Azure AD Connect: Contas e permissõesAzure AD Connect: Accounts and permissions

Contas usadas para o Azure AD ConnectAccounts used for Azure AD Connect

Visão geral das contas

O Azure AD Connect usa 3 contas para sincronizar informações do Active Directory do Windows Server ou local no Azure Active Directory.Azure AD Connect uses 3 accounts in order to synchronize information from on-premises or Windows Server Active Directory to Azure Active Directory. Essas contas são:These accounts are:

  • Conta do AD DS Connector: usada para ler / gravar informações no Active Directory do Windows ServerAD DS Connector account: used to read/write information to Windows Server Active Directory

  • Conta de serviço ADSync: usado para executar o serviço de sincronização e acessar o banco de dados SQLADSync service account: used to run the synchronization service and access the SQL database

  • Conta de conector do AD do Azure: usado para gravar informações no AD do AzureAzure AD Connector account: used to write information to Azure AD

Além desses três contas usadas para executar o Azure AD Connect, você precisará também as seguintes contas adicionais para instalar o Azure AD Connect.In addition to these three accounts used to run Azure AD Connect, you will also need the following additional accounts to install Azure AD Connect. Elas são:These are:

  • Conta do administrador local: o administrador que está instalando o Azure AD Connect e que tem permissões de Administrador local no computador.Local Administrator account: The administrator who is installing Azure AD Connect and who has local Administrator permissions on the machine.

  • Conta de administrador corporativo do AD DS: usada opcionalmente para criar a "conta do Conector AD DS" acima.AD DS Enterprise Administrator account: Optionally used to create the “AD DS Connector account” above.

  • Conta de administrador global do Azure AD: usada para criar a conta do Azure AD Connector e configurar o Azure AD.Azure AD Global Administrator account: used to create the Azure AD Connector account and configure Azure AD.

  • Conta SA do SQL (opcional) : usada para criar o banco de dados do ADSync ao usar a versão completa do SQL Server.SQL SA account (optional): used to create the ADSync database when using the full version of SQL Server. Esse SQL Server pode ser local ou remoto para a instalação do Azure AD Connect.This SQL Server may be local or remote to the Azure AD Connect installation. Essa conta pode ser a mesma conta do administrador corporativo.This account may be the same account as the Enterprise Administrator. O provisionamento do banco de dados agora pode ser realizado fora da banda pelo administrador do SQL e, em seguida, instalado pelo administrador do Azure AD Connect com direitos de proprietário do banco de dados.Provisioning the database can now be performed out of band by the SQL administrator and then installed by the Azure AD Connect administrator with database owner rights. Para obter informações sobre isso, consulte instalar o Azure AD Connect usando permissões de administrador do SQL delegadoFor information on this see Install Azure AD Connect using SQL delegated administrator permissions

Importante

A partir da compilação 1.4. # # #. # não há mais suporte para usar um administrador corporativo ou uma conta de administrador de domínio como a conta do conector de AD DS.As of build 1.4.###.# it is no longer supported to use an enterprise admin or a domain admin account as the AD DS Connector account. Se você tentar inserir uma conta que seja um administrador corporativo ou administrador de domínio ao especificar usar conta existente, receberá um erro.If you attempt to enter an account that is an enterprise admin or domain admin when specifying use existing account, you will receive an error.

Observação

Há suporte para gerenciar as contas administrativas usadas em Azure AD Connect de uma floresta administrativa ESAE (também conhecida como "floresta vermelha").It is supported to manage the administrative accounts used in Azure AD Connect from an ESAE Administrative Forest (also know as "Red forest"). As florestas administrativas dedicadas permitem que as organizações hospedem contas administrativas, estações de trabalho e grupos em um ambiente que tenha controles de segurança mais fortes do que o ambiente de produção.Dedicated administrative forests allow organizations to host administrative accounts, workstations, and groups in an environment that has stronger security controls than the production environment. Para saber mais sobre florestas administrativas dedicadas, consulte a abordagem de design de floresta administrativa do EsaeTo learn more about dedicated administrative forests please refer to ESAE Administrative Forest Design Approach

e683a61b0ed62ae739941410f658a127534e2481e683a61b0ed62ae739941410f658a127534e2481

Observação

A função de administrador global não é necessária após a configuração inicial e a única conta necessária será a conta de função de contas de sincronização de diretórios .The Global Administrator role is not required after the initial setup and the only required account will be the Directory Synchronization Accounts role account. Isso não necssarily significa que você desejará apenas remover a conta com a função de administrador global.That does not necssarily mean that you will want to just remove the account with the Global Administrator role. É melhor alterar a função para uma função menos poderosa, pois a remoção total da conta pode apresentar problemas se você precisar executar novamente o assistente novamente.It is better to change the role to a less powerful role, as totally removing the account may introduce issues if you ever need to re-run the wizard again. Ao reduzir o privilégio da função, você sempre poderá reelevar os privilégios se precisar utilizar o assistente de Azure AD Connect novamente.By reducing the privilege of the role you can always re-elevate the priviliges if you have to utilize the Azure AD Connect wizard again.

