Microsoft Entra Cloud Sync ile grup geri yazma

  • Makale

Sağlama aracısı 1.1.1370.0 sürümüyle bulut eşitleme artık grup geri yazma işlemi gerçekleştirebilir. Bu özellik, bulut eşitlemenin grupları doğrudan şirket içi Active Directory ortamınıza sağlayabileceğiniz anlamına gelir. Artık ad yönetimi erişim paketine bir grup eklemek gibi AD tabanlı uygulamalara erişimi yönetmek için kimlik idaresi özelliklerini de kullanabilirsiniz.

Bulut eşitleme ile grup geri yazma diyagramı.

Önemli

Microsoft Entra Bağlan Sync'de Grup Geri Yazma v2'nin genel önizlemesi 30 Haziran 2024'te kullanıma sunulmayacaktır. Bu özellik bu tarihte kullanımdan kaldırılacak ve bulut güvenlik gruplarını Active Directory'ye sağlamak için Bağlan Eşitleme'de artık desteklenmeyecektir.

Microsoft Entra Cloud Sync'te, Active Directory'ye Grup Sağlama adı verilen ve bulut güvenlik gruplarını Active Directory'ye sağlamak için Grup Geri Yazma v2 yerine kullanabileceğiniz benzer işlevler sunuyoruz. Cloud Sync'te geliştirdiğimiz diğer yeni özelliklerle birlikte Cloud Sync'te bu işlevselliği geliştirmek için çalışıyoruz.

Bağlan Sync'te bu önizleme özelliğini kullanan müşterilerin yapılandırmalarını Bağlan Eşitleme'den Cloud Sync'e değiştirmeleri gerekir. Tüm karma eşitlemenizi Cloud Sync'e taşımayı seçebilirsiniz (gereksinimlerinizi destekliyorsa). Ayrıca Cloud Sync'i yan yana çalıştırabilir ve yalnızca bulut güvenlik grubu sağlamayı Active Directory'ye Cloud Sync'e taşıyabilirsiniz.

Active Directory'ye Microsoft 365 grupları sağlayan müşteriler için bu özellik için Grup Geri Yazma v1'i kullanmaya devam edebilirsiniz.

Kullanıcı eşitleme sihirbazını kullanarak yalnızca Cloud Sync'e geçişi değerlendirebilirsiniz.

Grup geri yazma videosunu izleyin

Active Directory'ye bulut eşitleme grubu sağlamaya ve sizin için yapabileceklerine genel bakış için aşağıdaki videoya göz atın.

Active Directory'ye Microsoft Entra Kimliği Sağlama - Önkoşullar

Active Directory'ye sağlama grupları uygulamak için aşağıdaki önkoşullar gereklidir.

Lisans gereksinimleri

Bu özelliği kullanmak için Microsoft Entra ID P1 lisansları gerekir. Gereksinimlerinize uygun lisansı bulmak için bkz. Microsoft Entra Kimliğin genel olarak sağlanan özelliklerini karşılaştırma.

Genel gereksinimler

  • En az Karma Yönetici istrator rolüne sahip Microsoft Entra hesabı.
  • Windows Server 2016 veya sonraki bir işletim sistemiyle şirket içi Active Directory Etki Alanı Hizmetleri ortamı.
    • AD Şema özniteliği için gerekli - msDS-ExternalDirectoryObjectId
  • Derleme sürümü 1.1.1370.0 veya üzeri olan sağlama aracısı.

Not

Hizmet hesabına yönelik izinler yalnızca temiz yükleme sırasında atanır. Önceki sürümden yükseltme yapıyorsanız izinlerin PowerShell cmdlet'i kullanılarak el ile atanmalıdır:

$credential = Get-Credential  

  Set-AADCloudSyncPermissions -PermissionType UserGroupCreateDelete -TargetDomain "FQDN of domain" -EACredential $credential

İzinler el ile ayarlanırsa, tüm alt Gruplar ve Kullanıcı nesneleri için tüm özellikleri Okuma, Yazma, Oluşturma ve Silme'nin sağlandığından emin olmanız gerekir.

