Kompletní tutoriál pro Azure AD Connect a Microsoft Entra Connect

Azure AD Connect (nyní Microsoft Entra Connect) je klíčem k propojení vaší místní služby Active Directory s cloudem od Microsoftu: Azure AD a Microsoft 365. Díky tomuto nástroji se vaši uživatelé mohou přihlašovat se stejným uživatelským jménem a heslem jak v místní síti, tak v cloudu, čímž se zabrání duplicitním účtům a sníží se problémy IT oddělení.

V tomto tutoriálu si podrobně prohlédnete celý cyklus: přípravu místního prostředí, vytvoření domény a doménové struktury Active Directory, konfiguraci Microsoft Entra ID, instalaci a konfiguraci Azure AD Connect, metody ověřování, filtrování objektů a pokročilé funkce, jako je synchronizace hash hesel, zpětný zápis nebo použití Microsoft Entra Connect Health k monitorování infrastruktury.

Co je Azure AD Connect a k čemu se používá?

Azure AD Connect je oficiální nástroj od společnosti Microsoft , který funguje jako „most“ mezi vaší místní službou Active Directory a Azure Active Directory a zároveň integruje Microsoft 365. Umožňuje synchronizaci identit, které již máte ve své místní doméně, s cloudem, takže uživatelé mohou v obou prostředích používat stejné přihlašovací údaje a v případě potřeby využívat jednotné přihlašování (SSO).

Klient Azure AD Connect je nainstalován na členském serveru domény a ačkoliv jej technicky lze nainstalovat na řadič domény, společnost Microsoft jej z důvodů zabezpečení a izolace služeb nedoporučuje. Tento server bude zodpovědný za synchronizaci uživatelů, skupin a dalších objektů z vaší služby Active Directory se službou Azure AD v pravidelných intervalech.

Po konfiguraci může Azure AD Connect používat různé modely ověřování: synchronizaci hesel s hašem (PHS), průchozí ověřování (PTA), federaci s AD FS nebo federaci s poskytovateli, jako je PingFederate. Nabízí také možnosti, jako je jednotné přihlašování (SSO), filtrování podle organizační jednotky nebo skupin, ochrana před hromadným mazáním a automatické aktualizace produktů.

V případech, kdy již pracujete s Microsoft 365 a máte uživatele pouze pro cloud, vám Azure AD Connect umožňuje sjednotit identity: pokud se hlavní název uživatele (UPN) a e-mailová adresa místního uživatele shodují s uživatelem v cloudu, po synchronizaci tento uživatel přestane být pouze pro cloud a stane se synchronizovaným uživatelem ze služby AD, čímž se správa atributů centralizuje ve vašem místním adresáři.

Příprava lokálního prostředí služby Active Directory

Než začnete uvažovat o synchronizaci čehokoli s Azure , potřebujete funkční prostředí Active Directory. Pokud již máte produkční firemní doménu, můžete ji použít; pokud ne, můžete si od základu nastavit testovací prostředí pro testování všech hybridních scénářů identity, aniž by to ovlivnilo vaše živé prostředí.

Cílem tohoto cvičení je vytvořit server , který bude fungovat jako řadič domény (DC) a bude hostovat služby Active Directory Domain Services (AD DS), DNS a nástroje pro správu. To vše lze nastavit na virtuálním počítači Hyper-V se systémem Windows Server pomocí skriptů PowerShellu, které automatizují většinu práce.

Vytvoření virtuálního počítače pro řadič domény

Prvním krokem je vytvoření virtuálního počítače , který bude fungovat jako místní server Active Directory. Chcete-li to provést, můžete otevřít prostředí PowerShell ISE jako správce na hostiteli Hyper-V a spustit skript, který definuje název virtuálního počítače, síťový přepínač, cestu VHDX, velikost disku a instalační médium (ISO systému Windows Server).

Tento skript vytvoří virtuální počítač 2. ​​generace s pevně danou pamětí, novým virtuálním diskem a virtuální DVD mechanikou odkazující na ISO soubor operačního systému. Poté nakonfiguruje firmware počítače pro spuštění z DVD, což vám umožní provést interaktivní instalaci systému.

Jakmile je virtuální počítač vytvořen , spusťte jej ze Správce Hyper-V, připojte se k jeho konzoli a proveďte standardní instalaci Windows Serveru: vyberte jazyk, zadejte produktový klíč, přijměte licenční podmínky, zvolte vlastní instalaci a použijte nově vytvořený disk. Po dokončení instalace restartujte počítač, přihlaste se a nainstalujte všechny dostupné aktualizace.

