Управляемое пользователем гибридное присоединение к Microsoft Entra: увеличение ограничения учетной записи компьютера в подразделении

Соединитель Intune для Active Directory предназначен для подключения компьютеров к домену и добавления их в подразделение. По этой причине управляемая учетная запись службы, используемая для соединителя Intune для Active Directory, должна иметь разрешения на создание учетных записей компьютеров в подразделении, где компьютеры присоединены к локальному домену.

При наличии разрешений по умолчанию в Active Directory присоединение к домену с помощью соединителя Intune для Active Directory может изначально работать без каких-либо изменений разрешений подразделения в Active Directory. Однако после попытки MSA присоединить более 10 компьютеров к локальному домену эта служба перестает работать, так как по умолчанию Active Directory позволяет присоединить к локальному домену только 10 компьютеров.

Ограничение на присоединение к домену из 10 компьютеров не ограничивает следующих пользователей:

• Пользователи в группах "Администраторы" или "Администраторы домена". Для соблюдения модели принципа наименьших привилегий корпорация Майкрософт не рекомендует назначать MSA администратором или администратором домена.
• Пользователям с делегированными разрешениями на подразделения и контейнеры в Active Directory для создания учетных записей компьютеров: Рекомендуется использовать этот метод, так как он использует модель принципа предоставления минимальных привилегий.

Чтобы устранить это ограничение, MSA требуется разрешение " Создание учетных записей компьютеров " в организационном подразделении (OU), к которому присоединяются компьютеры в локальном домене. Соединитель Intune для Active Directory задает разрешения MSA для подразделений, если выполняется одно из следующих условий:

• Администратор, устанавливающий соединитель Intune для Active Directory, обладает необходимыми разрешениями для установки разрешений для подразделений.
• Администратор, настраивающий соединитель Intune для Active Directory, имеет необходимые разрешения для установки разрешений для подразделений.

Если у администратора, устанавливающего или настраивающего соединитель Intune для Active Directory, нет необходимых разрешений для установки разрешений для подразделений, необходимо выполнить следующие действия:

1. Войдите в компьютер, у которого есть доступ к консоли "Пользователи и компьютеры Active Directory" с учетной записью, которая в качестве необходимых разрешений для установки разрешений для подразделений.

2. Откройте консоль "Пользователи и компьютеры Active Directory", запустив DSA.msc.

3. Разверните нужный домен и перейдите к подразделению (OU), к которому присоединяются компьютеры во время Windows Autopilot.

   Примечание.

   Подразделение, к которому компьютеры присоединяются во время развертывания Windows Autopilot, указывается позже на этапе настройки и назначения профиля присоединения к домену .

4. Щелкните подразделение правой кнопкой мыши и выберите "Свойства".

   Примечание.

   Если компьютеры присоединяются к контейнеру Computers по умолчанию, а не к подразделению, щелкните контейнер Computers правой кнопкой мыши и выберите Delegate Control.

5. В открывшихся окнах свойств подразделения перейдите на вкладку "Безопасность".

6. На вкладке "Безопасность " выберите "Дополнительно".

7. В окне "Расширенные параметры безопасности " нажмите кнопку "Добавить".

8. В окнах ввода разрешений рядом с полем "Директор" щелкните ссылку "Выбрать субъекта ".

9. В окне "Выбрать пользователя, компьютер, учетную запись службы или группу " нажмите кнопку "Типы объектов... ".

10. В окне "Типы объектов" установите флажок "Проверка учетных записей служб" и нажмите кнопку "ОК".

11. В окне "Выбор пользователя, компьютера, учетной записи службы или группы" в поле "Введите имя выбираемого объекта" введите имя MSA, используемого для соединителя Intune для Active Directory.

    Совет

    Учетная запись MSA была создана на этапе/этапе "Установка соединителя Intune для Active Directory" и имеет формат имени, в ##### котором msaODJ##### находятся пять случайных символов. Если имя MSA неизвестно, выполните следующие действия, чтобы найти имя MSA:

    1. На сервере с соединителем Intune для Active Directory щелкните правой кнопкой мыши меню "Пуск" и выберите "Управление компьютером".
    2. В окне "Управление компьютером " разверните "Службы и приложения ", а затем выберите "Службы".
    3. В области результатов найдите службу с именем Intune ODJConnector for Active Service. Имя учетной записи Майкрософт указано в столбце "Войти как".

12. Выберите "Проверить имена", чтобы проверить запись имени MSA. После проверки записи нажмите кнопку "ОК".

13. В окнах ввода разрешений щелкните раскрывающееся меню Применяется к: , а затем выберите только этот объект.

