Celoten vodnik za Azure AD Connect in Microsoft Entra Connect

Azure AD Connect (zdaj Microsoft Enter Connect) To je ključ do povezave vašega lokalnega imenika Active Directory z Microsoftovim oblakom: Azure AD in Microsoft 365. Zahvaljujoč temu orodju se lahko vaši uporabniki prijavijo z istim uporabniškim imenom in geslom tako na lokaciji kot v storitvah v oblaku, s čimer se izognejo podvojenim računom in zmanjšajo glavobole za oddelek IT.

V tej vadnici Podrobno si boste ogledali celoten cikel: pripravo lokalnega okolja, ustvarjanje domene in gozda Active Directory, konfiguracijo Microsoft Entra ID, namestitev in konfiguracijo Azure AD Connect, metode preverjanja pristnosti, filtriranje objektov in napredne funkcije, kot so sinhronizacija zgoščenih vrednosti gesel, povratno pisanje ali uporaba Microsoft Entra Connect Health za spremljanje infrastrukture.

Kaj je Azure AD Connect in za kaj se uporablja?

Azure AD Connect je uradni Microsoftov pripomoček Deluje kot »most« med vašim lokalnim imenikom Active Directory in imenikom Azure Active Directory ter integrira tudi Microsoft 365. Omogoča sinhronizacijo identitet, ki jih že imate v lokalni domeni, z oblakom, tako da uporabnik uporablja iste poverilnice v obeh svetovih in po želji uživa v enotni prijavi (SSO).

Odjemalec Azure AD Connect je nameščen na članskem strežniku. domene in čeprav ga je tehnično mogoče namestiti na krmilnik domene, Microsoft priporoča, da se temu izognete zaradi varnostnih razlogov in izolacije storitev. Ta strežnik bo odgovoren za redno sinhronizacijo uporabnikov, skupin in drugih objektov iz imenika Active Directory z Azure AD.

Ko je konfiguriran, Azure AD Connect Uporablja lahko različne modele preverjanja pristnosti: sinhronizacijo zgoščenih gesel (PHS), prehodno preverjanje pristnosti (PTA), federacijo z AD FS ali federacijo s ponudniki, kot je PingFederate. Ponuja tudi možnosti, kot so enotna prijava (SSO), filtriranje po organizacijski enoti ali skupinah, zaščita pred množičnimi izbrisi in samodejne posodobitve izdelkov.

V primerih, ko že delate s storitvijo Microsoft 365 Če imate uporabnike, ki so »samo v oblaku«, vam Azure AD Connect omogoča poenotenje identitet: če se UPN in e-poštni naslov lokalnega uporabnika ujemata z uporabnikom v oblaku, ta uporabnik po sinhronizaciji ne bo več »samo v oblaku« in bo postal sinhroniziran uporabnik iz AD, s čimer se bo upravljanje atributov centraliziralo v vašem lokalnem imeniku.

Priprava lokalnega okolja Active Directory

Preden pomislite na sinhronizacijo česar koli z AzurePotrebujete delujoče okolje Active Directory. Če že imate poslovno domeno v produkciji, jo lahko uporabite; če je nimate, lahko ustvarite laboratorij iz nič, da preizkusite vse scenarije hibridne identitete, ne da bi to vplivalo na vaše aktivno okolje.

Ideja tega laboratorija je ustvariti strežnik ki bo deloval kot krmilnik domene (DC) in gostil AD DS, DNS in orodja za upravljanje. Vse to je mogoče nastaviti na virtualnem računalniku Hyper-V z operacijskim sistemom Windows Server z uporabo skriptov PowerShell, ki avtomatizirajo večino dela.

Ustvarjanje virtualnega stroja za krmilnik domene

Prvi korak je ustvariti virtualni stroj ki bo deloval kot lokalni strežnik Active Directory. To storite tako, da kot skrbnik odprete PowerShell ISE na gostitelju Hyper-V in zaženete skript, ki definira ime navideznega računalnika, omrežno stikalo, pot VHDX, velikost diska in namestitveni medij (ISO sistema Windows Server).

