Szenario – Verwenden von Verzeichniserweiterungen mit Gruppenbereitstellung in Active Directory

Artikel
05/02/2024

Szenario: Sie verfügen über Hunderte von Gruppen in Microsoft Entra ID. Sie möchten einige dieser Gruppen, aber nicht alle wieder in Active Directory bereitstellen. Sie möchten einen Schnellfilter einrichten, der auf Gruppen angewendet werden kann, ohne einen komplizierteren Bereichsfilter erstellen zu müssen.

Die Umgebung, die Sie in diesem Szenario erstellen, können Sie zu Testzwecken verwenden oder um sich besser mit der Cloudsynchronisierung vertraut zu machen.

Annahmen

In diesem Szenario wird davon ausgegangen, dass Sie bereits über eine Arbeitsumgebung verfügen, die Benutzer mit Microsoft Entra ID synchronisiert.
Sie haben vier Benutzer, die synchronisiert werden: Britta Simon, Lola Jacobson, Anna Ringdahl und John Smith.
In Active Directory wurden drei Organisationseinheiten erstellt: Sales, Marketing und Groups.
Die Benutzerkonten Britta Simon und Anna Ringdahl befinden sich in der Organisationseinheit „Sales“.
Die Benutzerkonten Lola Jacobson und John Smith befinden sich in der Organisationseinheit „Marketing“.
Ihre Gruppen aus Microsoft Entra ID werden in der Organisationseinheit „Groups“ bereitgestellt.

Erstellen von zwei Gruppen in Microsoft Entra ID

Sie erstellen zunächst zwei Gruppen in Microsoft Entra ID. Eine Gruppe heißt „Sales“, die andere „Marketing“.

Führen Sie zum Erstellen der zwei Gruppen die folgenden Schritte aus:

Melden Sie sich beim Microsoft Entra Admin Center mindestens als Hybridadministrator an.
Browsen Sie zu Identität>Gruppen>Alle Gruppen.
Klicken Sie oben auf Neue Gruppe.
Vergewissern Sie sich, dass Gruppentyp auf Sicherheit festgelegt ist.
Geben Sie unter Gruppennamen den Namen Sales ein.
Behalten Sie unter Mitgliedschaftstyp die Zuweisungsoption bei.
Klicken Sie auf Erstellen.
Wiederholen Sie diesen Vorgang, und verwenden Sie Marketing als Gruppenname.

Hinzufügen von Benutzern zu neu erstellten Gruppen

Melden Sie sich beim Microsoft Entra Admin Center mindestens als Hybridadministrator an.
Browsen Sie zu Identität>Gruppen>Alle Gruppen.
Geben Sie oben in das Suchfeld Sales ein.
Klicken Sie auf die neue Gruppe Sales.
Klicken Sie auf der linken Seite auf Mitglieder.
Klicken Sie oben auf Mitglieder hinzufügen.
Geben Sie oben im Suchfeld Britta Simon ein.
Setzen Sie ein Häkchen neben Britta Simon und Anna Ringdahl, und klicken Sie auf Auswählen.
Sie sollten der Gruppe erfolgreich hinzugefügt werden.
Klicken Sie ganz links auf Alle Gruppen, und wiederholen Sie diesen Vorgang für die Gruppe Marketing, um Lola Jacobson und John Smith dieser Gruppe hinzuzufügen.

Hinweis

Notieren Sie sich beim Hinzufügen von Benutzern zur Gruppe „Marketing“ die Gruppen-ID auf der Übersichtsseite. Diese ID wird später verwendet, um der Gruppe die neu erstellte Eigenschaft hinzuzufügen.

Abrufen Ihrer Mandanten-ID

Melden Sie sich beim Microsoft Entra Admin Center mindestens als Hybridadministrator an.
Browsen Sie zu Identität>Übersicht.
Notieren Sie sich Ihre Mandanten-ID zur späteren Verwendung.

Erstellen von CloudSyncCustomExtensionApp und des Dienstprinzipals

Wichtig

Die Verzeichniserweiterung für die Microsoft Entra-Cloudsynchronisierung wird nur für Anwendungen mit dem Bezeichner-URI „api://<tenantId>/CloudSyncCustomExtensionsApp“ und der von Microsoft Entra Connect erstellten Tenant Schema Extension App unterstützt.

Öffnen Sie auf dem lokalen Computer PowerShell mit Administratorrechten.
Führen Sie zum Festlegen der Ausführungsrichtlinie den folgenden Befehl aus (drücken Sie [A] (Ja für alle), wenn Sie dazu aufgefordert werden):

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser

Führen Sie den folgenden Befehl aus, um das v1-Modul des SDK in PowerShell Core oder Windows PowerShell zu installieren. Drücken Sie bei entsprechender Aufforderung [Y] (Ja):

Install-Module Microsoft.Graph -Scope CurrentUser

Stellen Sie eine Verbindung mit Ihrem Mandanten her. (Achten Sie darauf, bei der Anmeldung die Option „Im Auftrag von“ für die Einwilligung zu verwenden.)

Connect-MgGraph -Scopes "Application.ReadWrite.All", "Group.ReadWrite.All", "User.ReadWrite.All"

Überprüfen Sie, ob CloudSyncCustomExtensionApp vorhanden ist.

