Installatie van Azure AD Verbinding maken Health-agent

In dit artikel leert u hoe u de Azure Active Directory (Azure AD) Verbinding maken Health-agents kunt installeren en configureren. Zie deze instructies om de agents te downloaden.

Vereisten

De volgende tabel bevat de vereisten voor het gebruik van Azure AD Verbinding maken Health.

Uitgaande verbinding met de Azure-service-eindpunten

Tijdens de installatie en runtime moet de agent verbinding hebben met Azure AD Verbinding maken Health-service-eindpunten. Als uitgaande connectiviteit wordt geblokkeerd door firewalls, moet u ervoor zorgen dat de URL's in de volgende tabel niet standaard worden geblokkeerd.

Schakel beveiligingsbewaking of inspectie van deze URL's niet uit. In plaats daarvan kunt u ze toestaan zoals u ander internetverkeer zou toestaan.

Deze URL's maken communicatie met Azure AD Verbinding maken Health-service-eindpunten mogelijk. Verder in dit artikel leert u hoe u uitgaande connectiviteit kunt controleren met behulp van Test-AzureADConnectHealthConnectivity .

De agent installeren

De Azure AD Verbinding maken Health-agent downloaden en installeren:

• Zorg ervoor dat u voldoet aan de vereisten voor Azure AD Verbinding maken Health.
• Aan de slag met Azure AD Verbinding maken Health for AD FS:
  • Download de Azure AD Verbinding maken Health-agent voor AD FS.
  • Zie de installatie-instructies.
• Aan de slag met Azure AD Verbinding maken Health for Sync:
  • Download en installeer de nieuwste versie van Azure AD Connect. De statusagent voor Sync wordt geïnstalleerd als onderdeel van de Installatie van Azure AD Verbinding maken (versie 1.0.9125.0 of hoger).
• Aan de slag met Azure AD Verbinding maken Health for Azure AD DS:
  • Download de Azure AD Verbinding maken Health-agent voor Azure AD DS.
  • Zie de installatie-instructies.

De agent installeren voor AD FS

Voordat u de agent installeert, moet u ervoor zorgen dat AD FS serverhostnaam uniek is en niet aanwezig is in de AD FS service. Als u de installatie van de agent wilt starten, dubbelklikt u op .exe bestand dat u hebt gedownload. Selecteer installeren in het eerste venster.

Nadat de installatie is voltooien, selecteert u Nu configureren.

Er wordt een PowerShell-venster geopend om het agentregistratieproces te starten. Wanneer u hier om wordt gevraagd, meldt u zich aan met een Azure AD-account dat machtigingen heeft om de agent te registreren. Het globale beheerdersaccount heeft standaard machtigingen.

Nadat u zich hebt aanmelden, gaat PowerShell verder. Wanneer dit is bereikt, kunt u PowerShell sluiten. De configuratie is voltooid.

Op dit moment moeten de agentservices automatisch starten, zodat de agent de vereiste gegevens veilig kan uploaden naar de cloudservice.

Als u niet aan alle vereisten hebt voldaan, worden waarschuwingen weergegeven in het PowerShell-venster. Zorg ervoor dat u aan de vereisten voldoet voordat u de agent installeert. In de volgende schermopname ziet u een voorbeeld van deze waarschuwingen.

Als u wilt controleren of de agent is geïnstalleerd, zoek dan naar de volgende services op de server. Als de configuratie is voltooid, moeten deze services worden uitgevoerd. Anders worden ze gestopt totdat de configuratie is voltooid.

• Azure AD Connect Health AD FS Diagnostics-service
• Azure AD Connect Health AD FS Insights-service
• Azure AD Connect Health AD FS Monitoring-service

Controle inschakelen voor AD FS

De functie Usage Analytics moet gegevens verzamelen en analyseren. De Azure AD Verbinding maken Health-agent heeft daarom de informatie in de AD FS auditlogboeken nodig. Deze logboeken zijn niet standaard ingeschakeld. Gebruik de volgende procedures om AD FS in te stellen en om de auditlogboeken AD FS uw AD FS vinden.

Controle inschakelen voor AD FS in Windows Server 2012 R2

1. Open Startscherm de Serverbeheer en open vervolgens Lokaal beveiligingsbeleid. Of open op de taakbalk Serverbeheer en selecteer hulpprogramma's/lokaal beveiligingsbeleid.

2. Ga naar de map Instellingen\Local Policies\User Rights Assignment. Dubbelklik vervolgens op Beveiligingscontroles genereren.