Počáteční konfigurace Windows Serveru

S již nainstalovaným operačním systémem musí být server připraven k přijetí role služby Active Directory Domain Services. To zahrnuje přiřazení konzistentního názvu (například DC1), konfiguraci statické IP adresy, definování DNS a přidání potřebných nástrojů pro správu pomocí funkcí systému Windows.

Pomocí jiného skriptu PowerShellu můžete automatizovat tyto úlohy: nastavení IP adresy, masky, brány a DNS serverů (obvykle samotného serveru a sekundárně veřejného DNS serveru, například 8.8.8.8), přejmenování počítače a instalaci RSAT serverů Active Directory, zaznamenávání všeho do souboru protokolu pro audit.

Po provedení těchto změn se server restartuje a bude připraven k povýšení na řadič domény v nové doménové struktuře, čímž se vaše místní prostředí AD zprovozní pro testování nebo skutečnou integraci s cloudem.

Vytvoření doménové struktury a domény služby Active Directory

Dalším krokem je instalace služby Active Directory Domain Services (AD DS) , DNS a konzoly pro správu zásad skupiny (GPMC) a následné vytvoření nové doménové struktury služby Active Directory. PowerShell vám opět umožňuje urychlit proces instalací potřebných funkcí a spuštěním rutiny Install-ADDSForest se všemi požadovanými parametry.

V definici doménové struktury zadáte název domény (například contoso.com), název NetBIOS, cesty k databázi služby Active Directory (NTDS), protokoly a SYSVOL, a také funkční úrovně domény a doménové struktury. Definujete také heslo pro režim obnovení adresářových služeb (DSRM), které je nezbytné pro úlohy obnovy.

Po restartování serveru po povýšení již máte prostředí Windows Server AD s funkční doménou, integrovaným DNS a všemi potřebnými nástroji pro správu uživatelů, skupin, organizačních jednotek a skupinových zásad.

Vytváření testovacích uživatelů v Active Directory

Spuštěná a spuštěná doménová struktura je užitečná pro ověření synchronizace s Azure AD. Pomocí skriptu PowerShellu můžete například vytvořit uživatele „Allie McCray“ s přihlašovacím jménem (samAccountName), počátečním heslem, zobrazovaným jménem a možností zabránit vypršení platnosti hesla.

Skript může také označit uživatele jako povoleného, ​​čímž mu zabrání v nutnosti měnit heslo při příštím přihlášení a umístí ho do příslušné cesty kontejneru (například CN=Users,DC=contoso,DC=com). Tito uživatelé budou poté synchronizováni s Microsoft Entra ID prostřednictvím Azure AD Connect.

Příprava lokální domény k synchronizaci

Před nasazením služby Azure AD Connect je vhodné zkontrolovat službu Active Directory a ujistit se, že splňuje požadavky společnosti Microsoft: správně nakonfigurované domény, správné přípony UPN, konzistentní atributy e-mailů a žádná konfliktní data. Společnost Microsoft pro tento úkol nabízí nástroj IdFix, který pomáhá identifikovat problematické objekty.

V mnoha prostředích existuje lokální doména, například mydomain.local, a na druhé straně veřejná e-mailová doména, například mydomain.com používaná v Microsoft 365. Pro čistou synchronizaci se doporučuje přidat do lokální služby Active Directory příponu UPN odpovídající veřejné e-mailové doméně.

V části „Domény a vztahy důvěryhodnosti služby Active Directory“ můžete otevřít vlastnosti a přidat novou příponu UPN (například mojedomena.com). Poté ve vlastnostech uživatelského účtu na kartě „Účet“ změňte UPN uživatele z [email protected] na [email protected] a zarovnejte ho s e-mailovou adresou v Microsoft 365.

Přestože se změna UPN důrazně doporučuje pro usnadnění následných přihlášení a případného SSO, tato změna nemění klasickou metodu přihlášení DOMAIN\user (verze starší než Windows 2000), takže neovlivní aplikace ani skripty, které tento formát nadále používají.

Je také důležité správně vyplnit atribut mail uživatelských účtů jejich primární e-mailovou adresou. Pokud již máte uživatele vytvořené přímo v cloudu, kombinace odpovídajících UPN a e-mailových adres mezi místním prostředím a Microsoft 365 umožní sloučení těchto účtů po synchronizaci a cloudový uživatel se stane synchronizovanou identitou ze služby Active Directory.

