Устранение неполадок синхронизации паролей при использовании Microsoft Entra Connect

2024-11-19

Эта статья поможет устранить распространенные проблемы, которые могут возникнуть при синхронизации паролей из локальной среды с идентификатором Microsoft Entra Connect с помощью Microsoft Entra Connect.

Исходная версия продукта: Облачные службы (веб-роли или рабочие роли), Идентификатор Microsoft Entra, Microsoft Intune, Azure Backup, Office 365 Identity Management
Исходный номер базы знаний: 2855271

Примечание.

Статья была полезной? Ваши входные данные важны для нас. Нажмите кнопку "Отзывы" на этой странице, чтобы сообщить нам, насколько хорошо эта статья работала для вас или как мы можем улучшить ее.

Прежде чем приступить к устранению неполадок

Перед выполнением действий по устранению неполадок убедитесь, что установлена последняя версия Microsoft Entra Connect .

Кроме того, убедитесь, что синхронизация каталогов находится в работоспособном состоянии. Дополнительные сведения см. в разделе "Устранение неполадок синхронизации объектов с microsoft Entra Connect Sync".

В этом сценарии пароли большинства пользователей, как представляется, синхронизируются. Однако есть некоторые пользователи, пароли которых, как представляется, не синхронизируются. Ниже приведены сценарии, в которых пользователь не может войти в облачную службу Майкрософт, например Microsoft 365, Entra или Intune.

Сценарий 1. Флажок "Пользователь должен изменить пароль при следующем входе" установлен для учетной записи пользователя.

Чтобы решить проблему, выполните описанные ниже действия.

Выполните одно из следующих действий:
- В свойствах учетной записи пользователя в Пользователи и компьютеры Active Directory снимите флажок "Пользователь" изменить пароль при следующем входе.
- Измените пароль локальной учетной записи пользователя.
- Включите функцию ForcePasswordChangeOnLogOn в идентификаторе Microsoft Entra.
Подождите несколько минут, пока изменение будет синхронизировано между доменными службами локальная служба Active Directory (AD DS) и идентификатором Microsoft Entra.

Сценарий 2. Пользователь изменил пароль на портале облачной службы

Чтобы решить проблему, выполните описанные ниже действия.

Измените пароль локальной учетной записи пользователя.
Подождите несколько минут, пока изменение будет синхронизировано между локальными AD DS и идентификатором Microsoft Entra.

Чтобы изменить пароль в облачной службе и обновить соответствующий пароль локальной учетной записи пользователя, включите обратную запись паролей.

Сценарий 3. Некоторые пользователи, как представляется, не синхронизируются с идентификатором Microsoft Entra

Возможные причины являются повторяющимися именами пользователей или адресами электронной почты.

Чтобы устранить эту проблему, используйте средство исправления ошибок IdFix DirSync (IdFix) для выявления потенциальных проблем, связанных с объектами в локальных AD DS. IdFix можно установить на следующем веб-сайте Майкрософт: средство исправления ошибок IdFix DirSync

Дополнительные сведения об устранении этой проблемы см. в статье "Один или несколько объектов не синхронизируются при использовании средства синхронизации Azure Active Directory"

Сценарий 4. Пользователи перемещаются между включенными и исключенными областями синхронизации

В этом сценарии пользователь перемещается в область, которая теперь позволяет синхронизировать пользователя. Это может быть при настройке фильтрации для доменов, подразделений или атрибутов.

Чтобы устранить эту проблему, ознакомьтесь с разделом "Как выполнить начальную синхронизацию ".

В этом сценарии вы используете Microsoft Entra Connect вместе с синхронизацией паролей. После отключения синхронизации каталогов или синхронизации паролей пользователи не могут войти с помощью нового пароля. Однако их старый пароль по-прежнему работает.

Чтобы устранить эту проблему, повторно включите синхронизацию каталогов и синхронизацию паролей. Чтобы сделать это, запустите мастер настройки Microsoft Entra Connect, выберите "Настройка и настройка параметров синхронизации", а затем перейдите на экраны, пока не увидите параметр для включения синхронизации паролей.

