Lernprogramm – Bereitstellen von Gruppen für Active Directory-Domänendienste mithilfe von Microsoft Entra Cloud Sync

In diesem Lernprogramm erfahren Sie, wie Sie Cloud Sync so konfigurieren, dass Gruppen mit lokalen Active Directory Domain Services (AD DS) synchronisiert werden.

Bereitstellen der Microsoft Entra-ID für Active Directory Domain Services – Voraussetzungen

Die folgenden Voraussetzungen sind erforderlich, um Bereitstellungsgruppen in Active Directory Domain Services (AD DS) zu implementieren.

Lizenzanforderungen

Für die Verwendung dieses Features werden Microsoft Entra ID P1-Lizenzen benötigt. Informationen zum Ermitteln der richtigen Lizenz für Ihre Anforderungen finden Sie unter Vergleichen allgemein verfügbarer Features von Microsoft Entra ID.

Allgemeine Anforderungen

• Microsoft Entra-Konto mit mindestens einer Rolle als Hybrididentitätsadministrator.
• Lokales AD DS-Schema mit dem Attribut "msDS-ExternalDirectoryObjectId ", das in Windows Server 2016 und höher verfügbar ist.
• Bereitstellungs-Agent mit Buildversion 1.1.3730.0 oder höher.

$credential = Get-Credential  

Set-AAD DSCloudSyncPermissions -PermissionType UserGroupCreateDelete -TargetDomain "FQDN of domain" -EACredential $credential

• Der Bereitstellungs-Agent muss auf einem Server installiert sein, auf dem Windows Server 2022, Windows Server 2019 oder Windows Server 2016 ausgeführt werden.
• Der Bereitstellungs-Agent muss mit einem oder mehreren Domänencontrollern an den Ports TCP/389 (LDAP) und TCP/3268 (globaler Katalog) kommunizieren können.
  • Erforderlich für die Suche im globalen Katalog zum Herausfiltern ungültiger Mitgliedschaftsverweise
• Microsoft Entra Connect Sync mit Buildversion 2.22.8.0
  • Erforderlich für die Unterstützung der lokalen Benutzermitgliedschaft, die mit Microsoft Entra Connect Sync synchronisiert wird
  • Erforderlich für die Synchronisierung AD DS:user:objectGUID mit AAD DS:user:onPremisesObjectIdentifier

Skalierungsgrenzwerte für Bereitstellungsgruppen in Active Directory

Die Leistung der Funktion zur Bereitstellung von Gruppen in Active Directory wird von der Größe des Mandanten sowie der Anzahl der Gruppen und Mitgliedschaften beeinflusst, die für die Bereitstellung in Active Directory vorgesehen sind. Dieser Abschnitt enthält Anleitungen zum Ermitteln, ob GPAD Ihre Skalierungsanforderung unterstützt, und wie Sie den richtigen Gruppenbereichsdefinitionsmodus auswählen, um schnellere anfängliche und Delta-Synchronisierungszyklen zu erzielen.

Was wird nicht unterstützt?

• Gruppen, die größer als 50K-Mitglieder sind, werden nicht unterstützt.
• Die Verwendung der Bereichsdefinition "Alle Sicherheitsgruppen" ohne Anwenden der Attributbereichsfilterung wird nicht unterstützt.

Skalierungslimits

Was zu tun ist, wenn Sie Grenzwerte überschreiten

Wenn Sie die empfohlenen Grenzwerte überschreiten, wird die anfängliche und delta-Synchronisierung verlangsamt, was möglicherweise zu Synchronisierungsfehlern führt. Führen Sie in diesem Fall die folgenden Schritte aus:

Zu viele Gruppen oder Gruppenmitglieder im Bereichsdefinitionsmodus "Ausgewählte Sicherheitsgruppen":

Verringern Sie die Anzahl von In-Scope-Gruppen (Zielgruppen mit höheren Werten ), oder teilen Sie die Bereitstellung in mehrere, unterschiedliche Aufträge mit nicht zusammenhängenden Bereichen auf.

