Topologies pour Azure AD ConnectTopologies for Azure AD Connect

Cet article décrit diverses topologies locales et Azure Active Directory (Azure AD) qui utilisent Azure AD Connect Sync comme solution d’intégration clé.This article describes various on-premises and Azure Active Directory (Azure AD) topologies that use Azure AD Connect sync as the key integration solution. Cet article inclut les configurations prises en charge et celles qui ne le sont pas.This article includes both supported and unsupported configurations.

Voici la légende des images de l’article :Here's the legend for pictures in the article:

DescriptionDescription SymboleSymbol
Forêt Active Directory localeOn-premises Active Directory forest Forêt Active Directory locale
Active Directory local avec importation filtréeOn-premises Active Directory with filtered import Active Directory avec importation filtrée
Serveur Azure AD Connect SyncAzure AD Connect sync server Serveur Azure AD Connect Sync
« Mode intermédiaire » du serveur Azure AD Connect SyncAzure AD Connect sync server “staging mode” « Mode intermédiaire » du serveur Azure AD Connect Sync
GALSync avec Forefront Identity Manager (FIM) 2010 ou Microsoft Identity Manager (MIM) 2016GALSync with Forefront Identity Manager (FIM) 2010 or Microsoft Identity Manager (MIM) 2016 GALSync avec FIM 2010 ou MIM 2016
Serveur Azure AD Connect Sync, détailléAzure AD Connect sync server, detailed Serveur Azure AD Connect Sync, détaillé
Azure ADAzure AD Azure Active Directory
Scénario non pris en chargeUnsupported scenario Scénario non pris en charge

Une seule forêt, un seul client Azure ADSingle forest, single Azure AD tenant

Topologie pour une forêt unique et un locataire unique

La topologie la plus courante est une forêt locale unique, avec un ou plusieurs domaines, et un locataire Azure AD unique.The most common topology is a single on-premises forest, with one or multiple domains, and a single Azure AD tenant. L’authentification Azure AD est effectuée avec la synchronisation de mot de passe.For Azure AD authentication, password synchronization is used. Il s’agit de la seule topologie prise en charge par l’installation rapide d’Azure AD Connect.The express installation of Azure AD Connect supports only this topology.

Une seule forêt, plusieurs serveurs de synchronisation connectés à un client Azure ADSingle forest, multiple sync servers to one Azure AD tenant

Topologie filtrée pour une forêt unique non prise en charge

Le fait de disposer de plusieurs serveurs Azure AD Connect Sync connectés à un même locataire Azure AD n’est pas pris en charge (à l’exception d’un serveur intermédiaire).Having multiple Azure AD Connect sync servers connected to the same Azure AD tenant is not supported, except for a staging server. Ceci n’est pas pris en charge, même si ces serveurs sont configurés pour se synchroniser avec un ensemble d’objets mutuellement exclusifs.It's unsupported even if these servers are configured to synchronize with a mutually exclusive set of objects. Vous avez peut-être considéré cette topologie si vous ne parvenez pas à atteindre l’ensemble des domaines d’une forêt à partir d’un seul serveur ou si vous souhaitez répartir une charge entre plusieurs serveurs.You might have considered this topology if you can't reach all domains in the forest from a single server, or if you want to distribute load across several servers.

Plusieurs forêts, un seul client Azure ADMultiple forests, single Azure AD tenant

Topologie pour plusieurs forêts et un locataire unique

De nombreuses organisations possèdent des environnements comportant plusieurs forêts Active Directory locales.Many organizations have environments with multiple on-premises Active Directory forests. Il existe plusieurs raisons de déployer plus d’une forêt Active Directory locale.There are various reasons for having more than one on-premises Active Directory forest. Par exemple : des modèles avec des forêts de ressources de comptes et la conséquence d’une fusion ou d’une acquisition.Typical examples are designs with account-resource forests and the result of a merger or acquisition.