3. Controleer op het tabblad Lokale beveiligingsinstelling of het AD FS-serviceaccount wordt vermeld. Als deze niet wordt vermeld, selecteert u Gebruiker of groep toevoegen en voegt u deze toe aan de lijst. Selecteer vervolgens OK.

4. Als u controle wilt inschakelen, opent u een opdrachtpromptvenster met verhoogde bevoegdheden. Voer vervolgens de volgende opdracht uit:

   auditpol.exe /set /subcategory:{0CCE9222-69AE-11D9-BED3-505054503030} /failure:enable /success:enable

5. Kies Lokaal beveiligingsbeleid.

   Belangrijk

   De volgende stappen zijn alleen vereist voor primaire AD FS servers.

6. Open de module AD FS-beheer. (Selecteer in Serverbeheer extra > AD FS Management.)

7. Selecteer in het deelvenster Acties De eigenschappen Federation Service bewerken.

8. Selecteer in Federation Service dialoogvenster Eigenschappen het tabblad Gebeurtenissen.

9. Schakel de selectievakjes Success audits and Failure audits in en selecteer OK.

10. Als u uitgebreide logboekregistratie via PowerShell wilt inschakelen, gebruikt u de volgende opdracht:

    Set-AdfsProperties -LOGLevel Verbose

Controle inschakelen voor AD FS in Windows Server 2016

1. Open Startscherm de Serverbeheer en open vervolgens Lokaal beveiligingsbeleid. Of open op de taakbalk Serverbeheer en selecteer hulpprogramma's/lokaal beveiligingsbeleid.

2. Ga naar de map Security Instellingen\Local Policies\User Rights Assignment en dubbelklik vervolgens op Generate security audits.

3. Controleer op het tabblad Lokale beveiligingsinstelling of het AD FS-serviceaccount wordt vermeld. Als deze niet wordt weergegeven, selecteert u Gebruiker of groep toevoegen en voegt u het AD FS serviceaccount toe aan de lijst. Selecteer vervolgens OK.

4. Als u controle wilt inschakelen, opent u een opdrachtpromptvenster met verhoogde bevoegdheden. Voer vervolgens de volgende opdracht uit:

   auditpol.exe /set /subcategory:{0CCE9222-69AE-11D9-BED3-505054503030} /failure:enable /success:enable

5. Kies Lokaal beveiligingsbeleid.

   Belangrijk

   De volgende stappen zijn alleen vereist voor primaire AD FS servers.

6. Open de module AD FS-beheer. (Selecteer in Serverbeheer extra > AD FS Management.)

7. Selecteer in het deelvenster Acties De eigenschappen Federation Service bewerken.

8. Selecteer in Federation Service dialoogvenster Eigenschappen het tabblad Gebeurtenissen.

9. Schakel de selectievakjes Success audits and Failure audits in en selecteer OK. Succescontroles en mislukte controles moeten standaard zijn ingeschakeld.

10. Open een PowerShell-venster en voer de volgende opdracht uit:

    Set-AdfsProperties -AuditLevel Verbose

Het 'basis' controleniveau is standaard ingeschakeld. Zie voor meer informatie AD FS auditverbetering in Windows Server 2016.

De AD FS-auditlogboeken zoeken

1. Open Logboeken.

2. Ga naar Windows logboeken en selecteer Vervolgens Beveiliging.

3. Selecteer aan de rechterkant Huidige logboeken filteren.

4. Selecteer voor Gebeurtenisbronnen de optie AD FS Controle.

   Zie Vragen over bewerkingen voor meer informatie over auditlogboeken.

   

De agent installeren voor Sync

De Azure AD Verbinding maken Health-agent voor synchronisatie wordt automatisch geïnstalleerd in de nieuwste versie van Azure AD Verbinding maken. Als u Azure AD Verbinding maken for Sync wilt gebruiken, downloadt u de nieuwste versie van Azure AD Verbinding maken installeert u deze.

Als u wilt controleren of de agent is geïnstalleerd, zoekt u de volgende services op de server. Als u de configuratie hebt voltooid, moeten de services al worden uitgevoerd. Anders worden de services gestopt totdat de configuratie is voltooid.

• Azure AD Connect Health Sync Insights-service
• Azure AD Connect Health Sync Monitoring-service

Azure AD handmatig registreren Verbinding maken Health for Sync

Als de registratie van de Azure AD Verbinding maken Health for Sync-agent mislukt nadat u Azure AD Verbinding maken hebt geïnstalleerd, kunt u een PowerShell-opdracht gebruiken om de agent handmatig te registreren.