Nastavení a konfigurace Microsoft Entra ID (Azure AD)

Pro synchronizaci lokálního adresáře potřebujete klienta Microsoft Entra ID. Tento klient je cloudový adresář, kde budou vytvořeny repliky vašich uživatelů, skupin a zařízení z vašeho místního prostředí.

Pokud ještě nemáte klienta , můžete si ho vytvořit v centru pro správu Microsoft. Přihlaste se pomocí účtu, který má předplatné. V části Přehled vyberte možnost Správa klientů a poté vytvořte nového klienta, zadejte název organizace a počáteční doménu (například something.onmicrosoft.com).

Jakmile bude průvodce dokončen, adresář bude vytvořen a budete ho moci spravovat z portálu. Později můžete přiřadit vlastní domény (například contoso.com) a ověřit je pro použití jako primární domény v hlavních uživatelských jménech (UPN) vašich uživatelů synchronizovaných ze služby Active Directory.

Vytvoření hybridního účtu správce identity

V klientovi Microsoft Entra se doporučuje vytvořit vyhrazený účet pro správu hybridní komponenty. Tento účet bude použit například pro počáteční konfiguraci Azure AD Connect a úlohy související s identitou.

V sekci Uživatelé vytvoříte nového uživatele, přiřadíte mu jméno a uživatelské jméno (UPN) a změníte jeho roli na „Správce hybridní identity“. Během vytváření si můžete zobrazit a zkopírovat dočasné heslo, které mu bylo přiřazeno.

Po vytvoření tohoto účtu se přihlaste na myapps.microsoft.com s tímto uživatelským jménem a dočasným heslem, čímž vynutíte změnu hesla na trvalé. Toto bude identita správce, kterou budete používat v několika krocích hybridní instalace.

Instalace služby Azure AD Connect (Microsoft Entra Connect)

Jakmile je vaše místní prostředí připravené a váš cloudový klient připraven , můžete nyní nainstalovat Azure AD Connect na server, který je členem vaší místní domény. Společnost Microsoft doporučuje nepoužívat řadič domény, aby se minimalizovala rizika zabezpečení a dostupnosti.

Službu Azure AD Connect lze stáhnout z portálu Azure Active Directory, v sekci Azure AD Connect nebo přímo z webu Stažení softwaru společnosti Microsoft. Po stažení instalačního programu jej spusťte na určeném serveru.

Během průvodce instalací přijmete licenční podmínky a máte dvě možnosti: rychlé nastavení nebo vlastní nastavení. Rychlé nastavení konfiguruje ve výchozím nastavení plnou synchronizaci služby Active Directory pomocí metody „synchronizace hash hesel“, zatímco vlastní nastavení umožňuje mnohem větší kontrolu nad atributy, doménami, organizačními jednotkami, metodami ověřování a dalšími funkcemi.

V typických instalacích je volba vlastní cesty často výhodnější , zejména pokud potřebujete omezit, které organizační jednotky se synchronizují, chcete vyhodnotit různé metody přihlášení nebo máte topologie s více lesy.

Konfigurace metody přihlášení

Jedním z klíčových kroků průvodce je výběr metody ověřování, kterou budou vaši uživatelé používat pro přístup ke cloudovým prostředkům. Azure AD Connect nabízí několik integrovaných možností, z nichž každá má své vlastní výhody a požadavky.

1. Synchronizace hashů hesel (PHS) : Tato metoda synchronizuje další hash hesla uloženého ve vaší místní službě Active Directory s Azure AD. Uživatel se přihlašuje do cloudu přímo pomocí Azure AD pomocí stejného hesla jako v místním prostředí, ale spravovaného pouze v AD. Jedná se o nejjednodušší a nejpoužívanější model pro implementaci.

2. Průchozí ověřování (PTA) : V tomto případě se hesla neukládají v Azure AD; když se uživatel pokusí přihlásit, ověření se přepošle přes místní agenty, kteří ověřují přihlašovací údaje v lokální službě AD. To vám umožňuje aplikovat lokální omezení přístupu, časové limity atd. a zároveň zachovat kontrolu ověřování v rámci vaší infrastruktury.

3. Federace s AD FS : Azure AD deleguje ověřování na federační systém založený na službě Active Directory Federation Services. To vyžaduje nasazení serverů AD FS a obvykle i proxy webových aplikací. Je to složitější na údržbu, ale nabízí maximální kontrolu a kompatibilitu s pokročilými scénáři.

4. Federace s PingFederate : podobné jako v předchozím případě, ale s použitím PingFederate jako federačního řešení namísto AD FS, pro organizace, které již danou infrastrukturu identit mají.

