Известные проблемы для подготовки в Microsoft Entra ID

В этой статье рассматриваются известные проблемы, которые следует учитывать при работе с подготовкой приложений или синхронизацией между клиентами. Чтобы оставить отзыв о службе предоставления приложений на UserVoice, см. Microsoft Entra предоставление приложений UserVoice. Мы внимательно следим за отзывами на UserVoice, чтобы улучшить службу.

Примечание.

В этой статье приведен не полный список известных проблем. Если вы знаете о проблеме, которой нет в списке, оставьте отзыв, нажав соответствующую кнопку в нижней части страницы.

Синхронизация клиентов

Неподдерживаемые сценарии синхронизации

  • Синхронизация групп, устройств и контактов с другим клиентом
  • Синхронизация фотографий между арендаторами
  • Синхронизация контактов и преобразование контактов в пользователей B2B
  • Синхронизация комнат собраний между арендаторами

Обновление атрибутов Exchange, таких как proxyAddresses и HiddenFromAddressListEnabled

Синхронизация между клиентами может управлять свойствами пользователей в Entra. Он не управляет атрибутами обмена напрямую. Рассмотрим пример.

  • ProxyAddresses — это свойство только для чтения в Microsoft Graph. Его можно включить в качестве исходного атрибута в сопоставления, но его нельзя задать в качестве целевого атрибута.
  • Синхронизация между клиентами может обновить атрибут ShowInAddressList в Entra, но он не может напрямую обновить HiddenFromAddressListEnabledd в Exchange.
  • TargetAddress, который сопоставляется со свойством ExternalEmailAddress в Microsoft Exchange Online, недоступен в качестве атрибута, который можно выбрать. Если вам нужно изменить этот атрибут, его необходимо сделать вручную по требуемому объекту.

Пользователи с включённой поддержкой входа по SMS пропускаются

Внешний пользователь из исходного (домашнего) арендатора не может быть предоставлен в другой арендатор. Внутренние гостевые пользователи из исходного арендатора не могут быть предоставлены в другой арендатор. В целевой клиент можно подготовить только внутренних пользователей из исходного клиента. Для получения дополнительной информации см. свойства внешнего B2B-пользователя в Microsoft Entra.

Кроме того, пользователи, которые включены для входа с помощью SMS, не могут быть синхронизированы с помощью синхронизации между арендаторами.

Обновление свойства showInAddressList завершается ошибкой

Для существующих пользователей совместной работы B2B атрибут showInAddressList обновляется, если у пользователя совместной работы B2B нет почтового ящика в целевом клиенте. Если почтовый ящик включен в целевой аренде, используйте командлет Set-MailUser в PowerShell, чтобы задать для свойства HiddenFromAddressListsEnabled значение $false.

Set-MailUser [GuestUserUPN] -HiddenFromAddressListsEnabled:$false

Здесь [GuestUserUPN] — это вычисляемое имя пользователя (UserPrincipalName). Пример:

Set-MailUser guestuser1_contoso.com#EXT#@fabrikam.onmicrosoft.com -HiddenFromAddressListsEnabled:$false

Дополнительные сведения см. в разделе О модуле PowerShell Exchange Online.

Атрибут почты не обновляется

Если пользователю в целевом клиенте назначена лицензия exchange, синхронизация между клиентами не сможет обновить атрибут почты. Чтобы обойти эту проблему, удалите лицензию exchange для пользователя, обновите атрибут почты и снова назначьте пользователю лицензию.

Настройка синхронизации из целевого клиента

Настройка синхронизации из целевого клиента не поддерживается. Все конфигурации должны выполняться в исходном клиенте. Целевой администратор может отключить синхронизацию между клиентами в любое время.

Два пользователя в исходном клиенте, сопоставленные с тем же пользователем в целевом клиенте

Если два пользователя в исходном клиенте имеют одинаковую почту, и они оба должны быть созданы в целевом клиенте, один пользователь создается в целевом объекте и связан с двумя пользователями в источнике. Убедитесь, что атрибут почты не разделяется между пользователями в исходном тенанте. Кроме того, убедитесь, что почта пользователя в исходном клиенте находится из проверенного домена. Внешний пользователь не будет успешно создан, если почта находится из непроверенного домена.

Использование B2B совместной работы Microsoft Entra для доступа между различными клиентами

Авторизация

Не удается изменить режим настройки на ручной

При первом настройке подготовки вы заметите, что режим подготовки переключился с ручного на автоматический. И изменить его обратно на ручной нельзя. Вы можете отключить настройку через пользовательский интерфейс. Отключение предоставления в интерфейсе пользователя фактически эквивалентно установке выпадающего списка в ручной режим.

Сопоставления атрибутов

Атрибут SamAccountName или userType недоступен в качестве исходного атрибута

Атрибуты SamAccountName и userType недоступны в качестве исходных атрибутов. Вместо этого можно использовать атрибут расширения каталога в качестве обходного решения. Дополнительные сведения см. в статье Отсутствующий исходный атрибут.

