Täielik õpetus Azure AD Connecti ja Microsoft Entra Connecti kohta

Azure AD Connect (nüüd Microsoft Enter Connect) See on võti teie kohapealse Active Directory ühendamiseks Microsofti pilvega: Azure AD ja Microsoft 365. Tänu sellele tööriistale saavad teie kasutajad nii kohapeal kui ka pilveteenustes sisse logida sama kasutajanime ja parooliga, vältides duplikaatkontosid ja vähendades IT-osakonna peavalu.

Selle õpetuse vältel Näete üksikasjalikult kogu tsüklit: kohapealse keskkonna ettevalmistamist, domeeni ja Active Directory metsa loomist, Microsoft Entra ID konfigureerimist, Azure AD Connecti installimist ja konfigureerimist, autentimismeetodeid, objektide filtreerimist ja täiustatud funktsioone, nagu parooli räsi sünkroniseerimine, tagasikirjutamine või Microsoft Entra Connect Healthi kasutamine infrastruktuuri jälgimiseks.

Mis on Azure AD Connect ja milleks seda kasutatakse?

Azure AD Connect on Microsofti ametlik utiliit See toimib sillana teie kohapealse Active Directory ja Azure Active Directory vahel, integreerides ka Microsoft 365. See võimaldab teie kohapealses domeenis juba olemasolevaid identiteete pilvega sünkroonida, nii et kasutaja kasutab mõlemas maailmas samu volitusi ja soovi korral saab nautida ühekordset sisselogimist (SSO).

Azure AD Connecti klient on installitud liikmesserverisse domeenist ja kuigi seda saab tehniliselt domeenikontrollerile installida, soovitab Microsoft seda turvalisuse ja teenuste isoleerimise kaalutlustel vältida. See server vastutab teie Active Directory kasutajate, rühmade ja muude objektide regulaarse sünkroonimise eest Azure AD-ga.

Kui Azure AD Connect on konfigureeritud See saab kasutada erinevaid autentimismudeleid: parooli räsi sünkroonimine (PHS), läbipääsuautentimine (PTA), föderatsioon AD FS-iga või föderatsioon pakkujatega nagu PingFederate. See pakub ka selliseid valikuid nagu SSO, filtreerimine OU või rühmade järgi, kaitse massikustutuse eest ja automaatsed tootevärskendused.

Juhtudel, kus te juba töötate Microsoft 365-ga Ja kui teil on ainult pilvepõhised kasutajad, võimaldab Azure AD Connect teil identiteete ühendada: kui kohaliku kasutaja UPN ja e-posti aadress ühtivad pilvepõhise kasutaja omadega, siis sünkroonimisel lakkab see kasutaja olemast ainult pilvepõhine ja temast saab AD-st sünkroonitud kasutaja, tsentraliseerides atribuutide haldamise teie kohalikku kataloogi.

Kohaliku Active Directory keskkonna ettevalmistamine

Enne kui hakkate Azure'iga sünkroonimise peale mõtlemaTeil on vaja toimivat Active Directory keskkonda. Kui teil on juba ettevõtte domeen tootmises, saate seda kasutada; kui mitte, saate nullist labori seadistada, et testida kõiki hübriididentiteedi stsenaariume ilma oma reaalajas keskkonda mõjutamata.

Selle labori idee on luua server mis toimib domeenikontrollerina (DC) ja majutab AD DS-i, DNS-i ja haldustööriistu. Kõik see saab seadistada Windows Serveriga töötavale Hyper-V virtuaalmasinale, kasutades PowerShelli skripte, mis automatiseerivad suure osa tööst.

Domeenikontrolleri virtuaalmasina loomine

Esimene samm on virtuaalse masina loomine mis toimib kohapealse Active Directory serverina. Selleks saate avada PowerShelli ISE administraatorina Hyper-V hostis ja käivitada skripti, mis määratleb virtuaalmasina nime, võrgulüliti, VHDX-tee, ketta suuruse ja installikandja (Windows Server ISO).