В этом сценарии хэш паролей не синхронизируется с идентификатором Microsoft Entra. Если учетная запись пользователя была создана в локальной службе AD DS в версии Windows Server ранее Windows Server 2003, у учетной записи нет хэша паролей.

Синхронизация каталогов выполняется, но пароли всех пользователей не синхронизируются

В этом сценарии пароли всех пользователей не синхронизируются. Обычно это происходит, если одно из следующих условий имеет значение true:

Флажок для запуска процесса синхронизации после завершения настройки не был выбран.
Сервер Entra Connect находится в промежуточном режиме.
Синхронизация паролей отключена.
Полная синхронизация каталогов еще не завершена.

Внимание

Синхронизация паролей не начнется до завершения полной синхронизации каталогов.

Чтобы устранить эту проблему, сначала убедитесь, что вы включите синхронизацию паролей. Чтобы сделать это, запустите мастер настройки Microsoft Entra Connect, выберите "Настройка и настройка параметров синхронизации", а затем перейдите на экраны, пока не увидите параметр для включения синхронизации паролей.

После включения синхронизации паролей необходимо дождаться завершения полной синхронизации паролей. Проверьте журналы Windows Просмотр событий для мониторинга процесса синхронизации паролей.

Устранение неполадок одного пользователя, пароль которого не синхронизирован

Сведения об устранении этой проблемы см. в разделе "Устранение неполадок синхронизации хэша паролей с помощью Службы синхронизации Microsoft Entra Connect"

Вы меняете решение единого входа на синхронизацию паролей.

Чтобы устранить эту проблему, см. статью "Как перейти с единого входа в синхронизацию паролей".

Сообщения идентификатора события в Просмотр событий

В следующих таблицах перечислены сообщения идентификатора событий в журнале приложений, связанные с синхронизацией паролей.

Информационное (не требуется никаких действий)

ИД события	Описание	Причина
622	Полная синхронизация хэша паролей завершена для домена: contoso.local	Полный цикл синхронизации паролей завершает получение последних паролей из локального домена AD DS.
623	Полная синхронизация хэша паролей завершена для леса: contoso.local	Полный цикл синхронизации паролей завершает получение последних паролей из локального леса AD DS.
650	Запуск пакетной подготовки учетных данных. "Количество": 1.	Синхронизация паролей начинает получать обновленные пароли из локальной службы AD DS.
651	Подготовка учетных данных пакетной части. "Количество": 1.	Синхронизация паролей завершает получение обновленных паролей из локальной службы AD DS.
653	Начало работы с учетными данными.	Синхронизация паролей начинает сообщать идентификатору Microsoft Entra, что пароли не синхронизируются. Это происходит каждые 30 минут, если пароли не обновлялись в локальной службе AD DS.
654	Подготовка учетных данных в конце ping.	Синхронизация паролей завершается с уведомлением идентификатора Microsoft Entra, что пароли не синхронизируются. Это происходит каждые 30 минут, если пароли не обновлялись в локальной службе AD DS.
656	Запрос на изменение пароля— привязка: H552hI9GwEykZwosf74JeOQ== Dn: CN=Viola Hanson,OU=Cloud Objects,DC=contoso,DC=local, Change Date: 05/01/2013 16:34:08	Синхронизация паролей указывает, что обнаружено изменение пароля и пытается синхронизировать его с идентификатором Microsoft Entra. Он идентифицирует пользователя или пользователя, пароль которого изменился и будет синхронизирован. Каждый пакет содержит по крайней мере одного пользователя и не более 50 пользователей.
657	Результат изменения пароля: привязка: eX5b50Rf+UizRIMe2CA/tg==, Dn: CN=Viola Hanson,OU=Cloud Objects,DC=contoso,DC=local, Result: Success.	Пользователи, пароль которых успешно синхронизирован.
657	Результат изменения пароля: привязка: eX5b50Rf+UizRIMe2CA/tg==, Dn: CN=Viola Hanson,OU=Cloud Objects,DC=contoso,DC=local, Result: Failed.	Пользователи, пароль которых не синхронизирован.

