Dela via

Krav för Microsoft Entra Connect

  • Artikel

Den här artikeln beskriver förutsättningarna och maskinvarukraven för Microsoft Entra Connect.

Innan du installerar Microsoft Entra Connect

Innan du installerar Microsoft Entra Connect finns det några saker du behöver.

Microsoft Entra-ID

  • Du behöver en Microsoft Entra-klientorganisation. Du får en med en kostnadsfri utvärderingsversion av Azure. Du kan använda någon av följande portaler för att hantera Microsoft Entra Connect:
    • Administrationscentret för Microsoft Entra.
    • Office-portalen.
  • Lägg till och verifiera den domän som du planerar att använda i Microsoft Entra-ID. Om du till exempel planerar att använda contoso.com för dina användare kontrollerar du att domänen har verifierats och att du inte bara använder den contoso.onmicrosoft.com standarddomänen.
  • En Microsoft Entra-klientorganisation tillåter som standard 50 000 objekt. När du verifierar din domän ökar gränsen till 300 000 objekt. Om du behöver ännu fler objekt i Microsoft Entra-ID öppnar du ett supportärende för att öka gränsen ytterligare. Om du behöver fler än 500 000 objekt behöver du en licens, till exempel Microsoft 365, Microsoft Entra ID P1 eller P2 eller Enterprise Mobility + Security.

Förbereda dina lokala data

Lokal Active Directory

  • Active Directory-schemaversionen och skogens funktionsnivå måste vara Windows Server 2003 eller senare. Domänkontrollanterna kan köra vilken version som helst så länge schemaversionen och kraven på skogsnivå uppfylls. Du kan behöva ett betalt supportprogram om du behöver stöd för domänkontrollanter som kör Windows Server 2016 eller äldre.
  • Domänkontrollanten som används av Microsoft Entra-ID måste vara skrivbar. Det går inte att använda en skrivskyddad domänkontrollant (RODC) och Microsoft Entra Connect följer inga skrivomdirigeringar.
  • Använda lokala skogar eller domäner med hjälp av "prickad" (namnet innehåller en punkt ".") NetBIOS-namn stöds inte.
  • Vi rekommenderar att du aktiverar Papperskorgen för Active Directory.

PowerShell-körningsprincip

Microsoft Entra Connect kör signerade PowerShell-skript som en del av installationen. Se till att PowerShell-körningsprincipen tillåter körning av skript.

Den rekommenderade körningsprincipen under installationen är "RemoteSigned".

Mer information om hur du anger PowerShell-körningsprincipen finns i Set-ExecutionPolicy.

Microsoft Entra Connect-server

Microsoft Entra Connect-servern innehåller viktiga identitetsdata. Det är viktigt att den administrativa åtkomsten till den här servern är korrekt skyddad. Följ riktlinjerna i Skydda privilegierad åtkomst.

Microsoft Entra Connect-servern måste behandlas som en nivå 0-komponent enligt beskrivningen i active directory-modellen på administrationsnivå. Vi rekommenderar att du härdar Microsoft Entra Connect-servern som en kontrollplanstillgång genom att följa riktlinjerna i Säker privilegierad åtkomst

Mer information om hur du skyddar din Active Directory-miljö finns i Metodtips för att skydda Active Directory.

