Azure AD Connect-Synchronisierung: Konfigurieren der FilterungAzure AD Connect sync: Configure filtering

Per Filterung können Sie für Ihr lokales Verzeichnis steuern, welche Objekte in Azure Active Directory (Azure AD) angezeigt werden.By using filtering, you can control which objects appear in Azure Active Directory (Azure AD) from your on-premises directory. Die Standardkonfiguration deckt alle Objekte in allen Domänen der konfigurierten Gesamtstrukturen ab.The default configuration takes all objects in all domains in the configured forests. Dies ist die für den Normalfall empfohlene Konfiguration.In general, this is the recommended configuration. Benutzer, die Office 365-Workloads wie etwa Exchange Online und Skype for Business verwenden, profitieren von einer vollständigen globalen Adressliste, die zum Senden von E-Mails und Anrufen anderer Personen genutzt werden kann.Users using Office 365 workloads, such as Exchange Online and Skype for Business, benefit from a complete Global Address List so they can send email and call everyone. In der Standardkonfiguration erhalten diese Benutzer die gleiche Funktionalität wie bei einer lokalen Implementierung von Exchange oder Lync.With the default configuration, they would have the same experience that they would have with an on-premises implementation of Exchange or Lync.

In einigen Fällen ist es jedoch erforderlich, Änderungen an der Standardkonfiguration vorzunehmen.In some cases however, you're required make some changes to the default configuration. Hier einige Beispiele:Here are some examples:

  • Sie planen, die Azure AD-Multiverzeichnistopologie zu verwenden.You plan to use the multi-Azure AD directory topology. Sie müssen einen Filter anwenden, um zu steuern, welche Objekte mit einem bestimmten Azure AD-Verzeichnis synchronisiert werden sollen.Then you need to apply a filter to control which objects are synchronized to a particular Azure AD directory.
  • Sie führen ein Pilotprojekt für Azure oder Office 365 aus und benötigen nur eine Teilmenge der Benutzer in Azure AD.You run a pilot for Azure or Office 365 and you only want a subset of users in Azure AD. In dem kleinen Pilotprojekt müssen Sie nicht unbedingt über eine vollständige globale Adressliste verfügen, um die Funktionsweise zu demonstrieren.In the small pilot, it's not important to have a complete Global Address List to demonstrate the functionality.
  • Sie haben viele Dienstkonten und andere nicht persönliche Konten, die nicht in Azure AD enthalten sein sollen.You have many service accounts and other nonpersonal accounts that you don't want in Azure AD.
  • Aus Compliancegründen löschen Sie lokal keine Benutzerkonten.For compliance reasons, you don't delete any user accounts on-premises. Sie deaktivieren sie nur.You only disable them. In Azure AD sollen aber nur aktive Konten vorhanden sein.But in Azure AD, you only want active accounts to be present.

In diesem Artikel wird beschrieben, wie Sie die verschiedenen Filtermethoden konfigurieren.This article covers how to configure the different filtering methods.

Wichtig

Microsoft unterstützt die Änderung oder den Einsatz der Azure AD Connect-Synchronisierung außerhalb dieser formal dokumentierten Aktionen nicht.Microsoft doesn't support modifying or operating Azure AD Connect sync outside of the actions that are formally documented. Eine dieser Aktionen kann zu einem inkonsistenten oder nicht unterstützten Status der Azure AD Connect-Synchronisierung führen. Folglich kann Microsoft auch keinen technischen Support für solche Bereitstellungen leisten.Any of these actions might result in an inconsistent or unsupported state of Azure AD Connect sync. As a result, Microsoft can't provide technical support for such deployments.

Grundlagen und wichtige HinweiseBasics and important notes

In der Azure AD Connect-Synchronisierung können Sie die Filterung jederzeit aktivieren.In Azure AD Connect sync, you can enable filtering at any time. Wenn Sie mit einer Standardkonfiguration der Verzeichnissynchronisierung beginnen und dann die Filterung konfigurieren, werden die Objekte, die herausgefiltert werden, nicht mehr mit Azure AD synchronisiert.If you start with a default configuration of directory synchronization and then configure filtering, the objects that are filtered out are no longer synchronized to Azure AD. Infolge dieser Änderung werden alle Objekte in Azure AD, die zuvor synchronisiert, aber dann gefiltert wurden, in Azure AD gelöscht.Because of this change, any objects in Azure AD that were previously synchronized but were then filtered are deleted in Azure AD.

Stellen Sie vor dem Vornehmen von Änderungen an der Filterung sicher, dass Sie die geplante Aufgabe deaktivieren. So werden nicht versehentlich Änderungen exportiert, deren Richtigkeit Sie nicht überprüft haben.Before you start making changes to filtering, make sure that you disable the scheduled task so you don't accidentally export changes that you haven't yet verified to be correct.

Da bei der Filterung viele Objekte gleichzeitig entfernt werden können, sollten Sie darauf achten, dass Ihre neuen Filter korrekt sind, bevor Sie mit dem Exportieren von Änderungen nach Azure AD beginnen.Because filtering can remove many objects at the same time, you want to make sure that your new filters are correct before you start exporting any changes to Azure AD. Es wird dringend empfohlen, nach dem Durchführen der Konfigurationsschritte die Überprüfungsschritte auszuführen, bevor Sie exportieren und Änderungen an Azure AD vornehmen.After you've completed the configuration steps, we strongly recommend that you follow the verification steps before you export and make changes to Azure AD.

Um das versehentliche Löschen von vielen Objekten zu verhindern, ist das Feature zum Verhindern versehentlicher Löschungen standardmäßig aktiviert.To protect you from deleting many objects by accident, the feature "prevent accidental deletes" is on by default. Wenn Sie aufgrund einer Filterung viele Objekte löschen (standardmäßig 500), müssen Sie die Schritte in diesem Artikel ausführen, damit die Löschvorgänge auch für Azure AD gelten.If you delete many objects due to filtering (500 by default), you need to follow the steps in this article to allow the deletes to go through to Azure AD.

Wenn Sie einen älteren Build als November 2015 nutzen (1.0.9125), eine Änderung an der Filterkonfiguration vornehmen und die Kennworthashsynchronisierung verwenden, müssen Sie eine vollständige Synchronisierung aller Kennwörter auslösen, nachdem Sie die Konfiguration abgeschlossen haben.If you use a build before November 2015 (1.0.9125), make a change to a filter configuration, and use password hash synchronization, then you need to trigger a full sync of all passwords after you've completed the configuration. Informationen zu Schritten zum Auslösen einer vollständigen Kennwortsynchronisierung finden Sie unter Auslösen einer vollständigen Synchronisierung aller Kennwörter.For steps on how to trigger a password full sync, see Trigger a full sync of all passwords. Falls Sie Version 1.0.9125 oder höher verwenden, wird mit der normalen Aktion Vollständige Synchronisierung auch berechnet, ob Kennwörter synchronisiert werden sollen. Dieser zusätzliche Schritt ist nicht mehr erforderlich.If you're on build 1.0.9125 or later, then the regular full synchronization action also calculates whether passwords should be synchronized and if this extra step is no longer required.

Wenn Benutzerobjekte in Azure AD aufgrund eines Filterungsfehlers versehentlich gelöscht wurden, können Sie die Benutzerobjekte in Azure AD neu erstellen, indem Sie Ihre Filterkonfigurationen entfernen.If user objects were inadvertently deleted in Azure AD because of a filtering error, you can recreate the user objects in Azure AD by removing your filtering configurations. Anschließend können Sie Ihre Verzeichnisse erneut synchronisieren.Then you can synchronize your directories again. Mit dieser Aktion werden die Benutzer aus dem Papierkorb in Azure AD wiederhergestellt.This action restores the users from the recycle bin in Azure AD. Das Löschen anderer Objekttypen kann jedoch nicht rückgängig gemacht werden.However, you can't undelete other object types. Wenn Sie beispielsweise eine Sicherheitsgruppe versehentlich löschen, die als Zugriffssteuerungsliste (ACL) für eine Ressource verwendet wurde, können die Gruppe und die zugehörigen ACLs nicht wiederhergestellt werden.For example, if you accidentally delete a security group and it was used to ACL a resource, the group and its ACLs can't be recovered.