Информационное (может потребоваться действие)

ИД события	Описание	Причина	Дополнительная информация
O	Следующие изменения пароля не удалось синхронизировать и запланировать повторную попытку. DN = CN=Eli McLean,OU=Cloud Objects,DC=contoso,DC=local	Пользователь или пользователи, пароль которых не был синхронизирован	Настройка синхронизации каталогов При использовании средства синхронизации Azure Active Directory один или несколько объектов не синхронизируются
115	Доступ к Windows Azure Active Directory запрещен. Обратитесь в службу технической поддержки.	Учетные данные Microsoft Entra были обновлены с помощью Forefront Identity Manager (FIM).	Снова запустите мастер настройки Microsoft Entra. См. сведения об остановке синхронизации хэша паролей после обновления учетных данных Microsoft Entra в FIM
657	Результат изменения пароля: привязка: B0H+OD3LM0GEnYODwdPhpg==, результат: сбой, расширенная ошибка:	Пользователь или пользователи, пароль которых не был синхронизирован	Настройка синхронизации каталогов При использовании средства синхронизации Azure Active Directory один или несколько объектов не синхронизируются

Ошибка (необходимое действие)

ИД события	Описание	Причина	Дополнительная информация
O	Имя пользователя или пароль неверны. Проверьте имя пользователя и введите пароль еще раз.	Учетные данные Microsoft Entra были обновлены с помощью Forefront Identity Manager (FIM).	Снова запустите мастер настройки Microsoft Entra. См. сведения об остановке синхронизации хэша паролей после обновления учетных данных Microsoft Entra в FIM
611	Сбой синхронизации паролей для домена: `Contoso.com` Microsoft.Online.PasswordSynchronization.SyncManagerException: задача восстановления завершилась ошибкой. >--- Microsoft.Online.PasswordSynchronization.DirectoryReplicationServices.DrsException: ошибка RPC 8439: различающееся имя, указанное для этой операции репликации, недопустимо. Возникла ошибка при вызове _IDL_DRSGetNCChanges.	Контроллеры домена Windows Server 2003 обрабатывают некоторые сценарии неожиданно.	Синхронизация хэша паролей для идентификатора Microsoft Entra прекращает работу и регистрируется идентификатор события 611.
611	Сбой синхронизации паролей для домена: `Contoso.com` Microsoft.Online.PasswordSynchronization.DirectoryReplicationServices.DrsException: ошибка RPC 8593: служба каталогов не может выполнить запрошенную операцию, так как серверы, участвующие в работе, имеют разные эпохи репликации (которая обычно связана с переименованием домена, которое выполняется).	Это была известная проблема, исправленная в сборке средства синхронизации Azure Active Directory 1.0.6455.0807.	Чтобы устранить эту проблему, обновите последнюю версию средства синхронизации Azure Active Directory.
611	Сбой синхронизации паролей для домена: `Contoso.com` System.ArgumentOutOfRangeException: недопустимый Win32	Это была известная проблема, исправленная в сборке средства синхронизации Azure Active Directory 1.0.6455.0807.	Чтобы устранить эту проблему, обновите последнюю версию средства синхронизации Azure Active Directory.
611	Сбой синхронизации паролей для домена: `Contoso.com` System.ArgumentException: элемент с тем же ключом уже добавлен.	Это была известная проблема, исправленная в сборке средства синхронизации Azure Active Directory 1.0.6455.0807.	Чтобы устранить эту проблему, обновите последнюю версию средства синхронизации Azure Active Directory.
652	Пакет подготовки учетных данных сбоем. Ошибка: Microsoft.Online.Coexistence.ProvisionException: произошла ошибка. Код ошибки: 90. Описание ошибки: синхронизация паролей не была активирована для этой компании. Идентификатор отслеживания: 07e93e8a-cf2d-4f67-9e95-53169c4875e0 имя сервера: BL2GR1BBA003. >--- System.ServiceModel.FaultException1[Microsoft.Online.Cotadata.Schema.AdminWebServiceFault]: синхронизация паролей не активирована для этой компании. (Сведения об ошибке равны Microsoft.Online.Coexistence.Schema.AdminWebServiceFault).	Сбой синхронизации паролей при получении обновленных паролей из локальной службы AD DS.	Настройка синхронизации каталогов При использовании средства синхронизации Azure Active Directory один или несколько объектов не синхронизируются