Krav för installation

  • Microsoft Entra Connect måste installeras på en domänansluten Windows Server 2016 eller senare. Vi rekommenderar att du använder domänanslutna Windows Server 2022. Du kan distribuera Microsoft Entra Connect på Windows Server 2016, men eftersom Windows Server 2016 har utökad support kan du behöva ett betalt supportprogram om du behöver stöd för den här konfigurationen.
  • Den lägsta .NET Framework-version som krävs är 4.6.2 och nyare versioner av .NET stöds också. .NET version 4.8 och senare erbjuder bästa möjliga tillgänglighetsefterlevnad.
  • Microsoft Entra Connect kan inte installeras på Small Business Server eller Windows Server Essentials före 2019 (Windows Server Essentials 2019 stöds). Servern måste använda Windows Server Standard eller bättre.
  • Microsoft Entra Connect-servern måste ha ett fullständigt GUI installerat. Installation av Microsoft Entra Connect på Windows Server Core stöds inte.
  • Microsoft Entra Connect-servern får inte ha PowerShell-transkription grupprincip aktiverad om du använder Microsoft Entra Connect-guiden för att hantera konfigurationen av Active Directory Federation Services (AD FS) (AD FS). Du kan aktivera PowerShell-transkription om du använder Guiden Microsoft Entra Connect för att hantera synkroniseringskonfigurationen.
  • Kontrollera att MSOnline PowerShell (MSOL) inte är blockerat på klientorganisationsnivå.
  • Om AD FS distribueras:
  • Det går inte att bryta och analysera trafik mellan Microsoft Entra Connect och Microsoft Entra ID. Detta kan störa tjänsten.
  • Om dina hybrididentitetsadministratörer har MFA aktiverat måste URL:en https://secure.aadcdn.microsoftonline-p.com finnas i listan över betrodda webbplatser. Du uppmanas att lägga till den här webbplatsen i listan över betrodda webbplatser när du uppmanas till en MFA-utmaning och den inte har lagts till tidigare. Du kan använda Internet Explorer för att lägga till det på dina betrodda webbplatser.
  • Om du planerar att använda Microsoft Entra Connect Health för synkronisering måste du använda ett globalt administratörskonto för att installera Microsoft Entra Connect Sync. Om du använder ett hybridadministratörskonto installeras agenten men är i inaktiverat tillstånd. Mer information finns i Microsoft Entra Connect Health-agentinstallation.

Härda Microsoft Entra Connect-servern

Vi rekommenderar att du hårdnar din Microsoft Entra Connect-server för att minska säkerhetsangreppsytan för den här kritiska komponenten i IT-miljön. Genom att följa dessa rekommendationer kan du minska vissa säkerhetsrisker för din organisation.

SQL Server som används av Microsoft Entra Connect

  • Microsoft Entra Connect kräver en SQL Server-databas för att lagra identitetsdata. Som standard installeras en SQL Server 2019 Express LocalDB (en lätt version av SQL Server Express). SQL Server Express har en storleksgräns på 10 GB som gör att du kan hantera cirka 100 000 objekt. Om du behöver hantera en högre volym katalogobjekt pekar du installationsguiden på en annan installation av SQL Server. Typen av SQL Server-installation kan påverka prestanda för Microsoft Entra Connect.
  • Om du använder en annan installation av SQL Server gäller följande krav:
    • Microsoft Entra Connect har stöd för alla SQL Server-versioner som stöds upp till SQL Server 2022 som körs i Windows. Se sql Server-livscykelartikeln för att verifiera supportstatusen för din SQL Server-version. SQL Server 2012 stöds inte längre. Azure SQL Database stöds inte som en databas. Detta omfattar både Azure SQL Database och Azure SQL Managed Instance.
    • Du måste använda en skiftlägeskänslig SQL-sortering. Dessa sorteringar identifieras med en _CI_ i deras namn. Det går inte att använda en skiftlägeskänslig sortering som identifierats av _CS_ i deras namn.
    • Du kan bara ha en synkroniseringsmotor per SQL-instans. Det går inte att dela en SQL-instans med MIM Sync, DirSync eller Azure AD Sync.
    • Underhåll ODBC-drivrutin för SQL Server version 17 och OLE DB-drivrutin för SQL Server version 18 som medföljer Microsoft Entra Connect. Uppgradering av ODBC/OLE DB-drivrutinernas huvudversion eller delversion stöds inte. Microsoft Entra Connect-produktgruppteamet kommer att inkludera nya ODBC/OLE DB-drivrutiner när dessa blir tillgängliga och har ett krav på att uppdateras.

Konton

  • Du måste ha ett konto för global Microsoft Entra-administratör eller hybrididentitetsadministratör för den Microsoft Entra-klient som du vill integrera med. Det här kontot måste vara ett skol- eller organisationskonto och får inte vara ett Microsoft-konto.
  • Om du använder expressinställningar eller uppgraderar från DirSync måste du ha ett företagsadministratörskonto för din lokal Active Directory.
  • Om du använder installationssökvägen för anpassade inställningar har du fler alternativ. Mer information finns i Anpassade installationsinställningar.

