Installation av Azure AD Anslut Health-agenten

I den här artikeln får du lära dig hur du installerar och konfigurerar Azure Active Directory (Azure AD) Anslut Health-agenter. Information om hur du laddar ned agenterna finns i dessa instruktioner.

Krav

I följande tabell visas kraven för att använda Azure AD Anslut Health.

Utgående anslutning till Azure-tjänstens slutpunkter

Under installation och körning behöver agenten anslutning till Azure AD Anslut Health-tjänstslutpunkter. Om brandväggar blockerar utgående anslutningar kontrollerar du att URL:erna i följande tabell inte blockeras som standard.

Inaktivera inte säkerhetsövervakning eller inspektion av dessa URL:er. I stället tillåter du dem på samma sätt som du tillåter annan Internettrafik.

Dessa URL:er tillåter kommunikation med Azure AD Anslut Health-tjänstslutpunkter. Senare i den här artikeln får du lära dig hur du kontrollerar utgående anslutningar med hjälp av Test-AzureADConnectHealthConnectivity .

Installera agenten

Så här laddar du ned och installerar Azure AD Anslut Health-agenten:

• Se till att du uppfyller kraven för Azure AD Anslut Health.
• Kom igång med Azure AD Anslut Health för AD FS:
  • Ladda ned Azure AD Anslut Health-agenten för AD FS.
  • Se installationsanvisningarna.
• Kom igång med Azure AD Anslut Health för synkronisering:
  • Hämta och installera den senaste versionen av Azure AD Connect. Hälsoagenten för Sync installeras som en del av Installationen av Azure AD Anslut (version 1.0.9125.0 eller senare).
• Kom igång med Azure AD Anslut Health för Azure AD DS:
  • Ladda ned Azure AD Anslut Health-agenten för Azure AD DS.
  • Se installationsanvisningarna.

Installera agenten för AD FS

Innan du installerar agenten kontrollerar du att AD FS-serverns värdnamn är unikt och inte finns i AD FS tjänsten. Starta agentinstallationen genom att dubbelklicka på .exe som du laddade ned. I det första fönstret väljer du Installera.

När installationen är klar väljer du Konfigurera nu.

Ett PowerShell-fönster öppnas för att starta agentregistreringsprocessen. När du uppmanas till det loggar du in med ett Azure AD-konto som har behörighet att registrera agenten. Som standard har det globala administratörskontot behörigheter.

När du har loggat in fortsätter PowerShell. När den är klar kan du stänga PowerShell. Konfigurationen är klar.

Nu bör agenttjänsterna starta automatiskt för att agenten ska kunna ladda upp nödvändiga data till molntjänsten på ett säkert sätt.

Om du inte har uppfyllt alla krav visas varningar i PowerShell-fönstret. Se till att uppfylla kraven innan du installerar agenten. Följande skärmbild visar ett exempel på dessa varningar.

Kontrollera att agenten har installerats genom att leta efter följande tjänster på servern. Dessa tjänster bör köras om du har slutfört konfigurationen. Annars stoppas de tills konfigurationen är klar.

• Azure AD Connect Health AD FS Diagnostics Service
• Azure AD Connect Health AD FS Insights Service
• Azure AD Connect Health AD FS Monitoring Service

Aktivera granskning för AD FS

Funktionen Användningsanalys måste samla in och analysera data. Därför behöver Azure AD Anslut Health-agenten informationen i AD FS granskningsloggar. De här loggarna är inte aktiverade som standard. Använd följande procedurer för att AD FS granskning och hitta AD FS på dina AD FS servrar.

Så här aktiverar du granskning för AD FS i Windows Server 2012 R2

1. Öppna Startskärmen på Serverhanteraren och öppna sedan Lokal säkerhetsprincip. Eller i aktivitetsfältet, öppna Serverhanteraren och välj sedan Verktyg/Lokal säkerhetsprincip.

2. Gå till mappen Security Inställningar\Local Policies\User Rights Assignment. Dubbelklicka sedan på Generera säkerhetsgranskningar.

