Выборочная конфигурация синхронизации хэша паролей для Microsoft Entra Connect

Синхронизация хэша паролей является одним из методов входа, используемых для реализации гибридной идентификации. Microsoft Entra Connect синхронизирует хэш хэша пароля пользователя из локального экземпляра Active Directory в облачный экземпляр Microsoft Entra. По умолчанию после настройки синхронизация хэша паролей выполняется для всех пользователей, которые вы синхронизируете.

Если вы хотите исключить подмножество пользователей из синхронизации хэша паролей с идентификатором Microsoft Entra ID, можно настроить выборочную синхронизацию хэша паролей, выполнив действия, описанные в этой статье.

Рассмотрите свою реализацию

Чтобы сократить административную трудоемкость, необходимо сначала определить количество объектов-пользователей, которые вы хотите исключить из синхронизации хэшей паролей. Проверьте следующие сценарии, которые являются взаимоисключающими, соответствуют вашим требованиям, чтобы выбрать правильный вариант конфигурации.

• Если число исключаемых пользователей меньше числа включаемых пользователей, выполните действия, описанные в этом разделе.
• Если число исключаемых пользователей больше числа включаемых пользователей, выполните действия, описанные в этом разделе.

Атрибут adminDescription

Оба сценария зависят от определенного значения атрибута adminDescription пользователей. Это позволяет применять правила и делает возможной выборочную синхронизацию хэша паролей (PHS).

Этот атрибут можно задать или так:

• с помощью интерфейса Active Directory "Пользователи и компьютеры"
• с помощью команды Set-ADUser в PowerShell. Дополнительные сведения см. в Set-ADUser.

Отключите планировщик синхронизации:

Перед запуском любого сценария необходимо отключить планировщик синхронизации на время внесения изменений в правила синхронизации.

1. Запустите Windows PowerShell и введите.

   Set-ADSyncScheduler -SyncCycleEnabled $false

2. Убедитесь, что планировщик отключен, выполнив следующий командлет:

   Get-ADSyncScheduler

Дополнительные сведения о планировщике см. в планировщике синхронизации Microsoft Entra Connect.

Исключенных пользователей меньше, чем включенных пользователей

В следующем разделе описано, как включить выборочную синхронизацию хэша паролей, если число исключаемых пользователей меньше числа включаемых пользователей.

• Создайте редактируемую копию правила In from AD – User AccountEnabled с параметром enable password hash sync, оставленным невыбранным, и определите область действия фильтра.
• Создайте другую редактируемую копию стандартного In from AD – User AccountEnabled с выбранным параметром enable password hash sync и определите область действия фильтра.
• Повторное включение планировщика синхронизации
• Задайте значение атрибута в Active Directory, который определён как атрибут, ограничивающий пользователей, которым вы хотите разрешить синхронизацию хэша паролей.

Настройте необходимые правила синхронизации:

1. Запустите Synchronization Rules Editor и установите фильтры Password Sync (Синхронизация паролей) в значение On (Вкл.) и Rule Type (Тип правила) в значение Standard (Стандартное).
2. Выберите правило «Учетная запись включена» в AD для соединителя леса Active Directory, для которого вы хотите настроить выборочную синхронизацию хэша пароля, и выберите «Изменить». Нажмите Yes (Да) в следующем диалоговом окне, чтобы создать редактируемую копию исходного правила.
3. Первое правило отключает синхронизацию хэша паролей. Назначьте следующее имя для нового настраиваемого правила: вход из AD - Учетная запись пользователя включена - Фильтрация пользователей из PHS. Измените значение "Precedence" (Приоритет) на число меньше 100 (например, 90 или любое значение меньше, доступное для вашей среды). Убедитесь, что сняты флажки Enable Password Sync (Включить синхронизацию пароля) и Disabled (Выключить). Выберите Далее.
4. В фильтр проверки областивыберите добавить условие. Выберите adminDescription в столбце "Attribute", EQUAL в столбце "Operator" и введите значение PHSFiltered.
5. Другие изменения не требуются. Правила присоединения и преобразования должны оставаться с скопированными по умолчанию параметрами, чтобы можно было выбрать сохранить. Нажмите кнопку ОК в диалоговом окне предупреждения, информирующем о том, что полная синхронизация будет выполнена в следующем цикле синхронизации соединителя.
6. Теперь создайте еще одно настраиваемое правило, в котором будет включена синхронизация хэша паролей. Снова выберите правило по умолчанию Вход из AD — Учетная запись включена для леса Active Directory, для которого вы хотите настроить выборочную синхронизацию паролей, и выберите Изменить. Нажмите Yes (Да) в следующем диалоговом окне, чтобы создать редактируемую копию исходного правила.
7. Укажите следующее имя для нового настраиваемого правила: In from AD - User AccountEnabled - Users included for PHS. Измените значение приоритета на число ниже, чем ранее созданное правило (в этом примере будет 89). Убедитесь, что установлен флажок Enable Password Sync (Включить синхронизацию пароля) и снят флажок Disabled (Выключить). Выберите Далее.
   
8. В фильтр проверки областивыберите добавить условие. В столбце "Attribute" выберите adminDescription, в столбце "Operator" выберите NOTEQUAL и введите значение PHSFiltered.
9. Другие изменения не требуются. Правила присоединения и преобразования должны оставаться с скопированными по умолчанию параметрами, чтобы можно было выбрать сохранить. Нажмите кнопку ОК в диалоговом окне предупреждения, информирующем о том, что полная синхронизация будет выполнена в следующем цикле синхронизации соединителя.
10. Подтвердите создание правил. Удалите фильтры Password Sync (Синхронизация пароля) On (Вкл.) и Rule Type (Тип правила) Standard (Стандартное). Должны отобразиться оба правила, которые вы только что создали.