See skript loob 2. põlvkonna virtuaalmasinaFikseeritud mälu korral luuakse uus virtuaalne ketas ja ühendatakse virtuaalne DVD-draiv, mis osutab operatsioonisüsteemi ISO-le. Seejärel konfigureeritakse masina püsivara nii, et see käivituks algselt DVD-lt, võimaldades teil süsteemi interaktiivselt installida.

Kui virtuaalmasin on loodudHyper-V Managerist peate käivitama serveri, looma ühenduse selle konsooliga ja tegema standardse Windows Serveri installi: valige keel, sisestage tootevõti, nõustuge litsentsitingimustega, valige kohandatud install ja kasutage äsjaloodud ketast. Pärast installimise lõppu taaskäivitage arvuti, logige sisse ja rakendage kõik saadaolevad värskendused.

Windows Serveri esialgne konfiguratsioon

Juba installitud operatsioonisüsteemigaServer peab olema valmis vastu võtma Active Directory domeeniteenuste rolli. See hõlmab sellele järjepideva nime määramist (näiteks DC1), staatilise IP-aadressi konfigureerimist, DNS-sätete määratlemist ja vajalike haldustööriistade lisamist Windowsi funktsioonide abil.

Teise PowerShelli skripti kasutamine Saate automatiseerida järgmisi ülesandeid: IP-aadressi, maski, lüüsi ja DNS-serverite määramise (tavaliselt serveri enda ja teisejärgulisena avaliku DNS-i, näiteks 8.8.8.8), arvuti ümbernimetamise ja Active Directory RSAT-ide installimise, kõige salvestamise auditeerimiseks logifaili.

Pärast nende muudatuste rakendamist Server taaskäivitub ja on valmis uues metsas domeenikontrolleriks edutamiseks, nii et teie kohapealne AD-keskkond on testimiseks või pilvega reaalseks integreerimiseks töökorras.

Active Directory metsa ja domeeni loomine

Järgmine samm on AD DS-i installimine, DNS ja rühmapoliitika halduskonsool (GPMC) ning seejärel looge uus Active Directory mets. Jällegi võimaldab PowerShell protsessi kiirendada, installides vajalikud funktsioonid ja käivitades cmdlet-käsu Install-ADDSForest kõigi vajalike parameetritega.

Metsa definitsioonis määrate domeeninime (näiteks contoso.com), NetBIOS-nimi, teed Active Directory andmebaasi (NTDS), logid ja SYSVOL, samuti domeeni ja metsa funktsionaalsed tasemed. Samuti on määratletud kataloogiteenuste taasterežiimi (DSRM) parool, mis on taastetoimingute jaoks hädavajalik.

Kui server pärast reklaamimist taaskäivitubTeil on juba olemas Windows Server AD keskkond toimiva domeeni, integreeritud DNS-i ja kõigi vajalike tööriistadega kasutajate, rühmade, OU-de ja rühmapoliitikate haldamiseks.

Testkasutajate loomine Active Directory's

Nüüd, kui mets on käivitatud, on kasulik omada testkontosid. Azure AD-ga sünkroonimise kontrollimiseks saate PowerShelli skripti abil luua näiteks kasutaja „Allie McCray” koos sisselogimisnimega (samAccountName), esialgse parooliga, kuvatava nimega ja valikuga parooli aegumise vältimiseks.

Skript saab kasutaja ka märgistada See funktsioon on lubatud, et vältida kasutajate parooli muutmist järgmisel sisselogimisel, paigutades nad sobivasse konteineriteele (näiteks CN=Users,DC=contoso,DC=com). Seejärel sünkroonitakse need kasutajad oma Microsoft Entra ID-dega Azure AD Connecti kaudu.

Kohaliku domeeni ettevalmistamine sünkroonimiseks

Enne Azure AD Connecti juurutamist on soovitatav oma AD üle vaadata. Selleks, et see vastaks Microsofti nõuetele: õigesti konfigureeritud domeenid, õiged UPN-sufiksid, järjepidevad e-posti atribuudid ja vastuoluliste andmete puudumine. Selle ülesande jaoks pakub Microsoft tööriista IdFix, mis aitab tuvastada problemaatilisi objekte.