Get-MgApplication -Filter "identifierUris/any(uri:uri eq 'api://<tenantId>/CloudSyncCustomExtensionsApp')"

Falls ja, notieren Sie sich die App-ID (appId), und fahren Sie mit Schritt 8 fort. Erstellen Sie andernfalls die App.
Erstellen Sie CloudSyncCustomExtensionApp. Ersetzen Sie <tenant ID> durch Ihre Mandanten-ID. Kopieren Sie die ID und die App-ID, die nach der Erstellung angezeigt wird.

New-MgApplication -DisplayName "CloudSyncCustomExtensionsApp" -IdentifierUris "api://<tenant ID>/CloudSyncCustomExtensionsApp"

Wenn die App vorhanden ist, überprüfen Sie, ob sie über einen Sicherheitsprinzipal verfügt. Ersetzen Sie <application id> durch Ihre Anwendungs-ID (appId).

Get-MgServicePrincipal -Filter "AppId eq '<application id>'"

Wenn Sie die App soeben erstellt haben, erstellen Sie einen neuen Sicherheitsprinzipal. Ersetzen Sie <application id> durch Ihre Anwendungs-ID (appId).
```
New-MgServicePrincipal -AppId '<appId>'
```

Erstellen der Erweiterung und der Cloudsynchronisierungskonfiguration

Jetzt erstellen Sie Ihr benutzerdefiniertes Attribut und weisen es CloudSyncCustomExtensionApp zu. Ersetzen Sie <id> durch Ihre ID. Verwenden Sie die Objekt-ID der Anwendung.

New-MgApplicationExtensionProperty -Id <id> -Name “SynchGroup” -DataType “Boolean” -TargetObjects “Group”

Sie werden möglicherweise erneut aufgefordert, die ID einzugeben.
Dieses Cmdlet erstellt ein Attribut, das wie folgt aussieht: extension_<GUID>_SynchGroup. Sie benötigen dieses für die Zuordnung zu einer Gruppe, es wird jedoch nicht vom Graph PowerShell-Cmdlet zurückgegeben.
Melden Sie sich beim Microsoft Entra Admin Center mindestens als Hybridadministrator an.
Navigieren Sie zu Identität>Hybridverwaltung>Microsoft Entra Connect>Cloud-Synchronisierung.
Wählen Sie Neue Konfiguration aus.
Wählen Sie Microsoft Entra ID-Synchronisierung mit AD aus.
Wählen Sie im Konfigurationsbildschirm Ihre Domäne aus, und geben Sie an, ob die Kennworthashsynchronisierung aktiviert werden soll. Klicken Sie auf Erstellen.
Der Bildschirm Erste Schritte wird geöffnet. Von hier aus können Sie die Konfiguration der Cloudsynchronisierung fortsetzen.
Klicken Sie auf der linken Seite auf Bereichsauswahlfilter, und wählen Sie Gruppenbereich - Alle Gruppen aus.
Klicken Sie auf Attributzuordnung bearbeiten, und ändern Sie Zielcontainer- in „OU=Groups,DC=contoso,DC=com“. Klicken Sie auf Speichern.
Klicken Sie auf Attributbereichsfilter hinzufügen.
Wählen Sie unter Zielattribut das neu erstellte Attribut aus, das wie folgt aussieht: extension_<GUID>_SynchGroup. Notieren Sie sich dieses, da wir es verwenden müssen, um dieses Attribut zu einer unserer Gruppen hinzuzufügen.
Wählen Sie unter Operator die Option PRESENT aus.
Klicken Sie auf Speichern. Klicken Sie anschließend auf Speichern.
Lassen Sie die Konfiguration deaktiviert, und kehren Sie später zurück.

Hinzufügen einer neuen Erweiterungseigenschaft zu einer unserer Gruppen

Für diesen Teil werden Sie Ihre neu erstellte Eigenschaft zu einer der vorhandenen Gruppen (Marketing) hinzufügen. Dazu verwenden Sie den Microsoft Graph-Tester. Sie müssen sicherstellen, dass Sie „Group.ReadWrite.All“ zugestimmt haben. Wählen Sie dazu Berechtigungen ändern aus.

Navigieren Sie zu https://developer.microsoft.com/graph/graph-explorer.
Melden Sie sich mit Ihrem Mandantenadministratorkonto an. Dies muss möglicherweise ein globales Administratorkonto sein. Beim Erstellen dieses Szenarios wurde ein globales Administratorkonto verwendet. Möglicherweise reicht ein Hybridadministratorkonto aus.
Ändern Sie oben das GET in PATCH.
Geben Sie im Adressfeld Folgendes ein: https://graph.microsoft.com/v1.0/groups/<Gruppen-ID>.
Geben Sie Folgendes in den Anforderungstext ein:
```
{
 extension_<guid>_SynchGroup: true
}
```
Klicken Sie auf Abfrage ausführen.
Bei ordnungsgemäßer Ausführung wird [] angezeigt.
Ändern Sie jetzt oben PATCH in GET, und sehen Sie sich die Eigenschaften der Marketinggruppe an.
Klicken Sie auf Abfrage ausführen. Das neu erstellte Attribut sollte angezeigt werden.

Testen der Konfiguration