Instalando o Azure AD ConnectInstalling Azure AD Connect

O assistente de instalação do Azure AD Connect oferece dois caminhos diferentes:The Azure AD Connect installation wizard offers two different paths:

  • Nas Configurações Expressas, o assistente exige mais privilégios.In Express Settings, the wizard requires more privileges. Isso é assim para que ele possa definir a sua configuração facilmente, sem a necessidade de criar usuários ou configurar permissões.This is so that it can set up your configuration easily, without requiring you to create users or configure permissions.
  • Nas Configurações Personalizadas, o assistente oferece mais escolhas e opções.In Custom Settings, the wizard offers you more choices and options. No entanto, há algumas situações em que é necessário que você tenha as permissões corretas.However, there are some situations in which you need to ensure you have the correct permissions yourself.

Instalação das configurações expressasExpress settings installation

As configurações expressas, o Assistente de instalação solicita o seguinte:In Express settings, the installation wizard asks for the following:

  • Credenciais de administrador de empresa do AD DSAD DS Enterprise Administrator credentials
  • Credenciais de Administrador Global do AD do AzureAzure AD Global Administrator credentials

Credenciais de administrador de empresa do DS do ADAD DS Enterprise Admin credentials

A conta de administrador de empresa do AD DS é usada para configurar o seu Active Directory no local.The AD DS Enterprise Admin account is used to configure your on-premises Active Directory. Essas credenciais são usadas apenas durante a instalação e não são usadas após a conclusão da instalação.These credentials are only used during the installation and are not used after the installation has completed. O Admin Corporativo e não Administrador de Domínio, deve garantir que as permissões no Active Directory possam ser definidas em todos os domínios.The Enterprise Admin, not the Domain Admin should make sure the permissions in Active Directory can be set in all domains.

Se você estiver atualizando o DirSync, as credenciais de administrador corporativo do AD DS serão usadas para redefinir a senha da conta usada pelo DirSync.If you are upgrading from DirSync, the AD DS Enterprise Admins credentials are used to reset the password for the account used by DirSync. Você também precisa de credenciais de Administrador Global do Azure AD.You also need Azure AD Global Administrator credentials.

Credenciais de Administrador Global do Azure ADAzure AD Global Admin credentials

Essas credenciais são usadas apenas durante a instalação e não são usadas após a conclusão da instalação.These credentials are only used during the installation and are not used after the installation has completed. Ele é usado para criar a conta do Conector do Azure AD usada para sincronizar alterações no Azure AD.It is used to create the Azure AD Connector account used for synchronizing changes to Azure AD. A conta também habilita a sincronização como um recurso no Azure AD.The account also enables sync as a feature in Azure AD.

Permissões necessárias para a conta do AD DS conector para configurações expressasAD DS Connector account required permissions for express settings

A conta do Conector do AD DS é criada para leitura e gravação no Windows Server AD e possui as seguintes permissões quando criada por configurações expressas:The AD DS Connector account is created for reading and writing to Windows Server AD and has the following permissions when created by express settings:

PermissãoPermission Usado paraUsed for
  • Replicar alterações de diretórioReplicate Directory Changes
  • Replicar todas as alterações de diretórioReplicate Directory Changes All
  • Sincronização de hash da senhaPassword hash sync
    Ler/Gravar todas as propriedades UsuárioRead/Write all properties User Importação e Exchange híbridoImport and Exchange hybrid
    Ler/Gravar todas as propriedades iNetOrgPersonRead/Write all properties iNetOrgPerson Importação e Exchange híbridoImport and Exchange hybrid
    Ler/Gravar todas as propriedades GrupoRead/Write all properties Group Importação e Exchange híbridoImport and Exchange hybrid
    Ler/Gravar todas as propriedades ContatoRead/Write all properties Contact Importação e Exchange híbridoImport and Exchange hybrid
    Redefinir SenhaReset password Preparação para habilitar write-back de senhaPreparation for enabling password writeback

    Resumo do Assistente para instalação expressaExpress installation wizard summary

    Instalação expressa

    A seguir está um resumo das páginas do assistente de instalação expressa, as credenciais coletadas e para que são usadas.The following is a summary of the express installation wizard pages, the credentials collected, and what they are used for.

