教學課程：使用 Microsoft Entra 雲端同步將群組佈建至 Active Directory

發行項
07/05/2024

本教學課程將逐步引導您建立和設定雲端同步，以將群組同步至內部部署 Active Directory。

將 Microsoft Entra ID 佈建至 Active Directory：必要條件

若要將佈建群組實作至 Active Directory，需要下列必要條件。

授權需求

使用此功能需要 Microsoft Entra ID P1 授權。若要尋找適合您需求的授權，請參閱比較 Microsoft Entra ID 正式推出的功能。

一般需求

至少具有 [混合式身分識別系統管理員] 角色的 Microsoft Entra 帳戶。
具有 Windows Server 2016 操作系統或更新版本的內部部署 Active Directory Domain Services 環境。
- AD 結構描述屬性的必要項目：msDS-ExternalDirectoryObjectId
使用組建版本 1.1.1370.0 或更新版本佈建代理程式。

注意

服務帳戶的權限只會在全新安裝期間指派。若要從舊版升級，則必須使用 PowerShell Cmdlet 手動指派權限：

$credential = Get-Credential  

  Set-AADCloudSyncPermissions -PermissionType UserGroupCreateDelete -TargetDomain "FQDN of domain" -EACredential $credential

若要手動設定權限，您必須確定所有子系群組和使用者物件均讀取、寫入、建立和刪除所有屬性。

根據預設，這些權限不會套用至 AdminSDHolder 物件 Microsoft Entra 佈建代理程式 gMSA PowerShell Cmdlet

佈建代理程式必須能夠與通訊埠 TCP/389 (LDAP) 和 TCP/3268 (通用類別目錄) 上的一或多個網域控制站進行通訊。
- 需要進行通用類別目錄查詢，篩選掉無效成員資格參考
組建版本 2.2.8.0 或更新版本的 Microsoft Entra Connect
- 需要支援使用 Microsoft Entra Connect 同步處理的內部部署使用者成員資格
- 需要將 AD:user:objectGUID 同步到 AAD:user:onPremisesObjectIdentifier

支援的群組

只支援下列項目：

僅支援雲端建立的安全性群組
這些群組可以指派或具備動態成員資格。
這些群組只能包含內部部署同步的使用者和/或其他雲端建立的安全性群組。
已同步且身為此雲端成員的內部部署使用者已建立安全性群組，可以存在於相同網域或跨網域，但必須存在於相同樹系。
這些群組會以通用的 AD 群組範圍寫回。您的內部部署環境必須支援通用群組範圍。
不支援擁有超過 50,000 位成員的群組。
每個直接子巢狀群組都會計算為參考群組中的一位成員
如果群組在 Active Directory 中手動更新，則不支援Microsoft Entra ID 與 Active Directory 之間的群組核對。

其他資訊

以下是將群組佈建至 Active Directory 的其他資訊。

使用雲端同步佈建至 AD 的群組只能包含內部部署同步的使用者和/或其他雲端建立的安全性群組。
所有這些使用者都必須在其帳戶上設定 onPremisesObjectIdentifier 屬性。
onPremisesObjectIdentifier 必須符合目標 AD 環境中的對應 objectGUID。
內部部署使用者 objectGUID 屬性可透過 Microsoft Entra 雲端同步 (1.1.1370.0) 或 Microsoft Entra Connect Sync (2.2.8.0) 來同步至雲端使用者 onPremisesObjectIdentifier 屬性
若使用 Microsoft Entra Connect Sync (2.2.8.0) 來同步使用者，而不是 Microsoft Entra 雲端同步，並且想要使用佈建至 AD，就必須使用 2.2.8.0 或更新版本。
只有一般 Microsoft Entra ID 租用戶支援從 Microsoft Entra ID 佈建至 Active Directory。不支援 B2C 等租用戶。
群組佈建作業排程為每 20 分鐘執行一次。

假設

本教學課程假設您已句備下列條件：

您有 Active Directory 內部部署環境
您有雲端同步設定，可將使用者同步至 Microsoft Entra ID。
您有兩個已同步的使用者。 Britta Simon 和 Lola Jacobson。這些使用者存在於內部部署和 Microsoft Entra ID 中。
Active Directory 中已有建立三個組織單位：Groups、Sales 和 Marketing。它們具有下列 distinguishedNames：
OU=Marketing,DC=contoso,DC=com
OU=Sales,DC=contoso,DC=com
OU=Groups,DC=contoso,DC=com

在 Microsoft Entra ID 中建立兩個群組。

若要開始作業，在 Microsoft Entra ID 中建立兩個群組。其中一個群組是 Sales，而另一個群組是 Marketing。

若要建立兩個群組，請遵循下列步驟。

至少以混合式身分識別系統管理員的身分登入 Microsoft Entra 系統管理中心。
瀏覽至 [身分識別]>[群組]>[所有群組]。
在頂端，按一下 [新增群組]。
請確定群組類型已設為安全性。
對於群組名稱，請輸入 Sales
對於成員資格類型，請將其保留為已指派。
按一下 [建立]。
使用 Marketing 作為群組名稱來重複此程序。

將使用者新增至新建立的群組

至少以混合式身分識別系統管理員的身分登入 Microsoft Entra 系統管理中心。
瀏覽至 [身分識別]>[群組]>[所有群組]。
在頂端的搜尋方塊中，輸入 Sales。
按一下新的 Sales 群組。
按一下左側的 [成員]
按一下頂端的 [新增成員]。
在頂端的搜尋方塊中，輸入 Britta Simon。
在 Britta Simon 旁邊放置核取記號，然後按一下 [選取]
就可以成功將她新增至群組。
在最左側，按一下 [所有群組]，然後使用 Sales 群組並將 Lola Jacobson 新增至該群組來重複此程序。

設定佈建

若要設定佈建，請遵循下列步驟。

至少以混合式系統管理員的身分登入 Microsoft Entra 系統管理中心。
瀏覽至 [身分識別] > [混合式管理] > [Microsoft Entra Connect] > [雲端同步]。

選取 [新增設定]。
選取 [Microsoft Entra ID 至 AD 同步]。
在設定畫面上，選取您的網域，以及是否啟用密碼雜湊同步。按一下 [建立]。
[開始] 畫面會隨即開啟。您可以從這裡繼續設定雲端同步
按一下左側的 [範圍篩選條件]。
在 [群組範圍] 底下，設定為 [所有安全性群組]
在 [目標容器] 下，按一下 [編輯屬性對應]。
將 [對應類型] 變更為運算式
在運算式方塊中，輸入下列項目：Switch([displayName],"OU=Groups,DC=contoso,DC=com","Marketing","OU=Marketing,DC=contoso,DC=com","Sales","OU=Sales,DC=contoso,DC=com")
將 [預設值] 變更為 OU=Groups,DC=contoso,DC=com。
按一下 [套用]：系統會根據群組 displayName 屬性來變更目標容器。
按一下 [儲存]
按一下左側的 [概觀]
按一下頂端的 [檢閱並啟用]
按一下右側的 [啟用設定]