Azure AD Connect synchronisatie: Aanbevolen procedures voor het wijzigen van de standaard configuratieAzure AD Connect sync: Best practices for changing the default configuration

Het doel van dit onderwerp is het beschrijven van ondersteunde en niet-ondersteunde wijzigingen in Azure AD Connect synchronisatie.The purpose of this topic is to describe supported and unsupported changes to Azure AD Connect sync.

De configuratie die door Azure AD Connect is gemaakt, werkt in de meeste omgevingen die on-premises Active Directory met Azure AD synchroniseren.The configuration created by Azure AD Connect works “as is” for most environments that synchronize on-premises Active Directory with Azure AD. In sommige gevallen is het echter nood zakelijk om enkele wijzigingen toe te passen op een configuratie om te voldoen aan een bepaalde behoefte of vereiste.However, in some cases, it is necessary to apply some changes to a configuration to satisfy a particular need or requirement.

Wijzigingen in het service accountChanges to the service account

Azure AD Connect synchronisatie wordt uitgevoerd onder een service account dat is gemaakt door de installatie wizard.Azure AD Connect sync is running under a service account created by the installation wizard. Dit service account bevat de versleutelings sleutels voor de data base die wordt gebruikt door de synchronisatie. Het is gemaakt met een lang wacht woord van 127 tekens en het wacht woord is ingesteld op niet verlopen.This service account holds the encryption keys to the database used by sync. It is created with a 127 characters long password and the password is set to not expire.

  • Het wordt niet ondersteund om het wacht woord van het service account te wijzigen of opnieuw in te stellen.It is unsupported to change or reset the password of the service account. Hierdoor worden de versleutelings sleutels vernietigd en kan de service geen toegang krijgen tot de data base en kan niet worden gestart.Doing so destroys the encryption keys and the service is not able to access the database and is not able to start.

Wijzigingen in de schedulerChanges to the scheduler

Vanaf de release van build 1,1 (februari 2016) kunt u instellen dat de scheduler een andere synchronisatie cyclus heeft dan de standaard 30 minuten.Starting with the releases from build 1.1 (February 2016) you can configure the scheduler to have a different sync cycle than the default 30 minutes.

Wijzigingen in synchronisatie regelsChanges to Synchronization Rules

De installatie wizard bevat een configuratie die moet worden gebruikt voor de meest voorkomende scenario's.The installation wizard provides a configuration that is supposed to work for the most common scenarios. Als u wijzigingen moet aanbrengen in de configuratie, moet u deze regels volgen om nog steeds een ondersteunde configuratie te hebben.In case you need to make changes to the configuration, then you must follow these rules to still have a supported configuration.

Waarschuwing

Als u wijzigingen aanbrengt in de standaard regels voor synchronisatie, worden deze wijzigingen overschreven wanneer de volgende keer Azure AD Connect wordt bijgewerkt, wat resulteert in onverwachte en waarschijnlijk ongewenste synchronisatie resultaten.If you make changes to the default sync rules then these changes will be overwritten the next time Azure AD Connect is updated, resulting in unexpected and likely unwanted synchronization results.

  • U kunt kenmerk stromen wijzigen als de standaard directe kenmerk stromen niet geschikt zijn voor uw organisatie.You can change attribute flows if the default direct attribute flows are not suitable for your organization.
  • Als u geen kenmerk wilt door lopen en bestaande kenmerk waarden in azure ad wilt verwijderen, moet u een regel voor dit scenario maken.If you want to not flow an attribute and remove any existing attribute values in Azure AD, then you need to create a rule for this scenario.
  • Schakel een ongewenste synchronisatie regel uit in plaats van deze te verwijderen.Disable an unwanted Sync Rule rather than deleting it. Een verwijderde regel wordt opnieuw gemaakt tijdens een upgrade.A deleted rule is recreated during an upgrade.
  • Als u een out-of-Box-regel wilt wijzigen, moet u een kopie van de oorspronkelijke regel maken en de out-of-Box-regel uitschakelen.To change an out-of-box rule, you should make a copy of the original rule and disable the out-of-box rule. De editor voor synchronisatie regels vraagt en helpt u.The Sync Rule Editor prompts and helps you.
  • Exporteer uw aangepaste synchronisatie regels met de editor voor synchronisatie regels.Export your custom synchronization rules using the Synchronization Rules Editor. De editor biedt u een Power shell-script dat u kunt gebruiken om ze eenvoudig opnieuw te maken in een nood herstel scenario.The editor provides you with a PowerShell script you can use to easily recreate them in a disaster recovery scenario.