    Página do assistenteWizard Page Credenciais coletadasCredentials Collected Permissões necessáriasPermissions Required Usadas paraUsed For
    N/DN/A Usuário que está executando o assistente de instalaçãoUser running the installation wizard Administrador do servidor localAdministrator of the local server
  • Cria a conta de serviço ADSync, que é usada para executar o serviço de sincronização.Creates the ADSync service account that is used as to run the synchronization service.
  • Conectar ao Azure ADConnect to Azure AD Credenciais de diretório do AD do AzureAzure AD directory credentials Função de administrador global no AD do AzureGlobal administrator role in Azure AD
  • Habilite a sincronização no diretório do AD do Azure.Enabling sync in the Azure AD directory.
  • Criação da conta do Conector do Azure AD que é usada para operações de sincronização contínuas no AD do Azure.Creation of the Azure AD Connector account that is used for on-going sync operations in Azure AD.
  • Conectar ao AD DSConnect to AD DS Credenciais do Active Directory localOn-premises Active Directory credentials Membro do grupo EA (Administradores de Empresa) no Active DirectoryMember of the Enterprise Admins (EA) group in Active Directory
  • Cria o conta do conector do AD DS no Active Directory e concede permissões a ele.Creates the AD DS Connector account in Active Directory and grants permissions to it. Essa conta criada é usada para ler e gravar informações de diretório durante a sincronização.This created account is used to read and write directory information during synchronization.
  • Configurações de instalação personalizadaCustom installation settings

    Com a instalação de configurações personalizadas, o assistente oferece mais escolhas e opções.With the custom settings installation, the wizard offers you more choices and options.

    Resumo do Assistente de instalação personalizadaCustom installation wizard summary

    A seguir apresentamos um resumo das páginas do assistente de instalação personalizado, as credenciais coletadas e para que são usadas.The following is a summary of the custom installation wizard pages, the credentials collected, and what they are used for.

    Instalação expressa

    Página do assistenteWizard Page Credenciais coletadasCredentials Collected Permissões necessáriasPermissions Required Usadas paraUsed For
    N/DN/A Usuário que está executando o assistente de instalaçãoUser running the installation wizard
  • Administrador do servidor localAdministrator of the local server
  • Para usar um SQL Server completo, o usuário deve ser o administrador do sistema (SA) no SQLIf using a full SQL Server, the user must be System Administrator (SA) in SQL
  • Por padrão, cria a conta local que é usada como conta de serviço do mecanismo de sincronização.By default, creates the local account that is used as the sync engine service account. A conta é criada somente quando o administrador não define uma conta específica.The account is only created when the admin does not specify a particular account.
    Instalar serviços de sincronização, opção de conta de serviçoInstall synchronization services, Service account option Credenciais de conta de usuário local ou ADAD or local user account credentials Usuário, permissões são concedidas pelo assistente de instalaçãoUser, permissions are granted by the installation wizard Se o administrador especificar uma conta, essa conta será usada como a conta de serviço para o serviço de sincronização.If the admin specifies an account, this account is used as the service account for the sync service.
    Conectar ao Azure ADConnect to Azure AD Credenciais de diretório do AD do AzureAzure AD directory credentials Função de administrador global no AD do AzureGlobal administrator role in Azure AD
  • Habilite a sincronização no diretório do AD do Azure.Enabling sync in the Azure AD directory.
  • Criação da conta do Conector do Azure AD que é usada para operações de sincronização contínuas no AD do Azure.Creation of the Azure AD Connector account that is used for on-going sync operations in Azure AD.
  • Conecte seus diretóriosConnect your directories Credenciais do Active Directory para cada floresta que é conectada ao Azure AD localOn-premises Active Directory credentials for each forest that is connected to Azure AD As permissões dependem de quais recursos você habilita e podem ser encontradas em Criar a conta do Conector do AD DSThe permissions depend on which features you enable and can be found in Create the AD DS Connector account Essa conta é usada para ler e gravar informações de diretório durante a sincronização.This account is used to read and write directory information during synchronization.
    Servidores do AD FSAD FS Servers Para cada servidor na lista, o assistente coleta credenciais quando as credenciais de entrada do usuário que executa o assistente não são suficientes para se conectarFor each server in the list, the wizard collects credentials when the sign-in credentials of the user running the wizard are insufficient to connect Administrador de domínioDomain Administrator Instalação e configuração da função de servidor do AD FS.Installation and configuration of the AD FS server role.
    Servidores proxy de aplicativo WebWeb application proxy servers Para cada servidor na lista, o assistente coleta credenciais quando as credenciais de entrada do usuário que executa o assistente não são suficientes para se conectarFor each server in the list, the wizard collects credentials when the sign-in credentials of the user running the wizard are insufficient to connect Administrador local no computador de destinoLocal admin on the target machine Instalação e configuração da função de servidor WAP.Installation and configuration of WAP server role.
    Credenciais de confiança de proxyProxy trust credentials As credenciais de confiança do serviço de federação (as credenciais que o proxy usa para se registrar para um certificado de confiança do FSFederation service trust credentials (the credentials the proxy uses to enroll for a trust certificate from the FS Conta de domínio que é administrador local do servidor do AD FSDomain account that is a local administrator of the AD FS server Registro inicial de certificado de confiança FS-WAP.Initial enrollment of FS-WAP trust certificate.
    Página da conta de serviço do AD FS, "Usar uma opção de conta de usuário de domínio"AD FS Service Account page, "Use a domain user account option" Credenciais de conta de usuário do ADAD user account credentials Usuário de domínioDomain user A conta de usuário do Azure AD cujas credenciais são fornecidas é usada como a conta de entrada do serviço de AD FS.The Azure AD user account whose credentials are provided is used as the sign-in account of the AD FS service.