Zu viele Gruppen oder Gruppenmitglieder im Bereichsdefinitionsmodus "Alle Sicherheitsgruppen":

Verwenden Sie den Bereichsdefinitionsmodus für ausgewählte Sicherheitsgruppen wie empfohlen.

Einige Gruppen überschreiten 50K-Mitglieder:

Teilen Sie die Mitgliedschaft über mehrere Gruppen hinweg, oder übernehmen Sie mehrstufige Gruppen (z. B. nach Region oder Geschäftseinheit), um jede Gruppe unter der Obergrenze zu halten.

Erweiterte Gruppenauswahl über API

Wenn Sie mehr als 999 Gruppen auswählen müssen, müssen Sie das Grant an appRoleAssignment für einen Dienstprinzipal-API-Aufruf verwenden.

Ein Beispiel für die API-Aufrufe lautet wie folgt:

POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalID}/appRoleAssignedTo
Content-Type: application/json

{
  "principalId": "",
  "resourceId": "",
  "appRoleId": ""
}

wo:

• principalId: Group-Objekt-ID.
• resourceId: Dienstprinzipal-ID des Auftrags.
• appRoleId: Bezeichner der App-Rolle, die vom Ressourcendienstprinzipal verfügbar gemacht wird.

Die folgende Tabelle enthält eine Liste der App-Rollen-IDs für Clouds:

Mehr Informationen

Hier sind weitere Punkte zu berücksichtigen, wenn Sie Gruppen für AD DS bereitstellen.

• Gruppen, die mit Cloud Sync für AD DS bereitgestellt werden, können nur lokale synchronisierte Benutzer oder andere in der Cloud erstellte Sicherheitsgruppen enthalten.
• Diese Benutzer müssen das onPremisesObjectIdentifier-Attribut für ihr Konto festgelegt haben.
• Der onPremisesObjectIdentifier muss mit einer entsprechenden ObjectGUID in der AD DS-Zielumgebung übereinstimmen.
• Ein lokales BenutzerobjektGUID-Attribut kann mithilfe eines Synchronisierungsclients mit einem Cloudbenutzer-onPremisesObjectIdentifier-Attribut synchronisiert werden.
• Nur globale Microsoft Entra ID-Mandanten können von Microsoft Entra-ID auf AD DS bereitgestellt werden. Mandanten wie B2C werden nicht unterstützt.
• Für den Gruppenbereitstellungsauftrag ist eine Ausführung alle 20 Minuten geplant.

Gruppen- und Benutzer-SOA-Szenarien

Annahmen

In diesem Lernprogramm wird davon ausgegangen:

• Sie verfügen über eine lokale AD DS-Umgebung

• Sie haben die Cloudsynchronisierung eingerichtet, um Benutzer mit Microsoft Entra ID zu synchronisieren.

• Sie haben zwei Synchronisierte Benutzer: Britta Simon und Lola Jacobson. Diese Benutzer sind lokal und in Microsoft Entra ID vorhanden.

• Eine Organisationseinheit (OU) wird in AD DS für jede der folgenden Abteilungen erstellt:

  Anzeigename	Distinguished Name
  Gruppen	OU=Marketing,DC=contoso,DC=com
  Vertrieb	OU=Vertrieb,DC=contoso,DC=com
  Marketing	OU=Gruppen,DC=contoso,DC=com

Hinzufügen von Benutzern zu konvertierten Sicherheitsgruppen (Cloud native oder Source of Authority, SOA)

Führen Sie die folgenden Schritte aus, um synchronisierte Benutzer hinzuzufügen:

1. Melden Sie sich mindestens als Hybrididentitätsadministrator beim Microsoft Entra Admin Center an.
2. Navigieren Sie zu Entra-ID-Gruppen>>alle Gruppen.
3. Geben Sie oben im Suchfeld " Vertrieb" ein.
4. Wählen Sie die neue Gruppe "Vertrieb " aus.
5. Wählen Sie auf der linken Seite "Mitglieder" aus.
6. Wählen Sie oben " Mitglieder hinzufügen" aus.
7. Geben Sie oben im Suchfeld Britta Simon ein.
8. Setzen Sie ein Häkchen neben Britta Simon , und wählen Sie "Auswählen" aus.
9. Der Benutzer sollte der Gruppe erfolgreich hinzugefügt werden.
10. Wählen Sie ganz links "Alle Gruppen" aus. Wiederholen Sie diesen Vorgang mithilfe der Gruppe "Vertrieb ", und fügen Sie dieser Gruppe Lola Jacobson hinzu.