Uppkoppling

  • Microsoft Entra Connect-servern behöver DNS-matchning för både intranät och Internet. DNS-servern måste kunna matcha namn både till din lokal Active Directory och Microsoft Entra-slutpunkterna.
  • Microsoft Entra Connect kräver nätverksanslutning till alla konfigurerade domäner
  • Microsoft Entra Connect kräver nätverksanslutning till rotdomänen för alla konfigurerade skogar
  • Om du har brandväggar på intranätet och du behöver öppna portar mellan Microsoft Entra Connect-servrarna och dina domänkontrollanter kan du läsa Microsoft Entra Connect-portar för mer information.
  • Om proxy- eller brandväggsgränsen för vilka URL:er som kan nås måste url:erna som dokumenteras i Office 365-URL:er och IP-adressintervall öppnas. Se även Safelist the Microsoft Entra admin center URL:er på brandväggen eller proxyservern.
  • Microsoft Entra Connect (version 1.1.614.0 och efter) använder som standard TLS 1.2 för att kryptera kommunikationen mellan synkroniseringsmotorn och Microsoft Entra ID. Om TLS 1.2 inte är tillgängligt i det underliggande operativsystemet återgår Microsoft Entra Connect stegvis till äldre protokoll (TLS 1.1 och TLS 1.0). Från Microsoft Entra Connect version 2.0 och senare. TLS 1.0 och 1.1 stöds inte längre och installationen misslyckas om TLS 1.2 inte är aktiverat.
  • Före version 1.1.614.0 använder Microsoft Entra Connect som standard TLS 1.0 för att kryptera kommunikationen mellan synkroniseringsmotorn och Microsoft Entra ID. Om du vill ändra till TLS 1.2 följer du stegen i Aktivera TLS 1.2 för Microsoft Entra Connect.

Viktig

Version 2.3.20.0 är en säkerhetsuppdatering. Med den här uppdateringen kräver Microsoft Entra Connect TLS 1.2. Kontrollera att TLS 1.2 är aktiverat innan du uppdaterar till den här versionen.

Alla versioner av Windows Server stöder TLS 1.2. Om TLS 1.2 inte är aktiverat på servern måste du aktivera detta innan du kan distribuera Microsoft Entra Connect V2.0.

Ett PowerShell-skript för att kontrollera om TLS 1.2 är aktiverat finns i PowerShell-skript för att kontrollera TLS

Mer information om TLS 1.2 finns i Microsoft Security Advisory 2960358. Mer information om hur du aktiverar TLS 1.2 finns i aktivera TLS 1.2

  • Om du använder en utgående proxy för att ansluta till Internet måste följande inställning i filen C:\Windows\Microsoft.NET\Framework64\v4.0.30319\Config\machine.config läggas till för installationsguiden och Microsoft Entra Connect Sync för att kunna ansluta till Internet och Microsoft Entra ID. Den här texten måste anges längst ned i filen. I den här koden <representerar PROXYADDRESS> den faktiska proxy-IP-adressen eller värdnamnet.

        <system.net>
        <defaultProxy>
            <proxy
            usesystemdefault="true"
            proxyaddress="http://<PROXYADDRESS>:<PROXYPORT>"
            bypassonlocal="true"
            />
        </defaultProxy>
    </system.net>

  • Om proxyservern kräver autentisering måste tjänstkontot finnas i domänen. Använd installationssökvägen för anpassade inställningar för att ange ett anpassat tjänstkonto. Du behöver också en annan ändring av machine.config. Med den här ändringen i machine.config svarar installationsguiden och synkroniseringsmotorn på autentiseringsbegäranden från proxyservern. På alla installationsguidesidor, exklusive sidan Konfigurera , används den inloggade användarens autentiseringsuppgifter. På sidan Konfigurera i slutet av installationsguiden växlas kontexten till det tjänstkonto som du skapade. Avsnittet machine.config bör se ut så här:

        <system.net>
        <defaultProxy enabled="true" useDefaultCredentials="true">
            <proxy
            usesystemdefault="true"
            proxyaddress="http://<PROXYADDRESS>:<PROXYPORT>"
            bypassonlocal="true"
            />
        </defaultProxy>
    </system.net>

  • Om proxykonfigurationen utförs i en befintlig konfiguration måste Microsoft Entra ID Sync-tjänsten startas om en gång för att Microsoft Entra Connect ska kunna läsa proxykonfigurationen och uppdatera beteendet.

  • När Microsoft Entra Connect skickar en webbbegäran till Microsoft Entra-ID som en del av katalogsynkroniseringen kan Microsoft Entra-ID ta upp till 5 minuter att svara. Det är vanligt att proxyservrar har timeout-konfiguration för inaktiv anslutning. Kontrollera att konfigurationen är inställd på minst 6 minuter eller mer.

Mer information finns i MSDN om standardproxyelementet. Mer information om problem med anslutningen finns i Felsöka anslutningsproblem.

