProvisioningManagement
CorrelationId        : aaaa0000-bb11-2222-33cc-444444dddddd
Id                   : Sync_aaaa0000-bb11-2222-33cc-444444dddddd_L5BFV_161778264
InitiatedBy          : Microsoft.Graph.PowerShell.Models.MicrosoftGraphAuditActivityInitiator1
LoggedByService      : Account Provisioning
OperationType        :
Result               : success
ResultReason         : User 'user2@fabrikam.com' was updated in Azure Active Directory (target tenant)
TargetResources      : {<ServicePrincipalId>, }
AdditionalProperties : {}

ActivityDateTime     : 7/31/2023 12:08:14 AM
ActivityDisplayName  : Synchronization rule action
AdditionalDetails    : {Details, ErrorCode, EventName, ipaddr...}
Category             : ProvisioningManagement
CorrelationId        : aaaa0000-bb11-2222-33cc-444444dddddd
Id                   : Sync_aaaa0000-bb11-2222-33cc-444444dddddd_L5BFV_161778395
InitiatedBy          : Microsoft.Graph.PowerShell.Models.MicrosoftGraphAuditActivityInitiator1
LoggedByService      : Account Provisioning
OperationType        :
Result               : success
ResultReason         : User 'user2@fabrikam.com' will be created in Azure Active Directory (target tenant) (User is active and assigned
                       in Azure Active Directory, but no matching User was found in Azure Active Directory (target tenant))
TargetResources      : {<ServicePrincipalId>, }
AdditionalProperties : {}

Теперь, когда задание подготовки выполняется в исходном клиенте, используйте API Get synchronizationJob для отслеживания хода выполнения текущего цикла подготовки, а также статистики на сегодняшний день, например количество пользователей и групп, созданных в целевой системе.

Запросить

GET https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/{jobId}

Response

HTTP/1.1 200 OK
Content-type: application/json

{
    "id": "{jobId}",
    "templateId": "Azure2Azure",
    "schedule": {
        "expiration": null,
        "interval": "PT40M",
        "state": "Active"
    },
    "status": {
        "countSuccessiveCompleteFailures": 0,
        "escrowsPruned": false,
        "code": "NotRun",
        "lastSuccessfulExecution": null,
        "lastSuccessfulExecutionWithExports": null,
        "quarantine": null,
        "steadyStateFirstAchievedTime": "0001-01-01T00:00:00Z",
        "steadyStateLastAchievedTime": "0001-01-01T00:00:00Z",
        "troubleshootingUrl": "",
        "lastExecution": {
            "activityIdentifier": null,
            "countEntitled": 0,
            "countEntitledForProvisioning": 0,
            "countEscrowed": 0,
            "countEscrowedRaw": 0,
            "countExported": 0,
            "countExports": 0,
            "countImported": 0,
            "countImportedDeltas": 0,
            "countImportedReferenceDeltas": 0,
            "state": "Failed",
            "timeBegan": "0001-01-01T00:00:00Z",
            "timeEnded": "0001-01-01T00:00:00Z",
            "error": {
                "code": "None",
                "message": "",
                "tenantActionable": false
            }
        },
        "progress": [],
        "synchronizedEntryCountByType": []
    },
    "synchronizationJobSettings": [
        {
            "name": "AzureIngestionAttributeOptimization",
            "value": "False"
        },
        {
            "name": "LookaheadQueryEnabled",
            "value": "False"
        }
    ]
}

Помимо мониторинга состояния задания подготовки, используйте API подготовки ListingObjectSummary для получения журналов подготовки и получения всех событий подготовки. Например, можно отправить запрос конкретному пользователю, чтобы узнать, насколько успешно прошла для него подготовка.

Запросить

GET https://graph.microsoft.com/v1.0/auditLogs/provisioning?$filter=((contains(tolower(servicePrincipal/id), '{servicePrincipalId}') or contains(tolower(servicePrincipal/displayName), '{servicePrincipalId}')) and activityDateTime gt 2023-07-30 and activityDateTime lt 2023-07-31)&$top=500&$orderby=activityDateTime desc

Response

Объект ответа, показанный здесь, был сокращен для удобства.