Ta skripta ustvari virtualni stroj 2. generacijeS fiksnim pomnilnikom se ustvari nov virtualni disk in se nanj priključi virtualni pogon DVD, ki kaže na datoteko ISO operacijskega sistema. Vdelana programska oprema naprave se nato konfigurira za začetni zagon z DVD-ja, kar omogoča interaktivno namestitev sistema.

Ko je virtualni stroj ustvarjenV upravitelju Hyper-V morate zagnati strežnik, se povezati z njegovo konzolo in izvesti standardno namestitev sistema Windows Server: izberite jezik, vnesite ključ izdelka, sprejmite licenčne pogoje, izberite namestitev po meri in uporabite novo ustvarjen disk. Po končani namestitvi znova zaženite računalnik, se prijavite in namestite vse razpoložljive posodobitve.

Začetna konfiguracija strežnika Windows

Z že nameščenim operacijskim sistemomStrežnik mora biti pripravljen na prejem vloge domenskih storitev Active Directory. To vključuje dodelitev doslednega imena (na primer DC1), konfiguracijo statičnega naslova IP, definiranje nastavitev DNS in dodajanje potrebnih skrbniških orodij z uporabo funkcij sistema Windows.

Uporaba drugega skripta PowerShell Ta opravila lahko avtomatizirate: nastavitev IP-naslova, maske, prehoda in DNS-strežnikov (običajno samega strežnika in kot sekundarnega javnega DNS-a, kot je 8.8.8.8), preimenovanje računalnika in namestitev RSAT-ov Active Directory, beleženje vsega v dnevniško datoteko za nadzor.

Po uporabi teh sprememb Strežnik se bo znova zagnal in bo pripravljen za napredovanje v krmilnik domene v novem gozdu, tako da bo vaše lokalno okolje AD delujoče za testiranje ali dejansko integracijo z oblakom.

Ustvarjanje gozda in domene Active Directory

Naslednji korak je namestitev AD DS, DNS in konzolo za upravljanje skupinskih pravilnikov (GPMC) ter nato ustvarite nov gozd Active Directory. PowerShell vam ponovno omogoča, da pospešite postopek z namestitvijo potrebnih funkcij in zagonom ukaza »Install-ADDSForest« z vsemi potrebnimi parametri.

V definiciji gozda določite ime domene (na primer contoso.com), ime NetBIOS, poti do baze podatkov Active Directory (NTDS), dnevniki in SYSVOL ter ravni delovanja domene in gozda. Določeno je tudi geslo za način obnovitve imeniških storitev (DSRM), ki je bistveno za naloge obnovitve.

Ko se strežnik po promociji znova zaženeŽe imate okolje Windows Server AD z operativno domeno, integriranim DNS-om in vsemi potrebnimi orodji za upravljanje uporabnikov, skupin, organizacijskih enot in skupinskih pravilnikov.

Ustvarjanje testnih uporabnikov v imeniku Active Directory

Ko je gozd vzpostavljen in deluje, je koristno imeti na voljo testne račune. Če želite preveriti sinhronizacijo z Azure AD, lahko s skriptom PowerShell ustvarite na primer uporabnika »Allie McCray« z uporabniškim imenom za prijavo (samAccountName), začetnim geslom, prikaznim imenom in možnostjo preprečitve poteka veljavnosti gesla.

Skript lahko uporabnika tudi označi Omogočeno, da se uporabnikom prepreči spreminjanje gesla ob naslednji prijavi, jih bo to postavilo v ustrezno pot vsebnika (na primer CN=Uporabniki,DC=contoso,DC=com). Ti uporabniki bodo nato sinhronizirani s svojimi Microsoft Entra ID-ji prek storitve Azure AD Connect.

Priprava lokalne domene za sinhronizacijo

Pred uvedbo storitve Azure AD Connect je priporočljivo pregledati svoj AD. Da bi zagotovili izpolnjevanje Microsoftovih zahtev: pravilno konfigurirane domene, pravilne pripone UPN, dosledni atributi e-pošte in brez nasprotujočih si podatkov. Za to nalogo Microsoft ponuja orodje IdFix, ki pomaga pri odkrivanju problematičnih objektov.

