Руководство — размещение групп в Active Directory Domain Services с использованием Microsoft Entra Cloud Sync

В этом руководстве описано, как настроить облачную синхронизацию для синхронизации групп с локальными Active Directory Domain Services (AD DS).

Настройка Microsoft Entra ID для Active Directory Domain Services — предварительные требования

** Для реализации групп предоставления для Active Directory Domain Services (AD DS) требуются следующие предварительные условия.

Требования к лицензиям

Для использования этой функции требуются лицензии Microsoft Entra ID P1. Чтобы найти нужную лицензию для ваших требований, см. статью Сравнение общедоступных функций Microsoft Entra ID.

Общие требования

• Учетная запись Microsoft Entra как минимум с ролью Hybrid Identity Administrator.
• Локальная схема AD DS с атрибутом msDS-ExternalDirectoryObjectId, которая доступна в Windows Server 2016 и более поздних версиях.
• Агент развертывания с версией сборки 1.1.1373.0 или более поздней.

$credential = Get-Credential  

Set-AADCloudSyncPermissions -PermissionType UserGroupCreateDelete -TargetDomain "FQDN of domain" -EACredential $credential

• Агент подготовки должен быть установлен на сервере, на котором выполняется Windows Server 2022, Windows Server 2019 или Windows Server 2016.
• Агент подготовки должен иметь возможность взаимодействовать с одним или несколькими контроллерами домена в портах TCP/389 (LDAP) и TCP/3268 (глобальный каталог).
  • Требуется для поиска глобального каталога, чтобы отфильтровать недопустимые ссылки на членство
• Синхронизация с Microsoft Entra Connect версия сборки 2.2.8.0
  • Требуется для поддержки локального членства пользователей, синхронизированных с помощью синхронизации Microsoft Entra Connect
  • Требуется для синхронизации AD DS:user:objectGUID с AAD DS:user:onPremisesObjectIdentifier

Ограничения масштабирования групп управления ресурсами для Active Directory

Функция подготовки групп для Active Directory влияет на производительность в зависимости от размера арендатора и количества групп и членств, находящихся в пределах области подготовки к Active Directory. В этом разделе описано, как определить, поддерживает ли GPAD требование масштабирования и как выбрать правильный режим охвата группы для ускорения начальных и разностных циклов синхронизации.

Что не поддерживается?

• Группы, размер которых превышает 50K, не поддерживаются.
• Использование области "Все группы безопасности" без применения фильтрации области атрибутов не поддерживается.

Ограничения масштабирования

Что делать, если вы превысили лимиты

Превышение рекомендуемых ограничений приведет к замедлению начальной и разностной синхронизации, что может привести к ошибкам синхронизации. Если это произойдет, выполните следующие действия.

Слишком много групп или членов групп в режиме выбора «Выбранные группы безопасности»:

Уменьшите количество групп в охвате (сосредоточьтесь на группах с более высоким приоритетом), или разделите процесс обеспечения на несколько самостоятельных заданий с отдельными областями.

Слишком много групп или участников групп в режиме охвата "Все группы безопасности".

Используйте рекомендуемый режим области выбранных групп безопасности .

Некоторые группы превышают 50K членов:

Разделение членства между несколькими группами или принятие промежуточных групп (например, по регионам или бизнес-подразделениям), чтобы сохранить каждую группу под ограничением.

Расширенный выбор группы с помощью API

Если вам нужно выбрать более 999 групп, необходимо использовать параметр Grant an appRoleAssignment для вызова API субъекта-службы .

Пример вызовов API выглядит следующим образом:

POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalID}/appRoleAssignedTo
Content-Type: application/json

{
  "principalId": "",
  "resourceId": "",
  "appRoleId": ""
}

where:

• principalId: идентификатор объекта Group.
• resourceId: идентификатор субъекта-службы задания.
• appRoleId: идентификатор роли приложения, предоставляемой субъектом-службой ресурсов.

В следующей таблице приведен список идентификаторов ролей приложений для облаков:

Дополнительные сведения

Ниже приведены дополнительные моменты, которые следует учитывать при подготовке групп в AD DS.