Von Azure AD Connect werden nur Objekte gelöscht, die einmal als zum Bereich gehörend betrachtet wurden.Azure AD Connect only deletes objects that it has once considered to be in scope. Wenn in Azure AD Objekte enthalten sind, die von einem anderen Synchronisierungsmodul erstellt wurden und nicht Teil des Bereichs sind, werden sie durch das Hinzufügen der Filterung nicht entfernt.If there are objects in Azure AD that were created by another sync engine and these objects aren't in scope, adding filtering doesn't remove them. Wenn Sie beispielsweise mit einem DirSync-Server beginnen, mit dem eine vollständige Kopie Ihres gesamten Verzeichnisses in Azure AD erstellt wurde, und einen neuen Azure AD Connect-Synchronisierungsserver parallel mit der von Beginn an aktivierten Filterung installieren, werden die von DirSync erstellten zusätzlichen Objekte von Azure AD Connect nicht entfernt.For example, if you start with a DirSync server that created a complete copy of your entire directory in Azure AD, and you install a new Azure AD Connect sync server in parallel with filtering enabled from the beginning, Azure AD Connect doesn't remove the extra objects that are created by DirSync.

Die Filterkonfigurationen werden beibehalten, wenn Sie eine neuere Version von Azure AD Connect installieren oder ein Upgrade darauf durchführen.The filtering configuration is retained when you install or upgrade to a newer version of Azure AD Connect. Es ist immer empfehlenswert, vor dem Ausführen des ersten Synchronisierungszyklus zu verifizieren, dass die Konfiguration nach einem Upgrade auf eine neuere Version nicht versehentlich geändert wurde.It's always a best practice to verify that the configuration wasn't inadvertently changed after an upgrade to a newer version before running the first synchronization cycle.

Wenn Sie über mehrere Gesamtstrukturen verfügen, müssen die in diesem Thema beschriebenen Filterkonfigurationen auf jede Gesamtstruktur angewendet werden (vorausgesetzt, für alle soll die gleiche Konfiguration gelten).If you have more than one forest, then you must apply the filtering configurations that are described in this topic to every forest (assuming that you want the same configuration for all of them).

Deaktivieren von geplanten AufgabenDisable the scheduled task

Führen Sie die folgenden Schritte aus, um den integrierten Scheduler zu deaktivieren, der jeweils im Abstand von 30 Minuten einen Synchronisierungszyklus auslöst:To disable the built-in scheduler that triggers a synchronization cycle every 30 minutes, follow these steps:

  1. Wechseln Sie zu einer PowerShell-Eingabeaufforderung.Go to a PowerShell prompt.
  2. Führen Sie Set-ADSyncScheduler -SyncCycleEnabled $False aus, um den Scheduler zu deaktivieren.Run Set-ADSyncScheduler -SyncCycleEnabled $False to disable the scheduler.
  3. Nehmen Sie die in diesem Thema beschriebenen Änderungen vor.Make the changes that are documented in this article.
  4. Führen Sie Set-ADSyncScheduler -SyncCycleEnabled $True aus, um den Scheduler wieder zu aktivieren.Run Set-ADSyncScheduler -SyncCycleEnabled $True to enable the scheduler again.

Bei Verwendung eines älteren Azure AD Connect-Builds als 1.1.105.0If you use an Azure AD Connect build before 1.1.105.0
Führen Sie die folgenden Schritte aus, um die geplante Aufgabe zu deaktivieren, mit der jeweils im Abstand von drei Stunden ein Synchronisierungszyklus ausgelöst wird:To disable the scheduled task that triggers a synchronization cycle every three hours, follow these steps:

  1. Starten Sie im Startmenü die Aufgabenplanung.Start Task Scheduler from the Start menu.
  2. Suchen Sie direkt unterhalb der Aufgabenplanungsbibliothek nach der Aufgabe namens Azure AD-Synchronisierungsplaner, klicken Sie mit der rechten Maustaste darauf, und wählen Sie Deaktivieren aus.Directly under Task Scheduler Library, find the task named Azure AD Sync Scheduler, right-click, and select Disable.
    AufgabenplanungTask Scheduler
  3. Sie können jetzt Konfigurationsänderungen vornehmen und das Synchronisierungsmodul manuell über die Konsole Synchronization Service Manager ausführen.You can now make configuration changes and run the sync engine manually from the Synchronization Service Manager console.

Nachdem Sie alle Änderungen an der Filterung vorgenommen haben, sollten Sie nicht vergessen, die Aufgabe wieder zu aktivieren.After you've completed all your filtering changes, don't forget to come back and Enable the task again.

FilteroptionenFiltering options

Sie können die folgenden Filterkonfigurationstypen auf das Tool für die Verzeichnissynchronisierung anwenden:You can apply the following filtering configuration types to the directory synchronization tool:

  • Gruppenbasiert: Die auf einer einzelnen Gruppe basierende Filterung kann nur bei der Erstinstallation mit dem Installations-Assistenten konfiguriert werden.Group-based: Filtering based on a single group can only be configured on initial installation by using the installation wizard.
  • Domänenbasiert: Bei dieser Option können Sie auswählen, welche Domänen mit Azure AD synchronisiert werden.Domain-based: By using this option, you can select which domains synchronize to Azure AD. Außerdem können Sie Domänen zur Konfiguration des Synchronisierungsmoduls hinzufügen und daraus entfernen, wenn Sie Änderungen an Ihrer lokalen Infrastruktur vornehmen, nachdem Sie die Azure AD Connect-Synchronisierung installiert haben.You can also add and remove domains from the sync engine configuration when you make changes to your on-premises infrastructure after you install Azure AD Connect sync.
  • Organisationseinheitenbasiert: Bei dieser Option können Sie auswählen, welche Organisationseinheiten mit Azure AD synchronisiert werden.Organizational unit (OU)–based: By using this option, you can select which OUs synchronize to Azure AD. Diese Option ist für alle Objekttypen in den ausgewählten Organisationseinheiten vorhanden.This option is for all object types in selected OUs.
  • Attributbasiert: Bei dieser Option können Sie Objekte basierend auf den Attributwerten der Objekte filtern.Attribute-based: By using this option, you can filter objects based on attribute values on the objects. Sie können auch unterschiedliche Filter für unterschiedliche Objekttypen verwenden.You can also have different filters for different object types.

Sie können gleichzeitig mehrere Filteroptionen verwenden.You can use multiple filtering options at the same time. Beispielsweise können Sie die organisationseinheitenbasierte Filterung verwenden, um ausschließlich Objekte in einer Organisationseinheit einzuschließen.For example, you can use OU-based filtering to only include objects in one OU. Gleichzeitig können Sie die attributbasierte Filterung verwenden, um die Objekte noch weiter zu filtern.At the same time, you can use attribute-based filtering to filter the objects further. Wenn Sie mehrere Filtermethoden verwenden, wird für die Filter zwischen den Filtern ein logisches „Und“ genutzt.When you use multiple filtering methods, the filters use a logical "AND" between the filters.

Domänenbasierte FilterungDomain-based filtering

Dieser Abschnitt enthält die Schritte, die Sie zum Konfigurieren des Domänenfilters ausführen müssen.This section provides you with the steps to configure your domain filter. Wenn Sie nach der Installation von Azure AD Connect in der Gesamtstruktur Domänen hinzugefügt oder entfernt haben, müssen Sie auch die Konfiguration der Filterung aktualisieren.If you added or removed domains in your forest after you installed Azure AD Connect, you also have to update the filtering configuration.