Gruppen, die in SOA konvertiert wurden, für die Bereitstellung auf ihrem ursprünglichen Pfad zur Organisationseinheit (OU) vorbereiten.

Führen Sie die folgenden Schritte aus, um Gruppen vorzubereiten, die Sie in cloudbasierte Verwaltung für die Bereitstellung in ihren ursprünglichen OU-Pfad in den lokalen Active Directory-Domänendiensten (AD DS) konvertieren möchten:

1. Ändern Sie den AD DS-Gruppenbereich in "Universal".
2. Erstellen Sie eine spezielle Anwendung.
3. Erstellen Sie die Verzeichniserweiterungseigenschaft für Gruppen.

Ändern des Gruppenbereichs für die AD DS-Gruppen auf "Universell"

1. Öffnen Sie das Active Directory-Verwaltungscenter.
2. Klicken Sie mit der rechten Maustaste auf eine Gruppe, und klicken Sie auf "Eigenschaften".
3. Wählen Sie im Abschnitt "Gruppe " die Option "Universal " als Gruppenbereich aus.
4. Klicken Sie auf "Speichern".

Erstellen der Erweiterung

Cloud Sync unterstützt nur Erweiterungen, die auf einer speziellen Anwendung namens "CloudSyncCustomExtensionsApp" erstellt wurden. Wenn die App in Ihrem Mandanten nicht vorhanden ist, müssen Sie sie erstellen. Dieser Schritt wird einmal pro Mandant ausgeführt.

Weitere Informationen zum Erstellen der Erweiterung finden Sie unter Cloud-Synchronisierungsverzeichniserweiterungen und benutzerdefinierte Attributzuordnung.

$clientId = $app.AppId
$propName = "extension_{0}_GroupDN" -f ($clientId -replace "-","")
$grp = Get-MgGroup -Filter "displayName eq 'My Security Group'" -ConsistencyLevel eventual
Get-MgGroup -GroupId $grp.Id -Property "id,displayName,$propName" |
  Select-Object id, displayName, @{n=$propName; e={$_."$propName"}}

GET /v1.0/groups/{id}?$select=displayName,extension_<appIdNoHyphens>_GroupDN

Konfigurieren der Bereitstellung

Führen Sie die folgenden Schritte aus, um die Bereitstellung zu konfigurieren:

1. Melden Sie sich mindestens als Hybrididentitätsadministrator beim Microsoft Entra Admin Center an.

2. Navigieren Sie zur Entra ID>Entra Connect>Cloud-Synchronisierung.

   

3. Wählen Sie "Neue Konfiguration" aus.

4. Wählen Sie Microsoft Entra-ID für die AD-Synchronisierung aus.

   

5. Wählen Sie im Konfigurationsbildschirm Ihre Domäne aus, und geben Sie an, ob die Kennworthashsynchronisierung aktiviert werden soll. Wählen Sie Erstellen aus.

   

6. Der Bildschirm " Erste Schritte " wird geöffnet. Von hier aus können Sie die Konfiguration der Cloudsynchronisierung fortsetzen.