    Criar a conta do conector do AD DSCreate the AD DS Connector account

    Importante

    Um novo módulo do PowerShell nomeado ADSyncConfig.psm1 foi introduzido com o build 1.1.880.0 (lançado em agosto de 2018) que inclui uma coleção de cmdlets para ajudá-lo a configurar as permissões do Active Directory corretas para a conta do conector do Azure AD.A new PowerShell Module named ADSyncConfig.psm1 was introduced with build 1.1.880.0 (released in August 2018) that includes a collection of cmdlets to help you configure the correct Active Directory permissions for the Azure AD DS Connector account.

    Para saber mais, confira Azure AD Connect: configurar permissão da Conta do Conector AD DSFor more information see Azure AD Connect: Configure AD DS Connector Account Permission

    A conta que você especifica na página Conecte seus diretórios deve estar presente no Active Directory antes da instalação.The account you specify on the Connect your directories page must be present in Active Directory prior to installation. O Azure AD Connect versão 1.1.524.0 e posterior tem a opção de permitir que o assistente do Azure AD Connect crie a conta do Conector AD DS usada para se conectar ao Active Directory.Azure AD Connect version 1.1.524.0 and later has the option to let the Azure AD Connect wizard create the AD DS Connector account used to connect to Active Directory.

    Ela também deve ter as permissões necessárias concedidas.It must also have the required permissions granted. O Assistente de instalação não verifica as permissões, e os problemas são encontrados somente durante a sincronização.The installation wizard does not verify the permissions and any issues are only found during synchronization.

    As permissões de que você precisa dependem dos recursos opcionais que habilitar.Which permissions you require depends on the optional features you enable. Se você tiver vários domínios, as permissões devem ser concedidas para todos os domínios na floresta.If you have multiple domains, the permissions must be granted for all domains in the forest. Se você não habilitar esses recursos, as permissões padrão Usuário de domínio serão suficientes.If you do not enable any of these features, the default Domain User permissions are sufficient.

