Instalace agenta Azure AD Připojení Health

V tomto článku se dozvíte, jak nainstalovat a nakonfigurovat Azure Active Directory (Azure AD) Připojení Health. Informace o stažení agentů najdete v těchto pokynech.

Požadavky

Následující tabulka uvádí požadavky na používání služby Azure AD Připojení Health.

Odchozí připojení ke koncovým bodům služby Azure

Během instalace a modulu runtime potřebuje agent připojení ke koncovým bodům služby Azure AD Připojení Health. Pokud brány firewall blokují odchozí připojení, ujistěte se, že adresy URL v následující tabulce nejsou ve výchozím nastavení blokované.

Nezakažte monitorování zabezpečení ani kontrolu těchto adres URL. Místo toho je povolte stejně, jako byste povolili jiný internetový provoz.

Tyto adresy URL umožňují komunikaci s koncovými body služby Azure AD Připojení Health. Později v tomto článku se dozvíte, jak zkontrolovat odchozí připojení pomocí Test-AzureADConnectHealthConnectivity .

Instalace agenta

Stažení a instalace agenta Azure AD Připojení Health:

• Ujistěte se, že splňujete požadavky služby Azure AD Připojení Health.
• Začínáme používat Azure AD Připojení Health pro AD FS:
  • Stáhněte si agenta Azure AD Připojení Health pro AD FS.
  • Přečtěte si pokyny k instalaci.
• začínáme používat Azure AD Connect Health k synchronizaci:
  • Stažení a instalace nejnovější verze služby Azure AD Connect agent stavu pro synchronizaci se nainstaluje jako součást instalace Azure AD Connect (verze 1.0.9125.0 nebo novější).
• začínáme používat Azure AD Connect Health pro Azure služba AD DS:
  • stáhněte agenta Azure AD Connect Health pro Azure služba AD DS.
  • Projděte si pokyny k instalaci.

Instalace agenta pro AD FS

Než agenta nainstalujete, ujistěte se, že je název hostitele serveru AD FS jedinečný a ve službě AD FS neexistuje. Chcete-li spustit instalaci agenta, dvakrát klikněte na soubor .exe , který jste stáhli. V prvním okně vyberte instalovat.

Po dokončení instalace vyberte Konfigurovat nyní.

Otevře se okno PowerShellu, ve kterém se spustí proces registrace agenta. Až se zobrazí výzva, přihlaste se pomocí účtu Azure AD, který má oprávnění k registraci agenta. Ve výchozím nastavení má účet globálního správce oprávnění.

Po přihlášení pokračuje prostředí PowerShell. Po dokončení můžete PowerShell zavřít. Konfigurace je dokončena.

V tuto chvíli by se měly služby agenta spouštět automaticky, aby mohl agent bezpečně odeslat požadovaná data do cloudové služby.

Pokud jste nesplnili všechny požadavky, zobrazí se v okně PowerShell upozornění. Před instalací agenta Nezapomeňte tyto požadavky dokončit. Následující snímek obrazovky ukazuje příklad těchto upozornění.

Chcete-li ověřit, zda byl agent nainstalován, vyhledejte následující služby na serveru. Pokud jste konfiguraci dokončili, měly by již být spuštěné. V opačném případě se zastaví až do dokončení konfigurace.

• Diagnostické služby AD FS pro Azure AD Connect Health
• Služba analýz AD FS pro Azure AD Connect Health
• Služba monitorování AD FS pro Azure AD Connect Health

Povolit auditování pro AD FS

Funkce analýzy využití potřebuje shromažďovat a analyzovat data. proto agent Azure AD Connect Health potřebuje informace v protokolech auditu AD FS. Tyto protokoly nejsou ve výchozím nastavení povolené. Pomocí následujících postupů povolte auditování AD FS a na serverech AD FS vyhledejte AD FS protokoly auditu.

Povolení auditování služby AD FS v systému Windows Server 2012 R2

1. Na obrazovce Start otevřete Správce serveru a pak otevřete místní zásady zabezpečení. Nebo na hlavním panelu otevřete Správce serveru a pak vyberte nástroje/místní zásady zabezpečení.

2. v části zabezpečení Nastavení \local přiřazení uživatelských – složka přiřazení práv . Pak dvakrát klikněte na možnost Generovat audity zabezpečení.