Die bevorzugte Methode zum Ändern der domänenbasierten Filterung besteht darin, den Installations-Assistenten auszuführen und die Filterung von Domänen und Organisationseinheiten zu ändern.The preferred way to change domain-based filtering is by running the installation wizard and changing domain and OU filtering. Der Installations-Assistent automatisiert alle Aufgaben, die in diesem Thema dokumentiert sind.The installation wizard automates all the tasks that are documented in this topic.

Sie sollten die folgenden Schritte nur ausführen, wenn Sie den Installations-Assistenten aus irgendeinem Grund nicht ausführen können.You should only follow these steps if you're unable to run the installation wizard for some reason.

Die Konfiguration der domänenbasierten Filterung umfasst folgende Schritte:Domain-based filtering configuration consists of these steps:

  1. Wählen Sie die Domänen aus, die in die Synchronisierung einbezogen werden sollen.Select the domains that you want to include in the synchronization.
  2. Passen Sie für jede hinzugefügte und entfernte Domäne die Ausführungsprofile an.For each added and removed domain, adjust the run profiles.
  3. Wenden Sie die Änderungen an, und überprüfen Sie sie.Apply and verify changes.

Auswählen der zu synchronisierenden DomänenSelect the domains to be synchronized

Es gibt zwei Möglichkeiten für das Auswählen der zu synchronisierenden Domänen:There are two ways to select the domains to be synchronized: - Verwenden des SynchronisierungsdienstsUsing the Synchronization Service - Verwenden des Azure AD Connect-Assistenten.Using the Azure AD Connect wizard.

Wählen Sie die zu synchronisierenden Domänen über den Synchronisierungsdienst aus.Select the domains to be synchronized using the Synchronization Service

Um den Filter für die Domäne festzulegen, führen Sie die folgenden Schritte aus:To set the domain filter, do the following steps:

  1. Melden Sie sich bei dem Server, auf dem die Azure AD Connect-Synchronisierung ausgeführt wird, mit einem Konto an, das Mitglied der Sicherheitsgruppe ADSyncAdmins ist.Sign in to the server that is running Azure AD Connect sync by using an account that is a member of the ADSyncAdmins security group.
  2. Starten Sie den Synchronisierungsdienst über das Startmenü.Start Synchronization Service from the Start menu.
  3. Wählen Sie Connectors aus, und wählen Sie in der Liste Connectors den Connector mit dem Typ Active Directory Domain Services aus.Select Connectors, and in the Connectors list, select the Connector with the type Active Directory Domain Services. Wählen Sie unter Aktionen die Option Eigenschaften aus.In Actions, select Properties.
    ConnectoreigenschaftenConnector properties
  4. Klicken Sie auf Verzeichnispartitionen konfigurieren.Click Configure Directory Partitions.
  5. Aktivieren bzw. deaktivieren Sie je nach Bedarf die Domänen in der Liste Select directory partitions (Verzeichnispartitionen auswählen).In the Select directory partitions list, select and unselect domains as needed. Achten Sie darauf, dass nur die Partitionen ausgewählt sind, die Sie synchronisieren möchten.Verify that only the partitions that you want to synchronize are selected.
    PartitionenPartitions
    Wenn Sie Ihre lokale Active Directory-Infrastruktur geändert und der Gesamtstruktur Domänen hinzugefügt oder daraus entfernt haben, können Sie auf die Schaltfläche Aktualisieren klicken, um eine aktualisierte Liste zu erhalten.If you've changed your on-premises Active Directory infrastructure and added or removed domains from the forest, then click the Refresh button to get an updated list. Beim Aktualisieren werden Sie zur Eingabe von Anmeldeinformationen aufgefordert.When you refresh, you're asked for credentials. Geben Sie Anmeldeinformationen an, die Ihnen den Lesezugriff auf Windows Server Active Directory ermöglichen.Provide any credentials with read access to Windows Server Active Directory. Es muss sich nicht um den Benutzer handeln, der im Dialogfeld bereits angegeben ist.It doesn't have to be the user that is prepopulated in the dialog box.
    Aktualisierung erforderlichRefresh needed
  6. Schließen Sie nach Abschluss des Vorgangs das Dialogfeld Eigenschaften, indem Sie auf OK klicken.When you're done, close the Properties dialog by clicking OK. Wenn Sie Domänen aus der Gesamtstruktur entfernt haben, werden Sie in einer Popupmeldung darauf hingewiesen, dass eine Domäne entfernt wurde und diese Konfiguration bereinigt wird.If you removed domains from the forest, a message pop-up says that a domain was removed and that configuration will be cleaned up.
  7. Fahren Sie mit dem Anpassen der Ausführungsprofile fort.Continue to adjust the run profiles.

Wählen Sie die zu synchronisierenden Domänen mit dem Azure AD Connect-Assistenten aus.Select the domains to be synchronized using the Azure AD Connect wizard

Um den Filter für die Domäne festzulegen, führen Sie die folgenden Schritte aus:To set the domain filter, do the following steps:

  1. Starten Sie den Azure AD Connect-Assistenten.Start the Azure AD Connect wizard
  2. Klicken Sie auf Konfigurieren.Click Configure.
  3. Wählen Sie Synchronisierungsoptionen anpassen, und klicken Sie auf Weiter.Select Customize Synchronization Options and click Next.
  4. Geben Sie Ihre Azure AD-Anmeldeinformationen ein.Enter your Azure AD credentials
  5. Klicken Sie auf dem Bildschirm Verbundene Verzeichnisse auf Weiter.On the Connected Directories screen click Next.
  6. Klicken Sie auf der Seite Filtern von Domänen und Organisationseinheiten auf Aktualisieren.On the Domain and OU filtering page click Refresh. Neue Domänen werden nun angezeigt und gelöschte Domänen werden ausgeblendet.New domains ill now appear and deleted domains will disappear. PartitionenPartitions

Aktualisieren von AusführungsprofilenUpdate the run profiles

Wenn Sie den Domänenfilter aktualisiert haben, müssen Sie auch die Ausführungsprofile aktualisieren.If you've updated your domain filter, you also need to update the run profiles.

  1. Stellen Sie in der Liste Connectors sicher, dass der Connector ausgewählt ist, den Sie im vorherigen Schritt geändert haben.In the Connectors list, make sure that the Connector that you changed in the previous step is selected. Wählen Sie unter Aktionen die Option Configure Run Profiles (Ausführungsprofile konfigurieren).In Actions, select Configure Run Profiles.
    Connector-Ausführungsprofile 1Connector run profiles 1
  2. Suchen und identifizieren Sie die folgenden Profile:Find and identify the following profiles:
    • Vollständiger ImportFull Import
    • Vollständige SynchronisierungFull Synchronization
    • DeltaimportDelta Import
    • DeltasynchronisierungDelta Synchronization
    • ExportExport
  3. Passen Sie für jedes Profil die hinzugefügten und entfernten Domänen an.For each profile, adjust the added and removed domains.
    1. Führen Sie für jedes der fünf Profile für alle hinzugefügten Domänen jeweils die folgenden Schritte aus:For each of the five profiles, do the following steps for each added domain:
      1. Wählen Sie das Ausführungsprofil aus, und klicken Sie auf Neuer Schritt.Select the run profile and click New Step.
      2. Wählen Sie auf der Seite Configure Step (Schritt konfigurieren) im Dropdownmenü Type (Typ) den Schritttyp mit dem gleichen Namen wie das Profil aus, das Sie konfigurieren.On the Configure Step page, in the Type drop-down menu, select the step type with the same name as the profile that you're configuring. Klicken Sie auf Weiter.Then click Next.
        Connector-Ausführungsprofile 2Connector run profiles 2
      3. Wählen Sie auf der Seite Connector Configuration (Connectorkonfiguration) im Dropdownmenü Partition den Namen der Domäne aus, die Sie dem Domänenfilter hinzugefügt haben.On the Connector Configuration page, in the Partition drop-down menu, select the name of the domain that you've added to your domain filter.
        Connector-Ausführungsprofile 3Connector run profiles 3
      4. Um das Dialogfeld Configure Run Profile zu schließen, klicken Sie auf Finish (Fertig stellen).To close the Configure Run Profile dialog, click Finish.
    2. Führen Sie für jedes der fünf Profile für alle entfernten Domänen jeweils die folgenden Schritte aus:For each of the five profiles, do the following steps for each removed domain:
      1. Wählen Sie das Ausführungsprofil aus.Select the run profile.
      2. Wenn der Wert des Attributs Partition eine GUID ist, wählen Sie den Ausführungsschritt aus und klicken auf Delete Step (Schritt löschen).If the Value of the Partition attribute is a GUID, select the run step and click Delete Step.
        Connector-Ausführungsprofile 4Connector run profiles 4
    3. Überprüfen Sie Ihre Änderungen.Verify your change. Jede Domäne, die Sie synchronisieren möchten, wird als Schritt in jedem Ausführungsprofil aufgelistet.Each domain that you want to synchronize should be listed as a step in each run profile.
  4. Um das Dialogfeld Configure Run Profiles zu schließen, klicken Sie auf OK.To close the Configure Run Profiles dialog, click OK.
  5. Um die Konfiguration abzuschließen, müssen Sie einen vollständigen Import und eine Deltasynchronisierung durchführen. Fahren Sie mit dem Abschnitt Anwenden und Überprüfen von Änderungen fort.To complete the configuration, you need to run a Full import and a Delta sync. Continue reading the section Apply and verify changes.

