자습서 - Microsoft Entra Cloud Sync를 사용하여 Active Directory Domain Services에 그룹 프로비전

이 자습서에서는 그룹을 온-프레미스 AD DS(Active Directory Domain Services)와 동기화하도록 클라우드 동기화를 구성하는 방법을 안내합니다.

Active Directory Domain Services에 Microsoft Entra ID 프로비전 - 필수 구성 요소

AD DS(Active Directory Domain Services)에 프로비저닝 그룹을 구현하려면 다음 필수 구성 요소가 필요합니다.

라이선스 요구 사항

이 기능을 사용하려면 Microsoft Entra ID P1 라이선스가 필요합니다. 요구 사항에 적합한 라이선스를 찾으려면 Microsoft Entra ID의 일반 공급 기능 비교를 참조하세요.

일반 요구 사항

• 최소한 하이브리드 ID 관리자 역할이 있는 Microsoft Entra 계정.
• MsDS-ExternalDirectoryObjectId 특성이 있는 온-프레미스 AD DS 스키마는 Windows Server 2016 이상에서 사용할 수 있습니다.
• 빌드 버전 1.1.3730.0 이상을 사용하여 에이전트를 프로비전합니다.

$credential = Get-Credential  

Set-AAD DSCloudSyncPermissions -PermissionType UserGroupCreateDelete -TargetDomain "FQDN of domain" -EACredential $credential

• 프로비전 에이전트는 Windows Server 2022, Windows Server 2019 또는 Windows Server 2016을 실행하는 서버에 설치해야 합니다.
• 프로비저닝 에이전트는 포트 TCP/389(LDAP) 및 TCP/3268(글로벌 카탈로그)에서 하나 이상의 도메인 컨트롤러와 통신할 수 있어야 합니다.
  • 잘못된 멤버 자격 참조를 필터링하려면 글로벌 카탈로그 조회에 필요
• 빌드 버전 2.22.8.0과 Microsoft Entra Connect 동기화
  • Microsoft Entra Connect 동기화를 사용하여 동기화된 온-프레미스 사용자 멤버십을 지원하는 데 필요
  • 에 동기화 AD DS:user:objectGUID 하는 데 필요 AAD DS:user:onPremisesObjectIdentifier

Active Directory로 프로비저닝 그룹에 대한 크기 조정 제한

Active Directory에 그룹 프로비전 기능의 성능은 테넌트의 크기와 Active Directory에 프로비전하는 범위에 있는 그룹 및 멤버 자격의 수에 의해 영향을 받습니다. 이 섹션에서는 GPAD가 확장 요구 사항을 지원하는지 확인하는 방법과 더 빠른 초기 및 델타 동기화 주기를 달성하기 위해 올바른 그룹 범위 지정 모드를 선택하는 방법에 대한 지침을 제공합니다.

지원되지 않는 항목은 무엇인가요?

• 50K 멤버보다 큰 그룹은 지원되지 않습니다.
• 특성 범위 필터링을 적용하지 않고 "모든 보안 그룹" 범위 지정을 사용하는 것은 지원되지 않습니다.

확장 한도

한도를 초과하는 경우 수행할 일

권장 제한을 초과하면 초기 및 델타 동기화 속도가 느려져 동기화 오류가 발생할 수 있습니다. 이 경우 다음 단계를 수행합니다.

'선택한 보안 그룹' 범위 지정 모드의 그룹 또는 그룹 구성원이 너무 많습니다.

범위 내 그룹(대상 상위 값 그룹)의 수를 줄이거나 비연속 범위를 사용하여 여러 고유 작업으로 프로비저닝을 분할 합니다.

'모든 보안 그룹' 범위 지정 모드의 그룹 또는 그룹 구성원이 너무 많습니다.

권장되는 대로 선택한 보안 그룹 범위 지정 모드를 사용합니다.

일부 그룹은 50K 멤버를 초과합니다.

여러 그룹에 멤버 자격을 분할 하거나 준비된 그룹(예: 지역 또는 사업부별)을 채택하여 각 그룹을 한도 아래에 유지합니다.

API를 통한 확장된 그룹 선택

999개 이상의 그룹을 선택해야 하는 경우 서비스 주체 API 호출에 appRoleAssignment 부여를 사용해야 합니다.

API 호출의 예는 다음과 같습니다.

POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalID}/appRoleAssignedTo
Content-Type: application/json

{
  "principalId": "",
  "resourceId": "",
  "appRoleId": ""
}

where:

• principalId: 그룹 개체 ID입니다.
• resourceId: 작업의 서비스 주체 ID입니다.
• appRoleId: 리소스 서비스 주체가 노출하는 앱 역할의 식별자입니다.