3. Na kartě Místní nastavení zabezpečení zkontrolujte, jestli je tam uvedený účet služby AD FS. Pokud není v seznamu, vyberte Přidat uživatele nebo skupinu a přidejte ho do seznamu. Pak vyberte OK.

4. Chcete-li povolit auditování, otevřete okno příkazového řádku se zvýšenými oprávněními. Pak spusťte následující příkaz:

   auditpol.exe /set /subcategory:{0CCE9222-69AE-11D9-BED3-505054503030} /failure:enable /success:enable

5. Zavřete místní zásady zabezpečení.

   Důležité

   Následující kroky jsou vyžadovány pouze pro primární AD FS servery.

6. Otevřete modul snap-in Správa služby AD FS. (V Správce serveru vyberte nástroje > . Správa AD FS.)

7. V podokně Akce vyberte Upravit služba FS (Federation Service) vlastnosti.

8. V dialogovém okně vlastnosti služba FS (Federation Service) vyberte kartu události .

9. Zaškrtněte políčka Úspěšné audity a audity selhání a pak vyberte OK.

10. Pokud chcete povolit podrobné protokolování prostřednictvím PowerShellu, použijte následující příkaz:

    Set-AdfsProperties -LOGLevel Verbose

Povolení auditování služby AD FS v systému Windows Server 2016

1. Na obrazovce Start otevřete Správce serveru a pak otevřete místní zásady zabezpečení. Nebo na hlavním panelu otevřete Správce serveru a pak vyberte nástroje/místní zásady zabezpečení.

2. přejděte do složky Security Nastavení \local přiřazení uživatelských Rights Assignment a dvakrát klikněte na možnost generovat audity zabezpečení.

3. Na kartě Místní nastavení zabezpečení zkontrolujte, jestli je tam uvedený účet služby AD FS. Pokud není v seznamu, vyberte Přidat uživatele nebo skupinu a přidejte do seznamu účet služby AD FS. Pak vyberte OK.

4. Chcete-li povolit auditování, otevřete okno příkazového řádku se zvýšenými oprávněními. Pak spusťte následující příkaz:

   auditpol.exe /set /subcategory:{0CCE9222-69AE-11D9-BED3-505054503030} /failure:enable /success:enable

5. Zavřete místní zásady zabezpečení.

   Důležité

   Následující kroky jsou vyžadovány pouze pro primární AD FS servery.

6. Otevřete modul snap-in Správa služby AD FS. (V Správce serveru vyberte nástroje > . Správa AD FS.)

7. V podokně Akce vyberte Upravit služba FS (Federation Service) vlastnosti.

8. V dialogovém okně vlastnosti služba FS (Federation Service) vyberte kartu události .

9. Zaškrtněte políčka Úspěšné audity a audity selhání a pak vyberte OK. Audity úspěchů a audity selhání by měly být ve výchozím nastavení povolené.

10. Otevřete okno PowerShellu a spusťte následující příkaz:

    Set-AdfsProperties -AuditLevel Verbose

Úroveň auditu Basic je ve výchozím nastavení povolená. Další informace najdete v tématu AD FS vylepšení auditu v Windows Server 2016.

Nalezení protokolů auditu služby AD FS

1. Otevřete Prohlížeč událostí.

2. přejít na Windows protokoly a pak vyberte zabezpečení.

3. Na pravé straně vyberte Filtrovat aktuální protokoly.

4. V případě zdrojů událostí vyberte AD FS auditování.

   Další informace o protokolech auditu najdete v tématu věnovaném dotazům na operace.

   

Nainstalovat agenta pro synchronizaci

agent Azure AD Connect Health pro synchronizaci je automaticky nainstalován v nejnovější verzi Azure AD Connect. pokud chcete použít Azure AD Connect ke synchronizaci, stáhněte si nejnovější verzi Azure AD Connect a nainstalujte ji.

Pokud chcete ověřit úspěšnou instalaci agenta, vyhledejte na serveru následující služby. Pokud jste konfiguraci dokončili, měly by být služby již spuštěné. V opačném případě se služby zastaví až do dokončení konfigurace.