Filterung basierend auf OrganisationseinheitenOrganizational unit–based filtering

Die bevorzugte Methode zum Ändern der organisationseinheitenbasierten Filterung besteht darin, den Installations-Assistenten auszuführen und die Filterung von Domänen und Organisationseinheiten zu ändern.The preferred way to change OU-based filtering is by running the installation wizard and changing domain and OU filtering. Der Installations-Assistent automatisiert alle Aufgaben, die in diesem Thema dokumentiert sind.The installation wizard automates all the tasks that are documented in this topic.

Sie sollten die folgenden Schritte nur ausführen, wenn Sie den Installations-Assistenten aus irgendeinem Grund nicht ausführen können.You should only follow these steps if you're unable to run the installation wizard for some reason.

Führen Sie zum Konfigurieren der auf Organisationseinheiten basierenden Filterung die folgenden Schritte aus:To configure organizational unit–based filtering, do the following steps:

  1. Melden Sie sich bei dem Server, auf dem die Azure AD Connect-Synchronisierung ausgeführt wird, mit einem Konto an, das Mitglied der Sicherheitsgruppe ADSyncAdmins ist.Sign in to the server that is running Azure AD Connect sync by using an account that is a member of the ADSyncAdmins security group.
  2. Starten Sie den Synchronisierungsdienst über das Startmenü.Start Synchronization Service from the Start menu.
  3. Wählen Sie Connectors aus, und wählen Sie in der Liste Connectors den Connector mit dem Typ Active Directory Domain Services aus.Select Connectors, and in the Connectors list, select the Connector with the type Active Directory Domain Services. Wählen Sie unter Aktionen die Option Eigenschaften aus.In Actions, select Properties.
    ConnectoreigenschaftenConnector properties
  4. Klicken Sie auf Configure Directory Partitions (Verzeichnispartitionen konfigurieren), wählen Sie die Domäne aus, die Sie konfigurieren möchten, und klicken Sie dann auf Containers (Container).Click Configure Directory Partitions, select the domain that you want to configure, and then click Containers.
  5. Geben Sie bei Aufforderung Anmeldeinformationen an, die Ihnen den Lesezugriff auf Ihr lokales Active Directory-Verzeichnis ermöglichen.When you're prompted, provide any credentials with read access to your on-premises Active Directory. Es muss sich nicht um den Benutzer handeln, der im Dialogfeld bereits angegeben ist.It doesn't have to be the user that is prepopulated in the dialog box.
  6. Deaktivieren Sie im Dialogfeld Select Containers (Container auswählen) die Organisationseinheiten, die Sie nicht mit dem Cloudverzeichnis synchronisieren möchten, und klicken Sie auf OK.In the Select Containers dialog box, clear the OUs that you don’t want to synchronize with the cloud directory, and then click OK.
    OEs im Dialogfeld „Container auswählen“OUs in the Select Containers dialog box
    • Der Container Computer sollte ausgewählt sein, damit die Synchronisierung Ihrer Windows 10-Computer mit Azure AD erfolgreich ist.The Computers container should be selected for your Windows 10 computers to be successfully synchronized to Azure AD. Falls sich die einer Domäne angehörenden Computer in anderen Organisationseinheiten befinden, sollten Sie sicherstellen, dass sie ausgewählt sind.If your domain-joined computers are located in other OUs, make sure those are selected.
    • Der Container ForeignSecurityPrincipals sollte ausgewählt sein, wenn Sie über mehrere Gesamtstrukturen mit Vertrauensstellungen verfügen.The ForeignSecurityPrincipals container should be selected if you have multiple forests with trusts. Dieser Container ermöglicht die Auflösung der gesamtstrukturübergreifenden Sicherheitsgruppenmitgliedschaft.This container allows cross-forest security group membership to be resolved.
    • Die Organisationseinheit RegisteredDevices sollte ausgewählt sein, wenn Sie das Feature für das Geräterückschreiben aktiviert haben.The RegisteredDevices OU should be selected if you enabled the device writeback feature. Falls Sie ein anderes Feature für das Geräterückschreiben verwenden, z. B. das Gruppenrückschreiben, sollten Sie sicherstellen, dass diese Speicherorte ausgewählt sind.If you use another writeback feature, such as group writeback, make sure these locations are selected.
    • Wählen Sie eine beliebige andere Organisationseinheit aus, in der Benutzer, iNetOrgPersons, Gruppen, Kontakte und Computer enthalten sind.Select any other OU where Users, iNetOrgPersons, Groups, Contacts, and Computers are located. In der Abbildung befinden sich all diese Organisationseinheiten in der Organisationseinheit „ManagedObjects“.In the picture, all these OUs are located in the ManagedObjects OU.
    • Wenn Sie die gruppenbasierte Filterung verwenden, muss die Organisationseinheit, zu der die Gruppe gehört, enthalten sein.If you use group-based filtering, then the OU where the group is located must be included.
    • Hinweis: Sie können konfigurieren, ob neue Organisationseinheiten, die nach Abschluss der Filterkonfiguration hinzugefügt wurden, synchronisiert werden sollen.Note that you can configure whether new OUs that are added after the filtering configuration finishes are synchronized or not synchronized. Weitere Details finden Sie im nächsten Abschnitt.See the next section for details.
  7. Schließen Sie nach Abschluss des Vorgangs das Dialogfeld Eigenschaften, indem Sie auf OK klicken.When you're done, close the Properties dialog by clicking OK.
  8. Um die Konfiguration abzuschließen, müssen Sie einen vollständigen Import und eine Deltasynchronisierung durchführen. Fahren Sie mit dem Abschnitt Anwenden und Überprüfen von Änderungen fort.To complete the configuration, you need to run a Full import and a Delta sync. Continue reading the section Apply and verify changes.

Synchronisieren neuer OrganisationseinheitenSynchronize new OUs

Für neue Organisationseinheiten, die nach dem Konfigurieren der Filterung erstellt werden, erfolgt standardmäßig eine Synchronisierung.New OUs that are created after filtering has been configured are synchronized by default. Dieser Zustand wird durch ein aktiviertes Kontrollkästchen angegeben.This state is indicated by a selected check box. Sie können auch die Auswahl einiger untergeordneter Organisationseinheiten wieder aufheben.You can also unselect some sub-OUs. Klicken Sie dazu auf das Feld, bis es weiß mit einem blauen Häkchen (Standardzustand) dargestellt wird.To get this behavior, click the box until it becomes white with a blue check mark (its default state). Deaktivieren Sie danach alle untergeordneten Organisationseinheiten, die Sie nicht synchronisieren möchten.Then unselect any sub-OUs that you don't want to synchronize.

