Tutorial: Aprovisionamiento de grupos en Active Directory Domain Services mediante Microsoft Entra Cloud Sync

En este tutorial se explica cómo configurar Cloud Sync para sincronizar grupos con Active Directory Domain Services (AD DS) local.

Aprovisionamiento de Microsoft Entra ID en Active Directory Domain Services: requisitos previos

Los siguientes requisitos previos son necesarios para implementar grupos de aprovisionamiento en Active Directory Domain Services (AD DS).

Requisitos de licencia

El uso de esta característica requiere una licencia Microsoft Entra ID P1. Para encontrar la licencia adecuada para sus requisitos, consulte Comparación de las características disponibles con carácter general de Microsoft Entra ID.

Requisitos generales

• Cuenta de Microsoft Entra con al menos el rol de Administrador de Identidades Híbridas.
• Esquema de AD DS local con el atributo msDS-ExternalDirectoryObjectId , que está disponible en Windows Server 2016 y versiones posteriores.
• Aprovisionamiento del agente con la versión 1.1.3730.0 o posterior.

$credential = Get-Credential  

Set-AAD DSCloudSyncPermissions -PermissionType UserGroupCreateDelete -TargetDomain "FQDN of domain" -EACredential $credential

• El agente de aprovisionamiento debe instalarse en un servidor que ejecute Windows Server 2022, Windows Server 2019 o Windows Server 2016.
• El agente de aprovisionamiento debe poder comunicarse con los controladores de dominio en los puertos TCP/389 (LDAP) y TCP/3268 (catálogo global).
  • Necesario para la búsqueda de catálogos globales para filtrar las referencias de pertenencia no válidas
• Microsoft Entra Connect Sync con la versión de compilación 2.22.8.0
  • Se necesita para admitir la pertenencia de usuarios locales sincronizados mediante Microsoft Entra Connect Sync
  • Necesario para sincronizar AD DS:user:objectGUID con AAD DS:user:onPremisesObjectIdentifier

Límites de escala para aprovisionamiento de grupos en Active Directory

El rendimiento de la característica de aprovisionamiento de grupos en Active Directory se ve afectado por el tamaño de la entidad y el número de grupos y miembros que se incluyen en el aprovisionamiento a Active Directory. En esta sección se proporcionan instrucciones sobre cómo determinar si GPAD admite sus requisitos de escala y cómo elegir el modo de ámbito del grupo adecuado para lograr ciclos de sincronización iniciales y diferenciales más rápidos.

¿Qué no está soportado?

• No se admiten grupos de más de 50 000 miembros.
• No se admite el uso del ámbito "Todos los grupos de seguridad" sin aplicar el filtro de ámbito de atributo.

Límites de escala

Qué hacer si supera los límites

Si se superan los límites recomendados, se ralentizará la sincronización inicial y diferencial, lo que posiblemente provocará errores de sincronización. Si esto sucede, siga estos pasos:

Demasiados grupos o miembros de grupo en el modo de ámbito "Grupos de seguridad seleccionados":

Reduzca el número de grupos en el ámbito (grupos de valores más altos de destino) o divida el aprovisionamiento en varios trabajos distintos con ámbitos separados.

Demasiados grupos o miembros de grupo en el modo de alcance «Todos los grupos de seguridad»

Use el modo de ámbito Grupos de seguridad seleccionados como se recomienda.

Algunos grupos superan los 50 000 miembros:

Divida la pertenencia entre varios grupos o adopte grupos preconfigurados (por ejemplo, por región o unidad de negocio) para mantener cada grupo bajo el límite.

Selección de grupos expandida mediante API

Si necesita seleccionar más de 999 grupos, debe usar la llamada API asignar un rol de aplicación a un principal de servicio.

Un ejemplo de las llamadas API es el siguiente:

POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalID}/appRoleAssignedTo
Content-Type: application/json

{
  "principalId": "",
  "resourceId": "",
  "appRoleId": ""
}

where:

• principalId: id. de objeto de grupo.
• resourceId: identificador de entidad de servicio del trabajo.
• appRoleId: identificador del rol de aplicación expuesto por la entidad de servicio de recursos.