• Služba analýz synchronizace služby Azure AD Connect Health
• Služba monitorování synchronizace služby Azure AD Connect Health

ruční registrace Azure AD Connect Health pro synchronizaci

pokud se registrace agenta Azure AD Connect Health pro synchronizaci po úspěšné instalaci Azure AD Connect nezdaří, můžete agenta ručně zaregistrovat pomocí příkazu prostředí PowerShell.

ručně zaregistrujte agenta Azure AD Connect Health pro synchronizaci pomocí následujícího příkazu powershellu. Služby Azure AD Connect Health se spustí po úspěšné registraci agenta.

Register-AzureADConnectHealthSyncAgent -AttributeFiltering $true -StagingMode $false

Příkaz přijímá následující parametry:

• AttributeFiltering: $true (výchozí) pokud Azure AD Connect nesynchronizuje výchozí sadu atributů a byla přizpůsobena pro použití filtrované sady atributů. V opačném případě použijte $false .
• StagingMode: $false (výchozí), pokud Azure AD Connect server není v pracovním režimu. Pokud je server nakonfigurovaný jako v pracovním režimu, použijte $true .

po zobrazení výzvy k ověření použijte stejný účet globálního správce (například admin@domain.onmicrosoft.com ), který jste použili ke konfiguraci Azure AD Connect.

Instalace agenta pro Azure služba AD DS

Chcete-li spustit instalaci agenta, dvakrát klikněte na soubor .exe , který jste stáhli. V prvním okně vyberte instalovat.

Po dokončení instalace vyberte Konfigurovat nyní.

Otevře se okno příkazového řádku. PowerShell se spustí Register-AzureADConnectHealthADDSAgent . Až se zobrazí výzva, přihlaste se k Azure.

Po přihlášení pokračuje prostředí PowerShell. Po dokončení můžete PowerShell zavřít. Konfigurace je dokončena.

V tuto chvíli by se měly služby spouštět automaticky, což agentovi umožňuje monitorovat a shromažďovat data. Pokud jste nesplnili všechny požadavky uvedené v předchozích částech, zobrazí se v okně PowerShell upozornění. Před instalací agenta Nezapomeňte tyto požadavky dokončit. Následující snímek obrazovky ukazuje příklad těchto upozornění.

Chcete-li ověřit, zda je agent nainstalován, vyhledejte v řadiči domény následující služby:

• Služba analýz AD DS pro Azure AD Connect Health
• Služba monitorování AD DS pro Azure AD Connect Health

Pokud jste konfiguraci dokončili, tyto služby by již měly být spuštěny. V opačném případě se zastaví až do dokončení konfigurace.

Rychlá instalace agenta na více serverech

1. Vytvořte uživatelský účet ve službě Azure AD. Zabezpečte ho pomocí hesla.

2. přiřaďte roli vlastníka pro tento místní účet Azure AD v Azure AD Connect Health pomocí portálu. Postupujte podle těchto kroků. Přiřaďte roli ke všem instancím služby.

3. Pro instalaci Stáhněte soubor MSI .exe v místním řadiči domény.

4. Spusťte následující skript. Nahraďte parametry novým uživatelským účtem a jeho heslem.

   AdHealthAddsAgentSetup.exe /quiet
   Start-Sleep 30
   $userName = "NEWUSER@DOMAIN"
   $secpasswd = ConvertTo-SecureString "PASSWORD" -AsPlainText -Force
   $myCreds = New-Object System.Management.Automation.PSCredential ($userName, $secpasswd)
   import-module "C:\Program Files\Azure Ad Connect Health Adds Agent\PowerShell\AdHealthAdds"
   
   Register-AzureADConnectHealthADDSAgent -Credential $myCreds
   

Po dokončení můžete odebrat přístup k místnímu účtu jedním nebo více následujícími úlohami:

• odeberte přiřazení role pro místní účet pro Azure AD Connect Health.
• Otočte heslo pro místní účet.
• Zakažte místní účet Azure AD.
• Odstraňte místní účet Azure AD.