• Группы, подготовленные в AD DS с помощью Облачной синхронизации, могут содержать только локальных синхронизированных пользователей или других созданных в облаке групп безопасности.
• Эти пользователи должны иметь атрибут onPremisesObjectIdentifier в своей учетной записи.
• onPremisesObjectIdentifier должен соответствовать соответствующему objectGUID в целевой среде AD DS.
• Атрибут objectGUID локального пользователя можно синхронизировать с атрибутом cloud user onPremisesObjectIdentifier с помощью любого клиента синхронизации.
• Только глобальные арендаторы Microsoft Entra ID могут настраивать интеграцию из Microsoft Entra ID с AD DS. Арендаторы, такие как B2C, не поддерживаются.
• Задание подготовки группы планируется выполнять каждые 20 минут.

Сценарии групповой и пользовательской SOA

Предположения

В этом руководстве предполагается:

• У вас есть локальная среда AD DS

• У вас есть настройка облачной синхронизации для синхронизации пользователей с Microsoft Entra ID.

• У вас есть два пользователя, которые синхронизированы: Britta Simon и Лола Джейкобсон. Эти пользователи существуют локально и в Microsoft Entra ID.

• Подразделение (OU) создается в AD DS для каждого из следующих отделов:

  Показать имя	Различающееся имя
  Маркетинг	OU=Маркетинг,DC=contoso,DC=com
  Продажи	OU=Sales,DC=contoso,DC=com
  Группы	OU=Группы,DC=contoso,DC=com

Добавление пользователей в облачные или преобразованные с помощью источника доверия (SOA) группы безопасности

Чтобы добавить синхронизированных пользователей, выполните следующие действия.

1. Войдите в центр администрирования Microsoft Entra в качестве как минимум Администратора гибридной идентификации.
2. Перейдите к Entra ID>Группы>Все группы.
3. В верхней части окна поиска введите Sales.
4. Выберите новую группу продаж .
5. Слева выберите "Члены".
6. В верхней части нажмите кнопку "Добавить участников".
7. В верхней части окна поиска введите Britta Simon.
8. Установите флажок рядом с Britta Simon и нажмите кнопку "Выбрать".
9. Он должен успешно добавить пользователя в группу.
10. В левом углу выберите "Все группы". Повторите этот процесс с помощью группы продаж и добавьте Лола Джейкобсон в эту группу.

Подготовка преобразованных групп SOA для подготовки к исходному пути подразделения (OU)

Выполните следующие шаги, чтобы подготовить группы, которые вы планируете преобразовать для облачного управления, для предоставления из Microsoft Entra ID обратно в их исходный путь организационного подразделения в локальной среде Active Directory Domain Services (AD DS).

1. Измените область группы AD DS на универсальную.
2. Создайте специальное приложение.
3. Создайте свойство расширения каталога для групп.

Измените область действия группы для групп AD DS на универсальную область.

1. Откройте центр администрирования Active Directory.
2. Щелкните правой кнопкой мыши группу, выберите пункт "Свойства".
3. В разделе "Группа" выберите "Универсальная " в качестве области группы.
4. Нажмите кнопку Сохранить.

Создание расширения

Облачная синхронизация поддерживает только расширения, созданные в специальном приложении с именем CloudSyncCustomExtensionsApp. Если приложение не существует в вашем тенанте, вам нужно создать его. Этот шаг выполняется один раз для каждого клиента.

Дополнительные сведения о создании расширения см. в разделе "Расширения каталога облачной синхронизации" и сопоставление настраиваемых атрибутов.

Настройка сопоставления атрибутов Cloud Sync

Затем укажите Cloud Sync заполнить это свойство расширения уникальным именем группы (DN) из Active Directory. Этот шаг гарантирует сохранение исходной информации о организационной единице (OU) и общем имени (CN) в Microsoft Entra ID.

1. Откройте центр администрирования Microsoft Entra >Entra ID>Entra Connect>Cloud Sync.
2. Выберите конфигурацию AD-to-Microsoft Entra ID.
3. Перейдите к сопоставлениям атрибутов.
4. В верхней части переключите тип объекта в группу.
5. Добавьте новое сопоставление атрибутов.
   • Тип сопоставления: Прямой
   • Исходный атрибут: distinguishedName (DN локальной группы)
   • Целевой атрибут: extension_<appIdWithoutHyphens>_GroupDN
6. Сохраните схему для активации синхронизации.

При сопоставлении DistinguishedName напрямую вы фиксируете полный DN группы (CN + OU путь) в свойстве расширения, что упрощает последующее восстановление как CN, так и OU при публикации в AD.