Annan

Valfritt: Använd ett testanvändarkonto för att verifiera synkroniseringen.

Komponentkrav

PowerShell och .NET Framework

Microsoft Entra Connect är beroende av Microsoft PowerShell 5.0 och .NET Framework 4.5.1. Du behöver den här versionen eller en senare version installerad på servern.

Aktivera TLS 1.2 för Microsoft Entra Connect

Viktig

Version 2.3.20.0 är en säkerhetsuppdatering. Med den här uppdateringen kräver Microsoft Entra Connect TLS 1.2. Kontrollera att TLS 1.2 är aktiverat innan du uppdaterar till den här versionen.

Alla versioner av Windows Server stöder TLS 1.2. Om TLS 1.2 inte är aktiverat på servern måste du aktivera detta innan du kan distribuera Microsoft Entra Connect V2.0.

Ett PowerShell-skript för att kontrollera om TLS 1.2 är aktiverat finns i PowerShell-skript för att kontrollera TLS

Mer information om TLS 1.2 finns i Microsoft Security Advisory 2960358. Mer information om hur du aktiverar TLS 1.2 finns i aktivera TLS 1.2

Före version 1.1.614.0 använder Microsoft Entra Connect som standard TLS 1.0 för att kryptera kommunikationen mellan synkroniseringsmotorservern och Microsoft Entra ID. Du kan konfigurera .NET-program att använda TLS 1.2 som standard på servern. Mer information om TLS 1.2 finns i Microsoft Security Advisory 2960358.

  1. Kontrollera att snabbkorrigeringen .NET 4.5.1 är installerad för operativsystemet. Mer information finns i Microsoft Security Advisory 2960358. Du kan redan ha den här snabbkorrigeringen eller en senare version installerad på servern.

  2. För alla operativsystem anger du den här registernyckeln och startar om servern.

    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319
"SchUseStrongCrypto"=dword:00000001

  3. Om du också vill aktivera TLS 1.2 mellan synkroniseringsmotorservern och en fjärransluten SQL Server kontrollerar du att du har de versioner som krävs installerade för TLS 1.2-stöd för Microsoft SQL Server.

Mer information finns i aktivera TLS 1.2

DCOM-krav på synkroniseringsservern

Under installationen av synkroniseringstjänsten söker Microsoft Entra Connect efter förekomsten av följande registernyckel:

  • HKEY_LOCAL_MACHINE: Software\Microsoft\Ole

Under den här registernyckeln kontrollerar Microsoft Entra Connect om följande värden finns och är oförutstörda:

Förutsättningar för federationsinstallation och konfiguration

Fjärrhantering i Windows

När du använder Microsoft Entra Connect för att distribuera AD FS eller Web Programproxy (WAP) kontrollerar du följande krav:

  • Om målservern är domänansluten kontrollerar du att Fjärrhanterad Windows är aktiverad.
    • I ett upphöjt PowerShell-kommandofönster använder du kommandot Enable-PSRemoting –force.
  • Om målservern är en icke-domänansluten WAP-dator finns det några ytterligare krav:
    • På måldatorn (WAP-dator):
      • Kontrollera att WinRM-tjänsten (Windows Remote Management/WS-Management) körs via snapin-modulen Tjänster.
      • I ett upphöjt PowerShell-kommandofönster använder du kommandot Enable-PSRemoting –force.
    • På den dator där guiden körs (om måldatorn inte är domänansluten eller är en domän som inte är betrodd):
      • I ett upphöjt PowerShell-kommandofönster använder du kommandot Set-Item.WSMan:\localhost\Client\TrustedHosts –Value "<DMZServerFQDN>" -Force –Concatenate.
      • I serverhanteraren:
        • Lägg till en DMZ WAP-värd i en datorpool. I serverhanteraren väljer du Hantera>Lägg till servrar och använder sedan fliken DNS.
        • På fliken Serverhanteraren Alla servrar högerklickar du på WAP-servern och väljer Hantera som. Ange lokala autentiseringsuppgifter (inte domän) för WAP-datorn.
        • Om du vill verifiera powershell-fjärranslutningen högerklickar du på WAP-servern på fliken Serverhanteraren Alla servrar och väljer Windows PowerShell. En PowerShell-fjärrsession bör öppnas för att säkerställa att powershell-fjärrsessioner kan upprättas.