3. På fliken Lokal säkerhetsinställning kontrollerar du att AD FS-tjänstkontot visas. Om den inte visas väljer du Lägg till användare eller grupp och lägger till den i listan. Välj sedan OK.

4. Om du vill aktivera granskning öppnar du ett kommandotolkfönster med utökade privilegier. Kör följande kommando:

   auditpol.exe /set /subcategory:{0CCE9222-69AE-11D9-BED3-505054503030} /failure:enable /success:enable

5. Stäng Lokal säkerhetsprincip.

   Viktigt

   Följande steg krävs endast för primära AD FS servrar.

6. Öppna snapin-modulen AD FS-hantering. (I Serverhanteraren väljer du Verktyg > AD FS Management.)

7. I fönstret Åtgärder väljer du Redigera Federationstjänst Egenskaper.

8. I dialogrutan Federationstjänst egenskaper väljer du fliken Händelser.

9. Markera kryssrutorna Lyckade granskningar och Misslyckade granskningar och välj sedan OK.

10. Om du vill aktivera utförlig loggning via PowerShell använder du följande kommando:

    Set-AdfsProperties -LOGLevel Verbose

Så här aktiverar du granskning för AD FS i Windows Server 2016

1. Öppna Startskärmen på Serverhanteraren och öppna sedan Lokal säkerhetsprincip. Eller i aktivitetsfältet, öppna Serverhanteraren och välj sedan Verktyg/Lokal säkerhetsprincip.

2. Gå till mappen Security Inställningar\Local Policies\User Rights Assignment och dubbelklicka sedan på Generera säkerhetsgranskningar.

3. På fliken Lokal säkerhetsinställning kontrollerar du att AD FS-tjänstkontot visas. Om den inte visas väljer du Lägg till användare eller grupp och lägger till AD FS-tjänstkontot i listan. Välj sedan OK.

4. Om du vill aktivera granskning öppnar du ett kommandotolkfönster med utökade privilegier. Kör följande kommando:

   auditpol.exe /set /subcategory:{0CCE9222-69AE-11D9-BED3-505054503030} /failure:enable /success:enable

5. Stäng Lokal säkerhetsprincip.

   Viktigt

   Följande steg krävs endast för primära AD FS servrar.

6. Öppna snapin-modulen AD FS-hantering. (I Serverhanteraren väljer du Verktyg > AD FS Management.)

7. I fönstret Åtgärder väljer du Redigera Federationstjänst Egenskaper.

8. I dialogrutan Federationstjänst egenskaper väljer du fliken Händelser.

9. Markera kryssrutorna Lyckade granskningar och Misslyckade granskningar och välj sedan OK. Lyckade granskningar och felgranskningar bör vara aktiverade som standard.

10. Öppna ett PowerShell-fönster och kör följande kommando:

    Set-AdfsProperties -AuditLevel Verbose

Den "grundläggande" granskningsnivån är aktiverad som standard. Mer information finns i AD FS granskningsförbättring i Windows Server 2016.

Så här hittar du AD FS-granskningsloggar

1. Öppna Loggboken.

2. Gå till Windows loggar och välj sedan Säkerhet.

3. Till höger väljer du Filtrera aktuella loggar.

4. För Händelsekällor väljer du AD FS Granskning.

   Mer information om granskningsloggar finns i Driftfrågor.

   

Installera agenten för synkronisering

Azure AD Anslut Health-agenten för Synkronisering installeras automatiskt i den senaste versionen av Azure AD Anslut. Om du vill använda Azure AD Anslut for Sync laddar du ned den senaste versionen av Azure AD Anslut och installerar den.

Kontrollera att agenten har installerats genom att leta efter följande tjänster på servern. Om du har slutfört konfigurationen bör tjänsterna redan köras. Annars stoppas tjänsterna tills konfigurationen är klar.

• Azure AD Connect Health Sync Insights Service
• Azure AD Connect Health Sync Monitoring Service

Registrera Azure AD Anslut Health för synkronisering manuellt

Om agentregistreringen för Azure AD Anslut Health for Sync misslyckas när du har installerat Azure AD Anslut kan du använda ett PowerShell-kommando för att registrera agenten manuellt.