Включите заново планировщик синхронизации.

После завершения действий по настройке необходимых правил синхронизации повторно включите планировщик синхронизации, выполнив следующие действия:

1. В Windows PowerShell выполните команду:

   set-adsyncscheduler -synccycleenabled:$true

2. Затем убедитесь, что она успешно активирована, выполнив команду:

   get-adsyncscheduler

Дополнительные сведения о планировщике см. в планировщике синхронизации Microsoft Entra Connect.

Изменение атрибута adminDescription пользователя:

После завершения всех конфигураций необходимо изменить атрибут adminDescription для всех пользователей, которые вы хотите исключить из синхронизации хэшей паролей в Active Directory, и добавить строку, определяющую область действия фильтра: PHSFiltered.

Для изменения атрибута adminDescription пользователя можно также использовать следующую команду в PowerShell:

set-adusermyuser-replace@{adminDescription="PHSFiltered"}

Исключенных пользователей больше, чем включенных пользователей

В следующем разделе описано, как включить выборочную синхронизацию хэша паролей, если число исключаемых пользователей больше числа включаемых пользователей.

Ниже приведены краткие сведения о действиях, которые необходимо выполнить:

• Создайте редактируемую копию правила In from AD – User AccountEnabled с параметром enable password hash sync, оставленным невыбранным, и определите область действия фильтра.
• Создайте другую редактируемую копию стандартного In from AD – User AccountEnabled с выбранным параметром enable password hash sync и определите область действия фильтра.
• Повторное включение планировщика синхронизации
• Задайте значение атрибута в Active Directory, который определён как атрибут, ограничивающий пользователей, которым вы хотите разрешить синхронизацию хэша паролей.

Настройте необходимые правила синхронизации:

1. Запустите Synchronization Rules Editor и установите фильтры Password Sync (Синхронизация паролей) в значение On (Вкл.) и Rule Type (Тип правила) в значение Standard (Стандартное).
2. Выберите правило In from AD – User AccountEnabled для леса Active Directory, для которого вы хотите настроить выборочную синхронизацию паролей, и выберите Редактировать. Нажмите Yes (Да) в следующем диалоговом окне, чтобы создать редактируемую копию исходного правила.
3. Первое правило отключает синхронизацию хэша паролей. Укажите следующее имя для нового настраиваемого правила: из AD — User AccountEnabled — фильтрация пользователей из PHS. Измените значение "Precedence" (Приоритет) на число меньше 100 (например, 90 или любое значение меньше, доступное для вашей среды). Убедитесь, что сняты флажки Enable Password Sync (Включить синхронизацию пароля) и Disabled (Выключить). Выберите Далее.
4. В фильтр проверки областивыберите добавить условие. В столбце Attribute выберите adminDescription, в столбце Operator выберите NOTEQUAL и введите значение PHSIncluded.
5. Другие изменения не требуются. Правила присоединения и преобразования должны оставаться с скопированными по умолчанию параметрами, чтобы можно было выбрать сохранить. Нажмите кнопку ОК в диалоговом окне предупреждения, информирующем о том, что полная синхронизация будет выполнена в следующем цикле синхронизации соединителя.
6. Теперь создайте еще одно настраиваемое правило, в котором будет включена синхронизация хэша паролей. Снова выберите правило по умолчанию Вход из AD — Учетная запись включена для леса Active Directory, для которого вы хотите настроить выборочную синхронизацию паролей, и выберите Изменить. Нажмите Yes (Да) в следующем диалоговом окне, чтобы создать редактируемую копию исходного правила.
7. Укажите следующее имя для нового настраиваемого правила: In from AD - User AccountEnabled - Users included for PHS. Измените значение приоритета на число ниже, чем ранее созданное правило (в этом примере будет 89). Убедитесь, что установлен флажок Enable Password Sync (Включить синхронизацию пароля) и снят флажок Disabled (Выключить). Выберите Далее.
8. В фильтр проверки областивыберите добавить условие. В столбце "Атрибут" выберите adminDescription, в столбце "Оператор" выберите EQUAL и введите значение PHSIncluded.
9. Другие изменения не требуются. Правила присоединения и преобразования должны оставаться с скопированными по умолчанию параметрами, чтобы можно было выбрать сохранить. Нажмите кнопку ОК в диалоговом окне предупреждения, информирующем о том, что полная синхронизация будет выполнена в следующем цикле синхронизации соединителя.
10. Подтвердите создание правил. Удалите фильтры Password Sync (Синхронизация пароля) On (Вкл.) и Rule Type (Тип правила) Standard (Стандартное). Должны отобразиться оба правила, которые вы только что создали.

Включите заново планировщик синхронизации.

После завершения действий по настройке необходимых правил синхронизации повторно включите планировщик синхронизации, выполнив следующие действия:

1. В Windows PowerShell запустите:

   set-adsyncscheduler-synccycleenabled$true

2. Затем убедитесь, что она успешно активирована, выполнив команду:

   get-adsyncscheduler

Дополнительные сведения о планировщике см. в планировщике синхронизации Microsoft Entra Connect.

Изменение атрибута adminDescription пользователя:

После завершения всех конфигураций необходимо изменить атрибут adminDescription для всех пользователей, которые вы хотите включить в синхронизацию хэшей паролей в Active Directory, и добавить строку, определяющую область действия фильтра: PHSIncluded.

Для изменения атрибута adminDescription пользователя можно также использовать следующую команду в PowerShell:

Set-ADUser myuser -Replace @{adminDescription="PHSIncluded"}

Следующие шаги

• Что такое синхронизация хэша паролей
• Как работает синхронизация хэша паролей