5. Nekonfigurujte metodu přihlašování : určeno pro případ, že již máte federační řešení třetí strany a nechcete, aby Azure AD Connect v této oblasti cokoli automatizoval.

Kromě toho můžete povolit jednotné přihlašování (SSO) v kombinaci s PHS nebo PTA. S povoleným SSO a prostřednictvím zásad skupiny (GPO) se počítače připojené k doméně mohou přihlašovat pomocí UPN uživatele, obvykle stejného jako jeho e-mailová adresa, což jim zabrání v opakovaném zadávání přihlašovacích údajů při přístupu ke službám, jako je portál Microsoft 365.

Připojení k Microsoft 365 a místní službě Active Directory

V průvodci Azure AD Connect budete nejprve muset zadat přihlašovací údaje správce klienta Microsoft Entra (například účet správce hybridní identity, který jste vytvořili dříve). To nástroji umožní nakonfigurovat cloudovou část a zaregistrovat server jako zdroj synchronizace.

Dále jsou pro vytvoření synchronizačního propojení s místní doménovou strukturou vyžádány přihlašovací údaje z účtu s oprávněními v místní službě Active Directory . Po ověření je místní adresář přidán do seznamu zdrojů dat pro synchronizaci.

V dalším kroku zvolíte, který atribut použijete jako primární uživatelské jméno pro své cloudové účty. Obvyklá volba je userPrincipalName, ale v některých scénářích můžete zvolit pole email, pokud je konzistentní a správně nakonfigurované. Můžete také určit, zda budete pokračovat, aniž byste v Azure AD ověřili všechny domény UPN (užitečné, když je doména AD privátní).

Výběr organizační jednotky a filtrování objektů

Azure AD Connect umožňuje definovat, která podmnožina vaší doménové struktury Active Directory je synchronizována s cloudem. Můžete vybrat celé domény, konkrétní organizační jednotky nebo dokonce filtrovat podle atributů a zúžit tak rozsah.

V praxi je obvykle vhodné začít synchronizací pouze organizačních jednotek, kde se nacházejí uživatelé účastnící se pilotního projektu, nebo použít konkrétní skupinu zabezpečení, jejíž členové budou replikováni v Azure AD. Tím se snižuje riziko synchronizace servisních účtů, zastaralých objektů nebo informací, které by neměly opustit místní prostředí.

Je důležité si uvědomit, že následné změny struktury organizační jednotky (přejmenování, přesun kontejnerů atd.) mohou ovlivnit filtrování. Běžnou strategií je synchronizovat celou doménu, ale omezit filtrování na základě členství ve skupině, čímž se zabrání nadměrnému spoléhání na organizační strukturu.

Další možnosti konfigurace

Závěrečné obrazovky průvodce nabízejí další funkce, jako je zpětný zápis hesla, přepisování zařízení, hybridní integrace Exchange a ochrana před hromadným smazáním.

Odložený zápis hesla umožňuje uživatelům změnit nebo resetovat heslo z cloudu (například ze samoobslužného portálu) a tato změna se projeví i v místní službě Active Directory s ohledem na zásady hesel organizace. Pro mnoho společností je to cenná výhoda z hlediska podpory.

Přepisování zařízení umožňuje ukládat zařízení registrovaná v Microsoft Entra ID zpět do lokální služby Active Directory, což usnadňuje scénáře podmíněného přístupu, kde je potřeba sledovat zařízení na obou stranách.

Funkce zabraňující nechtěnému smazání je ve výchozím nastavení povolena a omezuje počet objektů, které lze smazat v rámci jednoho synchronizačního spuštění (například na 500). Pokud je tato prahová hodnota překročena, synchronizace se zablokuje, aby se zabránilo nechtěnému hromadnému smazání, což je zásadní ve velkých prostředích.

A konečně, automatické aktualizace jsou ve výchozím nastavení povoleny v instalacích s rychlým nastavením a udržují Azure AD Connect aktuální s nejnovějšími verzemi, opravují chyby a přidávají kompatibilitu, aniž byste museli ručně aktualizovat každý server.

Ověření synchronizace a denního provozu

Po dokončení instalace a průvodce může Azure AD Connect okamžitě spustit úplnou synchronizaci, pokud jste ji zadali. Samotný průvodce nabízí možnost spustit počáteční cyklus ihned po jeho dokončení, což se doporučuje k ověření, zda vše funguje správně.