14. В разделе "Разрешения" отмените выбор всех элементов, а затем установите флажок "Создать проверку объектов-компьютеров".

15. Нажмите кнопку "ОК", чтобы закрыть окно ввода разрешения .

16. В окне "Расширенные параметры безопасности " нажмите " Применить " или "ОК ", чтобы применить изменения.

Соединитель Intune для Active Directory предназначен для подключения компьютеров к домену и добавления их в подразделение. По этой причине сервер, на котором запущен соединитель Intune для Active Directory, должен иметь разрешения на создание учетных записей компьютеров в подразделении, где компьютеры присоединены к локальному домену.

При наличии разрешений по умолчанию в Active Directory присоединение к домену с помощью соединителя Intune для Active Directory может изначально работать без каких-либо изменений разрешений подразделения в Active Directory. Однако после того как сервер, на котором запущен соединитель Intune для Active Directory, попытается присоединить более 10 компьютеров к локальному домену, он перестанет работать, так как по умолчанию Active Directory позволяет присоединить к локальному домену только 10 компьютеров.

Ограничение на присоединение к домену из 10 компьютеров не ограничивает следующих пользователей:

• Пользователи в группах "Администраторы" или "Администраторы домена". Для соблюдения модели принципа наименьших привилегий корпорация Майкрософт не рекомендует делать учетную запись компьютера, на котором запущен соединитель Intune для Active Directory, администратором или администратором домена.
• Пользователям с делегированными разрешениями на создание учетных записей компьютеров в подразделениях и контейнерах Active Directory рекомендуется использовать этот метод, поскольку он использует модель принципа минимальных привилегий.

Чтобы устранить это ограничение, серверу, на котором запущен соединитель Intune для Active Directory, требуется разрешение на создание учетных записей компьютеров в организационном подразделении (OU), к которому присоединены компьютеры в локальном домене:

Чтобы увеличить ограничение учетной записи компьютера в подразделении, к которому компьютеры присоединяются во время Windows Autopilot, выполните следующие действия на компьютере, имеющем доступ к консоли "Пользователи и компьютеры Active Directory".

1. Откройте консоль "Пользователи и компьютеры Active Directory", запустив DSA.msc.

2. Разверните нужный домен и перейдите к подразделению (OU), к которому присоединяются компьютеры во время Windows Autopilot.

   Примечание.

   Подразделение, к которому компьютеры присоединяются во время развертывания Windows Autopilot, указывается позже на этапе настройки и назначения профиля присоединения к домену .

3. Щелкните подразделение правой кнопкой мыши и выберите Делегирование управления.

   Примечание.

   Если компьютеры присоединяются к контейнеру Computers по умолчанию, а не к подразделению, щелкните контейнер Computers правой кнопкой мыши и выберите Delegate Control.

4. В окне « Добро пожаловать в мастер делегирования управления » мастера делегирования управления нажмите кнопку «Далее».

5. В окне "Пользователи или группы " в разделе "Выбранные пользователи и группы" нажмите кнопку "Добавить".

6. Рядом с пунктом "Выбрать тип объекта": в окне "Выбор пользователей, компьютеров или групп" выберите "Типы объектов".

7. В окне "Типы объектов" установите флажок "Проверка компьютеров" и нажмите кнопку "ОК". Остальные элементы в этом окне можно оставить по умолчанию.

8. В окне "Выбор пользователей, компьютеров и групп" в поле "Введите имена выбираемых объектов" введите имя компьютера, на котором был установлен соединитель Intune для Active Directory, на этапе "Установка соединителя Intune для Active Directory".

9. Выберите "Проверить имена", чтобы проверить запись. После проверки записи нажмите кнопку "ОК".

10. Убедитесь, что в окне "Пользователи или группы " отображается нужный компьютер, а затем нажмите кнопку "Далее".

11. В окне " Задачи для делегирования " выберите "Создать настраиваемую задачу для делегирования" и нажмите кнопку "Далее".

12. В окне "Тип объекта Active Directory ":

    1. Выберите только следующие объекты в папке.

    2. В разделе Только следующие объекты в папке выберите Объекты-компьютеры.

    3. Установите флажок "Создать выделенные объекты в этой папке ".

    4. Нажмите кнопку Далее.

13. В окне "Разрешения" в разделе "Разрешения": установите флажок "Проверка полного доступа" и нажмите кнопку "Далее".

    Примечание.

    После установки флажка "Полный доступ" проверка автоматически выбираются все остальные параметры в разделе "Разрешения". Автоматический выбор флажков является нормальным и ожидаемым. Не отменяйте выбор полей для автоматической проверки.

14. В окне "Завершение делегирования управления " нажмите кнопку "Готово".