V mnogih okoljih obstaja lokalna domena tipa mydomain.local in na drugi strani javna e-poštna domena, na primer mydomain.com, ki se uporablja v storitvi Microsoft 365. Za čisto sinhronizacijo je priporočljivo, da lokalnemu AD dodate pripono UPN, ki ustreza javni e-poštni domeni.

Iz »Domene in zaupanja Active Directory« Odprete lahko lastnosti in dodate novo pripono UPN (na primer mydomain.com). Nato v lastnostih uporabniškega računa na zavihku »Račun« spremenite UPN uporabnika iz user@mydomain.local v user@mydomain.com in ga poravnajte z e-poštnim naslovom v storitvi Microsoft 365.

Čeprav je sprememba UPN zelo priporočljiva Za lažje nadaljnje prijave in morebitno enotno prijavo (SSO) ta sprememba ne spreminja klasične metode prijave DOMAIN\uporabnik (pred sistemom Windows 2000), zato ne vpliva na aplikacije ali skripte, ki še naprej uporabljajo to obliko zapisa.

Pomembno je tudi pravilno izpolniti atribut pošte. uporabniških računov z njihovim primarnim e-poštnim naslovom. Če imate uporabnike, ustvarjene neposredno v oblaku, bo kombinacija UPN in ujemajočega se e-poštnega naslova med lokalnimi računi in storitvijo Microsoft 365 po sinhronizaciji omogočila združitev teh računov in sinhronizacijo identitete uporabnika v oblaku iz storitve AD.

Nastavitev in konfiguracija Microsoft Entra ID-ja (Azure AD)

Da bi se lokalni imenik sinhroniziral Potrebujete najemnika Microsoft Entra ID. Ta najemnik je imenik v oblaku, kjer bodo ustvarjene replike vaših uporabnikov, skupin in naprav iz lokalnega okolja.

Če še nimate najemnikaUstvarite ga lahko tako, da dostopate do skrbniškega središča Microsoft. Prijavite se z računom, ki ima naročnino. V razdelku Pregled izberite možnost upravljanja najemnikov in nato ustvarite novega, pri čemer navedite ime organizacije in začetno domeno (na primer something.onmicrosoft.com).

Ko je čarovnik končan, je imenik ustvarjen. In upravljate ga lahko prek portala. Kasneje boste lahko povezali domene po meri (kot je contoso.com) in jih preverili za uporabo kot primarne domene v UPN-jih vaših uporabnikov, sinhroniziranih iz imenika Active Directory.

Ustvarjanje skrbniškega računa hibridne identitete

V najemniku Microsoft Entra je priporočljivo ustvariti Za upravljanje hibridne komponente bo uporabljen namenski račun. Ta račun bo uporabljen na primer za začetno konfiguracijo storitve Azure AD Connect in opravila, povezana z identiteto.

Iz razdelka Uporabniki Ustvarite novega uporabnika, mu dodelite ime in uporabniško ime (UPN) ter spremenite njegovo vlogo v »Skrbnik hibridne identitete«. Med ustvarjanjem si lahko ogledate in kopirate začasno geslo, ki mu je bilo dodeljeno.

Po ustvarjanju tega računa je priporočljivo, da se prijavite. Pojdite na myapps.microsoft.com s tem uporabniškim imenom in začasnim geslom, s čimer boste vsilili spremembo gesla v trajno. To bo skrbniška identiteta, ki jo boste uporabljali v več korakih hibridne nastavitve.

Namestitev storitve Azure AD Connect (Microsoft Entra Connect)

Z lokalnim okoljem pripravljenim in najemnikom v oblaku pripravljenimZdaj lahko namestite Azure AD Connect na lokalni strežnik član domene. Microsoft priporoča, da ne uporabljate krmilnika domene, da bi zmanjšali tveganja za varnost in razpoložljivost.

Prenos storitve Azure AD Connect Na voljo je na portalu Azure Active Directory, v razdelku Azure AD Connect ali neposredno v Microsoftovem centru za prenose. Ko prenesete namestitveni program, ga zaženite na določenem strežniku.