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#auditLogs/provisioning",
    "value": [
        {
            "id": "{id}",
            "activityDateTime": "2023-07-31T00:40:37Z",
            "tenantId": "{targetTenantId}",
            "jobId": "{jobId}",
            "cycleId": "{cycleId}",
            "changeId": "{changeId}",
            "provisioningAction": "create",
            "durationInMilliseconds": 4375,
            "servicePrincipal": {
                "id": "{servicePrincipalId}",
                "displayName": "Fabrikam"
            },
            "sourceSystem": {
                "id": "{id}",
                "displayName": "Azure Active Directory",
                "details": {}
            },
            "targetSystem": {
                "id": "{id}",
                "displayName": "Azure Active Directory (target tenant)",
                "details": {
                    "ApplicationId": "{applicationId}",
                    "ServicePrincipalId": "{servicePrincipalId}",
                    "ServicePrincipalDisplayName": "Fabrikam"
                }
            },
            "initiatedBy": {
                "id": "",
                "displayName": "Azure AD Provisioning Service",
                "initiatorType": "system"
            },
            "sourceIdentity": {
                "id": "{sourceUserObjectId}",
                "displayName": "User4",
                "identityType": "User",
                "details": {
                    "id": "{sourceUserObjectId}",
                    "odatatype": "User",
                    "DisplayName": "User4",
                    "UserPrincipalName": "user4@fabrikam.com"
                }
            },
            "targetIdentity": {
                "id": "{targetUserObjectId}",
                "displayName": "",
                "identityType": "User",
                "details": {}
            },
            "provisioningStatusInfo": {
                "status": "success",
                "errorInformation": null
            },
        "provisioningSteps": [
            {
                "name": "EntryImportAdd",
                "provisioningStepType": "import",
                "status": "success",
                "description": "Received User 'user4@fabrikam.com' change of type (Add) from Azure Active Directory",
                "details": {
                    "objectId": "{sourceUserObjectId}",
                    "accountEnabled": "True",
                    "department": "Marketing",
                    "displayName": "User4",
                    "mailNickname": "user4",
                    "userPrincipalName": "user4@fabrikam.com",
                    "netId": "{netId}",
                    "showInAddressList": "",
                    "alternativeSecurityIds": "None",
                    "IsSoftDeleted": "False",
                    "appRoleAssignments": "msiam_access"
                }
            },
            {
                "name": "EntrySynchronizationScoping",
                "provisioningStepType": "scoping",
                "status": "success",
                "description": "Determine if User in scope by evaluating against each scoping filter",
                "details": {
                    "Active in the source system": "True",
                    "Assigned to the application": "True",
                    "User has the required role": "True",
                    "Scoping filter evaluation passed": "True",
                    "ScopeEvaluationResult": "{\"Marketing department filter.department EQUALS 'Marketing'\":true}"
                }
            },

            ...

        }
    ]
}

Симптом — ошибка с недостаточными привилегиями

При попытке выполнить действие вы получите сообщение об ошибке, аналогичное следующему:

code: Authorization_RequestDenied
message: Insufficient privileges to complete the operation.

Причина

Пользователь, вошедшего в систему, не имеет достаточных привилегий, или необходимо предоставить согласие на одно из необходимых разрешений.

Решение

Убедитесь, что вам назначены необходимые роли. См . предварительные требования, приведенные ранее в этой статье.
При входе с помощью Connect-MgGraph убедитесь, что укажите необходимые области. См. шаг 1. Вход в целевой клиент и шаг 4. Вход в исходный клиент выше в этой статье.

Симптом — ошибка new-MgPolicyCrossTenantAccessPolicyPartner_Create

При попытке создать новую конфигурацию партнера вы получите сообщение об ошибке, аналогичное следующему:

New-MgPolicyCrossTenantAccessPolicyPartner_Create: Another object with the same value for property tenantId already exists.

Причина

Скорее всего, вы пытаетесь создать конфигурацию или объект, который уже существует, возможно, из предыдущей конфигурации.

Решение

Проверьте синтаксис и используете правильный идентификатор клиента.
Используйте команду Get-MgPolicyCrossTenantAccessPolicyPartner для перечисления существующего объекта.
Если у вас есть объект, может потребоваться выполнить обновление с помощью Update-MgPolicyCrossTenantAccessPolicyPartner

Симптом — ошибка Request_MultipleObjectsWithSameKeyValue

При попытке включить синхронизацию пользователей вы получите сообщение об ошибке, аналогичное следующему:

Invoke-MgGraphRequest: PUT https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/<SourceTenantId>/identitySynchronization
HTTP/1.1 409 Conflict
...
{"error":{"code":"Request_MultipleObjectsWithSameKeyValue","message":"A conflicting object with one or more of the specified property values is present in the directory.","details":[{"code":"ConflictingObjects","message":"A conflicting object with one or more of the specified property values is present in the directory.", ... }}}

Причина

Скорее всего, вы пытаетесь создать политику, которая уже существует, возможно, из предыдущей конфигурации.