Paljudes keskkondades on olemas kohalik domeen tüübist mydomain.local ja teiselt poolt avalikust e-posti domeenist, näiteks mydomain.com, mida kasutatakse Microsoft 365-s. Sünkroonimise sujuvaks toimimiseks on soovitatav lisada kohalikule AD-le avalikule e-posti domeenile vastav UPN-järelliide.

„Active Directory domeenid ja usaldusfondid” Saate avada atribuudid ja lisada uue UPN-järelliide (näiteks minudomeen.com). Seejärel muutke kasutajakonto atribuutide vahekaardil „Konto“ kasutaja UPN-i kujult kasutaja@minudomeen.kohalik kujule kasutaja@minudomeen.com, joondades selle Microsoft 365 e-posti aadressiga.

Kuigi UPN-i muutmine on väga soovitatav Järgnevate sisselogimiste ja lõpuks ka ühekordse sisselogimise hõlbustamiseks ei muuda see muudatus klassikalist DOMAIN\user sisselogimismeetodit (enne Windows 2000-d), seega ei mõjuta see rakendusi ega skripte, mis seda vormingut jätkuvalt kasutavad.

Samuti on oluline e-posti atribuut õigesti täita. kasutajakontode ja nende peamise meiliaadressi vahelised identiteedid. Kui teil on juba otse pilves kasutajad loodud, võimaldab UPN-i ja asutusesisese ning Microsoft 365 vahelise sobiva meiliaadressi kombinatsioon pärast sünkroonimist need kontod ühendada ja pilvekasutajast AD-st sünkroonitud identiteedi saada.

Microsoft Entra ID seadistamine ja konfigureerimine (Azure AD)

Kohaliku kataloogi sünkroonimiseks Teil on vaja Microsoft Entra ID rentnikku. See rentnik on pilvekataloog, kuhu luuakse teie kasutajate, rühmade ja seadmete koopiad kohapealsest keskkonnast.

Kui teil pole veel üürnikkuSaate selle luua Microsofti administreerimiskeskuses. Logige sisse kontoga, millel on tellimus. Valige jaotisest Ülevaade rentnike haldamise suvand ja seejärel looge uus, andes organisatsioonile nime ja esialgse domeeni (näiteks midagi.onmicrosoft.com).

Kui viisard on lõpetanud, luuakse kataloog. Ja saate seda portaalist hallata. Hiljem saate seostada kohandatud domeene (nt contoso.com) ja kinnitada, et neid kasutatakse Active Directoryst sünkroonitud kasutajate UPN-ides esmaste domeenidena.

Hübriididentiteedi administraatori konto loomine

Microsoft Entra rentnikus on soovitatav luua Hübriidkomponendi haldamiseks kasutatakse spetsiaalset kontot. Seda kontot kasutatakse näiteks Azure AD Connecti esmaseks konfigureerimiseks ja identiteediga seotud ülesannete täitmiseks.

Kasutajate jaotisest Sa lood uue kasutaja, määrad talle nime ja kasutajanime (UPN) ning muudad tema rolli väärtuseks „Hübriididentiteedi administraator”. Loomise ajal saad vaadata ja kopeerida talle määratud ajutist parooli.

Pärast selle konto loomist on soovitatav sisse logida. Minge selle kasutajanime ja ajutise parooliga aadressile myapps.microsoft.com, sundides parooli muutma püsivaks. See on administraatori identiteet, mida kasutate mitmes hübriidinstalli etapis.

Azure AD Connecti (Microsoft Entra Connecti) installimine

Kohalik keskkond on valmis ja pilveteenuse rentnik on ette valmistatudNüüd saate Azure AD Connecti installida kohaliku domeeni liikmesserverisse. Microsoft soovitab turvalisuse ja kättesaadavuse riskide minimeerimiseks mitte kasutada domeenikontrollerit.

Azure AD Connecti allalaadimine See on saadaval Azure Active Directory portaalist, Azure AD Connecti jaotisest või otse Microsofti allalaadimiskeskusest. Kui olete installija alla laadinud, käivitage see määratud serveris.