Lorsque vous avez plusieurs forêts, toutes les forêts doivent être accessibles par un même serveur Azure AD Connect Sync.When you have multiple forests, all forests must be reachable by a single Azure AD Connect sync server. Vous n’êtes pas obligé de joindre le serveur à un domaine.You don't have to join the server to a domain. Si nécessaire pour atteindre toutes les forêts, vous pouvez placer le serveur dans un réseau de périmètre (également appelé DMZ, zone démilitarisée et sous-réseau filtré).If necessary to reach all forests, you can place the server in a perimeter network (also known as DMZ, demilitarized zone, and screened subnet).

L’Assistant d’installation d’Azure AD Connect offre plusieurs options différentes pour consolider les utilisateurs qui sont représentés dans plusieurs forêts.The Azure AD Connect installation wizard offers several options to consolidate users who are represented in multiple forests. L’objectif est de représenter un utilisateur une seule fois dans Azure AD.The goal is that a user is represented only once in Azure AD. Il existe certaines topologies courantes que vous pouvez configurer dans le chemin d’installation personnalisé de l’Assistant d’installation.There are some common topologies that you can configure in the custom installation path in the installation wizard. Sur la page Identification unique de vos utilisateurs, sélectionnez l’option correspondante qui représente votre topologie.On the Uniquely identifying your users page, select the corresponding option that represents your topology. La consolidation est configurée uniquement pour les utilisateurs.The consolidation is configured only for users. Les groupes en doublon ne sont pas consolidés avec la configuration par défaut.Duplicated groups are not consolidated with the default configuration.

Des topologies courantes sont présentées dans les sections sur les topologies distinctes, le maillage complet et la topologie de ressources de comptes.Common topologies are discussed in the sections about separate topologies, full mesh, and the account-resource topology.

La configuration par défaut d’Azure AD Connect Sync suppose que :The default configuration in Azure AD Connect sync assumes:

  • Chaque utilisateur n’a qu’un seul compte activé et la forêt où se trouve ce compte est utilisée pour authentifier l’utilisateur.Each user has only one enabled account, and the forest where this account is located is used to authenticate the user. Cette supposition comprend la synchronisation des mots de passe et la fédération.This assumption is for both password sync and federation. UserPrincipalName et sourceAnchor/immutableID proviennent de cette forêt.UserPrincipalName and sourceAnchor/immutableID come from this forest.
  • Chaque utilisateur n’a qu’une seule boîte aux lettres.Each user has only one mailbox.
  • la forêt qui héberge la boîte aux lettres d’un utilisateur a la meilleure qualité de données pour les attributs visibles dans la liste d’adresses globale Exchange.The forest that hosts the mailbox for a user has the best data quality for attributes visible in the Exchange Global Address List (GAL). Si aucune boîte aux lettres n’est associée à l’utilisateur, n’importe quelle forêt peut être utilisée pour fournir ces valeurs d’attributs.If there's no mailbox for the user, any forest can be used to contribute these attribute values.
  • Si vous avez une boîte aux lettres liée, il existe également un compte dans une forêt différente de celle utilisée pour la connexion.If you have a linked mailbox, there's also an account in a different forest used for sign-in.

Si votre environnement ne correspond pas à ces hypothèses, voici ce qui se produit :If your environment does not match these assumptions, the following things happen:

  • Si vous avez plusieurs comptes actifs ou plusieurs boîtes aux lettres, le moteur de synchronisation en choisit un et ignore les autres.If you have more than one active account or more than one mailbox, the sync engine picks one and ignores the other.
  • Une boîte aux lettres liée sans aucun autre compte actif n’est pas exportée vers Azure AD.A linked mailbox with no other active account is not exported to Azure AD. Le compte d’utilisateur n’est pas représenté en tant que membre d’un groupe quelconque.The user account is not represented as a member in any group. Dans DirSync, une boîte aux lettres liée est toujours représentée comme une boîte aux lettres normale.A linked mailbox in DirSync is always represented as a normal mailbox. Il s’agit d’un comportement intentionnellement différent pour mieux prendre en charge les scénarios avec plusieurs forêts.This change is intentionally a different behavior to better support multiple-forest scenarios.

Pour plus de détails, consultez la page Présentation de la configuration par défaut.You can find more details in Understanding the default configuration.