Убедитесь, что сопоставление работало

После выполнения синхронизации необходимо убедиться, что свойство расширения заполняется DN. Используйте Microsoft Graph PowerShell:

$groupDisplayName = 'My Security Group'
$clientId = $app.AppId
$propName = "extension_{0}_GroupDN" -f ($clientId -replace "-","")
$grp = Get-MgGroup -Filter "displayName eq '$groupDisplayName'" -ConsistencyLevel eventual
Get-MgGroup -GroupId $grp.Id -Property "id,displayName,$propName" |
  Select-Object id, displayName, @{n=$propName; e={$_."$propName"}}

Эта команда возвращает группу со своим DN, хранящимся в свойстве расширения. Вы также можете протестировать с помощью обозревателя Graph, выполнив следующие запросы:

GET /v1.0/groups/{id}?$select=displayName,extension_<appIdNoHyphens>_GroupDN

Преобразование источника полномочий (SOA)

Убедившись, что DN хранится в расширении, вы можете преобразовать источник полномочий в Microsoft Entra ID. Это изменение делает группу управляемой облаком при сохранении исходного DN в расширении для последующего использования в подготовке групп в AD DS.

Настройка управления ресурсами

Чтобы настроить настройку, выполните следующие шаги.

1. Войдите в центр администрирования Microsoft Entra в качестве как минимум Администратора гибридной идентификации.

2. Перейдите к Entra ID>Entra Connect>Синхронизация с облаком.

   

3. Выберите новую конфигурацию.

4. Выберите синхронизацию Microsoft Entra ID с AD.

   

5. На экране конфигурации выберите домен. Нажмите кнопку "Создать".

   

6. Откроется экран "Начало работы ". Здесь можно продолжить настройку облачной синхронизации.

7. Слева выберите фильтры охвата.

   

8. Для области групп выберите выбранные группы безопасности.

   

9. Существует три возможных подхода к настройке целевой OU, куда подготавливаются группы:

   • Для предоставления всех групп в одном OU можно использовать постоянное сопоставление OU:

     1. В разделе "Целевой контейнер" выберите "Изменить сопоставление атрибутов".

     2. В поле «Константное значение» введите отличительное имя для целевой организационной единицы.

        

     3. Нажмите кнопку "Применить".

     4. Нажмите Сохранить.

   • Можно использовать пользовательские выражения для повторного создания группы с той же организационной единицей. Это выражение может удалить часть CN из DN группы и сохранить родительский путь DN, обрабатывая экранированные запятые, и предоставить подразделение OU по умолчанию, если значение расширения пусто. Используйте следующее выражение для ParentDistinguishedName сопоставления путем адаптации примера выражения или запуска скрипта PowerShell для создания окончательного выражения.

     Примечание.

     Это выражение предполагает, что вы уже создали свойство расширения для GroupDN. Если нет, прежде чем использовать пример выражения или запустить скрипт, сделайте это сначала.

     1. В следующем образце выражения замените заполнители на соответствующие значения для вашего имени атрибута расширения extension_<AppIdWithoutHyphens>_GroupDN. Для вашей целевой организационной единицы по умолчанию (если значение расширения равно NULL), замените <Default ParentDistinguishedName> :

     IIF(
         IsPresent([extension_<AppIdWithoutHyphens>_GroupDN]),
         Replace(
             Mid(
                 Mid(
                     Replace([extension_<AppIdWithoutHyphens>_GroupDN], "\,", , , "\2C", , ),
                     Instr(Replace([extension_<AppIdWithoutHyphens>_GroupDN], "\,", , , "\2C", , ), ",", , ),
                     9999
                 ),
                 2,
                 9999
             ),
             "\2C", , , ",", ,
         ),
     "<Default ParentDistinguishedName>"
     )
     

     2. Или укажите значение параметра $defaultGroupOU и выполните скрипт, чтобы создать окончательное выражение в виде текстового файла:

     # Provide the Default OU for groups that don't have the GroupDN extension populated.
     $defaultGroupOU = 'OU=Groups,OU=SYNC,DC=adatum,DC=com'
     