TLS/SSL-certifikatkrav

  • Vi rekommenderar att du använder samma TLS/SSL-certifikat över alla noder i AD FS-servergruppen och alla webb-Programproxy-servrar.
  • Certifikatet måste vara ett X509-certifikat.
  • Du kan använda ett självsignerat certifikat på federationsservrar i en testlabbmiljö. För en produktionsmiljö rekommenderar vi att du hämtar certifikatet från en offentlig certifikatutfärdare.
    • Om du använder ett certifikat som inte är offentligt betrott kontrollerar du att certifikatet som är installerat på varje webb-Programproxy-server är betrott på både den lokala servern och på alla federationsservrar.
  • Certifikatets identitet måste matcha federationstjänstens namn (till exempel sts.contoso.com).
    • Identiteten är antingen ett san-tillägg (subject alternative name) av typen dNSName eller, om det inte finns några SAN-poster, anges ämnesnamnet som ett gemensamt namn.
    • Flera SAN-poster kan finnas i certifikatet förutsatt att en av dem matchar federationstjänstens namn.
    • Om du planerar att använda Workplace Join krävs ytterligare ett SAN med värdet enterpriseregistration. Följt av upn-suffixet (user principal name) i din organisation, till exempel enterpriseregistration.contoso.com.
  • Certifikat baserade på CNG-nycklar (CryptoAPI, next generation) och nyckellagringsproviders (KSP: er) stöds inte. Därför måste du använda ett certifikat baserat på en kryptografisk tjänstprovider (CSP) och inte en KSP.
  • Wild card-certifikat stöds.

Namnmatchning för federationsservrar

  • Konfigurera DNS-poster för AD FS-namnet (till exempel sts.contoso.com) för både intranätet (din interna DNS-server) och extranätet (offentlig DNS via domänregistratorn). För intranätets DNS-post kontrollerar du att du använder A-poster och inte CNAME-poster. Användning av A-poster krävs för att Windows-autentisering ska fungera korrekt från din domänanslutna dator.
  • Om du distribuerar mer än en AD FS-server eller webbserver Programproxy ser du till att du har konfigurerat lastbalanseraren och att DNS-posterna för AD FS-namnet (till exempel sts.contoso.com) pekar på lastbalanseraren.
  • För att Windows-integrerad autentisering ska fungera för webbläsarprogram som använder Internet Explorer i intranätet kontrollerar du att AD FS-namnet (till exempel sts.contoso.com) läggs till i intranätzonen i Internet Explorer. Det här kravet kan styras via grupprincip och distribueras till alla domänanslutna datorer.

Stödkomponenter för Microsoft Entra Connect

Microsoft Entra Connect installerar följande komponenter på servern där Microsoft Entra Connect är installerat. Den här listan är avsedd för en grundläggande Express-installation. Om du väljer att använda en annan SQL Server på sidan Installera synkroniseringstjänster installeras inte SQL Express LocalDB lokalt.

  • Microsoft Entra Connect Health
  • Kommandoradsverktyg för Microsoft SQL Server 2022
  • Microsoft SQL Server 2022 Express LocalDB
  • Microsoft SQL Server 2022 Native Client
  • Omdistributionspaket för Microsoft Visual C++ 14

Maskinvarukrav för Microsoft Entra Connect

I följande tabell visas minimikraven för Microsoft Entra Connect Sync-datorn.

Antal objekt i Active Directory PROCESSOR Minne Hårddiskstorlek
Färre än 10 000 1,6 GHz 6 GB 70 GB
10,000–50,000 1,6 GHz 6 GB 70 GB
50,000–100,000 1,6 GHz 16 GB 100 GB
För 100 000 eller fler objekt krävs den fullständiga versionen av SQL Server. Av prestandaskäl är det bra att installera lokalt. Följande värden är endast giltiga för Microsoft Entra Connect-installation. Om SQL Server installeras på samma server krävs ytterligare minne, enhet och CPU.
100,000–300,000 1,6 GHz 32 GB 300 GB
300,000–600,000 1,6 GHz 32 GB 450 GB
Mer än 600 000 1,6 GHz 32 GB 500 GB

Minimikraven för datorer som kör AD FS- eller Web Programproxy-servrar är:

  • CPU: Dubbla kärnor 1,6 GHz eller högre
  • Minne: 2 GB eller senare
  • Virtuell Azure-dator: A2-konfiguration eller senare

Nästa steg

Läs mer om att integrera dina lokala identiteter med Microsoft Entra-ID.