Licenčne pogoje sprejmete med čarovnikom za namestitev. Na voljo imate dve možnosti: hitro namestitev ali namestitev po meri. Hitra možnost privzeto konfigurira popolno sinhronizacijo imenika Active Directory z metodo »sinhronizacije zgoščene vrednosti gesel«, medtem ko možnost po meri omogoča veliko večji nadzor nad atributi, domenami, organizacijskimi enotami, metodami preverjanja pristnosti in dodatnimi funkcijami.

V tipičnih instalacijah je običajno bolj zanimivo Izberite pot po meri, še posebej, če morate omejiti, katere organizacijske enote so sinhronizirane, želite oceniti različne načine prijave ali imate topologije z več gozdovi.

Konfiguracija metode prijave

Ena ključnih točk v pomočniku Gre za izbiro metode preverjanja pristnosti, ki jo bodo vaši uporabniki uporabljali pri dostopu do virov v oblaku. Azure AD Connect ponuja več vgrajenih možnosti, vsaka s svojimi prednostmi in zahtevami.

1. Sinhronizacija zgoščenih vrednosti gesel (PHS)Ta metoda se sinhronizira z Azure AD dodatna zgoščena vrednost gesla shranjeno v vašem lokalnem imeniku Active Directory. Uporabnik se v oblak prijavi neposredno z Azure AD, pri čemer uporablja isto geslo kot v lokalnem okolju, vendar se upravlja samo v AD. To je najpreprostejši model za implementacijo in najpogosteje uporabljen.

2. Prehodno preverjanje pristnosti (PTA)V tem primeru gesla niso shranjena v storitvi Azure AD; ko se uporabnik poskuša prijaviti, se preverjanje posreduje prek lokalnih agentov, ki preverijo poverilnice v lokalnem AD. To vam omogoča, da uporabite lokalne omejitve dostopa, urnike itd., hkrati pa ohranite nadzor nad preverjanjem pristnosti znotraj vaše infrastrukture.

3. Federacija z AD FSAzure AD prenese preverjanje pristnosti na sistem federacije, ki temelji na storitvah Active Directory Federation Services. Zahteva namestitev strežnikov AD FS in običajno tudi proxyja za spletne aplikacije. Vzdrževanje je bolj zapleteno, vendar ponuja največji nadzor in združljivost z naprednimi scenariji.

4. Federacija s PingFederatepodobno kot v prejšnjem primeru, vendar z uporabo PingFederate kot rešitve za zvezo namesto AD FS, za organizacije, ki že imajo to infrastrukturo identitet.

5. Ne konfiguriraj metode prijave: zasnovano za primere, ko že imate rešitev za zvezo drugega ponudnika in ne želite, da Azure AD Connect avtomatizira karkoli na tem področju.

Poleg tega lahko omogočite enotno prijavo (SSO) V kombinaciji s PHS ali PTA. Z omogočeno enotno prijavo (SSO) in prek pravilnika skupine (GPO) se lahko računalniki, pridruženi domeni, prijavijo z uporabniškim UPN-jem, ki je običajno enak njihovemu e-poštnemu naslovu, kar jim preprečuje, da bi morali večkrat vnašati svoje poverilnice pri dostopu do storitev, kot je portal Microsoft 365.

Povezovanje z Microsoft 365 in lokalnim imenikom Active Directory

V čarovniku za Azure AD Connect boste morali navesti Najprej boste potrebovali poverilnice skrbnika najemnika Microsoft Entra (na primer račun skrbnika hibridne identitete, ustvarjen prej). To orodju omogoča konfiguriranje komponente v oblaku in registracijo strežnika kot vira sinhronizacije.

Nato se poverilnice zahtevajo od računa z dovoljenji v lokalnem AD. za ustvarjanje sinhronizacijske povezave z lokalnim gozdom. Ko je potrjeno, je lokalni imenik dodan na seznam virov podatkov za sinhronizacijo.