Registreer de Azure AD Verbinding maken Health-agent for Sync handmatig met behulp van de volgende PowerShell-opdracht. De Azure AD Connect Health-services worden niet gestart nadat de agent is geregistreerd.

Register-AzureADConnectHealthSyncAgent -AttributeFiltering $true -StagingMode $false

Voor de opdracht worden de volgende parameters gebruikt:

• AttributeFiltering:(standaard) als Azure AD Verbinding maken de standaardkenmerkset niet synchroniseert en is aangepast voor het gebruik van een $true gefilterde kenmerkset. Gebruik anders $false .
• StagingMode: $false (standaard) als de Azure AD Verbinding maken-server zich niet in de faseringsmodus. Als de server is geconfigureerd voor de faseringsmodus, gebruikt u $true .

Wanneer u wordt gevraagd om verificatie, gebruikt u hetzelfde globale beheerdersaccount (zoals ) dat u hebt gebruikt voor het configureren van admin@domain.onmicrosoft.com Azure AD-Verbinding maken.

De agent installeren voor Azure AD DS

Dubbelklik op het bestand.exeu hebt gedownload om de installatie van de agent te starten. Selecteer installeren in het eerste venster.

Wanneer de installatie is voltooien, selecteert u Nu configureren.

Er wordt een opdrachtpromptvenster geopend. In PowerShell wordt Register-AzureADConnectHealthADDSAgent uitgevoerd. Meld u aan bij Azure wanneer u hier om wordt gevraagd.

Nadat u zich hebt aanmelden, gaat PowerShell verder. Wanneer dit is bereikt, kunt u PowerShell sluiten. De configuratie is voltooid.

Op dit moment moeten de services automatisch worden gestart, zodat de agent gegevens kan bewaken en verzamelen. Als u niet aan alle vereisten hebt voldaan die in de vorige secties zijn beschreven, worden waarschuwingen weergegeven in het PowerShell-venster. Zorg ervoor dat u aan de vereisten voldoet voordat u de agent installeert. In de volgende schermopname ziet u een voorbeeld van deze waarschuwingen.

Als u wilt controleren of de agent is geïnstalleerd, zoek dan naar de volgende services op de domeincontroller:

• Azure AD Connect Health AD DS Insights-service
• Azure AD Connect Health AD DS Monitoring-service

Als de configuratie is voltooid, worden deze services als het goed is al uitgevoerd. Anders worden ze gestopt totdat de configuratie is bereikt.

De agent snel installeren op meerdere servers

1. Maak een gebruikersaccount in Azure AD. Beveilig deze met behulp van een wachtwoord.

2. Wijs de rol Eigenaar toe voor dit lokale Azure AD-account in Azure AD Verbinding maken Health met behulp van de portal. Volg deze stappen. Wijs de rol toe aan alle service-exemplaren.

3. Download het .exe MSI-bestand in de lokale domeincontroller voor de installatie.

4. Voer het volgende script uit. Vervang de parameters door uw nieuwe gebruikersaccount en het wachtwoord.

   AdHealthAddsAgentSetup.exe /quiet
   Start-Sleep 30
   $userName = "NEWUSER@DOMAIN"
   $secpasswd = ConvertTo-SecureString "PASSWORD" -AsPlainText -Force
   $myCreds = New-Object System.Management.Automation.PSCredential ($userName, $secpasswd)
   import-module "C:\Program Files\Azure Ad Connect Health Adds Agent\PowerShell\AdHealthAdds"
   
   Register-AzureADConnectHealthADDSAgent -Credential $myCreds
   

Wanneer u klaar bent, kunt u de toegang voor het lokale account verwijderen door een of meer van de volgende taken uit te voeren:

• Verwijder de roltoewijzing voor het lokale account voor Azure AD Verbinding maken Health.
• Draai het wachtwoord voor het lokale account.
• Schakel het lokale Azure AD-account uit.
• Verwijder het lokale Azure AD-account.