Plusieurs forêts, plusieurs serveurs de synchronisation connectés à un client Azure ADMultiple forests, multiple sync servers to one Azure AD tenant

Topologie non prise en charge pour plusieurs forêts et plusieurs serveurs de synchronisation

Le fait de disposer de plusieurs serveurs Azure AD Connect Sync à un locataire Azure AD unique n’est pas pris en charge.Having more than one Azure AD Connect sync server connected to a single Azure AD tenant is not supported. L’exception est l’utilisation d’un serveur intermédiaire.The exception is the use of a staging server.

Plusieurs forêts, topologies distinctesMultiple forests, separate topologies

Option pour ne représenter les utilisateurs qu’une seule fois à travers tous les annuaires

Représentation de plusieurs forêts et de topologies distinctes

Dans cet environnement, toutes les forêts locales sont traitées comme des entités distinctes.In this environment, all on-premises forests are treated as separate entities. Aucun utilisateur n’est présent dans une autre forêt.No user is present in any other forest. Chaque forêt a sa propre organisation Exchange et il n’existe pas de GALSync entre les forêts.Each forest has its own Exchange organization, and there's no GALSync between the forests. Cette topologie peut se présenter suite à une fusion/acquisition ou dans une organisation où chaque division fonctionne indépendamment.This topology might be the situation after a merger/acquisition or in an organization where each business unit operates independently. Dans Azure AD, ces forêts sont dans la même organisation et s’affichent avec une liste d’adresses globale unifiée.These forests are in the same organization in Azure AD and appear with a unified GAL. Dans l’image précédente, chaque objet de chaque forêt est représenté une seule fois dans le métaverse et agrégé dans le locataire Azure AD cible.In the preceding picture, each object in every forest is represented once in the metaverse and aggregated in the target Azure AD tenant.

Plusieurs forêts : utilisateurs en correspondanceMultiple forests: match users

Dans tous ces scénarios figurent des groupes de distribution et de sécurité, qui peuvent contenir une combinaison d’utilisateurs, de contacts et d’entités de sécurité externes.Common to all these scenarios is that distribution and security groups can contain a mix of users, contacts, and Foreign Security Principals (FSPs). Les entités de sécurité externes sont utilisées dans Active Directory Domain Services (AD DS) pour représenter des membres d’autres forêts dans un groupe de sécurité.FSPs are used in Active Directory Domain Services (AD DS) to represent members from other forests in a security group. Toutes les entités de sécurité externes sont résolues en leur objet réel dans Azure AD.All FSPs are resolved to the real object in Azure AD.

Plusieurs forêts : maillage complet avec GALSync facultativeMultiple forests: full mesh with optional GALSync

Option d’utilisation de l’attribut de messagerie pour la correspondance lorsqu’il existe des identités utilisateur sur plusieurs annuaires

Topologie de maillage complet pour plusieurs forêts

Une topologie de maillage complet permet aux utilisateurs et aux ressources de se trouver dans n’importe quelle forêt.A full mesh topology allows users and resources to be located in any forest. En général, il existe des approbations bidirectionnelles entre les forêts.Commonly, there are two-way trusts between the forests.

Si Exchange est présent dans plusieurs forêts, il peut (éventuellement) y avoir une solution GALSync locale.If Exchange is present in more than one forest, there might be (optionally) an on-premises GALSync solution. Chaque utilisateur est ensuite représenté en tant que contact dans toutes les autres forêts.Every user is then represented as a contact in all other forests. GALSync est fréquemment implémentée via FIM 2010 ou MIM 2016.GALSync is commonly implemented through FIM 2010 or MIM 2016. Azure AD Connect ne peut pas être utilisé pour une GALSync locale.Azure AD Connect cannot be used for on-premises GALSync.

Dans ce scénario, les objets d’identité sont joints via l’attribut de messagerie.In this scenario, identity objects are joined via the mail attribute. Un utilisateur qui a une boîte aux lettres dans une forêt est joint aux contacts dans les autres forêts.A user who has a mailbox in one forest is joined with the contacts in the other forests.