V naslednjem koraku izberete, kateri atribut boste uporabili kot primarno uporabniško ime Za račune v oblaku je običajni pristop uporaba polja userPrincipalName, vendar lahko v nekaterih primerih izberete polje za e-pošto, če je dosledno in pravilno konfigurirano. Določite lahko tudi, ali boste nadaljevali, ne da bi bile vse domene UPN preverjene v storitvi Azure AD (uporabno, če je domena AD zasebna).

Izbira organizacijske enote in filtriranje objektov

Azure AD Connect vam omogoča, da določite, katero podmnožico Vaš gozd Active Directory je sinhroniziran z oblakom. Izberete lahko celotne domene, določene organizacijske enote ali celo filtrirate po atributih, da zožite obseg.

V praksi je to običajno dobra ideja Začnite s sinhronizacijo samo organizacijskih enot, v katerih prebivajo uporabniki, ki sodelujejo v pilotnem projektu, ali pa uporabite določeno varnostno skupino, katere člani bodo replicirani v storitvi Azure AD. To zmanjša tveganje sinhronizacije računov storitev, zastarelih objektov ali informacij, ki ne bi smele zapustiti lokalnega okolja.

Omeniti velja, da so poznejše spremembe Spremembe strukture organizacijske enote (preimenovanje, premikanje vsebnikov itd.) lahko vplivajo na filtriranje. Pogosta strategija je sinhronizacija celotne domene, vendar omejitev filtriranja na podlagi članstva v skupini, s čimer se izognemo pretiranemu zanašanju na organizacijsko strukturo.

Dodatne možnosti konfiguracije

Zadnji zasloni pomočnika ponujajo Dodatne funkcije vključujejo zapisovanje gesel, prepisovanje naprav, hibridno integracijo z Exchange in zaščito pred množičnimi izbrisi.

Odloženo pisanje gesla Uporabnikom omogoča spreminjanje ali ponastavitev gesla iz oblaka (na primer iz portala za samopostrežbo) in da se ta sprememba uporabi tudi v lokalnem imeniku Active Directory, pri čemer se upošteva politika gesel organizacije. Za številna podjetja je to pomembna prednost za podporo.

Prepisovanje naprav Omogoča, da se naprave, registrirane v Microsoft Entra ID, prenesejo nazaj v lokalni imenik Active Directory, kar olajša scenarije pogojnega dostopa, kjer morate spremljati naprave na obeh straneh.

Funkcija za preprečevanje nenamernega brisanja Privzeto je omogočeno in omejuje število objektov, ki jih je mogoče izbrisati v enem samem sinhronizacijskem zagonu (na primer na 500). Če je ta prag presežen, se sinhronizacija blokira, da se prepreči nenamerno množično brisanje, kar je ključnega pomena v velikih okoljih.

Končno, samodejne posodobitve V namestitvah s hitro nastavitvijo je privzeto omogočena in ohranja Azure AD Connect posodobljen z najnovejšimi različicami, odpravlja napake in dodaja združljivosti, ne da bi vam bilo treba ročno posodabljati vsak strežnik.

Preverjanje sinhronizacije in dnevno delovanje

Po končani namestitvi in ​​čarovnikuAzure AD Connect lahko takoj sproži popolno sinhronizacijo, če ste jo določili. Čarovnik sam ponuja možnost zagona začetnega cikla takoj, ko se konča, kar je priporočljivo za preverjanje, ali vse deluje pravilno.

Na strežniku, kjer ste namestili Azure AD Connect Konzolo »Storitev sinhronizacije« lahko odprete v meniju Start. Tam boste videli zgodovino izvajanja, vključno z začetno sinhronizacijo, morebitnimi napakami in podrobnostmi o uvozu, sinhronizaciji in izvozu objektov.

Na portalu Microsoft 365 ali portalu za prijavo v Microsoft Preverite lahko seznam uporabnikov, da se prepričate, ali so prikazani kot »Sinhronizirano z Active Directory« namesto »Samo v oblaku«. Od takrat naprej se glavni atributi (ime, priimek, e-poštni naslov itd.) upravljajo iz lokalnega Active Directoryja.