652	Пакет подготовки учетных данных сбоем. Ошибка: Microsoft.Online.Coexistence. ProvisionRetryException: произошла ошибка. Код ошибки: 81. Описание ошибки: Windows Azure Active Directory в настоящее время занят. Повторная попытка выполнения этой операции будет выполнена автоматически.	Известная проблема, исправленная в сборке средства синхронизации Azure Active Directory 1.0.6455.0807	Чтобы устранить эту проблему, обновите последнюю версию средства синхронизации Azure Active Directory.
655	Сбой подготовки учетных данных. Ошибка: Microsoft.Online.Coexistence.ProvisionException: произошла ошибка. Код ошибки: 90. Описание ошибки: синхронизация паролей не была активирована для этой компании. Идентификатор отслеживания: 074fa31-1d9b-453a-83d8-c255d843802 Server Name: BL2GR1BBA005. >--- System.ServiceModel.FaultException1[Microsoft.Online.Cotadata.Schema.AdminWebServiceFault]: синхронизация паролей не активирована для этой компании. (Сведения об ошибке равны Microsoft.Online.Coexistence.Schema.AdminWebServiceFault).	Синхронизация паролей не удалось сообщить идентификатору Microsoft Entra, что пароли не синхронизируются. Это происходит каждые 30 минут.	Настройка синхронизации каталогов Средство синхронизации Azure Active Directory не синхронизирует один или несколько объектов
655	Имя пользователя или пароль неверны. Проверьте имя пользователя и введите пароль еще раз.	Учетные данные Microsoft Entra были обновлены с помощью FIM.	Снова запустите мастер настройки Microsoft Entra. См. следующую статью Базы знаний Майкрософт: синхронизация хэша паролей перестает работать после обновления учетных данных Microsoft Entra в FIM
6900	Сервер обнаружил непредвиденную ошибку при обработке уведомления об изменении пароля. The user name or password is incorrect" (Служба ADSync не может войти в систему с текущим паролем из-за следующей ошибки: имя пользователя или пароль указаны неправильно). Проверьте имя пользователя и введите пароль еще раз.	Учетные данные Microsoft Entra были обновлены с помощью FIM.	Снова запустите мастер настройки Microsoft Entra. См. следующую статью Базы знаний Майкрософт: синхронизация хэша паролей перестает работать после обновления учетных данных Microsoft Entra в FIM
6900	Сервер обнаружил непредвиденную ошибку при обработке уведомления об изменении пароля. "Произошла ошибка. Код ошибки: 90. Описание ошибки: синхронизация паролей не активирована для этой компании	Синхронизация паролей не включена для организации.	См. следующую статью базы знаний Майкрософт: пароли пользователей не синхронизируются, а ошибка "Синхронизация паролей не активирована для этой компании", вошедшего в систему Просмотр событий

Дополнительная информация

Как выполнить начальную синхронизацию

Чтобы выполнить полную синхронизацию, выполните указанные ниже действия в microsoft Entra Connect, который вы используете.

На сервере, на котором установлен Microsoft Entra Connect, откройте PowerShell и импортируйте модуль ADSync:

   Import-Module ADSync

Выполните следующие команды, чтобы запустить начальный цикл синхронизации:

Start-ADSyncSyncCycle -PolicyType Initial

Как выполнить полную синхронизацию паролей

Чтобы выполнить полную синхронизацию паролей, запустите скрипт, который находится на этой странице: синхронизация Azure AD. Как использовать PowerShell для активации полной синхронизации паролей.

Свяжитесь с нами для получения помощи

Если у вас есть вопросы или вам нужна помощь, создайте запрос в службу поддержки или обратитесь за поддержкой сообщества Azure. Вы также можете отправить отзыв о продукте в сообщество отзывов Azure.