Plusieurs forêts : forêt de ressources de comptesMultiple forests: account-resource forest

Option d’utilisation des attributs ObjectSID et msExchMasterAccountSID pour la correspondance lorsqu’il existe des identités sur plusieurs annuaires

Topologie de forêt de ressources de comptes pour plusieurs forêts

Dans une topologie de forêt de ressources de comptes, vous avez une ou plusieurs forêts de comptes avec des comptes d’utilisateurs actifs.In an account-resource forest topology, you have one or more account forests with active user accounts. Une ou plusieurs forêts de ressources comportent également des comptes désactivés.You also have one or more resource forests with disabled accounts.

Dans ce scénario, une (ou plusieurs) forêt de ressources approuve toutes les forêts de comptes.In this scenario, one (or more) resource forest trusts all account forests. Cette forêt de ressources a généralement un schéma Active Directory étendu avec Exchange et Lync.The resource forest typically has an extended Active Directory schema with Exchange and Lync. Tous les services Exchange et Lync, et d’autres services partagés, sont situés dans cette forêt.All Exchange and Lync services, along with other shared services, are located in this forest. Les utilisateurs ont un compte d’utilisateur désactivé dans cette forêt et la boîte aux lettres est liée à la forêt de comptes.Users have a disabled user account in this forest, and the mailbox is linked to the account forest.

Considérations sur Office 365 et la topologieOffice 365 and topology considerations

Certaines charges de travail Office 365 ont certaines restrictions quant aux topologies prises en charge :Some Office 365 workloads have certain restrictions on supported topologies:

Charge de travailWorkload RestrictionsRestrictions
Exchange OnlineExchange Online Pour plus d’informations sur les topologies hybrides prises en charge par Exchange Online, consultez Déploiements hybrides avec plusieurs forêts Active Directory.For more information about hybrid topologies supported by Exchange Online, see Hybrid deployments with multiple Active Directory forests.
Skype EntrepriseSkype for Business Lorsque vous utilisez plusieurs forêts locales, seule la topologie de forêt de ressources de comptes est prise en charge.When you're using multiple on-premises forests, only the account-resource forest topology is supported. Pour plus d’informations, consultez la rubrique Configuration environnementale pour Skype for Business Server 2015.For more information, see Environmental requirements for Skype for Business Server 2015.

Serveur de testStaging server

Serveur intermédiaire dans une topologie

Azure AD Connect prend en charge l’installation d’un second serveur en mode intermédiaire.Azure AD Connect supports installing a second server in staging mode. Un serveur dans ce mode lit les données de tous les annuaires connectés, sans rien y écrire.A server in this mode reads data from all connected directories but does not write anything to connected directories. Il utilise le cycle de synchronisation normale et possède donc une copie des données d’identité à jour.It uses the normal synchronization cycle and therefore has an updated copy of the identity data.

En cas d’échec du serveur principal (lors d’un sinistre), vous pouvez basculer sur le serveur intermédiaire.In a disaster where the primary server fails, you can fail over to the staging server. Pour cela, utilisez l’Assistant Azure AD Connect.You do this in the Azure AD Connect wizard. Ce second serveur peut se trouver dans un autre centre de données, car aucune infrastructure n’est partagée avec le serveur principal.This second server can be located in a different datacenter because no infrastructure is shared with the primary server. Toute modification de configuration apportée au serveur principal doit être copiée manuellement sur le second serveur.You must manually copy any configuration change made on the primary server to the second server.

Vous pouvez utiliser un serveur intermédiaire pour tester une nouvelle configuration personnalisée et l’effet qu’elle aura sur vos données.You can use a staging server to test a new custom configuration and the effect that it has on your data. Vous pouvez prévisualiser les modifications et ajuster la configuration.You can preview the changes and adjust the configuration. Lorsque vous êtes satisfait de la nouvelle configuration, vous pouvez faire du serveur intermédiaire le serveur actif et placer l’ancien serveur actif en mode intermédiaire.When you're happy with the new configuration, you can make the staging server the active server and set the old active server to staging mode.

Vous pouvez également utiliser cette méthode pour remplacer le serveur de synchronisation actif.You can also use this method to replace the active sync server. Préparez le nouveau serveur et configurez-le en mode intermédiaire.Prepare the new server and set it to staging mode. Assurez-vous qu’il est en bon état, désactivez le mode intermédiaire (rendant ainsi le serveur actif), puis arrêtez le serveur actif actuel.Make sure it's in a good state, disable staging mode (making it active), and shut down the currently active server.