Registrace agenta pomocí prostředí PowerShell

Po instalaci příslušného souboru agenta setup.exe můžete agenta zaregistrovat pomocí následujících příkazů PowerShellu v závislosti na roli. Otevřete okno PowerShellu a spusťte příslušný příkaz:

Register-AzureADConnectHealthADFSAgent
Register-AzureADConnectHealthADDSAgent
Register-AzureADConnectHealthSyncAgent

Register-AzureADConnectHealthADFSAgent -UserPrincipalName upn-of-the-user
Register-AzureADConnectHealthADDSAgent -UserPrincipalName upn-of-the-user
Register-AzureADConnectHealthSyncAgent -UserPrincipalName upn-of-the-user

Tyto příkazy přijímají Credential jako parametr k dokončení registrace neinteraktivní nebo k dokončení registrace na počítači, na kterém běží jádro serveru. Pamatujte na to, že:

• Můžete zachytit Credential proměnnou prostředí PowerShell, která je předána jako parametr.
• Můžete zadat libovolnou identitu služby Azure AD, která má oprávnění k registraci agentů a u kterých není povolené vícefaktorové ověřování.
• Ve výchozím nastavení mají globální správci oprávnění registrovat agenty. K provedení tohoto kroku můžete také povolit méně privilegované identity. Další informace najdete v tématu Azure RBAC.

    $cred = Get-Credential
    Register-AzureADConnectHealthADFSAgent -Credential $cred

konfigurace agentů Azure AD Connect Health k používání proxy serveru HTTP

Azure AD Connect Health agenty můžete nakonfigurovat tak, aby fungovaly s proxy HTTP.

Změna konfigurace proxy agenta

pokud chcete nakonfigurovat agenta Azure AD Connect Health, aby používal proxy HTTP, můžete:

• Importujte stávající nastavení proxy serveru.
• Zadejte proxy adresy ručně.
• Vymažte existující konfiguraci proxy serveru.

Importovat existující nastavení proxy serveru

můžete importovat nastavení proxy serveru HTTP aplikace Internet Explorer tak, aby agenti Azure AD Connect Health mohli nastavení použít. Na všech serverech, na kterých běží Agent stavu, spusťte následující příkaz PowerShellu:

Set-AzureAdConnectHealthProxySettings -ImportFromInternetSettings

nastavení proxy serveru WinHTTP můžete importovat, aby je agenti Azure AD Connect Health mohli používat. Na všech serverech, na kterých běží Agent stavu, spusťte následující příkaz PowerShellu:

Set-AzureAdConnectHealthProxySettings -ImportFromWinHttp

Zadat proxy adresy ručně

Můžete ručně zadat proxy server. Na všech serverech, na kterých běží Agent stavu, spusťte následující příkaz PowerShellu:

Set-AzureAdConnectHealthProxySettings -HttpsProxyAddress address:port

Tady je příklad:

Set-AzureAdConnectHealthProxySettings -HttpsProxyAddress myproxyserver: 443

V tomto příkladu:

• addressNastavení může být název serveru DNS, který bude možné přeložit nebo adresa IPv4.
• Můžete vynechat port . Pokud tak učiníte, pak je 443 výchozí port.

Vymazat existující konfiguraci proxy serveru

Existující konfiguraci proxy serveru můžete vymazat spuštěním následujícího příkazu:

Set-AzureAdConnectHealthProxySettings -NoProxy

Čtení aktuálního nastavení proxy serveru

Aktuální nastavení proxy můžete přečíst spuštěním následujícího příkazu:

Get-AzureAdConnectHealthProxySettings

Test připojení k Azure AD Connect Health službě

v některých případech může agent Azure AD Connect Health přijít o připojení ke službě Azure AD Connect Health. Příčiny této ztráty připojení můžou zahrnovat problémy se sítí, problémy s oprávněními a různé další problémy.

pokud agent nemůže odesílat data do služby Azure AD Connect Health po dobu delší než dvě hodiny, zobrazí se na portálu následující výstraha: "Health Service data nejsou aktuální."

můžete zjistit, jestli ovlivněný agent Azure AD Connect Health může odesílat data do služby Azure AD Connect Health spuštěním následujícího příkazu powershellu:

Test-AzureADConnectHealthConnectivity -Role ADFS

Parametr „role“ v současnosti přijímá následující hodnoty:

• ADFS
• Sync
• PŘIDÁ

Další kroky

Podívejte se na následující související články:

• Azure AD Connect Health
• Azure AD Connect Health operace
• Používání služby Azure AD Connect Health se službou AD FS
• Používání služby Azure AD Connect Health pro synchronizaci
• použití Azure AD Connect Health s využitím Azure služba AD DS
• Azure AD Connect Health – nejčastější dotazy
• Historie verzí služby Azure AD Connect Health