La tabla siguiente es una lista de identificadores de roles de aplicación para servicios en la nube.

Información adicional

Estos son más puntos a tener en cuenta al aprovisionar grupos en AD DS.

• Los grupos aprovisionados en AD DS mediante Cloud Sync solo pueden contener usuarios sincronizados locales u otros grupos de seguridad creados en la nube.
• Estos usuarios deben tener el atributo onPremisesObjectIdentifier establecido en su cuenta.
• OnPremisesObjectIdentifier debe coincidir con un objectGUID correspondiente en el entorno de AD DS de destino.
• Un atributo user objectGUID local se puede sincronizar con un usuario en la nube en un atributo onPremisesObjectIdentifier mediante cualquiera de los clientes de sincronización.
• Solo los inquilinos globales de Microsoft Entra ID pueden aprovisionar de Microsoft Entra ID a AD DS. No se admiten inquilinos como B2C.
• El trabajo de aprovisionamiento de grupos está programado para ejecutarse cada 20 minutos.

Escenarios de SOA de grupo y usuario

Supuestos

En este tutorial se da por supuesto:

• Tiene un entorno local de AD DS

• Tiene configurada la sincronización en la nube para sincronizar los usuarios con Microsoft Entra ID.

• Tiene dos usuarios sincronizados: Britta Simon y Lola Jacobson. Estos usuarios existen en el entorno local y en Microsoft Entra ID.

• Se crea una unidad organizativa (OU) en AD DS para cada uno de los siguientes departamentos:

  Nombre para mostrar	Nombre distintivo
  Grupos	OU=Marketing,DC=contoso,DC=com
  Ventas	OU=Ventas,DC=contoso,DC=com
  Mercadotecnia	OU=Grupos,DC=contoso,DC=com

Agregar usuarios a grupos de seguridad convertidos nativos de la nube o de origen de autoridad (SOA)

Para agregar usuarios sincronizados, siga estos pasos:

1. Inicie sesión en el Centro de administración de Microsoft Entra como al menos un administrador de identidades híbridas.
2. Vaya a Entra ID>Grupos>Todos los grupos.
3. En la parte superior, en el cuadro de búsqueda, escriba Ventas.
4. Seleccione el nuevo grupo Ventas .
5. A la izquierda, seleccione Miembros.
6. En la parte superior, seleccione Agregar miembros.
7. En la parte superior, en el cuadro de búsqueda, escriba Britta Simon.
8. Coloque una comprobación junto a Britta Simon y seleccione Seleccionar.
9. Debe agregar correctamente el usuario al grupo.
10. En el extremo izquierdo, seleccione Todos los grupos. Repita este proceso mediante el grupo Sales y agregue Lola Jacobson a ese grupo.

Preparación para el aprovisionamiento de grupos de SOA convertidos a su ruta de unidad organizativa (OU) original

Completa estos pasos para preparar los grupos que planeas convertir a la gestión en la nube para su aprovisionamiento desde Microsoft Entra ID de regreso a su ruta de unidad organizativa original en los servicios de dominio de Active Directory (AD DS) locales.

1. Cambie el ámbito del grupo de AD DS a Universal.
2. Cree una aplicación especial.
3. Cree la propiedad de extensión del directorio para grupos.

Cambiar el ámbito de grupo de los grupos de AD DS a Universal

1. Abre el Centro de administración de Active Directory.
2. Haga clic con el botón derecho en un grupo, haga clic en Propiedades.
3. En la sección Grupo , seleccione Universal como ámbito de grupo.
4. Haz clic en Guardar.

Creación de la extensión

Cloud Sync solo admite extensiones creadas en una aplicación especial denominada CloudSyncCustomExtensionsApp. Si la aplicación no existe en el inquilino, debe crearla. Este paso se realiza una vez por inquilino.

Para obtener más información sobre cómo crear la extensión, consulte Extensiones de directorio de sincronización en la nube y asignación de atributos personalizados.