В раскрывающемся списке для исходных атрибутов отсутствует расширение схемы.

Иногда расширения схемы могут отсутствовать в раскрывающемся списке исходных атрибутов в пользовательском интерфейсе. Перейдите в раздел дополнительных параметров сопоставления атрибутов и вручную добавьте атрибуты. Дополнительные сведения см. в статье Настройка сопоставлений атрибутов.

Не удается подготовить атрибут NULL

Microsoft Entra ID в настоящее время не может подготавливать пустые атрибуты. Если атрибут имеет значение NULL для объекта пользователя, он пропускается.

Не поддерживаются специальные символы при объединении свойств

Microsoft Entra ID в настоящее время не может выполнять запросы фильтра по значениям, содержащим специальные символы. Поэтому попытка настройки ресурса (пользователя или группы) со специальным символом в атрибутах фильтра завершается сбоем. Например, группа с специальным символом имени может быть создана на Microsoft Entra ID, но не может быть синхронизирована с целевой системой.

Максимальное число символов для выражений сопоставления атрибутов

Выражение сопоставления атрибутов может содержать не более 10 000 символов.

Неподдерживаемые фильтры области

Атрибуты appRoleAssignments, userType, manager и date-type (например, StatusHireDate, startDate, endDate, StatusTerminationDate, accountExpires) не поддерживаются в качестве фильтров области.

OtherMails не следует включать в сопоставления атрибутов в качестве целевого атрибута.

Свойство otherMails автоматически вычисляется в целевом клиенте. Изменения объекта пользователя, сделанные непосредственно в целевом арендаторе, могут привести к обновлению свойства "otherMails" и переопределению значения, установленного синхронизацией между арендаторами. В результате атрибут otherMails не должен включаться в сопоставления атрибутов синхронизации между арендаторами в качестве целевого атрибута.

Многозначные расширения каталогов

Расширения каталогов с несколькими значениями нельзя использовать в сопоставлениях атрибутов или фильтрах области.

Проблемы службы

Неподдерживаемые сценарии

  • Подготовка паролей не поддерживается.
  • Развертывание вложенных групп за пределами первого уровня не поддерживается.
  • Развертывание не поддерживается для арендаторов B2C, включая перенос в арендатора или из него.
  • Входящее провизирование с помощью SCIM не поддерживается. Вместо этого используйте Microsoft Graph и пакетное задание Microsoft Graph.
  • Не все приложения для предоставления ресурсов доступны во всех облаках.

Автоматическая подготовка недоступна в моем приложении на основе OIDC

Если вы создали механизм регистрации приложений, соответствующий субъект-служба в корпоративных приложениях не будет доступен для автоматической подготовки пользователей. Необходимо либо запросить добавление приложения в галерею, если оно предназначено для использования несколькими организациями, либо создать второе специальное приложение для подготовки, не добавляя его в галерею.

Диспетчер не подготовлен

Если пользователь и его менеджер подпадают под область подготовки, служба сначала подготовит пользователя, а затем обновит информацию о менеджере. Если на первый день пользователь находится в рамках, а менеджер вне рамок, мы предоставим пользователя без ссылки на менеджера. Когда менеджер появляется в области видимости, ссылка на менеджера не обновляется, пока вы не перезапустите подготовку и не заставите службу повторно оценить всех пользователей.

Для развертывания в облаках US Government / 21Vianet (Китай) доступны нестандартные/пользовательские приложения и соединитель ecma. В этих средах доступно ограниченное количество приложений галереи.

Фиксированный интервал обеспечения

Время между циклами подготовки в настоящее время настроить нельзя.

Изменения, не передающиеся из целевого приложения на Microsoft Entra ID

Служба подготовки приложений не учитывает изменения, внесенные во внешние приложения. Поэтому никакие действия для отката не предпринимаются. Служба подготовки приложений зависит от изменений, внесенных в Microsoft Entra ID.

Переключение с "Синхронизировать все" на "Синхронизировать назначенные" не выполняется

После изменения области с Синхронизировать все на Синхронизировать назначенные, необходимо также выполнить перезапуск, чтобы убедиться, что изменение вступило в силу. Перезапуск можно выполнить из пользовательского интерфейса.

Цикл подготовки продолжается до завершения

Если для подготовки указать параметр enabled = off или нажать кнопку остановки, текущий цикл подготовки продолжит выполняться до завершения. Служба прекращает выполнение всех будущих циклов до тех пор, пока вы снова не включите подготовку.

Член группы не подготовлен

Если группа находится в области действия, а член — за ее пределами, группа будет подготовлена. А пользователь вне области не будет подготовлен. Если член возвращается в область, служба не обнаружит изменение сразу. Для устранения проблемы перезапустите процесс настройки. Рекомендуется периодически перезапускать службу, чтобы обеспечить правильную подготовку всех пользователей.