Wenn alle untergeordneten Organisationseinheiten synchronisiert sind, ist das Feld weiß und enthält ein blaues Häkchen.If all sub-OUs are synchronized, then the box is white with a blue check mark.
Organisationseinheit mit allen Feldern aktiviert

Wenn die Auswahl einiger untergeordneter Organisationseinheiten aufgehoben wurde, wird das Feld grau mit einem weißen Häkchen dargestellt.If some sub-OUs have been unselected, then the box is gray with a white check mark.
Organisationseinheit mit einigen deaktivierten untergeordneten Organisationseinheiten

Bei dieser Konfiguration wird eine neue Organisationseinheit, die unter ManagedObjects erstellt wurde, synchronisiert.With this configuration, a new OU that was created under ManagedObjects is synchronized.

Der Installations-Assistent für Azure AD Connect erstellt immer diese Konfiguration.The Azure AD Connect installation wizard always creates this configuration.

Aufheben der Synchronisierung neuer OrganisationseinheitenDon't synchronize new OUs

Sie können konfigurieren, dass das Synchronisierungsmodul neue Organisationseinheiten nach Abschluss der Filterkonfiguration nicht synchronisiert.You can configure the sync engine to not synchronize new OUs after the filtering configuration has finished. Dieser Zustand wird auf der Benutzeroberfläche mit einem einfarbig grauen Feld ohne Häkchen dargestellt.This state is indicated in the UI by the box appearing solid gray with no check mark. Klicken Sie für diese Einstellung auf das Feld, bis es weiß ohne ein Häkchen dargestellt wird.To get this behavior, click the box until it becomes white with no check mark. Wählen Sie dann die untergeordneten Organisationseinheiten aus, die Sie synchronisieren möchten.Then select the sub-OUs that you want to synchronize.

Organisationseinheit mit deaktiviertem Stamm

Bei dieser Konfiguration wird eine neue Organisationseinheit, die unter ManagedObjects erstellt wurde, nicht synchronisiert.With this configuration, a new OU that was created under ManagedObjects isn't synchronized.

Attributbasierte FilterungAttribute-based filtering

Stellen Sie sicher, dass Sie den Build vom November 2015 (1.0.9125) oder höher verwenden, damit diese Schritte funktionieren.Make sure that you're using the November 2015 (1.0.9125) or later build for these steps to work.

Wichtig

Microsoft empfiehlt, die von Azure AD Connect erstellten Standardregeln nicht zu ändern.Microsoft recommends to not modify the default rules created by Azure AD Connect. Falls Sie die Regel ändern möchten, können Sie sie klonen und dann die ursprüngliche Regel deaktivieren.If you want to modify the rule, then clone it, and disable the original rule. Nehmen Sie die gewünschten Änderungen an der geklonten Regel vor.Make any changes to the cloned rule. Beachten Sie, dass Sie dadurch (das Deaktivieren der ursprünglichen Regel) keine der Fehlerbehebungen oder Features erhalten, die durch diese Regel aktiviert werden.Please note that by doing so (disabling original rule) you will miss any bug fixes or features enabled through that rule.

Die attributbasierte Filterung ist die flexibelste Möglichkeit zum Filtern von Objekten.Attribute-based filtering is the most flexible way to filter objects. Sie können die hohe Leistungsfähigkeit der deklarativen Bereitstellung nutzen, um nahezu jeden Aspekt der Synchronisierung von Objekten mit Azure AD zu steuern.You can use the power of declarative provisioning to control almost every aspect of when an object is synchronized to Azure AD.

Die Filterung kann sowohl in eingehender Richtung von Active Directory zur Metaverse als auch in ausgehender Richtung von der Metaverse zu Azure AD angewendet werden.You can apply inbound filtering from Active Directory to the metaverse, and outbound filtering from the metaverse to Azure AD. Es wird empfohlen, die eingehende Filterung anzuwenden, da dies am einfachsten zu verwalten ist.We recommend that you apply inbound filtering because that is the easiest to maintain. Die ausgehende Filterung sollte nur verwendet werden, wenn Objekte aus mehreren Gesamtstrukturen verknüpft werden müssen, bevor die Auswertung stattfinden kann.You should only use outbound filtering if it's required to join objects from more than one forest before the evaluation can take place.

Eingehende FilterungInbound filtering

Bei der eingehenden Filterung wird die Standardkonfiguration genutzt, bei der für an Azure AD gesendete Objekte das Metaverse-Attribut „cloudFiltered“ nicht auf einen Wert festgelegt sein darf, damit die Synchronisierung erfolgen kann.Inbound filtering uses the default configuration, where objects going to Azure AD must have the metaverse attribute cloudFiltered not set to a value to be synchronized. Wenn der Wert dieses Attributs auf TRUEfestgelegt ist, wird das Objekt nicht synchronisiert.If this attribute's value is set to True, then the object isn't synchronized. Es sollte nicht standardmäßig auf FALSE festgelegt sein.It shouldn't be set to False, by design. Um sicherzustellen, dass über andere Regeln ein Wert beigetragen werden kann, sollte dieses Attribut nur über die Werte TRUE oder NULL (nicht vorhanden) verfügen.To make sure other rules have the ability to contribute a value, this attribute is only supposed to have the values True or NULL (absent).

Bei der eingehenden Filterung nutzen Sie die Leistungsfähigkeit des Bereichs, um zu ermitteln, welche Objekte synchronisiert werden sollen.In inbound filtering, you use the power of scope to determine which objects to synchronize or not synchronize. Hierbei nehmen Sie die Anpassungen vor, um die Anforderungen Ihres Unternehmens zu erfüllen.This is where you make adjustments to fit your own organization's requirements. Das Bereichsmodul verfügt über die Elemente group (Gruppe) und clause (Klausel), um zu bestimmen, wann eine Synchronisierungsregel zum Bereich gehören soll.The scope module has a group and a clause to determine when a sync rule is in scope. Eine Gruppe enthält eine oder mehrere Klauseln.A group contains one or many clauses. Ein logisches „Und“ wird zwischen mehreren Klauseln und ein logisches „Oder“ zwischen mehreren Gruppen verwendet.There is a logical "AND" between multiple clauses, and a logical "OR" between multiple groups.

Beispiel:Let us look at an example:
UmfangScope
Lesen Sie dieses Beispiel wie folgt: (department = IT) OR (department = Sales AND c = US) .This should be read as (department = IT) OR (department = Sales AND c = US).

In den folgenden Beispielen und Schritten verwenden Sie das Benutzerobjekt als Beispiel, aber Sie können es für alle Objekttypen nutzen.In the following samples and steps, you use the user object as an example, but you can use this for all object types.

In den folgenden Beispielen beginnen die Rangfolgenwerte bei 50.In the following samples, the precedence value starts with 50. Dies kann eine beliebige nicht verwendete Zahl sein, die jedoch kleiner als 100 sein sollte.This can be any number not used, but should be lower than 100.

Negative Filterung („keine Synchronisierung“)Negative filtering: "do not sync these"

Im folgenden Beispiel werden alle Benutzer herausgefiltert (nicht synchronisiert), bei denen extensionAttribute15 den Wert NoSync hat.In the following example, you filter out (not synchronize) all users where extensionAttribute15 has the value NoSync.