다음 표는 클라우드용 앱 역할 ID 목록입니다.

추가 정보

AD DS에 그룹을 프로비전할 때 고려해야 할 더 많은 사항은 다음과 같습니다.

• 클라우드 동기화를 사용하여 AD DS에 프로비전된 그룹은 온-프레미스 동기화된 사용자 또는 다른 클라우드에서 만든 보안 그룹만 포함할 수 있습니다.
• 이러한 사용자는 자신의 계정에 설정된 onPremisesObjectIdentifier 특성이 있어야 합니다.
• onPremisesObjectIdentifier는 대상 AD DS 환경에서 해당 objectGUID와 일치해야 합니다.
• 온-프레미스 사용자 objectGUID 특성은 동기화 클라이언트를 사용하여 클라우드 사용자 onPremisesObjectIdentifier 특성에 동기화할 수 있습니다.
• 전역 Microsoft Entra ID 테넌트만 Microsoft Entra ID에서 AD DS로 프로비전할 수 있습니다. B2C와 같은 테넌트는 지원되지 않습니다.
• 그룹 프로비전 작업은 20분마다 실행되도록 예약되어 있습니다.

그룹 및 사용자 SOA 시나리오

가정

이 자습서에서는 다음을 가정합니다.

• AD DS 온-프레미스 환경이 있습니다.

• 사용자를 Microsoft Entra ID에 동기화하기 위한 클라우드 동기화 설정이 있습니다.

• 동기화된 두 명의 사용자인 Britta Simon과 Lola Jacobson이 있습니다. 이러한 사용자는 온-프레미스 및 Microsoft Entra ID에 존재합니다.

• 다음 각 부서에 대한 OU(조직 구성 단위)가 AD DS에 만들어집니다.

  표시 이름	고유 이름
  그룹	OU=마케팅,DC=contoso,DC=com
  영업	OU=판매,DC=contoso,DC=com
  마케팅	OU=그룹,DC=contoso,DC=com

클라우드 네이티브 또는 SOA(원본) 변환된 보안 그룹에 사용자 추가

동기화된 사용자를 추가하려면 다음 단계를 수행합니다.

1. 최소한 하이브리드 ID 관리자로 Microsoft Entra 관리 센터에 로그인합니다.
2. Entra ID>그룹>모든 그룹으로 탐색합니다.
3. 상단의 검색 상자에 Sales를 입력합니다.
4. 새 판매 그룹을 선택합니다.
5. 왼쪽에서 멤버를 선택합니다.
6. 맨 위에서 멤버 추가를 선택합니다.
7. 상단의 검색 상자에 Britta Simon을 입력합니다.
8. Britta Simon 옆에 확인란을 놓고 선택을 선택합니다.
9. 그룹에 사용자를 성공적으로 추가해야 합니다.
10. 맨 왼쪽에서 모든 그룹을 선택합니다. 영업 그룹을 사용하여 이 프로세스를 반복하고 해당 그룹에 Lola Jacobson을 추가합니다.

원래 OU(조직 구성 단위) 경로에 프로비저닝하기 위해 SOA 변환된 그룹 준비

Microsoft Entra ID에서 AD DS(Active Directory Domain Services) 온-프레미스의 원래 OU 경로로 프로비저닝하기 위해 클라우드 관리로 변환하려는 그룹을 준비하려면 다음 단계를 완료합니다.

1. AD DS 그룹 범위를 유니버설로 변경합니다.
2. 특수 애플리케이션을 만듭니다.
3. 그룹에 대한 디렉터리 확장 속성을 만듭니다.

AD DS 그룹의 그룹 범위를 유니버설로 변경

1. Active Directory 관리 센터를 엽니다.
2. 그룹을 마우스 오른쪽 단추로 클릭하고 속성을 클릭합니다.
3. 그룹 섹션에서 그룹 범위로 유니버설 을 선택합니다.
4. 저장을 클릭합니다.

확장 만들기

클라우드 동기화는 CloudSyncCustomExtensionsApp이라는 특수 애플리케이션에서 만든 확장만 지원합니다. 테넌트에 앱이 없으면 만들어야 합니다. 이 단계는 테넌트당 한 번씩 수행됩니다.

확장을 만드는 방법에 대한 자세한 내용은 클라우드 동기화 디렉터리 확장 및 사용자 지정 특성 매핑을 참조하세요.