$clientId = $app.AppId
$propName = "extension_{0}_GroupDN" -f ($clientId -replace "-","")
$grp = Get-MgGroup -Filter "displayName eq 'My Security Group'" -ConsistencyLevel eventual
Get-MgGroup -GroupId $grp.Id -Property "id,displayName,$propName" |
  Select-Object id, displayName, @{n=$propName; e={$_."$propName"}}

GET /v1.0/groups/{id}?$select=displayName,extension_<appIdNoHyphens>_GroupDN

Configuración del aprovisionamiento

Para configurar el aprovisionamiento, siga estos pasos:

1. Inicie sesión en el Centro de administración de Microsoft Entra como al menos un administrador de identidades híbridas.

2. Vaya a Entra ID>Entra Connect>Sincronización en la nube.

   

3. Seleccione Nueva configuración.

4. Seleccione Sincronización de Microsoft Entra ID en AD.

   

5. En la pantalla de configuración, seleccione el dominio y si desea habilitar la sincronización de hash de contraseñas. Seleccione Crear.

   

6. Se abre la pantalla Introducción . Desde aquí, puede seguir configurando la sincronización en la nube.

7. A la izquierda, seleccione Filtros de ámbito.

8. En Ámbito Grupos, seleccione Grupos de seguridad seleccionados.

   

9. Hay dos enfoques posibles para establecer la unidad organizativa:

   • Puede utilizar expresiones personalizadas para garantizar que el grupo sea recreado con la misma Unidad Organizativa (OU). Use la siguiente expresión para el valor ParentDistinguishedName:

     IIF(
         IsPresent([extension_<AppIdWithoutHyphens>_GroupDistinguishedName]),
         Replace(
             Mid(
                 Mid(
                     Replace([extension_<AppIdWithoutHyphens> _GroupDistinguishedName], "\,", , , "\2C", , ),
                     Instr(Replace([extension_<AppIdWithoutHyphens> _GroupDistinguishedName], "\,", , , "\2C", , ), ",", , ),
                     9999
                 ),
                 2,
                 9999
             ),
             "\2C", , , ",", ,
         ),
     "<Existing ParentDistinguishedName>",
     )
     

     Esta expresión:

     • Usa una OU predeterminada si la extensión está vacía.
     • De lo contrario, quita la parte CN y conserva la ruta parentDN, gestionando nuevamente las comas escapadas.

     Estos cambios provocan una sincronización completa y no afectan a los grupos existentes. Pruebe la configuración del atributo GroupDN para un grupo existente mediante Microsoft Graph y asegúrese de que vuelve a la unidad organizativa original.

   • Si no desea conservar la ruta de acceso original de la unidad organizativa y la información de CN desde el entorno local, en el Contenedor de Destino seleccione Editar asignación de atributos.

     1. Cambie Tipo de asignación a Expresión.

     2. En el cuadro de expresión, escriba:

        Switch([displayName],"OU=Groups,DC=contoso,DC=com","Marketing","OU=Marketing,DC=contoso,DC=com","Sales","OU=Sales,DC=contoso,DC=com")

     3. Cambie el valor predeterminado para que sea OU=Groups,DC=contoso,DC=com.

        

     4. Seleccione Aplicar. El contenedor de destino cambia en función del atributo displayName del grupo.

10. Puede usar expresiones personalizadas para asegurarse de que el grupo se vuelve a crear con el mismo CN. Use la expresión siguiente para el valor CN:

    IIF(
        IsPresent([extension_<AppIdWithoutHyphens>_GroupDistinguishedName]),
        Replace(
            Replace(
                Replace(
                    Word(Replace([extension_<AppIdWithoutHyphens> _GroupDistinguishedName], "\,", , , "\2C", , ), 1, ","),
                    "CN=", , , "", ,
                ),
                "cn=", , , "", ,
            ),
            "\2C", , , ",", ,
        ),
    Append(Append(Left(Trim([displayName]), 51), "_"), Mid([objectId], 25, 12)),
    )
    

    Esta expresión:

    • Si la extensión está vacía, genera un CN de reserva desde DisplayName + ObjectId.
    • De lo contrario, extrae el CN, controlando las comas escapadas, reemplazándolas temporalmente por valores en hexadecimal.

