Gruppenrückschreiben mit Microsoft Entra Cloud-Synchronisierung

Mit der Veröffentlichung des Bereitstellungs-Agents 1.1.1370.0 hat die Cloudsynchronisierung jetzt die Möglichkeit, Gruppenrückschreiben durchzuführen. Dieses Feature ermöglicht es, dass die Cloud-Synchronisierung Gruppen direkt in Ihrer lokalen Active Directory-Umgebung bereitstellen kann. Sie können jetzt auch Identitätsgovernancefeatures verwenden, um den Zugriff auf AD-basierte Anwendungen zu steuern, z. B. indem Sie eine Gruppe in ein Berechtigungsverwaltungszugriffspaket einschließen.

Bereitstellen der Microsoft Entra-ID für Active Directory Domain Services – Voraussetzungen

Die folgenden Voraussetzungen sind erforderlich, um Bereitstellungsgruppen in Active Directory Domain Services (AD DS) zu implementieren.

Lizenzanforderungen

Für die Verwendung dieses Features werden Microsoft Entra ID P1-Lizenzen benötigt. Informationen zum Ermitteln der richtigen Lizenz für Ihre Anforderungen finden Sie unter Vergleichen allgemein verfügbarer Features von Microsoft Entra ID.

Allgemeine Anforderungen

• Microsoft Entra-Konto mit mindestens einer Hybrididentitätsadministratorrolle .
• Lokales AD DS-Schema mit dem Attribut "msDS-ExternalDirectoryObjectId ", das in Windows Server 2016 und höher verfügbar ist.
• Bereitstellungs-Agent mit Buildversion 1.1.3730.0 oder höher.

$credential = Get-Credential  

Set-AAD DSCloudSyncPermissions -PermissionType UserGroupCreateDelete -TargetDomain "FQDN of domain" -EACredential $credential

• Der Bereitstellungs-Agent muss auf einem Server installiert sein, auf dem Windows Server 2022, Windows Server 2019 oder Windows Server 2016 ausgeführt werden.
• Der Bereitstellungs-Agent muss mit einem oder mehreren Domänencontrollern an den Ports TCP/389 (LDAP) und TCP/3268 (globaler Katalog) kommunizieren können.
  • Erforderlich für die Suche im globalen Katalog zum Herausfiltern ungültiger Mitgliedschaftsverweise
• Microsoft Entra Connect Sync mit Buildversion 2.22.8.0
  • Erforderlich für die Unterstützung der lokalen Benutzermitgliedschaft, die mit Microsoft Entra Connect Sync synchronisiert wird
  • Erforderlich für die Synchronisierung AD DS:user:objectGUID mit AAD DS:user:onPremisesObjectIdentifier

Skalierungsgrenzwerte für Bereitstellungsgruppen in Active Directory

Die Leistung der Funktion zur Bereitstellung von Gruppen in Active Directory wird von der Größe des Mandanten sowie der Anzahl der Gruppen und Mitgliedschaften beeinflusst, die für die Bereitstellung in Active Directory vorgesehen sind. Dieser Abschnitt enthält Anleitungen zum Ermitteln, ob GPAD Ihre Skalierungsanforderung unterstützt, und wie Sie den richtigen Gruppenbereichsdefinitionsmodus auswählen, um schnellere anfängliche und Delta-Synchronisierungszyklen zu erzielen.

Was wird nicht unterstützt?

• Gruppen, die größer als 50K-Mitglieder sind, werden nicht unterstützt.
• Die Verwendung der Bereichsdefinition "Alle Sicherheitsgruppen" ohne Anwenden der Attributbereichsfilterung wird nicht unterstützt.

Skalierungslimits

Was zu tun ist, wenn Sie Grenzwerte überschreiten

Wenn Sie die empfohlenen Grenzwerte überschreiten, wird die anfängliche und delta-Synchronisierung verlangsamt, was möglicherweise zu Synchronisierungsfehlern führt. Führen Sie in diesem Fall die folgenden Schritte aus:

Zu viele Gruppen oder Gruppenmitglieder im Bereichsdefinitionsmodus "Ausgewählte Sicherheitsgruppen":

Verringern Sie die Anzahl von In-Scope-Gruppen (Zielgruppen mit höheren Werten ), oder teilen Sie die Bereitstellung in mehrere, unterschiedliche Aufträge mit nicht zusammenhängenden Bereichen auf.

Zu viele Gruppen oder Gruppenmitglieder im Bereichsdefinitionsmodus "Alle Sicherheitsgruppen":

Verwenden Sie den Bereichsdefinitionsmodus für ausgewählte Sicherheitsgruppen wie empfohlen.

Einige Gruppen überschreiten 50K-Mitglieder:

Teilen Sie die Mitgliedschaft über mehrere Gruppen hinweg, oder übernehmen Sie mehrstufige Gruppen (z. B. nach Region oder Geschäftseinheit), um jede Gruppe unter der Obergrenze zu halten.