Il est possible d’avoir plusieurs serveurs intermédiaires si vous voulez disposer de plusieurs sauvegardes dans différents centres de données.It's possible to have more than one staging server when you want to have multiple backups in different datacenters.

Plusieurs clients Azure ADMultiple Azure AD tenants

Nous recommandons d’avoir un seul locataire dans Azure AD pour une organisation.We recommend having a single tenant in Azure AD for an organization. Avant d’envisager d’utiliser plusieurs clients Azure AD, consultez l’article Gestion des unités administratives dans Azure AD.Before you plan to use multiple Azure AD tenants, see the article Administrative units management in Azure AD. Il couvre les scénarios courants dans lesquels vous pouvez utiliser un locataire unique.It covers common scenarios where you can use a single tenant.

Topologie pour plusieurs forêts et plusieurs locataires

Il existe une relation 1:1 entre un serveur Azure AD Connect Sync et un locataire Azure AD.There's a 1:1 relationship between an Azure AD Connect sync server and an Azure AD tenant. Pour chaque client Azure AD, vous avez besoin d’une installation d’un serveur de synchronisation Azure AD Connect.For each Azure AD tenant, you need one Azure AD Connect sync server installation. De par leur conception, les instances de locataire Azure AD sont isolées.The Azure AD tenant instances are isolated by design. Ainsi, les utilisateurs dans un locataire ne peuvent pas voir les utilisateurs dans l’autre locataire.That is, users in one tenant can't see users in the other tenant. Si vous souhaitez cette séparation, cette configuration est prise en charge.If you want this separation, this is a supported configuration. Dans le cas contraire, vous devez utiliser le modèle de locataire Azure AD unique.Otherwise, you should use the single Azure AD tenant model.

Chaque objet une seule fois dans un client Azure ADEach object only once in an Azure AD tenant

Topologie filtrée pour une forêt unique

Dans cette topologie, un seul serveur de synchronisation Azure AD Connect est connecté à chaque client Azure AD.In this topology, one Azure AD Connect sync server is connected to each Azure AD tenant. Les serveurs Azure AD Connect Sync doivent être configurés pour le filtrage afin d’avoir chacun un ensemble d’objets mutuellement exclusifs.The Azure AD Connect sync servers must be configured for filtering so that each has a mutually exclusive set of objects to operate on. Vous pouvez, par exemple, délimiter l’étendue de chaque serveur à un domaine ou à une unité d’organisation spécifique.You can, for example, scope each server to a particular domain or organizational unit.

Un domaine DNS peut être inscrit dans un seul locataire Azure AD.A DNS domain can be registered in only a single Azure AD tenant. L’UPN (nom d’utilisateur principal) des utilisateurs dans l’instance Active Directory locale doit également être composé d’espaces de noms distincts.The UPNs of the users in the on-premises Active Directory instance must also use separate namespaces. Par exemple, dans l’image précédente, trois suffixes d’UPN distincts sont inscrits dans l’instance Active Directory locale : contoso.com, fabrikam.com et wingtiptoys.com. Les utilisateurs dans chaque domaine Active Directory local utilisent un espace de noms différent.For example, in the preceding picture, three separate UPN suffixes are registered in the on-premises Active Directory instance: contoso.com, fabrikam.com, and wingtiptoys.com. The users in each on-premises Active Directory domain use a different namespace.

Il n’existe aucune solution GALSync entre les instances de locataire Azure AD.There is no GALSync between the Azure AD tenant instances. Le carnet d’adresses dans Exchange Online et Skype Entreprise affiche uniquement les utilisateurs du même locataire.The address book in Exchange Online and Skype for Business shows only users in the same tenant.