Bu izinler varsayılan olarak Yönetici SDHolder nesnelerine uygulanmaz Microsoft Entra sağlama aracısı gMSA PowerShell cmdlet'leri

  • Sağlama aracısı TCP/389 (LDAP) ve TCP/3268 (Genel Katalog) bağlantı noktalarında bir veya daha fazla etki alanı denetleyicisiyle iletişim kurabilmelidir.
    • Genel katalog araması için geçersiz üyelik başvurularını filtrelemek için gereklidir
  • Derleme sürümü 2.2.8.0 veya üzeri olan Microsoft Entra Bağlan
    • Microsoft Entra Bağlan kullanılarak eşitlenen şirket içi kullanıcı üyeliğini desteklemek için gereklidir
    • AD:user:objectGUID öğesini AAD:user:onPremisesObjectIdentifier ile eşitlemek için gereklidir

Desteklenen gruplar

Yalnızca aşağıdakiler desteklenir:

  • Yalnızca bulut tarafından oluşturulan Güvenlik grupları desteklenir
  • Bu grupların atanmış veya dinamik üyelikleri olabilir.
  • Bu gruplar yalnızca şirket içi eşitlenmiş kullanıcıları ve/veya bulut tarafından oluşturulan ek güvenlik gruplarını içerebilir.
  • Eşitlenen ve bulut tarafından oluşturulan bu güvenlik grubunun üyesi olan şirket içi kullanıcı hesapları aynı etki alanından veya etki alanları arasında olabilir, ancak hepsinin aynı ormandan olması gerekir.
  • Bu gruplar, evrensel AD grupları kapsamıyla geri yazılır. Şirket içi ortamınız evrensel grup kapsamını desteklemelidir.
  • 50.000'den büyük üyeler desteklenmez.
  • İç içe yerleştirilmiş her doğrudan alt grup, başvuru grubunda bir üye olarak sayılır
  • Grup Active Directory'de el ile güncelleştirildiyse, Microsoft Entra Id ile Active Directory arasındaki grupların mutabakatı desteklenmez.

Ek bilgi

Active Directory'ye grup sağlama hakkında ek bilgiler aşağıdadır.

  • Bulut eşitlemesi kullanılarak AD'ye sağlanan gruplar yalnızca şirket içi eşitlenmiş kullanıcıları ve/veya bulut tarafından oluşturulan ek güvenlik gruplarını içerebilir.
  • Bu kullanıcıların tümünün hesaplarında onPremisesObjectIdentifier özniteliği ayarlanmış olmalıdır.
  • onPremisesObjectIdentifier, hedef AD ortamında karşılık gelen objectGUID ile eşleşmelidir.
  • Şirket içi kullanıcılar objectGUID özniteliği, Microsoft Entra Cloud Sync (1.1.1370.0) veya Microsoft Entra Bağlan Sync (2.2.8.0) kullanılarak eşitlenebilir
  • Microsoft Entra Cloud Sync yerine kullanıcıları eşitlemek için Microsoft Entra Bağlan Sync (2.2.8.0) kullanıyorsanız ve AD'de Sağlama'yı kullanmak istiyorsanız, 2.2.8.0 veya üzeri olmalıdır.
  • Microsoft Entra Id'den Active Directory'ye sağlama için yalnızca normal Microsoft Entra Id kiracıları desteklenir. B2C gibi kiracılar desteklenmez.
  • Grup sağlama işi her 20 dakikada bir çalışacak şekilde zamanlanır.

Microsoft Entra Cloud Sync ile grup geri yazma için desteklenen senaryolar

Aşağıdaki bölümlerde, Microsoft Entra Cloud Sync ile grup geri yazma için desteklenen senaryolar açıklanmaktadır.

Microsoft Entra Bağlan Eşitleme grubu geri yazma V2'yi Microsoft Entra Cloud Sync'e geçirme

Senaryo: Microsoft Entra Bağlan Sync'i (eski adıyla Azure AD Bağlan) kullanarak grup geri yazmayı Microsoft Entra Cloud Sync'e geçirin. Bu senaryo yalnızca şu anda Microsoft Entra Bağlan grup geri yazma v2 kullanan müşteriler içindir. Bu belgede özetlenen işlem yalnızca evrensel bir kapsamla geri yazılan bulut tarafından oluşturulan güvenlik gruplarıyla ilişkilidir. Microsoft Entra Bağlan grup geri yazma V1 veya V2 kullanılarak geri yazılan posta etkin gruplar ve DLL'ler desteklenmez.

Daha fazla bilgi için bkz. Microsoft Entra Bağlan Sync grubu geri yazma V2'yi Microsoft Entra Cloud Sync'e geçirme.

Microsoft Entra Kimlik Yönetimi kullanarak şirket içi Active Directory tabanlı uygulamaları (Kerberos) yönetme

Senaryo: Bulutta sağlanan ve yönetilen Active Directory gruplarıyla şirket içi uygulamaları yönetin. Microsoft Entra Cloud Sync, AD'deki uygulama atamalarını tam olarak yönetmenize olanak tanırken, erişimle ilgili istekleri denetlemek ve düzeltmek için Microsoft Entra Kimlik Yönetimi özelliklerden yararlanır.

Daha fazla bilgi için bkz. Microsoft Entra Kimlik Yönetimi kullanarak şirket içi Active Directory tabanlı uygulamaları (Kerberos) yönetme.

Sonraki adımlar