Litsentsitingimused aktsepteeritakse installiviisardi ajal. Teil on kaks võimalust: kiirseadistus või kohandatud seadistus. Kiirseadistus konfigureerib vaikimisi Active Directory täieliku sünkroonimise, kasutades meetodit "parooli räsi sünkroonimine", samas kui kohandatud seadistus võimaldab palju suuremat kontrolli atribuutide, domeenide, OU-de, autentimismeetodite ja lisafunktsioonide üle.

Tüüpilistes installatsioonides on see tavaliselt huvitavam Valige kohandatud tee, eriti kui peate piirama sünkroonitavate organisatsiooniüksuste arvu, soovite hinnata erinevaid sisselogimismeetodeid või teil on mitme metsa topoloogiad.

Sisselogimismeetodi seadistamine

Üks assistendi põhipunkte See on autentimismeetodi valik, mida teie kasutajad pilveressurssidele juurdepääsuks kasutavad. Azure AD Connect pakub mitmeid sisseehitatud valikuid, millel kõigil on oma eelised ja nõuded.

1. Parooli räsi sünkroonimine (PHS)See meetod sünkroonib Azure AD-ga täiendav parooli räsi salvestatud teie kohapealsesse Active Directorysse. Kasutaja logib pilve otse Azure AD kaudu, kasutades sama parooli nagu kohapealses keskkonnas, kuid seda hallatakse ainult AD-s. See on kõige lihtsamini rakendatav ja kõige laialdasemalt kasutatav mudel.

2. Läbipääsuautentimine (PTA)Sellisel juhul paroole Azure AD-s ei salvestata; kui kasutaja proovib sisse logida, edastatakse valideerimine kohapealsete agentide kaudu, mis kontrollivad volitusi kohaliku AD suhtes. See võimaldab teil rakendada kohalikke juurdepääsupiiranguid, ajakavasid jne, säilitades samal ajal autentimise kontrolli oma infrastruktuuris.

3. Föderatsioon AD FS-igaAzure AD delegeerib autentimise Active Directory föderatsiooniteenustel põhinevale föderatsioonisüsteemile. See nõuab AD FS-serverite ja tavaliselt ka veebirakenduse puhverserveri juurutamist. Seda on keerulisem hallata, kuid see pakub maksimaalset kontrolli ja ühilduvust keerukamate stsenaariumidega.

4. Föderatsioon PingFederate'igasarnane eelmisele juhtumile, kuid organisatsioonide puhul, kellel on juba olemas identiteeditaristu, kasutatakse föderatsioonilahendusena AD FS-i asemel PingFederate'i.

5. Ära seadista sisselogimismeetodit: mõeldud olukordadeks, kus teil on juba kolmanda osapoole föderatsioonilahendus ja te ei soovi, et Azure AD Connect selles valdkonnas midagi automatiseeriks.

Lisaks saate lubada ühekordse sisselogimise (SSO) Koos PHS-i või PTA-ga. Kui SSO on lubatud ja rühmapoliitika (GPO) kaudu on domeeniga ühendatud arvutid võimelised sisse logima kasutaja UPN-i abil, mis on tavaliselt sama mis tema e-posti aadress, takistades tal oma mandaati korduvalt sisestamast sellistele teenustele nagu Microsoft 365 portaal juurdepääsuks.

Ühenduse loomine Microsoft 365 ja kohaliku Active Directoryga

Azure AD Connecti viisardis peate esitama Esmalt vajate Microsoft Entra rentniku administraatori volitusi (näiteks varem loodud hübriididentiteedi administraatori kontot). See võimaldab tööriistal pilvekomponendi konfigureerida ja serveri sünkroonimisallikana registreerida.

Seejärel küsitakse kohalikus AD-s õigustega kontolt mandaate. kohapealse metsaga sünkroonimislingi loomiseks. Pärast valideerimist lisatakse kohalik kataloog sünkroonitavate andmeallikate loendisse.

Järgmises etapis valid, millist atribuuti peamise kasutajanimena kasutada. Pilvekontode puhul on tavaline lähenemisviis kasutada userPrincipalName'i, kuid mõnel juhul saate valida ka e-posti aadressi välja, kui see on järjepidev ja õigesti konfigureeritud. Samuti saate märkida, kas jätkate ilma kõiki UPN-domeene Azure AD-s veel kinnitamata (kasulik, kui AD-domeen on privaatne).