Cette topologie comprend les restrictions suivantes pour les scénarios sinon pris en charge :This topology has the following restrictions on otherwise supported scenarios:

  • Seul un des locataires Azure AD peut activer Exchange hybride avec l’instance Active Directory locale.Only one of the Azure AD tenants can enable an Exchange hybrid with the on-premises Active Directory instance.
  • Les appareils Windows 10 ne peuvent être associés qu’à un seul locataire Azure AD.Windows 10 devices can be associated with only one Azure AD tenant.
  • L’option d’authentification unique (SSO) pour la synchronisation de mot de passe et l’authentification directe ne peut être utilisée qu’avec un seul locataire Azure AD.The single sign-on (SSO) option for password synchronization and pass-through authentication can be used with only one Azure AD tenant.

La condition requise d’un ensemble d’objets mutuellement exclusifs s’applique également à l’écriture différée.The requirement for a mutually exclusive set of objects also applies to writeback. Certaines fonctionnalités d’écriture différée ne sont pas prises en charge avec cette topologie, car elles supposent une seule configuration locale.Some writeback features are not supported with this topology because they assume a single on-premises configuration. Voici quelques fonctionnalités :These features include:

  • Écriture différée des groupes avec la configuration par défaut.Group writeback with default configuration.
  • Écriture différée des appareils.Device writeback.

Chaque objet plusieurs fois dans un client Azure ADEach object multiple times in an Azure AD tenant

Topologie non prise en charge pour une forêt unique et plusieurs locataires Topologie non prise en charge pour une forêt unique et plusieurs connecteurs

Les tâches suivantes ne sont pas prises en charge :These tasks are unsupported:

  • Synchronisation d’un même utilisateur vers plusieurs locataires Azure AD.Sync the same user to multiple Azure AD tenants.
  • Modification d’une configuration pour faire en sorte que les utilisateurs dans un locataire Azure AD apparaissent comme contacts dans un autre locataire Azure AD.Make a configuration change so that users in one Azure AD tenant appear as contacts in another Azure AD tenant.
  • Modification d’Azure AD Connect Sync pour qu’il se connecte à plusieurs locataires Azure AD.Modify Azure AD Connect sync to connect to multiple Azure AD tenants.

GALSync à l’aide de l’écriture différéeGALSync by using writeback

Topologie non prise en charge pour plusieurs forêts et plusieurs annuaires, avec GALSync se concentrant sur Azure AD Topologie non prise en charge pour plusieurs forêts et plusieurs annuaires, avec GALSync se concentrant sur Active Directory local

Les locataires Azure AD sont isolés de par leur conception.Azure AD tenants are isolated by design. Les tâches suivantes ne sont pas prises en charge :These tasks are unsupported:

  • Modification de la configuration d’Azure AD Connect Sync pour lire des données à partir d’un autre locataire Azure AD.Change the configuration of Azure AD Connect sync to read data from another Azure AD tenant.
  • Exportation d’utilisateurs comme contacts vers une autre instance Active Directory locale avec Azure AD Connect Sync.Export users as contacts to another on-premises Active Directory instance by using Azure AD Connect sync.

GALSync avec le serveur de synchronisation localGALSync with on-premises sync server

GALSync dans une topologie pour plusieurs forêts et plusieurs annuaires

Vous pouvez utiliser FIM 2010 ou MIM 2016 local pour synchroniser les utilisateurs (via GALSync) entre deux organisations Exchange.You can use FIM 2010 or MIM 2016 on-premises to sync users (via GALSync) between two Exchange organizations. Les utilisateurs d’une organisation apparaissent alors comme des utilisateurs/contacts externes dans l’autre organisation.The users in one organization appear as foreign users/contacts in the other organization. Ces différentes instances Active Directory locales peuvent ensuite être synchronisées vers leurs propres locataires Azure AD.These different on-premises Active Directory instances can then be synchronized with their own Azure AD tenants.

Étapes suivantesNext steps

Pour savoir comment installer Azure AD Connect pour ces scénarios, consultez Installation personnalisée d’Azure AD Connect.To learn how to install Azure AD Connect for these scenarios, see Custom installation of Azure AD Connect.

En savoir plus sur la configuration de la synchronisation Azure AD Connect .Learn more about the Azure AD Connect sync configuration.

En savoir plus sur l’intégration de vos identités locales avec Azure Active Directory.Learn more about integrating your on-premises identities with Azure Active Directory.