     # Get the extension name
     $tenantId = (Get-MgOrganization).Id
     $app = Get-MgApplication -Filter "identifierUris/any(uri:uri eq 'API://$tenantId/CloudSyncCustomExtensionsApp')" 
     $ext = Get-MgApplicationExtensionProperty -ApplicationId $app.Id | Where-Object { $_.Name -like '*GroupDN' }
     $groupDN_extension = $ext.Name
     "GroupDN extension name: $groupDN_extension"
     
     # Sample expression
     $groupDN_expression = @'
     IIF(
     IsPresent([{groupDN_extension}]),
         Replace(
             Mid(
                 Mid(
                     Replace([{groupDN_extension}], "\,", , , "\2C", , ),
                     Instr(Replace([{groupDN_extension}], "\,", , , "\2C", , ), ",", , ),
                     9999
                 ),
                 2,
                 9999
             ),
             "\2C", , , ",", ,
         ),
         "{defaultGroupOU}"
     )
     '@
     
     # Generate the expression by replacing the placeholders with actual values
     $groupDN_expression -replace ('{groupDN_extension}', $groupDN_extension) -replace ('{defaultGroupOU}', $defaultGroupOU) | 
         Out-File -FilePath '.\GroupDN_expression.txt' -Encoding utf8
     &'.\GroupDN_expression.txt'
     

     3. Измените тип сопоставления на Expression.
     4. В поле выражения вставьте обновленное выражение и нажмите кнопку "Применить".
     5. Нажмите Сохранить.

   • Если вы хотите разместить группы в разных организационных единицах на основе их DisplayName:

     1. Адаптируйте следующее выражение и поместите его в поле выражения:

        Switch([displayName],"OU=Groups,DC=contoso,DC=com","Marketing","OU=Marketing,DC=contoso,DC=com","Sales","OU=Sales,DC=contoso,DC=com")
        

     2. Измените значение по умолчанию, чтобы установить целевую организационную единицу по умолчанию, например OU=Groups,DC=contoso,DC=com.

        

     3. Нажмите кнопку "Применить". Целевой контейнер изменяется в зависимости от атрибута displayName группы.

     4. Нажмите Сохранить.

     Примечание.

     Эти изменения вызывают полную синхронизацию и не влияют на существующие группы. Проверьте установку атрибута GroupDN для существующей группы с помощью Microsoft Graph и убедитесь, что запись возвращается в исходное подразделение (OU).

10. Вы можете использовать настраиваемое выражение, чтобы убедиться, что группа создается повторно с тем же CommonName (CN). Это выражение может извлечь значение CN, обрабатывая экранированные запятые путем временной замены их на шестнадцатеричные значения, и предоставить альтернативное значение CN из DisplayName + ObjectId, если расширение пусто. Используйте следующее выражение для cn сопоставления путем адаптации примера выражения или запуска скрипта PowerShell для создания окончательного выражения.

    Примечание.

    Это выражение предполагает, что вы уже создали свойство расширения для GroupDN. Если нет, прежде чем использовать образец выражения или запустить скрипт, сделайте это сначала.

    1. Если вы хотите адаптировать пример выражения, замените заполнители соответствующими значениями для имени атрибута расширения extension_<AppIdWithoutHyphens>_GroupDN.

    IIF(
       IsPresent([extension_<AppIdWithoutHyphens>_GroupDN]),
           Replace(
               Replace(
                   Replace(
                       Word(Replace([extension_<AppIdWithoutHyphens>_GroupDN], "\,", , , "\2C", , ), 1, ","),
                       "CN=", , , "", ,
                   ),
                   "cn=", , , "", ,
               ),
               "\2C", , , ",", ,
           ),
       Append(Append(Left(Trim([displayName]), 51), "_"), Mid([objectId], 25, 12))
    )
    

    2. Или, если вы хотите использовать скрипт Microsoft Graph PowerShell:

    # Get the extension name
    $tenantId = (Get-MgOrganization).Id
    $app = Get-MgApplication -Filter "identifierUris/any(uri:uri eq 'API://$tenantId/CloudSyncCustomExtensionsApp')" 
    $ext = Get-MgApplicationExtensionProperty -ApplicationId $app.Id | Where-Object { $_.Name -like '*GroupDN' }
    $groupDN_extension = $ext.Name
    "GroupDN extension name: $groupDN_extension"
    