Azure AD Connect izvaja privzeti cikel Sinhronizacija se izvede vsakih 30 minut, čeprav lahko vedno vsilite ročno sinhronizacijo z uporabo PowerShella, če želite, da se sprememba takoj odraža. Priporočljivo je, da to vedenje dokumentirate, da bo ekipa za podporo vedela, kaj lahko pričakuje.

Napredni scenariji: več gozdov in dodatni strežniki

V bolj kompleksnih organizacijah Morda boste naleteli na več gozdov Active Directory, vsak s svojo domeno in uporabniki. Lahko so tudi gozdovi virov, kjer se nahajajo povezani poštni nabiralniki ali druge storitve.

Azure AD Connect je pripravljen za te topologijeTo vam omogoča, da dodate več gozdov kot vire sinhronizacije in uporabite deklarativni model zagotavljanja. To pomeni, da so pravila za združevanje, preoblikovanje in pretakanje atributov deklarativno definirana in jih je mogoče prilagoditi vaši zasnovi identitete.

Za naprednejše laboratorije Drugi gozd (npr. fabrikam.com) je mogoče ustvariti z lastnim krmilnikom domene (CP1) tako, da ponovite korake ustvarjanja navideznega stroja, namestitve sistema, konfiguracije IP in DNS, napredovanja v krmilnik domene in ustvarjanja testnih uporabnikov. To omogoča testiranje scenarijev z več gozdovi in ​​sinhronizacijo oblaka z različnimi domenami.

V produkcijskih okoljih je priporočljivo imeti Strežnik Azure AD Connect je v stanju pripravljenosti ali v načinu priprave. Strežnik za pripravo vzdržuje kopijo konfiguracije in izvaja notranji uvoz in sinhronizacijo, vendar sprememb ne izvaža v Azure AD. V primeru okvare primarnega strežnika lahko preklopite na strežnik za pripravo z minimalnim vplivom.

Microsoft Entra Connect Health: spremljanje in opozorila

Da bi ohranili nadzor nad hibridno identitetno infrastrukturoMicrosoft ponuja Microsoft Entra Connect Health, vrhunsko rešitev, ki spremlja ključne komponente, kot so Azure AD Connect (sinhronizacija), AD FS in AD DS, ter zagotavlja opozorila, meritve učinkovitosti delovanja in analizo uporabe.

Operacija temelji na agentih. Ti agenti so nameščeni na strežnikih identitet: strežnikih AD FS, krmilnikih domen in strežnikih Azure AD Connect. Podatke o stanju in učinkovitosti delovanja pošiljajo v storitev v oblaku, kjer si jih lahko ogledate na namenskem portalu Connect Health.

Za začetek morate imeti licence. V Microsoftu vnesite ID P1 ali P2 (ali test). Nato s portala prenesite agente Connect Health in jih namestite na vsak ustrezni strežnik. Ko so registrirani, storitev samodejno zazna, katere vloge se spremljajo.

Na portalu Connect Health boste našli različne paneleEna za sinhronizacijske storitve (Azure AD Connect), druga za zvezne storitve (AD FS) in tretja za gozdove AD DS. V vsaki si lahko ogledate aktivna opozorila, stanje replikacije, morebitne težave s potrdili, napake pri preverjanju pristnosti in trende uporabe.

Poleg tehničnih vidikov Connect Health vključuje tudi možnosti Če želite konfigurirati dostop na podlagi vlog (IAM) in po želji pooblastiti Microsoft za dostop do diagnostičnih podatkov samo za namene podpore. Ta možnost je privzeto onemogočena, vendar je lahko uporabna, če potrebujete napredno Microsoftovo podporo za reševanje kompleksnih težav.

S celotnim ekosistemom, ki je nastavljen – lokalni AD, Microsoft Entra ID, Azure AD Connect in Connect Health – Na voljo imate popolno hibridno platformo za identitete, ki omogoča enotno prijavo, centralizirano upravljanje računov in gesel, visoko razpoložljivost in vpogled v stanje infrastrukture; kombinacija, ki poenostavi življenje končnemu uporabniku in vam daje nadzor, ki ga potrebujete za varno in prilagodljivo delovanje.