$clientId = $app.AppId
$propName = "extension_{0}_GroupDN" -f ($clientId -replace "-","")
$grp = Get-MgGroup -Filter "displayName eq 'My Security Group'" -ConsistencyLevel eventual
Get-MgGroup -GroupId $grp.Id -Property "id,displayName,$propName" |
  Select-Object id, displayName, @{n=$propName; e={$_."$propName"}}

GET /v1.0/groups/{id}?$select=displayName,extension_<appIdNoHyphens>_GroupDN

프로비전 구성

프로비저닝을 구성하려면 다음 단계를 수행합니다.

1. 최소한 하이브리드 ID 관리자로 Microsoft Entra 관리 센터에 로그인합니다.

2. Entra ID>Entra Connect>클라우드 동기화로 이동하십시오.

   Microsoft Entra Connect 클라우드 동기화 홈페이지를 보여 주는

3. 새 구성을 선택합니다.

4. Microsoft Entra ID를 AD 동기화로를선택합니다.

   

5. 구성 화면에서 도메인을 선택하고 암호 해시 동기화를 사용하도록 설정할지 여부를 선택합니다. 만들기선택합니다.

   

6. 시작 화면이 열립니다. 여기에서 클라우드 동기화를 계속 구성할 수 있습니다.

7. 왼쪽에서 범위 지정 필터를 선택합니다.

8. 그룹 범위의 경우 선택한 보안 그룹을 선택합니다.

   

9. OU를 설정하는 방법에는 두 가지가 있습니다.

   • 사용자 지정 식을 사용하면 그룹이 동일한 OU로 다시 만들어지도록 할 수 있습니다. ParentDistinguishedName 값에 다음 식을 사용합니다.

     IIF(
         IsPresent([extension_<AppIdWithoutHyphens>_GroupDistinguishedName]),
         Replace(
             Mid(
                 Mid(
                     Replace([extension_<AppIdWithoutHyphens> _GroupDistinguishedName], "\,", , , "\2C", , ),
                     Instr(Replace([extension_<AppIdWithoutHyphens> _GroupDistinguishedName], "\,", , , "\2C", , ), ",", , ),
                     9999
                 ),
                 2,
                 9999
             ),
             "\2C", , , ",", ,
         ),
     "<Existing ParentDistinguishedName>",
     )
     

     이 식은 다음과 같습니다.

     • 확장이 비어 있는 경우 기본 OU를 사용합니다.
     • 그렇지 않으면 CN 부분을 제거하고 부모 DN 경로를 유지하며 이스케이프된 쉼표를 다시 처리합니다.

     이 변경으로 인해 전체 동기화가 발생하며 기존 그룹에는 영향을 주지 않습니다. Microsoft Graph를 사용하여 기존 그룹의 GroupDN 속성 설정을 테스트하고, 이 설정으로 인해 원래 OU로 다시 이동되는지를 확인합니다.

   • 온-프레미스에서 원래 OU 경로 및 CN 정보를 유지하지 않으려면 대상 컨테이너 에서 특성 매핑 편집을 선택합니다.

     1. 매핑 유형을식으로 변경합니다.

     2. 식 상자에 다음을 입력합니다.

        Switch([displayName],"OU=Groups,DC=contoso,DC=com","Marketing","OU=Marketing,DC=contoso,DC=com","Sales","OU=Sales,DC=contoso,DC=com")

     3. 기본값OU=Groups,DC=contoso,DC=com을 .로 변경합니다.

        

     4. 적용을 선택합니다. 그룹 displayName 특성에 따라 대상 컨테이너가 변경됩니다.

10. 사용자 지정 식을 사용하여 그룹이 동일한 CN으로 다시 생성되도록 할 수 있습니다. CN 값에 다음 식을 사용합니다.

    IIF(
        IsPresent([extension_<AppIdWithoutHyphens>_GroupDistinguishedName]),
        Replace(
            Replace(
                Replace(
                    Word(Replace([extension_<AppIdWithoutHyphens> _GroupDistinguishedName], "\,", , , "\2C", , ), 1, ","),
                    "CN=", , , "", ,
                ),
                "cn=", , , "", ,
            ),
            "\2C", , , ",", ,
        ),
    Append(Append(Left(Trim([displayName]), 51), "_"), Mid([objectId], 25, 12)),
    )
    

    이 식은 다음과 같습니다.

    • 확장이 비어 있으면 DisplayName + ObjectId에서 대체 CN을 생성합니다.
    • CN을 추출한 후, 이스케이프된 쉼표를 일시적으로 16진수 값으로 바꿔 처리합니다.

