Cmdlet di PowerShell per l'agente di provisioning di Microsoft Entra

Lo scopo di questo documento è descrivere i cmdlet di PowerShell dell'agente di provisioning cloud di Microsoft Entra Connessione. Questi cmdlet garantiscono una maggiore granularità sulle autorizzazioni applicate all'account del servizio (gMSA). Per impostazione predefinita, Microsoft Entra Cloud Sync applica tutte le autorizzazioni simili a Microsoft Entra Connessione nell'account del servizio gestito del gruppo predefinito o in un account del servizio gestito del gruppo personalizzato durante l'installazione dell'agente di provisioning cloud.

Questo documento illustra i cmdlet seguenti:

Set-AADCloudSyncPermissions

Set-AADCloudSyncRestrictedPermissions

Come usare i cmdlet:

Per usare questi cmdlet sono necessari i prerequisiti seguenti.

1. Installare l'agente di provisioning.

2. Importare il modulo PowerShell dell'agente di provisioning in una sessione di PowerShell.

   Import-Module "C:\Program Files\Microsoft Azure AD Connect Provisioning Agent\Microsoft.CloudSync.Powershell.dll"
   

3. Questi cmdlet richiedono un parametro denominato Credential che può essere passato oppure richiederà all'utente se non specificato nella riga di comando. A seconda della sintassi del cmdlet usata, queste credenziali devono essere un account amministratore dell'organizzazione o, almeno, un amministratore di dominio del dominio di destinazione in cui si impostano le autorizzazioni.

4. Per creare una variabile per le credenziali, usare:

   $credential = Get-Credential

5. Per impostare le autorizzazioni di Active Directory per l'agente di provisioning cloud, è possibile usare il cmdlet seguente. In questo modo si concedono le autorizzazioni nella radice del dominio, consentendo all'account del servizio di gestire Active Directory locale oggetti. Per esempi sull'impostazione delle autorizzazioni, vedere Uso di Set-AADCloudSyncPermissions di seguito.

   Set-AADCloudSyncPermissions -EACredential $credential

6. Per limitare le autorizzazioni di Active Directory impostate per impostazione predefinita nell'account dell'agente di provisioning cloud, è possibile usare il cmdlet seguente. In questo modo si aumenta la sicurezza dell'account del servizio disabilitando l'ereditarietà delle autorizzazioni e rimuovendo tutte le autorizzazioni esistenti, ad eccezione di edizione Standard LF e controllo completo per gli amministratori. Per esempi sulla limitazione delle autorizzazioni, vedere Uso di Set-AADCloudSyncRestrictedPermission di seguito.

   Set-AADCloudSyncRestrictedPermission -Credential $credential

Uso di Set-AADCloudSyncPermissions

Set-AADCloudSyncPermissionssupporta i tipi di autorizzazione seguenti identici alle autorizzazioni usate da Azure AD Connessione sincronizzazione classica (ADSync). Sono supportati i tipi di autorizzazione seguenti:

Tipo di autorizzazione	Descrizione
BasicRead	Vedere Autorizzazioni di baseread per Microsoft Entra Connessione
PasswordHashSync	Vedere Autorizzazioni passwordHashSync per Microsoft Entra Connessione
PasswordWriteBack	Vedere Autorizzazioni passwordWriteBack per Microsoft Entra Connessione
HybridExchangePermissions	Vedere Autorizzazioni di HybridExchangePermissions per Microsoft Entra Connessione
ExchangeMailPublicFolderPermissions	Vedere ExchangeMailPublicFolderPermissions permissions for Microsoft Entra Connessione
UserGroupCreateDelete	Autorizzazioni per il provisioning del gruppo di Microsoft Entra Cloud Sync in AD. Applica 'Create/delete User objects' on 'This object and all descendant objects' and Applies 'Create/delete group objects' on 'This object and all descendant objects'
Tutte le date	Applica tutte le autorizzazioni precedenti

È possibile usare AADCloudSyncPermissions in uno dei due modi seguenti:

• Concedere autorizzazioni a tutti i domini configurati
• Concedere autorizzazioni a un dominio specifico

Concedere autorizzazioni a tutti i domini configurati

La concessione di determinate autorizzazioni a tutti i domini configurati richiederà l'uso di un account amministratore aziendale.

$credential = Get-Credential
Set-AADCloudSyncPermissions -PermissionType "Any mentioned above" -EACredential $credential 

Concedere autorizzazioni a un dominio specifico

La concessione di determinate autorizzazioni a un dominio specifico richiederà l'uso di targetDomainCredential amministratore dell'organizzazione o amministratore di dominio del dominio di destinazione. TargetDomain deve essere già configurato tramite la procedura guidata.

$credential = Get-Credential
Set-AADCloudSyncPermissions -PermissionType "Any mentioned above" -TargetDomain "FQDN of domain" -TargetDomainCredential $credential

Uso di Set-AADCloudSyncRestrictedPermissions

Per una maggiore sicurezza, Set-AADCloudSyncRestrictedPermissions restringerà le autorizzazioni impostate sull'account dell'agente di provisioning cloud stesso. La protezione avanzata delle autorizzazioni per l'account dell'agente di provisioning cloud comporta le modifiche seguenti:

• Disabilita ereditarietà

• Rimuovere tutte le autorizzazioni predefinite, ad eccezione degli ACL specifici di edizione Standard LF.

• Impostare autorizzazioni di controllo completo per SYSTEM, Amministrazione istrator, Amministrazione di dominio e Amministrazione Enterprise.

• Impostare autorizzazioni di lettura per utenti autenticati e controller di dominio aziendali.

  Il parametro -Credential è necessario per specificare l'account Amministrazione istrator con i privilegi necessari per limitare le autorizzazioni di Active Directory nell'account dell'agente di provisioning cloud. Si tratta in genere del dominio o dell'amministratore dell'organizzazione.

Ad esempio:

$credential = Get-Credential 
Set-AADCloudSyncRestrictedPermissions -Credential $credential