De agent registreren met behulp van PowerShell

Nadat u het juiste agentbestand setup.exe geïnstalleerd, kunt u de agent registreren met behulp van de volgende PowerShell-opdrachten, afhankelijk van de rol. Open een PowerShell-venster en voer de juiste opdracht uit:

Register-AzureADConnectHealthADFSAgent
Register-AzureADConnectHealthADDSAgent
Register-AzureADConnectHealthSyncAgent

Register-AzureADConnectHealthADFSAgent -UserPrincipalName upn-of-the-user
Register-AzureADConnectHealthADDSAgent -UserPrincipalName upn-of-the-user
Register-AzureADConnectHealthSyncAgent -UserPrincipalName upn-of-the-user

Deze opdrachten accepteren als parameter om de registratie niet-actief te voltooien of om de registratie te voltooien op een Credential computer met Server Core. Denk hierbij aan het volgende:

• U kunt vastleggen Credential in een PowerShell-variabele die wordt doorgegeven als parameter.
• U kunt elke Azure AD-identiteit opgeven die machtigingen heeft om de agents te registreren en die geen meervoudige verificatie heeft ingeschakeld.
• Globale beheerders hebben standaard machtigingen om de agents te registreren. U kunt ook toestaan dat identiteiten met minder bevoegdheden deze stap kunnen doen. Zie Azure RBAC voor meer informatie.

    $cred = Get-Credential
    Register-AzureADConnectHealthADFSAgent -Credential $cred

Azure AD Verbinding maken Health-agents configureren voor het gebruik van http-proxy

U kunt Azure AD Verbinding maken Health-agents configureren om te werken met een HTTP-proxy.

De proxyconfiguratie van de agent wijzigen

Als u de Azure AD Verbinding maken Health-agent wilt configureren voor het gebruik van een HTTP-proxy, kunt u het volgende doen:

• Bestaande proxy-instellingen importeren.
• Geef proxyadressen handmatig op.
• De bestaande proxyconfiguratie leeg maken.

Bestaande proxyinstellingen importeren

U kunt de http Internet Explorer proxy-instellingen importeren, zodat de Azure AD Verbinding maken Health-agents de instellingen kunnen gebruiken. Voer op elk van de servers waarop de statusagent wordt uitgevoerd de volgende PowerShell-opdracht uit:

Set-AzureAdConnectHealthProxySettings -ImportFromInternetSettings

U kunt WinHTTP-proxyinstellingen importeren zodat de Azure AD Verbinding maken Health-agents deze kunnen gebruiken. Voer op elk van de servers waarop de statusagent wordt uitgevoerd de volgende PowerShell-opdracht uit:

Set-AzureAdConnectHealthProxySettings -ImportFromWinHttp

Proxyadressen handmatig opgeven

U kunt handmatig een proxyserver opgeven. Voer op elk van de servers waarop de statusagent wordt uitgevoerd de volgende PowerShell-opdracht uit:

Set-AzureAdConnectHealthProxySettings -HttpsProxyAddress address:port

Hier volgt een voorbeeld:

Set-AzureAdConnectHealthProxySettings -HttpsProxyAddress myproxyserver: 443

In dit voorbeeld:

• De address instelling kan een dns-omkeerbare servernaam of een IPv4-adres zijn.
• U kunt port weglaten. Als u dit doet, is 443 de standaardpoort.

De bestaande proxyconfiguratie leeg maken

U kunt de bestaande proxyconfiguratie wissen door de volgende opdracht uit te voeren:

Set-AzureAdConnectHealthProxySettings -NoProxy

De huidige proxyinstellingen lezen

U kunt de huidige proxy-instellingen lezen door de volgende opdracht uit te voeren:

Get-AzureAdConnectHealthProxySettings

Connectiviteit met Azure AD Verbinding maken Health-service testen

Af en toe kan de Azure AD Verbinding maken Health-agent de verbinding met de Azure AD Verbinding maken Health-service verliezen. Oorzaken van dit connectiviteitsverlies kunnen netwerkproblemen, machtigingsproblemen en verschillende andere problemen zijn.

Als de agent langer dan twee uur geen gegevens naar de Azure AD Verbinding maken Health-service kan verzenden, wordt de volgende waarschuwing weergegeven in de portal: 'Health Service data is not up to date'.

U kunt na gaan of de betrokken Azure AD Verbinding maken Health-agent gegevens kan uploaden naar de Azure AD Verbinding maken Health-service door de volgende PowerShell-opdracht uit te voeren:

Test-AzureADConnectHealthConnectivity -Role ADFS

De rolparameter heeft momenteel de volgende waarden:

• ADFS
• Synchroniseren
• ADDS

Volgende stappen

Bekijk de volgende verwante artikelen:

• Azure AD Connect Health (Engelstalig)
• Azure AD Verbinding maken Health-bewerkingen
• Azure AD Connect Health gebruiken met AD FS
• Azure AD Connect Health for Sync gebruiken
• Azure AD Verbinding maken Health gebruiken met Azure AD DS
• Veelgestelde vragen over Azure AD Connect Health
• Versiegeschiedenis van Azure AD Connect Health