  1. Melden Sie sich bei dem Server, auf dem die Azure AD Connect-Synchronisierung ausgeführt wird, mit einem Konto an, das Mitglied der Sicherheitsgruppe ADSyncAdmins ist.Sign in to the server that is running Azure AD Connect sync by using an account that is a member of the ADSyncAdmins security group.
  2. Starten Sie den Synchronisierungsregel-Editor über das Startmenü.Start Synchronization Rules Editor from the Start menu.
  3. Stellen Sie sicher, dass Eingehend ausgewählt ist, und klicken Sie auf Neue Regel hinzufügen.Make sure Inbound is selected, and click Add New Rule.
  4. Geben Sie der Regel einen aussagekräftigen Namen, z.B. In from AD – User DoNotSyncFilter.Give the rule a descriptive name, such as "In from AD – User DoNotSyncFilter". Wählen Sie die richtige Gesamtstruktur und anschließend Benutzer für CS object type (CS-Objekttyp) und Person für MV object type (MV-Objekttyp) aus.Select the correct forest, select User as the CS object type, and select Person as the MV object type. Wählen Sie als Verknüpfungstyp die Option Join aus.In Link Type, select Join. Geben Sie unter Rangfolge einen Wert ein, der zurzeit noch von keiner anderen Synchronisierungsregel verwendet wird (z.B. 50), und klicken Sie auf Weiter.In Precedence, type a value that isn't currently used by another synchronization rule (for example 50), and then click Next.
    Eingehend 1 BeschreibungInbound 1 description
  5. Klicken Sie in Scoping filter (Bereichsfilter) auf Gruppe hinzufügen und dann auf Klausel hinzufügen.In Scoping filter, click Add Group, and click Add Clause. Wählen Sie in Attribut die Option ExtensionAttribute15 aus.In Attribute, select ExtensionAttribute15. Stellen Sie sicher, dass der Operator auf EQUAL festgelegt ist, und geben Sie dann den Wert NoSync in das Feld Wert ein.Make sure that Operator is set to EQUAL, and type the value NoSync in the Value box. Klicken Sie auf Weiter.Click Next.
    Eingehend 2 BereichInbound 2 scope
  6. Lassen Sie Join rules (Joinregeln) leer, und klicken Sie dann auf Next.Leave the Join rules empty, and then click Next.
  7. Klicken Sie auf Transformation hinzufügen, und wählen Sie Konstante als FlowType und cloudFiltered als Zielattribut aus.Click Add Transformation, select the FlowType as Constant, and select cloudFiltered as the Target Attribute. Geben Sie True im Textfeld Quelle ein.In the Source text box, type True. Klicken Sie auf Hinzufügen , um die Regel zu speichern.Click Add to save the rule.
    Eingehend 3 TransformationInbound 3 transformation
  8. Um die Konfiguration abzuschließen, müssen Sie eine vollständige Synchronisierung durchführen. Fahren Sie mit dem Abschnitt Anwenden und Überprüfen von Änderungen fort.To complete the configuration, you need to run a Full sync. Continue reading the section Apply and verify changes.

Positive Filterung („ausschließliche Synchronisierung“)Positive filtering: "only sync these"

Das Ausdrücken der positiven Filterung kann mit mehr Aufwand verbunden sein. Sie müssen hierbei nämlich auch Objekte berücksichtigen, bei denen die Synchronisierung nicht offensichtlich ist, z.B. Konferenzräume.Expressing positive filtering can be more challenging because you also have to consider objects that aren't obvious to be synchronized, such as conference rooms. Sie überschreiben auch den Standardfilter in der vordefinierten Regel Ein von AD – Benutzerverknüpfung.You are also going to override the default filter in the out-of-box rule In from AD - User Join. Achten Sie beim Erstellen eines benutzerdefinierten Filters darauf, keine wichtigen Systemobjekte, Replikationskonfliktobjekte, speziellen Postfächer und Dienstkonten für Azure AD Connect einzuschließen.When you create your custom filter, make sure to not include critical system objects, replication conflict objects, special mailboxes, and the service accounts for Azure AD Connect.

Die positive Filterung erfordert zwei Synchronisierungsregeln.The positive filtering option requires two sync rules. Sie benötigen eine Regel (oder mehrere) mit dem richtigen Bereich der zu synchronisierenden Objekte.You need one rule (or several) with the correct scope of objects to synchronize. Darüber hinaus benötigen Sie eine zweite Catchall-Synchronisierungsregel, die alle Objekte herausfiltert, die noch nicht als ein zu synchronisierendes Objekt identifiziert wurden.You also need a second catch-all sync rule that filters out all objects that haven't yet been identified as an object that should be synchronized.

Im folgenden Beispiel werden nur Benutzerobjekte synchronisiert, bei denen das department-Attribut den Wert Saleshat.In the following example, you only synchronize user objects where the department attribute has the value Sales.

  1. Melden Sie sich bei dem Server, auf dem die Azure AD Connect-Synchronisierung ausgeführt wird, mit einem Konto an, das Mitglied der Sicherheitsgruppe ADSyncAdmins ist.Sign in to the server that is running Azure AD Connect sync by using an account that is a member of the ADSyncAdmins security group.
  2. Starten Sie den Synchronisierungsregel-Editor über das Startmenü.Start Synchronization Rules Editor from the Start menu.
  3. Stellen Sie sicher, dass Eingehend ausgewählt ist, und klicken Sie auf Neue Regel hinzufügen.Make sure Inbound is selected, and click Add New Rule.
  4. Geben Sie der Regel einen aussagekräftigen Namen, z.B. In from AD – User Sales sync.Give the rule a descriptive name, such as "In from AD – User Sales sync". Wählen Sie die richtige Gesamtstruktur und anschließend Benutzer für CS object type (CS-Objekttyp) und Person für MV object type (MV-Objekttyp) aus.Select the correct forest, select User as the CS object type, and select Person as the MV object type. Wählen Sie als Verknüpfungstyp die Option Join aus.In Link Type, select Join. Geben Sie unter Rangfolge einen Wert ein, der zurzeit noch von keiner anderen Synchronisierungsregel verwendet wird (z.B. 51), und klicken Sie auf Weiter.In Precedence, type a value that isn't currently used by another synchronization rule (for example 51), and then click Next.
    Eingehend 4 BeschreibungInbound 4 description
  5. Klicken Sie in Scoping filter (Bereichsfilter) auf Gruppe hinzufügen und dann auf Klausel hinzufügen.In Scoping filter, click Add Group, and click Add Clause. Wählen Sie in Attribut den Wert department aus.In Attribute, select department. Stellen Sie sicher, dass der Operator auf EQUAL festgelegt ist, und geben Sie dann den Wert Sales in das Feld Wert ein.Make sure that Operator is set to EQUAL, and type the value Sales in the Value box. Klicken Sie auf Weiter.Click Next.
    Eingehend 5 BereichInbound 5 scope
  6. Lassen Sie Join rules (Joinregeln) leer, und klicken Sie dann auf Next.Leave the Join rules empty, and then click Next.
  7. Klicken Sie auf Transformation hinzufügen, und wählen Sie Konstante als FlowType und cloudFiltered als Zielattribut aus.Click Add Transformation, select Constant as the FlowType, and select the cloudFiltered as the Target Attribute. Geben Sie False im Feld Quelle ein.In the Source box, type False. Klicken Sie auf Hinzufügen , um die Regel zu speichern.Click Add to save the rule.
    Eingehend 6 TransformationInbound 6 transformation
    Dies ist ein Sonderfall, in dem cloudFiltered explizit auf FALSE festgelegt wird.This is a special case where you explicitly set cloudFiltered to False.
  8. Wir müssen jetzt die Synchronisierungsregel „catch-all“ erstellen, die alles abdeckt.We now have to create the catch-all sync rule. Geben Sie der Regel einen aussagekräftigen Namen, z.B. In from AD – User Catch-all filter.Give the rule a descriptive name, such as "In from AD – User Catch-all filter". Wählen Sie die richtige Gesamtstruktur und anschließend Benutzer für CS object type (CS-Objekttyp) und Person für MV object type (MV-Objekttyp) aus.Select the correct forest, select User as the CS object type, and select Person as the MV object type. Wählen Sie als Verknüpfungstyp die Option Join aus.In Link Type, select Join. Geben Sie unter Rangfolge einen Wert ein, der zurzeit noch von keiner anderen Synchronisierungsregel verwendet wird (z.B. 99).In Precedence, type a value that isn't currently used by another Synchronization Rule (for example 99). Sie haben einen Rangfolgewert ausgewählt, der höher (niedrigere Rangfolge) als der für die vorherige Synchronisierungsregel ist.You've selected a precedence value that is higher (lower precedence) than the previous sync rule. Sie haben aber auch Platz gelassen, sodass Sie später noch weitere Filterregeln für die Synchronisierung hinzufügen können, wenn Sie zusätzliche Abteilungen synchronisieren möchten.But you've also left some room so that you can add more filtering sync rules later when you want to start synchronizing additional departments. Klicken Sie auf Weiter.Click Next.
    Eingehend 7 BeschreibungInbound 7 description
  9. Lassen Sie Scoping filter leer, und klicken Sie auf Next.Leave Scoping filter empty, and click Next. Ein leerer Filter gibt an, dass die Regel nicht auf alle Objekte angewendet wird.An empty filter indicates that the rule is to be applied to all objects.
  10. Lassen Sie Join rules (Joinregeln) leer, und klicken Sie dann auf Next.Leave the Join rules empty, and then click Next.
  11. Klicken Sie auf Transformation hinzufügen, und wählen Sie Konstante als FlowType und cloudFiltered als Zielattribut aus.Click Add Transformation, select Constant as the FlowType, and select cloudFiltered as the Target Attribute. Geben Sie True im Feld Quelle ein.In the Source box, type True. Klicken Sie auf Hinzufügen , um die Regel zu speichern.Click Add to save the rule.
    Eingehend 3 TransformationInbound 3 transformation
  12. Um die Konfiguration abzuschließen, müssen Sie eine vollständige Synchronisierung durchführen. Fahren Sie mit dem Abschnitt Anwenden und Überprüfen von Änderungen fort.To complete the configuration, you need to run a Full sync. Continue reading the section Apply and verify changes.

