使用 Microsoft Entra Cloud Sync 进行组写回

  • 项目

随着预配代理 1.1.1370.0 的发布，云同步现在能够执行组写回。 此功能意味着云同步可以直接将组预配到本地 Active Directory 环境。 现在还可以使用标识治理功能来治理对基于 AD 的应用程序的访问，例如加入一个权利管理访问包中的组。

组写回与云同步的关系图。

重要

2024 年 6 月 30 日之后，Microsoft Entra Connect Sync 将不再提供组写回 V2 (GWB) 的公共预览版。 此功能将于该日期停止使用，Connect Sync 不再支持将云安全组预配到 Active Directory。

我们在 Microsoft Entra Cloud Sync 中提供了类似的功能，称为将组预配到 Active Directory，可以用来代替使用组写回 V2 将云安全组预配到 Active Directory。 我们正致力于在 Cloud Sync 中增强此功能，并增强我们在 Cloud Sync 中开发的其他新功能。

在 Connect Sync 中使用此预览功能的客户应将其配置从 Connect Sync 切换到 Cloud Sync。可以选择将所有混合同步移动到 Cloud Sync（如果其支持这种需求）。 还可以并行运行 Cloud Sync，并仅将云安全组预配移动到 Cloud Sync 中的 Active Directory。

对于将 Microsoft 365 组预配到 Active Directory 的客户，可以继续使用组写回 v1 实现此功能。

可以通过使用用户同步向导来评估只移动到 Cloud Sync 的操作。

观看组写回视频

有关云同步组预配到 Active Directory 的大致概述，以及它可以为你执行的操作，请查看以下视频。

将 Microsoft Entra ID 预配到 Active Directory - 先决条件

实现将组预配到 Active Directory 需要满足以下先决条件。

许可要求

使用此功能需要 Microsoft Entra ID P1 许可证。 要根据需要查找合适的许可证，请参阅比较 Microsoft Entra ID 的正式发布功能。

一般要求

  • 至少具有混合管理员角色的 Microsoft Entra 帐户。
  • 具有 Windows Server 2016 操作系统或更高版本的本地 Active Directory 域服务环境。
    • AD 架构属性所需 - msDS-ExternalDirectoryObjectId
  • 使用内部版本 1.1.1370.0 或更高版本预配代理。

注意

仅在干净安装期间分配对服务帐户的权限。 如果要从以前的版本升级，则需要使用 PowerShell cmdlet 手动分配权限：

$credential = Get-Credential  

  Set-AADCloudSyncPermissions -PermissionType UserGroupCreateDelete -TargetDomain "FQDN of domain" -EACredential $credential

如果手动设置权限，则需要确保所有后代组和用户对象的“读取”、“写入”、“创建”和“删除”所有属性。

默认情况下，这些权限不会应用于 AdminSDHolder 对象，请参阅 Microsoft Entra 预配代理 gMSA PowerShell cmdlet

  • 预配代理必须能够与端口 TCP/389 (LDAP) 和 TCP/3268（全局目录）上的一个或多个域控制器通信。
    • 全局目录查找需要筛选出无效的成员身份引用
  • 内部版本 2.2.8.0 或更高的 Microsoft Entra Connect
    • 支持使用 Microsoft Entra Connect 同步的本地用户成员身份所需
    • 将 AD:user:objectGUID 同步到 AAD:user:onPremisesObjectIdentifier 所需

支持的组

仅支持以下各项：

  • 仅支持云创建的安全组
  • 这些组可以有分配的或动态成员身份。
  • 这些组只能包含本地同步的用户和/或其他云创建的安全组。
  • 同步且是此云创建的安全组的成员的本地用户帐户，可以来自同一域或跨域，但必须全部来自同一林。
  • 这些组以通用 AD 组范围写回。 本地环境必须支持通用组范围。
  • 不支持超过 50,000 个成员的组。
  • 每个直接子嵌套组计数为引用组中的一个成员
  • 如果在 Active Directory 中手动更新组，则不支持 Microsoft Entra ID 和 Active Directory 之间的组对帐。

其他信息

下面是有关将组预配到 Active Directory 的其他信息。

  • 使用云同步预配到 AD 的组只能包含本地同步的用户和/或其他云创建的安全组。
  • 所有这些用户都必须在其帐户上设置 onPremisesObjectIdentifier 属性。
  • onPremisesObjectIdentifier 必须与目标 AD 环境中的相应 objectGUID 匹配。
  • 可以使用 Microsoft Entra Cloud Sync (1.1.1370.0) 或 Microsoft Entra Connect Sync (2.2.8.0) 将本地用户 objectGUID 属性同步到云用户 onPremisesObjectIdentifier 属性
  • 如果使用 Microsoft Entra Connect Sync (2.2.8.0) 同步用户，而不是 Microsoft Entra Cloud Sync，并且想要使用“预配到 AD”，则其必须是 2.2.8.0 或更高版本。
  • 仅支持将常规 Microsoft Entra ID 租户从 Microsoft Entra ID 预配到 Active Directory。 不支持 B2C 等租户。
  • 组预配作业计划为每 20 分钟运行一次。

支持使用 Microsoft Entra Cloud Sync 进行组写回的方案

以下部分介绍使用 Microsoft Entra Cloud Sync 进行组写回支持的方案。

将 Microsoft Entra Connect Sync 组写回 V2 迁移到 Microsoft Entra 云同步

方案：使用 Microsoft Entra Connect Sync（以前称为 Azure AD Connect）将组写回迁移到 Microsoft Entra Cloud Sync。此方案仅适用于当前使用 Microsoft Entra Connect 组写回 v2 的客户。 本文档中概述的过程仅适用于使用通用范围写回的云创建的安全组。 不支持使用 Microsoft Entra Connect 组写回 V1 或 V2 写回的启用邮件的组和 DL。

有关详细信息，请参阅将 Microsoft Entra Connect Sync 组写回 V2 迁移到 Microsoft Entra Cloud Sync。

使用 Microsoft Entra ID 治理来治理基于本地 Active Directory 的应用 (Kerberos)

方案：使用在云中预配和管理的 Active Directory 组管理本地应用程序。 通过 Microsoft Entra 云同步，可在 AD 中完全控制应用程序分配，同时利用 Microsoft Entra ID 治理功能来控制和修正任何与访问相关的请求。

有关详细信息，请参阅使用 Microsoft Entra ID 治理来治理基于本地 Active Directory 的应用 (Kerberos)。

后续步骤