    RecursoFeature PermissõesPermissions
    recurso ms-DS-ConsistencyGuidms-DS-ConsistencyGuid feature Permissões de gravação para o atributo ms-DS-ConsistencyGuid documentado em Conceitos de Design - Usar ms-DS-ConsistencyGuid como sourceAnchor.Write permissions to the ms-DS-ConsistencyGuid attribute documented in Design Concepts - Using ms-DS-ConsistencyGuid as sourceAnchor.
    Sincronização de hash da senhaPassword hash sync
  • Replicar alterações de diretórioReplicate Directory Changes
  • Replicar todas as alterações de diretórioReplicate Directory Changes All
  • Implantação híbrida do ExchangeExchange hybrid deployment Permissões de gravação para os atributos documentados em Write-back híbrido do Exchange para usuários, grupos e contatos.Write permissions to the attributes documented in Exchange hybrid writeback for users, groups, and contacts.
    Pasta pública do Exchange MailExchange Mail Public Folder Permissões de leitura para os atributos documentados na Pasta pública do Exchange Mail para pastas públicas.Read permissions to the attributes documented in Exchange Mail Public Folder for public folders.
    Write-back de senhaPassword writeback Permissões de gravação para os atributos documentados em Introdução ao gerenciamento de senhas para usuários.Write permissions to the attributes documented in Getting started with password management for users.
    Write-back de dispositivoDevice writeback Permissões concedidas com um script do PowerShell, conforme descrito em Write-back do dispositivo.Permissions granted with a PowerShell script as described in device writeback.
    Write-back de grupoGroup writeback Permite write-back dos Grupos do Office 365 em uma floresta com Exchange instalado.Allows you to writeback Office 365 Groups to a forest with Exchange installed. Para saber mais, confira Write-back de grupo.For more information see Group Writeback.

    AtualizarUpgrade

    Ao atualizar de uma versão do Azure AD Connect para uma nova versão, você precisa das seguintes permissões:When you upgrade from one version of Azure AD Connect to a new release, you need the following permissions:

    Importante

    Começando com o build 1.1.484, o Azure AD Connect introduziu um bug de regressão que requer permissões de sysadmin para atualizar o banco de dados SQL.Starting with build 1.1.484, Azure AD Connect introduced a regression bug which requires sysadmin permissions to upgrade the SQL database. Esse bug foi corrigido no build 1.1.647.This bug is corrected in build 1.1.647. Se você estiver atualizando para esse build, precisará de permissões de sysadmin.If you are upgrading to this build, you will need sysadmin permissions. Permissões de DBO não são suficientes.Dbo permissions are not sufficient. Se você tentar atualizar a conexão do Azure AD sem ter permissões de sysadmin, a atualização falhará e o Azure AD Connect deixará de funcionar corretamente depois.If you attempt to upgrade Azure AD Connect without having sysadmin permissions, the upgrade will fail and Azure AD Connect will no longer function correctly afterwards. A Microsoft está ciente desse problema e está trabalhando para corrigi-lo.Microsoft is aware of this and is working to correct this.

    Entidade de segurançaPrincipal Permissões necessáriasPermissions required Usado paraUsed for
    Usuário que está executando o assistente de instalaçãoUser running the installation wizard Administrador do servidor localAdministrator of the local server Binários de atualização.Update binaries.
    Usuário que está executando o assistente de instalaçãoUser running the installation wizard Membro do ADSyncAdminsMember of ADSyncAdmins Fazer alterações em Regras de Sincronização e outras configurações.Make changes to Sync Rules and other configuration.
    Usuário que está executando o assistente de instalaçãoUser running the installation wizard Se você usar um SQL Server completo: DBO (ou semelhante) do banco de dados do mecanismo de sincronizaçãoIf you use a full SQL server: DBO (or similar) of the sync engine database Fazer alterações no nível de banco de dados, como a atualização de tabelas com novas colunas.Make database level changes, such as updating tables with new columns.

    Mais informações sobre as contas criadasMore about the created accounts

    Conta do AD DS conectorAD DS Connector account

    Se você usar configurações expressas, uma conta será criada no Active Directory e será usada para sincronização.If you use express settings, then an account is created in Active Directory that is used for synchronization. A conta criada está localizada no domínio raiz da floresta no contêiner Usuários e tem seu nome prefixado com MSOL_ .The created account is located in the forest root domain in the Users container and has its name prefixed with MSOL_. A conta é criada com uma senha longa complexa que não expira.The account is created with a long complex password that does not expire. Se você tiver uma política de senha em seu domínio, verifique se senhas longas e complexas são permitidas para esta conta.If you have a password policy in your domain, make sure long and complex passwords would be allowed for this account.

    Conta do AD

    Se você usar configurações personalizadas, você será responsável por criar a conta antes de iniciar a instalação.If you use custom settings, then you are responsible for creating the account before you start the installation. Confira Criar a conta do conector do AD DS.See Create the AD DS Connector account.