11. Haga clic en Guardar.

12. A la izquierda, seleccione Información general.

13. En la parte superior, seleccione Revisar y habilitar.

14. A la derecha, seleccione Habilitar configuración.

Configuración de prueba

1. Inicie sesión en el Centro de administración de Microsoft Entra como al menos un administrador de identidades híbridas.

2. Vaya a Entra ID>Entra Connect>Sincronización en la nube.

   

3. En Configuración, seleccione la configuración.

4. A la izquierda, seleccione Aprovisionar a petición.

5. Escriba Ventas en el cuadro Grupo seleccionado .

6. En la sección Usuarios seleccionados , seleccione algunos usuarios para probar.

   

7. Seleccione Aprovisionar.

8. Debería ver el grupo aprovisionado.

Comprobar en AD DS

Siga estos pasos para asegurarse de que el grupo está aprovisionado en AD DS:

1. Inicie sesión en el entorno local.

2. Inicie Usuarios y equipos de Active Directory.

3. Compruebe que el nuevo grupo está aprovisionado.

   

Aprovisionamiento de grupos para el comportamiento de AD DS en objetos convertidos de SOA

Al convertir el origen de autoridad (SOA) a la nube para un grupo local, ese grupo es apto para el aprovisionamiento de grupos en AD DS.

Por ejemplo, en el diagrama siguiente, el SOA o SOATestGroup1 se convierte en la nube. Como resultado, está disponible para el área de trabajo en el aprovisionamiento de grupos en AD DS.

• Cuando se ejecuta un trabajo, SOATestGroup1 se aprovisiona correctamente.

• En los registros de aprovisionamiento, puede buscar SOATestGroup1 y comprobar que el grupo se aprovisionó.

  

• Los detalles muestran que SOATestGroup1 se ha asociado con un grupo de destino existente.

  

• También puede confirmar que adminDescription y cn del grupo de destino están actualizadas.

  

• Al mirar AD DS, puede encontrar que el grupo original ha sido actualizado.

  

  

La nube omite el aprovisionamiento de objetos SOA convertidos a Microsoft Entra ID

Si intenta editar un atributo de un grupo en AD DS después de convertir SOA en la nube, Cloud Sync omite el objeto durante el aprovisionamiento.

Supongamos que tenemos un grupo SOAGroup3 y actualizamos su nombre de grupo a SOA Group3.1.

En los registros de aprovisionamiento, puede ver que SOAGroup3 se omitió.

Los detalles explican que el objeto no está sincronizado porque su SOA se convierte en la nube.

Manejo de grupos anidados y referencias de pertenencia

En la siguiente tabla se explica cómo el aprovisionamiento gestiona las referencias de membresía tras convertir SOA en diferentes casos de uso.

Comportamiento del aprovisionamiento de grupos en AD DS después de revertir grupos convertidos de SOA

Si tiene grupos convertidos de SOA en el ámbito y revierte el grupo convertido de SOA para que sea propiedad de AD DS, el aprovisionamiento de grupos en AD DS deja de sincronizar los cambios, pero no elimina el grupo local. También quita el grupo del ámbito de configuración. El control local del grupo se reanuda en el siguiente ciclo de sincronización.

• Puede comprobar en los registros de auditoría que la sincronización no se produce para este objeto porque se administra localmente.

  

  También puede comprobar en AD DS que el grupo sigue intacto y no eliminado.

  

Pasos siguientes

• Reescritura de grupos con Microsoft Entra Cloud Sync
• Controlar aplicaciones basadas en AD DS locales (Kerberos) mediante la gobernanza de identificadores de Microsoft Entra
• Migración de la reescritura de grupos de Microsoft Entra Connect Sync V2 a Microsoft Entra Cloud Sync