Решение

Проверьте синтаксис и используете правильный идентификатор клиента.
Чтобы получить список IsSyncAllowed параметров, используйте команду Get-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization.
```
(Get-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization -CrossTenantAccessPolicyConfigurationPartnerTenantId $SourceTenantId).UserSyncInbound
```
Если у вас есть политика, может потребоваться выполнить обновление с помощью команды Set-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization , чтобы включить синхронизацию пользователей.
```
$Params = @{
    userSyncInbound = @{
        isSyncAllowed = $true
    }
}
Set-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization -CrossTenantAccessPolicyConfigurationPartnerTenantId $SourceTenantId -BodyParameter $Params
```

Симптом — ошибка с недостаточными привилегиями

При попытке выполнить действие вы получите сообщение об ошибке, аналогичное следующему:

code: Authorization_RequestDenied
message: Insufficient privileges to complete the operation.

Причина

Решение

Убедитесь, что вам назначены необходимые роли. См . предварительные требования, приведенные ранее в этой статье.
В средстве Microsoft Graph Explorer убедитесь, что вы согласитесь с необходимыми разрешениями. См. шаг 1. Вход в целевой клиент и шаг 4. Вход в исходный клиент выше в этой статье.

Симптом — ошибка Request_MultipleObjectsWithSameKeyValue

При попытке вызвать API Microsoft Graph вы получите сообщение об ошибке, аналогичное следующему:

code: Request_MultipleObjectsWithSameKeyValue
message: Another object with the same value for property tenantId already exists.
message: A conflicting object with one or more of the specified property values is present in the directory.

Причина

Решение

Проверьте синтаксис запроса и используете правильный идентификатор клиента.
GET Выполните запрос для перечисления существующего объекта.
Если у вас есть существующий объект, вместо создания запроса на POST создание или PUTможет потребоваться выполнить запрос на обновление, PATCHнапример:
- Обновление crossTenantAccessPolicyConfigurationPartner
- Обновление crossTenantIdentitySyncPolicyPartner

Симптом — ошибка Directory_ObjectNotFound

При попытке вызвать API Microsoft Graph вы получите сообщение об ошибке, аналогичное следующему:

code: Directory_ObjectNotFound
message: Unable to read the company information from the directory.

Причина

Скорее всего, вы пытаетесь обновить объект, который не существует.PATCH

Решение

Проверьте синтаксис запроса и используете правильный идентификатор клиента.
GET Выполните запрос, чтобы убедиться, что объект не существует.
Если объект не существует, вместо выполнения запроса PATCHна обновление может потребоваться создать запрос на создание, PUTнапримерPOST:
- Создание identitySynchronization

Поделиться через

Настройка синхронизации между клиентами с помощью PowerShell или API Microsoft Graph

Необходимые компоненты

Шаг 2. Включение синхронизации пользователей в целевом клиенте

Шаг 3. Автоматическое активация приглашений в целевом клиенте

Шаг 5. Автоматическое активация приглашений в исходном клиенте

Шаг 6. Создание приложения конфигурации в исходном клиенте

Шаг 7. Проверка подключения к целевому клиенту

Шаг 8. Создание задания подготовки в исходном клиенте

Шаг 9. Сохранение учетных данных

Шаг 10. Назначение пользователя конфигурации

Шаг 11. Проверка подготовки по запросу

Шаг 12. Запуск задания подготовки

Шаг 13. Мониторинг подготовки

Советы по устранению неполадок

Симптом — ошибка с недостаточными привилегиями

Симптом — ошибка new-MgPolicyCrossTenantAccessPolicyPartner_Create

Симптом — ошибка Request_MultipleObjectsWithSameKeyValue

Симптом — ошибка с недостаточными привилегиями

Симптом — ошибка Request_MultipleObjectsWithSameKeyValue

Симптом — ошибка Directory_ObjectNotFound

Следующие шаги

Обратная связь

Дополнительные ресурсы

Поделиться через

Настройка синхронизации между клиентами с помощью PowerShell или API Microsoft Graph

Необходимые компоненты

Шаг 1. Вход в целевой клиент

Шаг 2. Включение синхронизации пользователей в целевом клиенте

Шаг 3. Автоматическое активация приглашений в целевом клиенте

Шаг 4. Вход в исходный клиент

Шаг 5. Автоматическое активация приглашений в исходном клиенте

Шаг 6. Создание приложения конфигурации в исходном клиенте

Шаг 7. Проверка подключения к целевому клиенту

Шаг 8. Создание задания подготовки в исходном клиенте

Шаг 9. Сохранение учетных данных

Шаг 10. Назначение пользователя конфигурации

Шаг 11. Проверка подготовки по запросу

Шаг 12. Запуск задания подготовки

Шаг 13. Мониторинг подготовки

Советы по устранению неполадок

Симптом — ошибка с недостаточными привилегиями

Симптом — ошибка new-MgPolicyCrossTenantAccessPolicyPartner_Create

Симптом — ошибка Request_MultipleObjectsWithSameKeyValue

Следующие шаги

Обратная связь

Дополнительные ресурсы