OU valik ja objektide filtreerimine

Azure AD Connect võimaldab teil määrata, milline alamhulk Teie Active Directory mets on pilvega sünkroniseeritud. Saate valida terveid domeene, konkreetseid organisatsiooniüksusi või isegi atribuutide järgi filtreerida, et ulatust kitsendada.

Praktikas on see tavaliselt hea mõte Alustage ainult nende OU-de sünkroonimisest, kus asuvad pilootprojektis osalevad kasutajad, või kasutage kindlat turberühma, mille liikmed replikeeritakse Azure AD-s. See vähendab teenusekontode, vananenud objektide või teabe sünkroonimise riski, mis ei tohiks kohapealsest keskkonnast lahkuda.

Tasub märkida, et hilisemad muudatused OU struktuuri muudatused (ümbernimetamine, konteinerite teisaldamine jne) võivad filtreerimist mõjutada. Levinud strateegia on kogu domeeni sünkroonimine, kuid filtreerimise piiramine grupi liikmelisuse alusel, vältides liigset tuginemist organisatsioonilisele struktuurile.

Täiendavad konfiguratsioonivalikud

Assistendi viimased ekraanipildid pakuvad Lisafunktsioonide hulka kuuluvad paroolide tagasikirjutamine, seadmete ümberkirjutamine, hübriid-Exchange'i integratsioon ja kaitse masskustutamise eest.

Parooli kirjutamise edasilükkamine See võimaldab kasutajatel oma parooli pilvest (näiteks iseteenindusportaalist) muuta või lähtestada ning see muudatus rakendub ka kohapealses Active Directorys, järgides organisatsiooni paroolipoliitikat. Paljude ettevõtete jaoks on see tugiteenuste seisukohalt märkimisväärne eelis.

Seadme ümberkirjutamine See võimaldab Microsoft Entra ID-s registreeritud seadmeid tagasi kohalikku Active Directorysse suunata, mis hõlbustab tingimusliku juurdepääsu stsenaariume, kus peate mõlema poole seadmeid jälgima.

Funktsioon juhusliku kustutamise vältimiseks See on vaikimisi lubatud ja piirab ühe sünkroonimistsükli jooksul kustutatavate objektide arvu (näiteks 500-ni). Kui see lävi ületatakse, blokeeritakse sünkroonimine, et vältida juhuslikke massilisi kustutamisi, mis on suurtes keskkondades ülioluline.

Lõpuks automaatsed värskendused See on kiirseadistusega installides vaikimisi lubatud ja hoiab Azure AD Connecti ajakohasena uusimate versioonidega, parandades vigu ja lisades ühilduvusi ilma, et peaksite iga serverit käsitsi värskendama.

Sünkroniseerimise ja igapäevase töö kontrollimine

Pärast installimise ja viisardi lõpuleviimistAzure AD Connect saab koheselt alustada täielikku sünkroonimist, kui olete selle määranud. Viisard ise pakub võimalust käivitada esialgne tsükkel kohe pärast selle lõppu, mida on soovitatav kasutada kontrollimaks, kas kõik töötab õigesti.

Serveris, kuhu installisite Azure AD Connecti Saate avada konsooli "Sünkroonimisteenus" menüüst Start. Seal näete teostusajalugu, sealhulgas esialgset sünkroonimist, võimalikke vigu ning objektide impordi, sünkroonimise ja ekspordi üksikasju.

Microsoft 365 portaalis või Microsofti sisselogimisportaalis Kasutajate loendist saate kontrollida, kas nad kuvatakse kui „Sünkroniseeritud Active Directoryga”, mitte „Ainult pilves”. Sellest hetkest alates hallatakse peamisi atribuute (eesnimi, perekonnanimi, e-posti aadress jne) kohalikust Active Directoryst.

Azure AD Connect käivitab vaiketsükli Sünkroniseerimine toimub iga 30 minuti järel, kuigi saate alati PowerShelli abil käsitsi sünkroonimise sundida, kui vajate muudatuse kohest kajastust. Hea tava on see käitumine dokumenteerida, et tugimeeskond teaks, mida oodata.