7. Wählen Sie links Bereichsfilter aus.

8. Wählen Sie für den Bereich "Gruppen"die Option "Ausgewählte Sicherheitsgruppen" aus.

   

9. Es gibt zwei mögliche Ansätze zum Festlegen der OU:

   • Sie können benutzerdefinierte Ausdrücke verwenden, damit sichergestellt ist, dass die Gruppe mit derselben OU neu erstellt wird. Verwenden Sie den folgenden Ausdruck für den Parameterwert "ParentDistinguishedName":

     IIF(
         IsPresent([extension_<AppIdWithoutHyphens>_GroupDistinguishedName]),
         Replace(
             Mid(
                 Mid(
                     Replace([extension_<AppIdWithoutHyphens> _GroupDistinguishedName], "\,", , , "\2C", , ),
                     Instr(Replace([extension_<AppIdWithoutHyphens> _GroupDistinguishedName], "\,", , , "\2C", , ), ",", , ),
                     9999
                 ),
                 2,
                 9999
             ),
             "\2C", , , ",", ,
         ),
     "<Existing ParentDistinguishedName>",
     )
     

     Dieser Ausdruck:

     • Verwendet eine Standard-OU, wenn die Erweiterung leer ist.
     • Andernfalls wird der CN-Teil entfernt und der übergeordneter DN-Pfad beibehalten, wobei escape-Kommas erneut bearbeitet werden.

     Diese Änderungen verursachen eine vollständige Synchronisierung und wirken sich nicht auf vorhandene Gruppen aus. Testen Sie das Festlegen des GroupDN-Attributs für eine vorhandene Gruppe mit Microsoft Graph; stellen Sie sicher, dass die Gruppe wieder zur ursprünglichen OU wechselt.

   • Wenn Sie den ursprünglichen OU-Pfad und die CN-Informationen nicht lokal beibehalten möchten, wählen Sie unter "Zielcontainer" die Attributzuordnung "Bearbeiten" aus.

     1. Ändern des Zuordnungstyps zu "Ausdruck".

     2. Geben Sie im Ausdrucksfeld Folgendes ein:

        Switch([displayName],"OU=Groups,DC=contoso,DC=com","Marketing","OU=Marketing,DC=contoso,DC=com","Sales","OU=Sales,DC=contoso,DC=com")

     3. Ändern Sie den Standardwert in den OU=Groups,DC=contoso,DC=comWert .

        

     4. Wählen Sie Anwenden. Der Zielcontainer ändert sich je nach anzeigeName-Attribut der Gruppe.

10. Sie können benutzerdefinierte Ausdrücke verwenden, um sicherzustellen, dass die Gruppe mit demselben CN neu erstellt wird. Verwenden Sie den folgenden Ausdruck für CN-Wert:

    IIF(
        IsPresent([extension_<AppIdWithoutHyphens>_GroupDistinguishedName]),
        Replace(
            Replace(
                Replace(
                    Word(Replace([extension_<AppIdWithoutHyphens> _GroupDistinguishedName], "\,", , , "\2C", , ), 1, ","),
                    "CN=", , , "", ,
                ),
                "cn=", , , "", ,
            ),
            "\2C", , , ",", ,
        ),
    Append(Append(Left(Trim([displayName]), 51), "_"), Mid([objectId], 25, 12)),
    )
    

    Dieser Ausdruck:

    • Wenn die Erweiterung leer ist, wird ein Fallback-CN von DisplayName + ObjectId generiert.
    • Extrahiert andernfalls den CN, indem entkommene Kommas behandelt werden, indem sie vorübergehend durch Hexadezimalwerte ersetzt werden.

11. Wählen Sie Speichern aus.

12. Wählen Sie auf der linken Seite die Option "Übersicht" aus.

13. Wählen Sie oben "Überprüfen" und "Aktivieren" aus.

14. Wählen Sie auf der rechten Seite "Konfiguration aktivieren" aus.

Testkonfiguration

1. Melden Sie sich mindestens als Hybrididentitätsadministrator beim Microsoft Entra Admin Center an.

2. Navigieren Sie zur Entra ID>Entra Connect>Cloud-Synchronisierung.

   

3. Wählen Sie unter "Konfiguration" Ihre Konfiguration aus.

4. Wählen Sie auf der linken Seite "Bei Bedarf bereitstellen" aus.

5. Geben Sie "Umsatz" in das Gruppenfeld "Ausgewählt " ein.

6. Wählen Sie im Abschnitt "Ausgewählte Benutzer " einige Zu testde Benutzer aus.

   

7. Wählen Sie Bereitstellen aus.

8. Die bereitgestellte Gruppe sollte angezeigt werden.

Überprüfen in AD DS

Führen Sie die folgenden Schritte aus, um sicherzustellen, dass die Gruppe für AD DS bereitgestellt wird:

1. Melden Sie sich bei Ihrer lokalen Umgebung an.

2. Starten Sie Active Directory-Benutzer und -Computer.

3. Überprüfen Sie, ob die neue Gruppe bereitgestellt wurde.