Bei Bedarf können Sie weitere Regeln des ersten Typs erstellen, bei denen Sie mehr Objekte in die Synchronisierung einbeziehen.If you need to, you can create more rules of the first type where you include more objects in the synchronization.

Ausgehende FilterungOutbound filtering

In einigen Fällen ist es erforderlich, die Filterung erst auszuführen, nachdem die Objekte der Metaverse hinzugefügt wurden.In some cases, it's necessary to do the filtering only after the objects have joined in the metaverse. Es kann beispielsweise erforderlich sein, das E-Mail-Attribut aus der Ressourcengesamtstruktur und das Attribut „userPrincipalName“ aus der Kontogesamtstruktur zu untersuchen, um zu ermitteln, ob ein Objekt synchronisiert werden soll.For example, it might be necessary to look at the mail attribute from the resource forest, and the userPrincipalName attribute from the account forest, to determine if an object should be synchronized. In diesen Fällen wird die Filterung für die ausgehende Regel erstellt.In these cases, you create the filtering on the outbound rule.

In diesem Beispiel wird die Filterung so geändert, dass nur Benutzer synchronisiert werden, deren Attribute „mail“ und „userPrincipalName“ auf @contoso.com enden:In this example, you change the filtering so that only users that have both their mail and userPrincipalName ending in @contoso.com are synchronized:

  1. Melden Sie sich bei dem Server, auf dem die Azure AD Connect-Synchronisierung ausgeführt wird, mit einem Konto an, das Mitglied der Sicherheitsgruppe ADSyncAdmins ist.Sign in to the server that is running Azure AD Connect sync by using an account that is a member of the ADSyncAdmins security group.
  2. Starten Sie den Synchronisierungsregel-Editor über das Startmenü.Start Synchronization Rules Editor from the Start menu.
  3. Klicken Sie unter Rules Type (Regeltyp) auf Outbound (Ausgehend).Under Rules Type, click Outbound.
  4. Suchen Sie abhängig von der verwendeten Connect-Version entweder die Regel mit dem Namen Out to AAD – User Join oder die Regel mit dem Namen Out to AAD - User Join SOAInAD, und klicken Sie auf Bearbeiten.Depending on the version of Connect you use, either find the rule named Out to AAD – User Join or Out to AAD - User Join SOAInAD, and click Edit.
  5. Wählen Sie im Popupfenster die Antwort Ja , um eine Kopie der Regel zu erstellen.In the pop-up, answer Yes to create a copy of the rule.
  6. Ändern Sie auf der Seite Beschreibung die Rangfolge in einen nicht verwendeten Wert, z.B. 50.On the Description page, change Precedence to an unused value, such as 50.
  7. Klicken Sie im linken Navigationsbereich auf Scoping filter (Bereichsfilter) und dann auf Klausel hinzufügen.Click Scoping filter on the left-hand navigation, and then click Add clause. Wählen Sie in Attribut den Wert mail aus.In Attribute, select mail. Wählen Sie in Operator die Option ENDSWITH aus.In Operator, select ENDSWITH. Geben Sie in Wert die Zeichenfolge @contoso.com ein, und klicken Sie dann auf Klausel hinzufügen.In Value, type @contoso.com, and then click Add clause. Wählen Sie in Attribut die Option userPrincipalName aus.In Attribute, select userPrincipalName. Wählen Sie in Operator die Option ENDSWITH aus.In Operator, select ENDSWITH. Geben Sie in Wert die Zeichenfolge @contoso.com ein.In Value, type @contoso.com.
  8. Klicken Sie auf Speichern.Click Save.
  9. Um die Konfiguration abzuschließen, müssen Sie eine vollständige Synchronisierung durchführen. Fahren Sie mit dem Abschnitt Anwenden und Überprüfen von Änderungen fort.To complete the configuration, you need to run a Full sync. Continue reading the section Apply and verify changes.

Anwenden und Überprüfen von ÄnderungenApply and verify changes

Nachdem Sie Änderungen an der Konfiguration vorgenommen haben, müssen diese Änderungen auf die Objekte angewendet werden, die bereits im System vorhanden sind.After you've made your configuration changes, you must apply them to the objects that are already present in the system. Es kann auch sein, dass derzeit nicht im Synchronisierungsmodul enthaltene Objekte verarbeitet werden sollen und das Synchronisierungsmodul das Quellsystem erneut auslesen muss, um den Inhalt zu verifizieren.It might also be that the objects that aren't currently in the sync engine should be processed (and the sync engine needs to read the source system again to verify its content).

Wenn Sie die Konfiguration per Filterung nach Domäne oder Organisationseinheit geändert haben, müssen Sie einen vollständigen Import gefolgt von einer Deltasynchronisierung durchführen.If you changed the configuration by using domain or organizational-unit filtering, then you need to do a Full import, followed by Delta synchronization.

Falls Sie die Konfiguration per Filterung nach dem Attribut geändert haben, müssen Sie die vollständige Synchronisierung durchführen.If you changed the configuration by using attribute filtering, then you need to do a Full synchronization.

Führen Sie folgende Schritte aus:Do the following steps:

  1. Starten Sie den Synchronisierungsdienst über das Startmenü.Start Synchronization Service from the Start menu.
  2. Wählen Sie Connectors aus.Select Connectors. Wählen Sie in der Liste Connectors den Connector aus, für den Sie vorher eine Konfigurationsänderung vorgenommen haben.In the Connectors list, select the Connector where you made a configuration change earlier. Wählen Sie unter Aktionen die Option Ausführen aus.In Actions, select Run.
    ConnectorausführungConnector run
  3. Wählen Sie unter Ausführungsprofile den im vorherigen Abschnitt erwähnten Vorgang aus.In Run profiles, select the operation that was mentioned in the previous section. Wenn Sie zwei Aktionen ausführen müssen, führen Sie die zweite nach Abschluss der ersten Aktivität aus.If you need to run two actions, run the second after the first one has finished. (Die Spalte Status zeigt für den ausgewählten Connector Im Leerlauf an.)(The State column is Idle for the selected connector.)

Nach der Synchronisierung werden alle Änderungen für den Export bereitgestellt.After the synchronization, all changes are staged to be exported. Bevor Sie die Änderungen in Azure AD tatsächlich vornehmen, sollten Sie sicherstellen, dass alle Änderungen richtig sind.Before you actually make the changes in Azure AD, you want to verify that all these changes are correct.