Registrera Azure AD Anslut Health-agenten manuellt för Sync med hjälp av följande PowerShell-kommando. Azure AD Connect Health-tjänsterna startar efter att agenten har registrerats.

Register-AzureADConnectHealthSyncAgent -AttributeFiltering $true -StagingMode $false

Kommandot stöder följande parametrar:

• AttributeFiltering:(standard) om Azure AD Anslut inte synkroniserar standardattributuppsättningen och har anpassats för att använda $true en filtrerad attributuppsättning. Annars använder du $false .
• StagingMode: $false (standard) om Azure AD Anslut servern inte är i mellanlagringsläge. Om servern är konfigurerad att vara i mellanlagringsläge använder du $true .

När du uppmanas att autentisera använder du samma globala administratörskonto (till exempel ) som du använde för att konfigurera admin@domain.onmicrosoft.com Azure AD-Anslut.

Installera agenten för Azure AD DS

Starta agentinstallationen genom att dubbelklicka på den .exe som du laddade ned. I det första fönstret väljer du Installera.

När installationen är klar väljer du Konfigurera nu.

Ett kommandotolk öppnas. PowerShell kör Register-AzureADConnectHealthADDSAgent . Logga in på Azure när du uppmanas till det.

När du har loggat in fortsätter PowerShell. När den är klar kan du stänga PowerShell. Konfigurationen är klar.

Nu bör tjänsterna startas automatiskt, så att agenten kan övervaka och samla in data. Om du inte har uppfyllt alla krav som beskrivs i föregående avsnitt visas varningar i PowerShell-fönstret. Se till att slutföra kraven innan du installerar agenten. Följande skärmbild visar ett exempel på dessa varningar.

Kontrollera att agenten är installerad genom att leta efter följande tjänster på domänkontrollanten:

• Azure AD Connect Health AD DS Insights Service
• Azure AD Connect Health AD DS Monitoring Service

Dessa tjänster bör köras om du har slutfört konfigurationen. Annars stoppas de tills konfigurationen är klar.

Installera snabbt agenten på flera servrar

1. Skapa ett användarkonto i Azure AD. Skydda den med ett lösenord.

2. Tilldela ägarrollen för det här lokala Azure AD-kontot i Azure AD Anslut Health med hjälp av portalen. Följ dessa steg. Tilldela rollen till alla tjänstinstanser.

3. Ladda ned .exe MSI-fil i den lokala domänkontrollanten för installationen.

4. Kör följande skript. Ersätt parametrarna med ditt nya användarkonto och dess lösenord.

   AdHealthAddsAgentSetup.exe /quiet
   Start-Sleep 30
   $userName = "NEWUSER@DOMAIN"
   $secpasswd = ConvertTo-SecureString "PASSWORD" -AsPlainText -Force
   $myCreds = New-Object System.Management.Automation.PSCredential ($userName, $secpasswd)
   import-module "C:\Program Files\Azure Ad Connect Health Adds Agent\PowerShell\AdHealthAdds"
   
   Register-AzureADConnectHealthADDSAgent -Credential $myCreds
   

När du är klar kan du ta bort åtkomsten för det lokala kontot genom att utföra en eller flera av följande uppgifter:

• Ta bort rolltilldelningen för det lokala kontot för Azure AD Anslut Health.
• Rotera lösenordet för det lokala kontot.
• Inaktivera det lokala Azure AD-kontot.
• Ta bort det lokala Azure AD-kontot.