Waarschuwing

De out-of-Box Sync-regels hebben een vinger afdruk.The out-of-box sync rules have a thumbprint. Als u deze regels wijzigt, komt de vinger afdruk niet meer overeen.If you make a change to these rules, the thumbprint is no longer matching. Het kan voor komen dat u in de toekomst problemen ondervindt wanneer u een nieuwe versie van Azure AD Connect probeert toe te passen.You might have problems in the future when you try to apply a new release of Azure AD Connect. Breng alleen wijzigingen aan zoals beschreven in dit artikel.Only make changes the way it is described in this article.

Een ongewenste synchronisatie regel uitschakelenDisable an unwanted Sync Rule

Verwijder geen out-of-Box Sync-regel.Do not delete an out-of-box sync rule. Het wordt opnieuw gemaakt tijdens de volgende upgrade.It is recreated during next upgrade.

In sommige gevallen heeft de installatie wizard een configuratie gemaakt die niet werkt voor uw topologie.In some cases, the installation wizard has produced a configuration that is not working for your topology. Als u bijvoorbeeld een topologie van een account-resource forest hebt, maar u het schema in het account forest hebt uitgebreid met het Exchange-schema, worden de regels voor Exchange gemaakt voor het account forest en de bron-forest.For example, if you have an account-resource forest topology but you have extended the schema in the account forest with the Exchange schema, then rules for Exchange are created for the account forest and the resource forest. In dit geval moet u de synchronisatie regel voor Exchange uitschakelen.In this case, you need to disable the Sync Rule for Exchange.

Uitgeschakelde synchronisatie regel

In de bovenstaande afbeelding heeft de installatie wizard een oud Exchange 2003-schema gevonden in het account-forest.In the picture above, the installation wizard has found an old Exchange 2003 schema in the account forest. Deze schema-uitbrei ding is toegevoegd voordat de bron-forest werd geïntroduceerd in de omgeving van fabrikam.This schema extension was added before the resource forest was introduced in Fabrikam's environment. Om ervoor te zorgen dat er geen kenmerken van de oude Exchange-implementatie worden gesynchroniseerd, moet de synchronisatie regel worden uitgeschakeld, zoals wordt weer gegeven.To ensure no attributes from the old Exchange implementation are synchronized, the sync rule should be disabled as shown.

Een out-of-Box-regel wijzigenChange an out-of-box rule

De enige keer dat u een out-of-Box-regel moet wijzigen, is wanneer u de regel voor samen voegen wilt wijzigen.The only time you should change an out-of-box rule is when you need to change the join rule. Als u een kenmerk stroom wilt wijzigen, moet u een synchronisatie regel met een hogere prioriteit dan de out-of-Box-regels maken.If you need to change an attribute flow, then you should create a sync rule with higher precedence than the out-of-box rules. De enige regel die u nagenoeg nodig hebt om te klonen, is de regel in van de deelname aan AD-gebruikers.The only rule you practically need to clone is the rule In from AD - User Join. U kunt alle andere regels vervangen door een regel met een hogere prioriteit.You can override all other rules with a higher precedence rule.

Als u wijzigingen moet aanbrengen in een out-of-Box-regel, moet u een kopie maken van de out-of-Box-regel en de oorspronkelijke regel uitschakelen.If you need to make changes to an out-of-box rule, then you should make a copy of the out-of-box rule and disable the original rule. Breng vervolgens de wijzigingen aan in de gekloonde regel.Then make the changes to the cloned rule. De editor voor synchronisatie regels helpt u bij deze stappen.The Sync Rule Editor is helping you with those steps. Wanneer u een out-of-Box-regel opent, wordt het volgende dialoog venster weer gegeven:When you open an out-of-box rule, you are presented with this dialog box:
Waarschuwing voor een niet-geregelde box

Selecteer Ja als u een kopie van de regel wilt maken.Select Yes to create a copy of the rule. Vervolgens wordt de gekloonde regel geopend.The cloned rule is then opened.
Gekloonde regelCloned rule

Breng op deze gekloonde regel de gewenste wijzigingen aan in het bereik, de koppeling en de trans formaties.On this cloned rule, make any necessary changes to scope, join, and transformations.

Volgende stappenNext steps

Overzichts onderwerpenOverview topics