Na serveru, na kterém jste nainstalovali Azure AD Connect, můžete z nabídky Start otevřít konzoli „Synchronizační služba“. Zde uvidíte historii spuštění, včetně počáteční synchronizace, případných chyb a podrobností o importu, synchronizacích a exportech objektů.

Na portálu Microsoft 365 nebo v aplikaci Microsoft Entra si můžete prohlédnout seznam uživatelů a ověřit, zda se zobrazují jako „Synchronizováno s Active Directory“ namísto „Pouze cloud“. Od tohoto okamžiku se hlavní atributy (křestní jméno, příjmení, e-mailová adresa atd.) spravují z místní služby Active Directory.

Azure AD Connect ve výchozím nastavení spouští synchronizační cyklus každých 30 minut , ale pokud potřebujete, aby se změna projevila okamžitě, můžete jej vždy vynutit ručně pomocí PowerShellu. Je vhodné toto chování zdokumentovat, aby váš tým podpory věděl, co může očekávat.

Pokročilé scénáře: více doménových struktur a další servery

Ve složitějších organizacích se můžete setkat s více doménovými strukturami služby Active Directory, z nichž každá má svou vlastní doménu a uživatele. Mohou existovat také doménové struktury zdrojů, kde se nacházejí propojené poštovní schránky nebo jiné služby.

Azure AD Connect je připraven pro tyto topologie , což vám umožňuje přidat více doménových struktur jako zdroje synchronizace a použít deklarativní model zřizování. To znamená, že pravidla pro slučování, transformaci a tok atributů jsou definována deklarativně a lze je upravit tak, aby odpovídala vašemu návrhu identity.

Pro pokročilejší laboratoře lze vytvořit druhou doménovou strukturu (např. fabrikam.com) s vlastním řadičem domény (CP1), čímž se zopakují kroky vytvoření virtuálního počítače, instalace systému, konfigurace IP a DNS, povýšení na řadič domény a vytvoření testovacích uživatelů. To umožňuje testování scénářů s více doménovými strukturami a synchronizaci cloudu s různými doménami.

V produkčním prostředí se doporučuje mít server Azure AD Connect v pohotovostním nebo pracovním režimu. Pracovní server uchovává kopii konfigurace a provádí interní import a synchronizaci, ale neexportuje změny do Azure AD. V případě selhání primárního serveru můžete s minimálním dopadem přepnout na pracovní server.

Microsoft Entra Connect Health: monitorování a upozornění

Aby společnost Microsoft měla hybridní infrastrukturu identit pod kontrolou, nabízí Microsoft Entra Connect Health, prémiové řešení, které monitoruje klíčové komponenty, jako je Azure AD Connect (synchronizace), AD FS a AD DS, a poskytuje upozornění, metriky výkonu a analýzy využití.

Systém funguje s využitím agentů , které instalujete na své servery identity: servery AD FS, řadiče domény a servery Azure AD Connect. Tito agenti odesílají informace o stavu a výkonu do cloudové služby, kde si je můžete prohlédnout na vyhrazeném portálu Connect Health.

Pro začátek potřebujete licence Microsoft Entra ID P1 nebo P2 (nebo zkušební verzi). Poté si z portálu stáhněte agenty Connect Health a nainstalujte je na každý relevantní server. Po registraci služba automaticky detekuje, které role jsou monitorovány.

Na portálu Connect Health najdete různé řídicí panely : jeden pro synchronizační služby (Azure AD Connect), druhý pro federační služby (AD FS) a další pro doménové struktury AD DS. V každém z nich si můžete prohlédnout aktivní upozornění, stav replikace, potenciální problémy s certifikáty, chyby ověřování a trendy používání.

Kromě technických aspektů zahrnuje Connect Health možnosti konfigurace přístupu na základě rolí (IAM) a volitelně autorizace přístupu společnosti Microsoft k diagnostickým datům pouze pro účely podpory. Tato možnost je ve výchozím nastavení zakázána, ale může být užitečná, pokud potřebujete pokročilou podporu společnosti Microsoft k řešení složitých problémů.

S celým tímto ekosystémem – lokální službou AD, Microsoft Entra ID, Azure AD Connect a Connect Health – máte k dispozici kompletní hybridní platformu identit, která je schopna poskytovat jednotné přihlašování, centralizovanou správu účtů a hesel, vysokou dostupnost a přehled o stavu infrastruktury; tato kombinace zjednodušuje život koncovému uživateli a poskytuje vám kontrolu potřebnou k bezpečnému a flexibilnímu provozu.