    # Sample expression
    $groupCN_expression = @'
    IIF(
        IsPresent([{groupDN_extension}]),
        Replace(
            Replace(
                Replace(
                    Word(Replace([{groupDN_extension}], "\,", , , "\2C", , ), 1, ","),
                    "CN=", , , "", ,
                ),
                "cn=", , , "", ,
            ),
            "\2C", , , ",", ,
        ),
        Append(Append(Left(Trim([displayName]), 51), "_"), Mid([objectId], 25, 12))
    )
    '@
    
    # Generate the expression by replacing the placeholders with actual values
    $groupCN_expression -replace ('{groupDN_extension}', $groupDN_extension) | 
        Out-File -FilePath '.\GroupCN_expression.txt' -Encoding utf8
    &'.\GroupCN_expression.txt'
    

    3. Перейдите к сопоставлению атрибутов.
    4. Измените сопоставление атрибутов cn.
    5. Измените тип сопоставления на Expression.
    6. В поле выражения вставьте обновленное выражение и нажмите кнопку "Применить".
    7. Выберите Сохранить схему.

11. В левой части экрана выберите "Обзор".

12. В верхней части нажмите кнопку "Рецензирование" и "Включить".

13. Справа выберите "Включить конфигурацию".

Конфигурация теста

1. Войдите в центр администрирования Microsoft Entra в качестве как минимум Администратора гибридной идентификации.

2. Перейдите к Entra ID>Entra Connect>Синхронизация с облаком.

   

3. В разделе "Конфигурация" выберите конфигурацию.

4. Слева выберите "Подготовка по запросу".

5. Введите «Продажи» в поле «Выбранная группа».

6. В разделе "Выбранные пользователи" выберите некоторых пользователей для тестирования.

   

7. Выберите настройку.

8. Вам следует увидеть, что группа подготовлена.

Проверьте в AD DS

Выполните следующие действия, чтобы убедиться, что группа подготовлена к AD DS:

1. Войдите в локальную среду.

2. Запустите Active Directory Users and Computers.

3. Убедитесь, что новая группа создана.

   

Групповая подготовка к поведению AD DS для преобразованных объектов SOA

При преобразовании источника полномочий (SOA) в облако для локальной группы эта группа становится доступной для предоставления групп в AD DS.

Например, на следующей схеме SOA или SOATestGroup1 преобразуется в облако. В результате это становится доступным для области задач в групповом предоставлении служб доменов Active Directory.

• При выполнении задания SOATestGroup1 успешно создан.

• В журналах конфигурации можно найти SOATestGroup1 и убедиться, что группа была сконфигурирована.

  

• Сведения показывают, что SOATestGroup1 сопоставляется с существующей целевой группой.

  

• Вы также можете убедиться в том, что adminDescription и cn целевой группы обновлены.

  

• При просмотре AD DS можно обнаружить, что исходная группа обновлена.

  

  

Облачная платформа пропускает этап подготовки преобразованных объектов SOA в учетные записи Microsoft Entra ID

Если вы пытаетесь изменить атрибут группы в AD DS после преобразования SOA в облако, Cloud Sync пропускает объект во время подготовки.

Предположим, что у нас есть группа SOAGroup3, и мы обновим ее имя до SOA Group3.1.

В журналах подготовки видно, что SOAGroup3 пропущен.

Сведения объясняют, что объект не синхронизирован, так как его SOA конвертируется на облачную платформу.

Обработка вложенных групп и обработки ссылок на членство

В следующей таблице объясняется, как подготовка обрабатывает ссылки на членство после преобразования SOA в разных вариантах использования.

Групповая подготовка к поведению AD DS после отката преобразованных групп SOA

Если в вашей области имеются группы, преобразованные в SOA, и вы откатываете такую группу, чтобы она снова принадлежала службе доменных служб Active Directory (AD DS), процесс подготовки групп в AD DS прекращает синхронизацию изменений, однако локальная группа не удаляется. Она также удаляет группу из области конфигурации. Локальный контроль группы возобновляется в следующем цикле синхронизации.

• Вы можете проверить, что синхронизация журналов аудита не выполняется для этого объекта, так как она управляется локально.

  

  Вы также можете проверить в AD DS, что группа по-прежнему не тронута и не удалена.

  

Следующие шаги

• обратная запись групп с Microsoft Entra Cloud Sync
• Управляйте локальными приложениями AD DS — Kerberos — с помощью Microsoft Entra ID Governance
• Перенос функции обратной записи групп Microsoft Entra Connect Sync V2 в Microsoft Entra Cloud Sync