Глобальный читатель

Роль глобального читателя не может считывать конфигурацию предоставления. Создайте пользовательскую роль с разрешением microsoft.directory/applications/synchronization/standard/read для чтения конфигурации управления подготовкой из центра администрирования Microsoft Entra.

Облако Microsoft Azure для государственных организаций

Учетные данные, включая секретный токен, уведомление по электронной почте и уведомления о сертификате SSO (единого входа), вместе имеют ограничение в 1 КБ в Microsoft Azure Government Cloud.

Локальное развертывание приложения

Это текущий список известных ограничений узла соединителя Microsoft Entra ECMA и подготовки к развертыванию локальных приложений.

Подключение SQL-коннектора

Соединитель SQL ожидает, что файл DSN будет закодирован в UTF-8. Другие кодировки могут быть неправильно прочитаны и привести к ошибке "Имя источника данных не найдено и драйвер по умолчанию не указан".

Приложения и каталоги

Следующие приложения и каталоги пока не поддерживаются.

Active Directory Domain Services (обратная запись пользователей или групп из Microsoft Entra ID с помощью предварительной версии локальной подготовки)

  • Когда пользователем управляет Microsoft Entra Connect, источником авторитета является локальная среда Active Directory Domain Services. Таким образом, атрибуты пользователей нельзя изменить в Microsoft Entra ID. Эта предварительная версия не изменяет источник полномочий для пользователей, управляемых Microsoft Entra Connect.
  • Попытка использовать Microsoft Entra Connect и локальное предоставление для предоставления групп или пользователей в Active Directory Domain Services может привести к созданию цикла, где Microsoft Entra Connect может перезаписать изменения, внесенные службой предоставления в облаке. Корпорация Microsoft работает над созданием отдельной функции обратной синхронизации данных для групп или пользователей. Голосуйте за отзывы UserVoice на этом веб-сайте и отслеживайте статус предварительной версии. Кроме того, можно использовать Microsoft Identity Manager для обратной записи пользователей или групп из Microsoft Entra ID в Active Directory.

Microsoft Entra ID

Используя локальное развертывание, вы можете взять пользователя, уже существующего в Microsoft Entra ID, и настроить его в стороннем приложении. Вы не можете добавить пользователя к каталогу из стороннего приложения. Клиентам потребуется использовать собственные интеграции отдела кадров, Microsoft Entra Connect, Microsoft Identity Manager или Microsoft Graph, чтобы перенести пользователей в каталог.

Атрибуты и объекты

Следующие атрибуты и объекты не поддерживаются:

  • Атрибуты с несколькими значениями.
  • Ссылочные атрибуты (например, менеджер).
  • Группы.
  • Сложные привязки (например, ObjectTypeName+UserName).
  • Атрибуты, имеющие такие символы, как "." или "["
  • Двоичные атрибуты.
  • Локальные приложения иногда не федеративны с Microsoft Entra ID и требуют локальных паролей. Предварительная версия локального развертывания не поддерживает синхронизацию паролей. Поддерживается подготовка начальных одноразовых паролей. Убедитесь, что функция Redact используется для редактирования паролей из журналов. В соединителях SQL и LDAP пароли не экспортируются при первоначальном вызове приложения; для этого необходимо сделать второй вызов с установкой пароля.

Сертификаты SSL

В настоящее время узел соединителя ECMA Microsoft Entra требует наличие либо доверенного SSL-сертификата для Azure, либо использования агента развертывания. Субъект сертификата должен соответствовать имени хоста, на котором установлен хост соединителя Microsoft Entra ECMA.

Атрибуты привязки

В настоящее время хост соединителя ECMA Microsoft Entra не поддерживает изменения атрибутов привязки (переименования) или целевые системы, которым требуется несколько атрибутов для формирования привязки.

Обнаружение и сопоставление атрибутов

Атрибуты, поддерживаемые целевым приложением, обнаруживаются и отображаются в центре администрирования Microsoft Entra в Attribute Mappings. Новые атрибуты будут продолжать обнаруживаться. Если тип атрибута изменился, например, строка на булево значение, и если атрибут является частью сопоставлений, тип не изменится автоматически в центре администрирования Microsoft Entra. Клиентам потребуется перейти в раздел дополнительных параметров сопоставлений и вручную обновить тип атрибута.

Агент подготовки

  • В настоящее время агент не поддерживает автоматическое обновление для сценария подготовки локальных приложений. Мы активно работаем над устранением этого пробела, чтобы автоматическое обновление было включено по умолчанию и требовалось от всех клиентов.
  • Один и тот же агент нельзя использовать для подготовки локальных приложений и для облачной синхронизации или подготовки, управляемой HR.

Следующие шаги

Как работает настройка

  • Last updated on