  1. Starten Sie eine Eingabeaufforderung, und wechseln Sie zu %Program Files%\Microsoft Azure AD Sync\bin.Start a command prompt, and go to %Program Files%\Microsoft Azure AD Sync\bin.
  2. Führen Sie csexport "Name of Connector" %temp%\export.xml /f:xaus.Run csexport "Name of Connector" %temp%\export.xml /f:x.
    Den Namen des Connectors finden Sie im Synchronisierungsdienst.The name of the Connector is in Synchronization Service. Für Azure AD sieht der Name in etwa wie folgt aus: contoso.com – AAD.It has a name similar to "contoso.com – AAD" for Azure AD.
  3. Führen Sie CSExportAnalyzer %temp%\export.xml > %temp%\export.csvaus.Run CSExportAnalyzer %temp%\export.xml > %temp%\export.csv.
  4. Sie verfügen jetzt im Ordner „%temp%“ über eine Datei namens „export.csv“, die in Microsoft Excel untersucht werden kann.You now have a file in %temp% named export.csv that can be examined in Microsoft Excel. Diese Datei enthält alle Änderungen, die exportiert werden sollen.This file contains all the changes that are about to be exported.
  5. Nehmen Sie erforderliche Änderungen an den Daten oder der Konfiguration vor, und führen Sie die oben genannten Schritte (Importieren, Synchronisieren und Überprüfen) erneut aus, bis Sie die Änderungen erhalten, die Sie exportieren möchten.Make the necessary changes to the data or configuration, and run these steps again (Import, Synchronize, and Verify) until the changes that are about to be exported are what you expect.

Wenn Sie zufrieden sind, können Sie die Änderungen nach Azure AD exportieren.When you're satisfied, export the changes to Azure AD.

  1. Wählen Sie Connectors aus.Select Connectors. Wählen Sie in der Liste Connectors den Azure AD-Connector aus.In the Connectors list, select the Azure AD Connector. Wählen Sie unter Aktionen die Option Ausführen aus.In Actions, select Run.
  2. Wählen Sie unter Ausführungsprofile die Option Exportieren aus.In Run profiles, select Export.
  3. Falls im Rahmen Ihrer Konfigurationsänderungen viele Objekte geändert werden, wird für den Export ein Fehler angezeigt, wenn die Zahl die konfigurierte Schwelle (standardmäßig 500) übersteigt.If your configuration changes delete many objects, then you see an error in the export when the number is more than the configured threshold (by default 500). In diesem Fall müssen Sie das Feature Verhindern von versehentlichen Löschungen vorübergehend deaktivieren.If you see this error, then you need to temporarily disable the "prevent accidental deletes" feature.

Jetzt ist es an der Zeit, den Scheduler wieder zu aktivieren.Now it's time to enable the scheduler again.

  1. Starten Sie im Startmenü die Aufgabenplanung.Start Task Scheduler from the Start menu.
  2. Suchen Sie direkt unterhalb der Aufgabenplanungsbibliothek nach der Aufgabe mit dem Namen Azure AD-Synchronisierungsplaner, klicken Sie mit der rechten Maustaste darauf, und wählen Sie Aktivieren aus.Directly under Task Scheduler Library, find the task named Azure AD Sync Scheduler, right-click, and select Enable.

Gruppenbasierte FilterungGroup-based filtering

Die gruppenbasierte Filterung kann bei der erstmaligen Installation von Azure AD Connect als benutzerdefinierte Installation konfiguriert werden.You can configure group-based filtering the first time that you install Azure AD Connect by using custom installation. Die Option ist für Pilotbereitstellungen gedacht, bei denen nur ein kleiner Satz von Objekten synchronisiert werden soll.It's intended for a pilot deployment where you want only a small set of objects to be synchronized. Wenn Sie die gruppenbasierte Filterung deaktiviert haben, können Sie sie nicht mehr aktivieren.When you disable group-based filtering, it can't be enabled again. Die Verwendung der gruppenbasierten Filterung in einer benutzerdefinierten Konfiguration wird nicht unterstützt.It's not supported to use group-based filtering in a custom configuration. Die Konfiguration dieses Features wird nur mit dem Installations-Assistenten unterstützt.It's only supported to configure this feature by using the installation wizard. Wenn Sie Ihr Pilotprojekt abgeschlossen haben, sollten Sie eine der anderen Filteroptionen in diesem Thema verwenden.When you've completed your pilot, then use one of the other filtering options in this topic. Wenn Sie die organisationseinheitenbasierte Filterung zusammen mit der gruppenbasierten Filterung verwenden, müssen die Organisationseinheiten mit den Gruppen- und Mitgliedsobjekten eingeschlossen werden.When using OU-based filtering in conjunction with group-based filtering, the OU(s) where the group and its members are located must be included.

Beim Synchronisieren mehrerer AD-Gesamtstrukturen können Sie die gruppenbasierte Filterung konfigurieren, indem Sie für jeden AD-Connector eine andere Gruppe angeben.When synchronizing multiple AD forests, you can configure group-based filtering by specifying a different group for each AD connector. Wenn Sie einen Benutzer in einer AD-Gesamtstruktur synchronisieren möchten und für diesen Benutzer mindestens ein entsprechendes Objekt in anderen AD-Gesamtstrukturen vorhanden ist, müssen Sie sicherstellen, dass das Benutzerobjekt und alle entsprechenden Objekte sich innerhalb eines Bereichs für die gruppenbasierte Filterung befinden.If you wish to synchronize a user in one AD forest and the same user has one or more corresponding objects in other AD forests, you must ensure that the user object and all its corresponding objects are within group-based filtering scope. Beispiele:For examples:

  • Sie verfügen über einen Benutzer in einer Gesamtstruktur, für den ein entsprechendes FSP-Objekt (Foreign Security Principal, fremder Sicherheitsprinzipal) in einer anderen Gesamtstruktur vorhanden ist.You have a user in one forest that has a corresponding FSP (Foreign Security Principal) object in another forest. Beide Objekte müssen sich innerhalb eines Bereichs für die gruppenbasierte Filterung befinden.Both objects must be within group-based filtering scope. Andernfalls wird der Benutzer nicht mit Azure AD synchronisiert.Otherwise, the user will not be synchronized to Azure AD.

  • Sie verfügen über einen Benutzer in einer Gesamtstruktur, für den ein entsprechendes Ressourcenkonto (z.B. ein verknüpftes Postfach) in einer anderen Gesamtstruktur vorhanden ist.You have a user in one forest that has a corresponding resource account (e.g., linked mailbox) in another forest. Darüber hinaus haben Sie Azure AD Connect so konfiguriert, dass der Benutzer mit dem Ressourcenkonto verknüpft ist.Further, you have configured Azure AD Connect to link the user with the resource account. Beide Objekte müssen sich innerhalb eines Bereichs für die gruppenbasierte Filterung befinden.Both objects must be within group-based filtering scope. Andernfalls wird der Benutzer nicht mit Azure AD synchronisiert.Otherwise, the user will not be synchronized to Azure AD.

  • Sie verfügen über einen Benutzer in einer Gesamtstruktur, für den ein entsprechender E-Mail-Kontakt in einer anderen Gesamtstruktur vorhanden ist.You have a user in one forest that has a corresponding mail contact in another forest. Darüber hinaus haben Sie Azure AD Connect so konfiguriert, dass der Benutzer mit dem E-Mail-Kontakt verknüpft ist.Further, you have configured Azure AD Connect to link the user with the mail contact. Beide Objekte müssen sich innerhalb eines Bereichs für die gruppenbasierte Filterung befinden.Both objects must be within group-based filtering scope. Andernfalls wird der Benutzer nicht mit Azure AD synchronisiert.Otherwise, the user will not be synchronized to Azure AD.

Nächste SchritteNext steps