Registrera agenten med hjälp av PowerShell

När du har installerat setup.exe agentfilen kan du registrera agenten med hjälp av följande PowerShell-kommandon, beroende på rollen. Öppna ett PowerShell-fönster och kör lämpligt kommando:

Register-AzureADConnectHealthADFSAgent
Register-AzureADConnectHealthADDSAgent
Register-AzureADConnectHealthSyncAgent

Register-AzureADConnectHealthADFSAgent -UserPrincipalName upn-of-the-user
Register-AzureADConnectHealthADDSAgent -UserPrincipalName upn-of-the-user
Register-AzureADConnectHealthSyncAgent -UserPrincipalName upn-of-the-user

Dessa kommandon accepterar Credential som en parameter för att slutföra registreringen icke-interaktivt eller för att slutföra registreringen på en dator som kör Server Core. Tänk på att:

• Du kan avbilda Credential i en PowerShell-variabel som skickas som en parameter.
• Du kan ange valfri Azure AD-identitet som har behörighet att registrera agenterna och som inte har multifaktorautentisering aktiverad.
• Som standard har globala administratörer behörighet att registrera agenterna. Du kan också tillåta mindre privilegierade identiteter att göra det här steget. Mer information finns i Azure RBAC.

    $cred = Get-Credential
    Register-AzureADConnectHealthADFSAgent -Credential $cred

Konfigurera Azure AD Anslut Health-agenter att använda HTTP-proxy

Du kan konfigurera Azure AD Anslut Health-agenter så att de fungerar med en HTTP-proxy.

Ändra agentproxykonfigurationen

Om du vill konfigurera Azure AD Anslut Health-agenten att använda en HTTP-proxy kan du:

• Importera befintliga proxyinställningar.
• Ange proxyadresser manuellt.
• Rensa den befintliga proxykonfigurationen.

Importera befintliga proxyinställningar

Du kan importera Internet Explorer HTTP-proxyinställningar så att Azure AD Anslut Health-agenter kan använda inställningarna. Kör följande PowerShell-kommando på var och en av de servrar som kör hälsoagenten:

Set-AzureAdConnectHealthProxySettings -ImportFromInternetSettings

Du kan importera WinHTTP-proxyinställningar så att Azure AD Anslut Health-agenterna kan använda dem. Kör följande PowerShell-kommando på var och en av de servrar som kör hälsoagenten:

Set-AzureAdConnectHealthProxySettings -ImportFromWinHttp

Ange proxyadresser manuellt

Du kan ange en proxyserver manuellt. Kör följande PowerShell-kommando på var och en av de servrar som kör hälsoagenten:

Set-AzureAdConnectHealthProxySettings -HttpsProxyAddress address:port

Här är ett exempel:

Set-AzureAdConnectHealthProxySettings -HttpsProxyAddress myproxyserver: 443

I det här exemplet:

• Inställningen address kan vara ett DNS-matchningsbart servernamn eller en IPv4-adress.
• Du kan utelämna port . Om du gör det är 443 standardporten.

Rensa den befintliga proxykonfigurationen

Du kan rensa den befintliga proxykonfigurationen genom att köra följande kommando:

Set-AzureAdConnectHealthProxySettings -NoProxy

Läsa de aktuella proxyinställningarna

Du kan läsa de aktuella proxyinställningarna genom att köra följande kommando:

Get-AzureAdConnectHealthProxySettings

Testa anslutningen till Azure AD Anslut Health-tjänsten

Ibland kan Azure AD Anslut Health-agenten förlora anslutningen till Azure AD Anslut Health-tjänsten. Orsakerna till den här anslutningsförlusten kan vara nätverksproblem, behörighetsproblem och andra problem.

Om agenten inte kan skicka data till Azure AD Anslut Health-tjänsten under mer än två timmar visas följande avisering i portalen: "Hälsotjänst data är inte uppdaterade."

Du kan ta reda på om den berörda Azure AD Anslut Health-agenten kan ladda upp data till Azure AD Anslut Health-tjänsten genom att köra följande PowerShell-kommando:

Test-AzureADConnectHealthConnectivity -Role ADFS

Rollparametern har för närvarande följande värden:

• ADFS
• Synkronisera
• ADDS

Nästa steg

Kolla in följande relaterade artiklar:

• Azure AD Connect Health
• Azure AD Anslut Health-åtgärder
• Använda Azure AD Connect Health med AD FS
• Använda Azure AD Connect Health för synkronisering
• Använda Azure AD Anslut Health med Azure AD DS
• Vanliga frågor och svar om Azure AD Connect Health
• Versionshistorik för Azure AD Connect Health