Erweiterte Gruppenauswahl über API

Wenn Sie mehr als 999 Gruppen auswählen müssen, müssen Sie das Grant an appRoleAssignment für einen Dienstprinzipal-API-Aufruf verwenden.

Ein Beispiel für die API-Aufrufe lautet wie folgt:

POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalID}/appRoleAssignedTo
Content-Type: application/json

{
  "principalId": "",
  "resourceId": "",
  "appRoleId": ""
}

wo:

• principalId: Group-Objekt-ID.
• resourceId: Dienstprinzipal-ID des Auftrags.
• appRoleId: Bezeichner der App-Rolle, die vom Ressourcendienstprinzipal verfügbar gemacht wird.

Die folgende Tabelle enthält eine Liste der App-Rollen-IDs für Clouds:

Mehr Informationen

Hier sind weitere Punkte zu berücksichtigen, wenn Sie Gruppen für AD DS bereitstellen.

• Gruppen, die mit Cloud Sync für AD DS bereitgestellt werden, können nur lokale synchronisierte Benutzer oder andere in der Cloud erstellte Sicherheitsgruppen enthalten.
• Diese Benutzer müssen das onPremisesObjectIdentifier-Attribut für ihr Konto festgelegt haben.
• Der onPremisesObjectIdentifier muss mit einer entsprechenden ObjectGUID in der AD DS-Zielumgebung übereinstimmen.
• Ein lokales BenutzerobjektGUID-Attribut kann mithilfe eines Synchronisierungsclients mit einem Cloudbenutzer-onPremisesObjectIdentifier-Attribut synchronisiert werden.
• Nur globale Microsoft Entra ID-Mandanten können von Microsoft Entra ID zu AD DS bereitstellen. Mandanten wie B2C werden nicht unterstützt.
• Für den Gruppenbereitstellungsauftrag ist eine Ausführung alle 20 Minuten geplant.

Unterstützte Szenarien für das Gruppenrückschreiben mit der Microsoft Entra-Cloudsynchronisierung

In den folgenden Abschnitten werden die unterstützten Szenarien für das Gruppenrückschreiben mit Microsoft Entra Cloud Sync beschrieben.

• Migrieren von Microsoft Entra Connect Sync-Gruppenrückschreiben V2 zu Microsoft Entra Cloud Sync
• Steuern von lokalen Active Directory-basierten Apps (Kerberos) mithilfe der Microsoft Entra ID Governance

Migrieren der Version 2 des Gruppenrückschreibens in der Microsoft Entra Connect-Synchronisierung zur Microsoft Entra-Cloudsynchronisierung

Szenario: Migrieren Sie gruppenrückschreiben mithilfe von Microsoft Entra Connect Sync (ehemals Azure AD Connect) zu Microsoft Entra Cloud Sync. Dieses Szenario gilt nur für Kunden, die derzeit Microsoft Entra Connect-Gruppenrückschreiben v2 verwenden. Der in diesem Artikel beschriebene Prozess bezieht sich lediglich auf in der Cloud erstellte Sicherheitsgruppen, die mit dem Bereich „Universell“ zurückgeschrieben werden. E-Mail-aktivierte Gruppen und DLs, die mithilfe der Versionen 1 oder 2 des Gruppenrückschreibens in Microsoft Entra Connect zurückgeschrieben wurden, werden nicht unterstützt.

Weitere Informationen finden Sie unter Migrieren von Microsoft Entra Connect Sync-Gruppenrückschreiben V2 zu Microsoft Entra Cloud Sync.

Steuern lokaler Active Directory-basierter Apps (Kerberos) mithilfe von Microsoft Entra ID Governance

Szenario: Verwalten Sie lokale Anwendungen mit Active Directory-Gruppen, die aus der Cloud bereitgestellt und verwaltet werden. Mit der Microsoft Entra-Cloudsynchronisierung können Sie Anwendungszuweisungen in AD vollständig steuern und gleichzeitig die Microsoft Entra ID Governance-Features nutzen, um alle zugriffsbezogenen Anforderungen zu steuern und zu verarbeiten.

Weitere Informationen finden Sie unter Steuern der lokalen Active Directory-basierten Apps (Kerberos) mithilfe der Microsoft Entra ID Governance.

Nächste Schritte

• Bereitstellen von Gruppen in Active Directory mithilfe von Microsoft Entra Cloud Sync
• Steuern von lokalen Active Directory-basierten Apps (Kerberos) mithilfe der Microsoft Entra ID Governance
• Migrieren von Microsoft Entra Connect Sync-Gruppenrückschreiben V2 zu Microsoft Entra Cloud Sync
• Bereichsfilter und Attributzuordnung – Microsoft Entra ID zu Active Directory