   

Gruppenbereitstellung für AD DS-Verhalten für SOA-konvertierte Objekte

Wenn Sie die Quelle der Autorität (SOURCE of Authority, SOA) für eine lokale Gruppe in die Cloud konvertieren, wird diese Gruppe für die Gruppenbereitstellung in AD DS berechtigt.

Im folgenden Diagramm wird beispielsweise die SOA- oder SOATestGroup1 in die Cloud konvertiert. Daher wird sie für den Auftragsbereich in der Gruppenbereitstellung für AD DS verfügbar.

• Wenn ein Auftrag ausgeführt wird, wird SOATestGroup1 erfolgreich bereitgestellt.

• In den Bereitstellungsprotokollen können Sie nach SOATestGroup1 suchen und überprüfen, ob die Gruppe bereitgestellt wurde.

  

• Die Details zeigen, dass SOATestGroup1 mit einer vorhandenen Zielgruppe abgeglichen wurde.

  

• Sie können auch bestätigen, dass die adminDescription und cn der Zielgruppe aktualisiert werden.

  

• Wenn Sie AD DS betrachten, können Sie feststellen, dass die ursprüngliche Gruppe aktualisiert wird.

  

  

Die Cloud überspringt die Bereitstellung konvertierter SOA-Objekte in die Microsoft Entra-ID.

Wenn Sie versuchen, ein Attribut einer Gruppe in AD DS zu bearbeiten, nachdem Sie SOA in die Cloud konvertiert haben, überspringt Cloud Sync das Objekt während der Bereitstellung.

Angenommen, wir haben eine Gruppe SOAGroup3, und wir aktualisieren den Gruppennamen auf SOA Group3.1.

In den Bereitstellungsprotokollen können Sie sehen, dass SOAGroup3 übersprungen wurde.

Die Details erklären, dass das Objekt nicht synchronisiert wird, da seine SOA in die Cloud konvertiert wird.

Verarbeitung geschachtelter Gruppen und Mitgliedschaftsreferenzen

Die folgende Tabelle zeigt auf, wie der Bereitstellungsprozess Mitgliedschaftsverweise verarbeitet, nachdem Sie SOA in verschiedenen Anwendungsfällen konvertiert haben.

Gruppenbereitstellung im AD DS-Verhalten nach dem Rollback der SOA-konvertierten Gruppen

Wenn Sie SOA-konvertierte Gruppen im Bereich haben und die SOA-konvertierte Gruppe zurücksetzen, um sie im Besitz von AD DS zu machen, beendet die Gruppenbereitstellung mit AD DS die Synchronisierung der Änderungen, löscht jedoch nicht die lokale Gruppe. Außerdem wird die Gruppe aus dem Konfigurationsbereich entfernt. Lokale Steuerung der Gruppe wird im nächsten Synchronisierungszyklus fortgesetzt.

• Sie können in den Überwachungsprotokollen überprüfen, dass die Synchronisierung für dieses Objekt nicht erfolgt, da es lokal verwaltet wird.

  

  Sie können auch in AD DS überprüfen, dass die Gruppe noch intakt ist und nicht gelöscht ist.

  

Nächste Schritte

• Gruppieren von Rückschreiben mit Microsoft Entra Cloud Sync
• Steuern der lokalen AD DS-basierten Apps (Kerberos) mithilfe der Microsoft Entra ID Governance
• Migrieren von Microsoft Entra Connect Sync-Gruppenrückschreiben V2 zu Microsoft Entra Cloud Sync