Täiustatud stsenaariumid: mitu metsa ja täiendavad serverid

Keerukamates organisatsioonides Võite kohata mitut Active Directory metsa, millel kõigil on oma domeen ja kasutajad. Samuti võivad olla ressursimetsad, kus asuvad lingitud postkastid või muud teenused.

Azure AD Connect on nende topoloogiate jaoks valmisSee võimaldab teil lisada mitu metsa sünkroniseerimisallikatena ja rakendada deklaratiivset eraldamismudelit. See tähendab, et atribuutide kombineerimise, teisendamise ja voogamise reeglid on määratletud deklaratiivselt ning neid saab kohandada vastavalt teie identiteedidisainile.

Täiustatud laborite jaoks Teise metsa (nt fabrikam.com) saab luua oma domeenikontrolleriga (CP1), korrates virtuaalmasina loomise, süsteemi installimise, IP- ja DNS-konfiguratsiooni, domeenikontrolleriks üleviimise ja testkasutajate loomise samme. See võimaldab testida mitme metsa stsenaariume ja pilvesünkroniseerida erinevate domeenidega.

Tootmiskeskkondades on soovitatav omada Azure AD Connecti server pannakse ooterežiimi või faasirežiimi. Faasirver säilitab konfiguratsiooni koopia ning teostab sisemist importi ja sünkroonimist, kuid ei ekspordi muudatusi Azure AD-sse. Põhiserveri rikke korral saate minimaalse mõjuga lülituda faasirverile.

Microsoft Entra Connect Health: jälgimine ja hoiatused

Hübriididentiteedi infrastruktuuri kontrolli all hoidmiseksMicrosoft pakub Microsoft Entra Connect Healthi, esmaklassilist lahendust, mis jälgib võtmekomponente, nagu Azure AD Connect (sünkroniseerimine), AD FS ja AD DS, pakkudes teateid, jõudlusmõõdikuid ja kasutusanalüüsi.

Operatsioon põhineb agentidel. Need agendid on installitud identiteediserveritesse: AD FS serveritesse, domeenikontrolleritesse ja Azure AD Connect serveritesse. Nad saadavad tervise- ja jõudlusteavet pilveteenusesse, kus saate seda vaadata spetsiaalses Connect Health portaalis.

Alustuseks on vaja litsentse. Microsoftilt sisestage ID P1 või P2 (või test). Seejärel laadige portaalist alla Connect Healthi agendid ja installige need igale asjakohasele serverile. Pärast registreerimist tuvastab teenus automaatselt, milliseid rolle jälgitakse.

Connect Healthi portaalist leiad erinevaid paneeleÜks sünkroonimisteenuste (Azure AD Connect), teine ​​föderatsiooniteenuste (AD FS) ja kolmas AD DS-i metsade jaoks. Igas neist saate vaadata aktiivseid hoiatusi, replikatsiooni olekut, võimalikke sertifitseerimisprobleeme, autentimisvigu ja kasutustrende.

Lisaks tehnilistele aspektidele sisaldab Connect Health ka valikuid Rollipõhise juurdepääsu (IAM) konfigureerimiseks ja valikuliselt Microsofti volitamiseks diagnostikaandmetele juurde pääsema ainult tugiteenuste eesmärgil. See valik on vaikimisi keelatud, kuid see võib olla kasulik, kui vajate keerukate probleemide lahendamiseks Microsofti täiustatud tuge.

Kogu selle ökosüsteemi seadistamisega – kohalik AD, Microsoft Entra ID, Azure AD Connect ja Connect Health – Teil on täielik hübriidne identiteediplatvorm, mis suudab pakkuda ühekordset sisselogimist, tsentraliseeritud kontode ja paroolide haldamist, kõrget käideldavust ja nähtavust infrastruktuuri oleku kohta; kombinatsioon, mis lihtsustab lõppkasutaja elu ja annab teile kontrolli, mida vajate turvaliseks ja paindlikuks tegutsemiseks.