    Conta do serviço ADSyncADSync service account

    O serviço de sincronização pode ser executado em contas diferentes.The sync service can run under different accounts. Ele pode ser executado em uma VSA (conta de serviço virtual), uma gMSA/sMSA (conta de serviço gerenciado de grupo) ou então uma conta de usuário regular.It can run under a Virtual Service Account (VSA), a Group Managed Service Account (gMSA/sMSA), or a regular user account. As opções com suporte foram alteradas com a versão de abril de 2017 do Connect ao fazer uma nova instalação.The supported options were changed with the 2017 April release of Connect when you do a fresh installation. Se você atualizar de uma versão anterior do Azure AD Connect, essas opções adicionais não estarão disponíveis.If you upgrade from an earlier release of Azure AD Connect, these additional options are not available.

    Tipo de contaType of account Opção de instalaçãoInstallation option DescriçãoDescription
    Conta de Serviço VirtualVirtual Service Account Expressa e personalizada, abril de 2017 e posteriorExpress and custom, 2017 April and later Essa é a opção usada para todas as instalações expressas, exceto para instalações em um controlador de domínio.This is the option used for all express installations, except for installations on a Domain Controller. Ela é a opção padrão para instalações personalizadas, a menos que outra opção seja usada.For custom, it is the default option unless another option is used.
    Conta de Serviço Gerenciado de GrupoGroup Managed Service Account Personalizada, abril de 2017 e posteriorCustom, 2017 April and later Se você usa um SQL Server remoto, é recomendável usar uma conta de serviço gerenciado de grupo.If you use a remote SQL server, then we recommend to use a group managed service account.
    Conta de usuárioUser account Expressa e personalizada, abril de 2017 e posteriorExpress and custom, 2017 April and later Uma conta de usuário prefixada com AAD_ só é criada durante a instalação quando instalada no Windows Server 2008 e quando instalada em um controlador de domínio.A user account prefixed with AAD_ is only created during installation when installed on Windows Server 2008 and when installed on a Domain Controller.
    Conta de usuárioUser account Expressa e personalizada, março de 2017 e versões anterioresExpress and custom, 2017 March and earlier Uma conta local prefixada com AAD_ é criada durante a instalação.A local account prefixed with AAD_ is created during installation. Ao usar a instalação personalizada, outra conta pode ser especificada.When using custom installation, another account can be specified.

    Se você usar o Connect com um build de março de 2017 ou anterior, a senha da conta de serviço não deverá ser redefinida, pois o Windows destruirá as chaves de criptografia por motivos de segurança.If you use Connect with a build from 2017 March or earlier, then you should not reset the password on the service account since Windows destroys the encryption keys for security reasons. Você não pode alterar a conta para nenhuma outra conta sem reinstalar o Azure AD Connect.You cannot change the account to any other account without reinstalling Azure AD Connect. Se você atualizar para um build de abril de 2017 ou posterior, haverá suporte para alterar a senha na conta de serviço, mas você não poderá alterar a conta usada.If you upgrade to a build from 2017 April or later, then it is supported to change the password on the service account but you cannot change the account used.

    Importante

    Você só pode definir a conta de serviço na primeira instalação.You can only set the service account on first installation. Não há suporte para alterar a conta de serviço após a conclusão da instalação.It is not supported to change the service account after the installation has completed.

    Essa é uma tabela das opções padrão, recomendadas e com suporte para a conta de serviço de sincronização.This is a table of the default, recommended, and supported options for the sync service account.

    Legenda:Legend:

    • Negrito indica a opção padrão e, na maioria dos casos, a opção recomendada.Bold indicates the default option and in most cases the recommended option.
    • Itálico indica a opção recomendada quando ela não é a opção padrão.Italic indicates the recommended option when it is not the default option.
    • 2008 – opção padrão quando instalado no Windows Server 20082008 - Default option when installed on Windows Server 2008
    • Não negrito – opção com suporteNon-bold - Supported option
    • Conta local – conta de usuário local no servidorLocal account - Local user account on the server
    • Conta do domínio – conta de usuário do domínioDomain account - Domain user account
    • sMSA – conta de serviço gerenciado autônomosMSA - standalone Managed Service account
    • gMSA – conta de serviço gerenciado de grupogMSA - group Managed Service account
    LocalDBLocalDB
    ExpressExpress
    LocalDB/LocalSQLLocalDB/LocalSQL
    PersonalizarCustom
    SQL remotoRemote SQL
    PersonalizarCustom
    computador autônomo/de grupo de trabalhostandalone/workgroup machine Sem suporteNot supported VSAVSA
    Conta local (2008)Local account (2008)
    Conta localLocal account
    Sem suporteNot supported
    computador associado ao domíniodomain-joined machine VSAVSA
    Conta local (2008)Local account (2008)
    VSAVSA
    Conta local (2008)Local account (2008)
    Conta localLocal account
    Conta de domínioDomain account
    sMSA, gMSAsMSA,gMSA
    gMSAgMSA
    Conta de domínioDomain account
    Controlador de domínioDomain Controller Conta do domínioDomain account gMSAgMSA
    Conta do domínioDomain account
    sMSAsMSA
    gMSAgMSA
    Conta do domínioDomain account

