Обратная запись групп с помощью облачной синхронизации Microsoft Entra

С выпуском агента подготовки 1.1.1370.0 облачная синхронизация теперь может выполнять обратную запись групп. Эта функция означает, что облачная синхронизация может предоставлять группы непосредственно в локальной среде Active Directory. Теперь вы можете использовать функции управления удостоверениями для управления доступом к приложениям на основе AD, например путем включения группы в пакет управления правами.

Настройка Microsoft Entra ID для Active Directory Domain Services — предварительные требования

** Для реализации групп предоставления для Active Directory Domain Services (AD DS) требуются следующие предварительные условия.

Требования к лицензиям

Для использования этой функции требуются лицензии Microsoft Entra ID P1. Чтобы найти нужную лицензию для ваших требований, см. статью Сравнение общедоступных функций Microsoft Entra ID.

Общие требования

• Учетная запись Microsoft Entra как минимум с ролью Hybrid Identity Administrator.
• Локальная схема AD DS с атрибутом msDS-ExternalDirectoryObjectId, которая доступна в Windows Server 2016 и более поздних версиях.
• Агент настройки с версией сборки 1.1.3730.0 или более поздней.

$credential = Get-Credential  

Set-AAD DSCloudSyncPermissions -PermissionType UserGroupCreateDelete -TargetDomain "FQDN of domain" -EACredential $credential

• Агент подготовки должен быть установлен на сервере, на котором выполняется Windows Server 2022, Windows Server 2019 или Windows Server 2016.
• Агент подготовки должен иметь возможность взаимодействовать с одним или несколькими контроллерами домена в портах TCP/389 (LDAP) и TCP/3268 (глобальный каталог).
  • Требуется для поиска глобального каталога, чтобы отфильтровать недопустимые ссылки на членство
• Синхронизация с Microsoft Entra Connect версия сборки 2.2.8.0
  • Требуется для поддержки локального членства пользователей, синхронизированных с помощью синхронизации Microsoft Entra Connect
  • Требуется для синхронизации AD DS:user:objectGUID с AAD DS:user:onPremisesObjectIdentifier

Ограничения масштабирования групп управления ресурсами для Active Directory

Функция подготовки групп для Active Directory влияет на производительность в зависимости от размера арендатора и количества групп и членств, находящихся в пределах области подготовки к Active Directory. В этом разделе описано, как определить, поддерживает ли GPAD требование масштабирования и как выбрать правильный режим охвата группы для ускорения начальных и разностных циклов синхронизации.

Что не поддерживается?

• Группы, размер которых превышает 50K, не поддерживаются.
• Использование области "Все группы безопасности" без применения фильтрации области атрибутов не поддерживается.

Ограничения масштабирования

Что делать, если вы превысили лимиты

Превышение рекомендуемых ограничений приведет к замедлению начальной и разностной синхронизации, что может привести к ошибкам синхронизации. Если это произойдет, выполните следующие действия.

Слишком много групп или членов групп в режиме выбора «Выбранные группы безопасности»:

Уменьшите количество групп в охвате (сосредоточьтесь на группах с более высоким приоритетом), или разделите процесс обеспечения на несколько самостоятельных заданий с отдельными областями.

Слишком много групп или участников групп в режиме охвата "Все группы безопасности".

Используйте рекомендуемый режим области выбранных групп безопасности .

Некоторые группы превышают 50K членов:

Разделение членства между несколькими группами или принятие промежуточных групп (например, по регионам или бизнес-подразделениям), чтобы сохранить каждую группу под ограничением.

Расширенный выбор группы с помощью API

Если вам нужно выбрать более 999 групп, необходимо использовать параметр Grant an appRoleAssignment для вызова API субъекта-службы .

Пример вызовов API выглядит следующим образом:

POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalID}/appRoleAssignedTo
Content-Type: application/json

{
  "principalId": "",
  "resourceId": "",
  "appRoleId": ""
}

where:

• principalId: идентификатор объекта Group.
• resourceId: идентификатор субъекта-службы задания.
• appRoleId: идентификатор роли приложения, предоставляемой субъектом-службой ресурсов.

В следующей таблице приведен список идентификаторов ролей приложений для облаков:

Дополнительные сведения

Ниже приведены дополнительные моменты, которые следует учитывать при подготовке групп в AD DS.

• Группы, подготовленные в AD DS с помощью Облачной синхронизации, могут содержать только локальных синхронизированных пользователей или других созданных в облаке групп безопасности.
• Эти пользователи должны иметь атрибут onPremisesObjectIdentifier в своей учетной записи.
• onPremisesObjectIdentifier должен соответствовать соответствующему objectGUID в целевой среде AD DS.
• Атрибут objectGUID локального пользователя можно синхронизировать с атрибутом cloud user onPremisesObjectIdentifier с помощью любого клиента синхронизации.
• Только глобальные арендаторы Microsoft Entra ID могут настраивать интеграцию из Microsoft Entra ID с AD DS. Арендаторы, такие как B2C, не поддерживаются.
• Задание по обслуживанию группы планируется выполнять каждые 20 минут.

Поддерживаемые сценарии для обратной записи групп с помощью облачной синхронизации Microsoft Entra

В следующих разделах описаны поддерживаемые сценарии обратной записи групп с помощью Microsoft Entra Cloud Sync.

• Перенос функции обратной записи групп Microsoft Entra Connect Sync V2 в Microsoft Entra Cloud Sync
• Управляйте локальными приложениями на основе Active Directory (Kerberos) с помощью Microsoft Entra ID Governance

Перенос обратной записи группы синхронизации Microsoft Entra Connect версии 2 в Microsoft Entra Облачная синхронизация

Сценарий: Миграция функции обратной записи группы с Microsoft Entra Connect Sync (ранее Azure AD Connect) на Microsoft Entra Cloud Sync. Этот сценарий только для клиентов, которые в настоящее время используют функцию обратной записи группы в Microsoft Entra Connect версии 2. Процесс, описанный в этом документе, относится только к созданным в облаке группам безопасности, которые записываются обратно с универсальной областью. Группы с поддержкой почты и списки рассылки, записанные обратно с помощью Microsoft Entra Connect функции обратной записи групп версии 1 или версии 2, не поддерживаются.

Для получения дополнительной информации см. Перенос Microsoft Entra Connect Sync group writeback V2 на Microsoft Entra Cloud Sync.

Управление приложениями на основе локального Active Directory (Kerberos) с помощью Microsoft Entra ID Governance

Scenario: Управление локальными приложениями с помощью групп Active Directory, подготовленных и управляемых в облаке. Microsoft Entra Cloud Sync позволяет полностью управлять назначениями приложений в AD, используя преимущества функций Microsoft Entra ID Governance для контроля и устранения любых связанных с доступом запросов.

Дополнительные сведения см. в разделе Управление локальными приложениями Active Directory с Kerberos с использованием Microsoft Entra ID Governance.

Следующие шаги

• Настройка групп в Active Directory с помощью облачной синхронизации Microsoft Entra
• Управляйте приложениями Active Directory, расположенными на территории предприятия (Kerberos), с помощью системы управления Microsoft Entra ID
• Перенос функции обратной записи групп Microsoft Entra Connect Sync V2 в Microsoft Entra Cloud Sync
• Определение области действия фильтра и сопоставление атрибутов - Microsoft Entra ID и Active Directory