11. 저장을 선택합니다.

12. 왼쪽에서 개요를 선택합니다.

13. 맨 위에서 검토를 선택하고 사용하도록 설정합니다.

14. 오른쪽에서 구성 사용을 선택합니다.

테스트 구성

1. 최소한 하이브리드 ID 관리자로 Microsoft Entra 관리 센터에 로그인합니다.

2. Entra ID>Entra Connect>클라우드 동기화로 이동하십시오.

   Microsoft Entra Connect 클라우드 동기화 홈페이지를 보여 주는

3. 구성 아래에서 구성을 선택합니다.

4. 왼쪽에서 주문형 프로비전을 선택합니다.

5. 선택한 그룹 상자에 Sales를 입력합니다.

6. 선택한 사용자 섹션에서 테스트할 사용자를 선택합니다.

   

7. 프로비전을 선택합니다.

8. 그룹이 프로비전된 것을 확인하세요.

AD DS에서 확인

다음 단계에 따라 그룹이 AD DS에 프로비전되었는지 확인합니다.

1. 온-프레미스 환경에 로그인합니다.

2. Active Directory 사용자 및 컴퓨터를 시작합니다.

3. 새 그룹이 프로비전되었는지 확인합니다.

   

SOA 변환된 개체에 대한 AD DS 동작에 대한 그룹 프로비전

온-프레미스 그룹의 SOA(원본 기관)를 클라우드로 변환하면 해당 그룹은 AD DS에 그룹 프로비저닝할 수 있습니다.

예를 들어 다음 다이어그램에서 SOA 또는 SOATestGroup1 은 클라우드로 변환됩니다. 결과적으로 AD DS에 대한 그룹 프로비저닝의 작업 범위에 사용할 수 있게 됩니다.

• 작업이 실행되면 SOATestGroup1 이 성공적으로 프로비전됩니다.

• 프로비저닝 로그에서 SOATestGroup1을 검색하고 그룹이 프로비전되었는지 확인할 수 있습니다.

  

• 자세한 내용은 SOATestGroup1 이 기존 대상 그룹과 일치했음을 보여 줍니다.

  

• 대상 그룹의 adminDescription 및 cn 이 업데이트되는지 확인할 수도 있습니다.

  

• AD DS를 살펴보면 원래 그룹이 업데이트된 것을 확인할 수 있습니다.

  

  

클라우드는 변환된 SOA 개체를 Microsoft Entra ID로 프로비저닝을 생략합니다.

SOA를 클라우드로 변환한 후 AD DS에서 그룹의 특성을 편집하려고 하면 프로비전하는 동안 클라우드 동기화가 개체를 건너뜁니다.

SOAGroup3 그룹이 있고 해당 그룹 이름을 SOA Group3.1로 업데이트한다고 가정해 보겠습니다.

프로비전 로그에서 SOAGroup3이 건너뛴 것을 볼 수 있습니다.

세부 정보는 SOA가 클라우드로 변환되므로 개체가 동기화되지 않는다는 것을 설명합니다.

중첩된 그룹 및 멤버 자격 참조 처리

다음 표에서는 다른 사용 사례에서 SOA를 변환한 후 프로비전이 멤버 자격 참조를 처리하는 방법을 설명합니다.

SOA 변환된 그룹을 롤백한 후 AD DS 동작에 그룹 프로비전

범위에서 SOA 변환된 그룹이 있고 SOA 변환된 그룹을 롤백하여 AD DS가 소유하도록 하는 경우 AD DS에 대한 그룹 프로비저닝은 변경 내용 동기화를 중지하지만 온-프레미스 그룹은 삭제되지 않습니다. 또한 구성 범위에서 그룹을 제거합니다. 그룹의 온-프레미스 제어는 다음 동기화 주기에서 다시 시작됩니다.

• 감사 로그에서 이 개체가 온-프레미스에서 관리되기 때문에 동기화가 수행되지 않는지 확인할 수 있습니다.

  

  AD DS에서 그룹이 여전히 손상되지 않고 삭제되지 않은지 확인할 수도 있습니다.

  

다음 단계

• Microsoft Entra Cloud Sync를 사용하여 그룹 쓰기백
• Microsoft Entra ID 거버넌스를 사용하여 온-프레미스 AD DS 기반 앱(Kerberos) 관리
• Microsoft Entra Connect 동기화 그룹 라이트백 V2를 Microsoft Entra Cloud Sync로 마이그레이션