    Conta de serviço virtualVirtual service account

    Uma conta de serviço virtual é um tipo especial de conta que não tem uma senha e é gerenciada pelo Windows.A virtual service account is a special type of account that does not have a password and is managed by Windows.

    VSA

    O VSA destina-se a ser usado em cenários em que o mecanismo de sincronização e o SQL estão no mesmo servidor.The VSA is intended to be used with scenarios where the sync engine and SQL are on the same server. Se você usar um SQL server remoto, é recomendável usar uma conta de serviço gerenciado de grupo.If you use remote SQL, then we recommend to use a Group Managed Service Account instead.

    Este recurso requer o Windows Server 2008 R2 ou posterior.This feature requires Windows Server 2008 R2 or later. Se você instalar o Azure AD Connect no Windows Server 2008, a instalação voltará a usar uma conta de usuário em vez disso.If you install Azure AD Connect on Windows Server 2008, then the installation falls back to using a user account instead.

    Conta de serviço gerenciado de grupoGroup managed service account

    Se você usa um SQL Server remoto, é recomendável usar uma conta de serviço gerenciado de grupo.If you use a remote SQL server, then we recommend to using a group managed service account. Para obter mais informações sobre como preparar o Active Directory para a conta de serviço gerenciado de grupo, consulte Visão geral de contas de serviço gerenciado de grupo.For more information on how to prepare your Active Directory for Group Managed Service account, see Group Managed Service Accounts Overview.

    Para usar essa opção, na página Instalar componentes necessários, selecione Usar uma conta de serviço existente e selecione Conta de serviço gerenciado.To use this option, on the Install required components page, select Use an existing service account, and select Managed Service Account.
    VSAVSA
    Também há suporte para o uso de uma conta de serviço gerenciado autônomo.It is also supported to use a standalone managed service account. No entanto, essas contas podem ser usadas apenas no computador local e não há nenhum benefício em usá-las no lugar da conta de serviço virtual padrão.However, these can only be used on the local machine and there is no benefit to use them over the default virtual service account.

    Este recurso requer o Windows Server 2012 ou posterior.This feature requires Windows Server 2012 or later. Se você precisar usar um sistema operacional mais antigo e usar SQL remoto, você deverá usar uma conta de usuário.If you need to use an older operating system and use remote SQL, then you must use a user account.

    Conta de usuárioUser account

    Uma conta de serviço local é criada pelo assistente de instalação (a menos que você especifique a conta a ser usada em configurações personalizadas).A local service account is created by the installation wizard (unless you specify the account to use in custom settings). A conta prefixada com AAD_ é usada com o serviço de sincronização real para ser executada como.The account is prefixed AAD_ and used for the actual sync service to run as. Se você instalar o Azure AD Connect em um controlador de domínio, a conta é criada no domínio.If you install Azure AD Connect on a Domain Controller, the account is created in the domain. A conta de serviço AAD_ deve estar localizada no domínio se:The AAD_ service account must be located in the domain if:

    • você usa um servidor remoto executando o SQL Serveryou use a remote server running SQL server
    • você usa um proxy que exija autenticaçãoyou use a proxy that requires authentication

    Conta de serviço de sincronização

    A conta é criada com uma senha longa complexa que não expira.The account is created with a long complex password that does not expire.

    Essa conta é usada para armazenar as senhas das outras contas de maneira segura.This account is used to store the passwords for the other accounts in a secure way. As senhas dessas outras contas são armazenadas criptografadas no banco de dados.These other accounts passwords are stored encrypted in the database. As chaves privadas das chaves de criptografia são protegidas com a criptografia de chave secreta dos serviços de criptografia usando a DPAPI (API de Proteção de Dados) do Windows.The private keys for the encryption keys are protected with the cryptographic services secret-key encryption using Windows Data Protection API (DPAPI).

    Se você usar um SQL Server completo, a conta de serviço será o DBO do banco de dados criado para o mecanismo de sincronização.If you use a full SQL Server, then the service account is the DBO of the created database for the sync engine. O serviço não funcionará conforme esperado com qualquer outra permissão.The service will not function as intended with any other permissions. Um logon do SQL também é criado.A SQL login is also created.

    A conta também recebe permissões para arquivos, chaves do registro e outros objetos relacionados ao mecanismo de sincronização.The account is also granted permissions to files, registry keys, and other objects related to the Sync Engine.

    Conta de conector do AD do AzureAzure AD Connector account

    Uma conta no Azure AD é criada para uso do serviço de sincronização.An account in Azure AD is created for the sync service's use. Essa conta pode ser identificada com seu nome de exibição.This account can be identified by its display name.

    Conta do AD

    O nome do servidor em que a conta é usada em pode ser identificado na segunda parte do nome do usuário.The name of the server the account is used on can be identified in the second part of the user name. Na imagem, o nome do servidor é DC1.In the picture, the server name is DC1. Se você tiver servidores de teste, cada servidor terá sua própria conta.If you have staging servers, each server has its own account.

    A conta é criada com uma senha longa complexa que não expira.The account is created with a long complex password that does not expire. Ela recebe uma função especial Contas de sincronização de diretório que tem somente permissões para executar tarefas de sincronização de diretório.It is granted a special role Directory Synchronization Accounts that has only permissions to perform directory synchronization tasks. Essa função interna especial não pode ser concedida fora do assistente do Azure AD Connect.This special built-in role cannot be granted outside of the Azure AD Connect wizard. O Portal do Azure mostra essa conta com a função Usuário.The Azure portal shows this account with the role User.

    Há um limite de 20 contas de serviço de sincronização no Azure AD.There is a limit of 20 sync service accounts in Azure AD. Para obter a lista de contas de serviço do Azure AD existentes no seu Azure AD, execute o seguinte cmdlet do PowerShell do Azure AD: Get-AzureADDirectoryRole | where {$_.DisplayName -eq "Directory Synchronization Accounts"} | Get-AzureADDirectoryRoleMemberTo get the list of existing Azure AD service accounts in your Azure AD, run the following Azure AD PowerShell cmdlet: Get-AzureADDirectoryRole | where {$_.DisplayName -eq "Directory Synchronization Accounts"} | Get-AzureADDirectoryRoleMember

    Para remover contas de serviço do Azure AD não utilizadas, execute o seguinte cmdlet do PowerShell do Azure AD:Remove-AzureADUser -ObjectId <ObjectId-of-the-account-you-wish-to-remove>To remove unused Azure AD service accounts, run the following Azure AD PowerShell cmdlet: Remove-AzureADUser -ObjectId <ObjectId-of-the-account-you-wish-to-remove>

    Observação

    Antes de usar os comandos do PowerShell acima, você precisará instalar o módulo Azure Active Directory PowerShell for Graph e conectar-se à sua instância do AD do Azure usando Connect-AzureADBefore you can use the above PowerShell commands you will need to install the Azure Active Directory PowerShell for Graph module and connect to your instance of Azure AD using Connect-AzureAD

    Para obter informações adicionais sobre como gerenciar ou redefinir a senha para a conta do conector do Azure AD, consulte gerenciar a conta de Azure ad ConnectFor additional information on how to manage or reset the password for the Azure AD Connector account see Manage the Azure AD Connect account

    Se você não leu a documentação em Integrando suas identidades locais com o Azure Active Directory, a tabela a seguir fornece links para tópicos relacionados.If you did not read the documentation on Integrating your on-premises identities with Azure Active Directory, the following table provides links to related topics.

    TópicoTopic LinkLink
    Baixar o Azure AD ConnectDownload Azure AD Connect Baixar o Azure AD ConnectDownload Azure AD Connect
    Instalar usando as Configurações expressasInstall using Express settings Instalação expressa do Azure AD ConnectExpress installation of Azure AD Connect
    Instalar usando Configurações personalizadasInstall using Customized settings Instalação personalizada do Azure AD ConnectCustom installation of Azure AD Connect
    Atualizar do DirSyncUpgrade from DirSync Atualizar a partir da ferramenta de sincronização do AD do Azure (DirSync)Upgrade from Azure AD sync tool (DirSync)
    Após a instalaçãoAfter installation Verificar a instalação e atribuir licençasVerify the installation and assign licenses

    Próximas etapasNext steps

    Saiba mais sobre Como integrar suas identidades locais ao Active Directory do Azure.Learn more about Integrating your on-premises identities with Azure Active Directory.