Eine Schritt-für-Schritt-Anleitung zum Einrichten der Office 365 AD-Synchronisierung
Unternehmen verwenden Active Directory, um Windows-Computer und -Benutzer zentral zu verwalten. Die Konfiguration eines Active Directory-Domänencontrollers (ADDC) unter Windows Server ist praktisch, und Administratoren können diesen Server verwenden, um Benutzer zu authentifizieren, Berechtigungen zu konfigurieren und den Zugriff auf gemeinsam genutzte Ressourcen zu verwalten.Viele Unternehmen, die bereits Windows verwenden, sind auf eine Microsoft-Cloudplattform wie Microsoft 365 (früher Office 365) oder Azure umgestiegen. In diesem Fall muss ein Systemadministrator Konten für Benutzer in Microsoft 365 erstellen. Manchmal bevorzugen Unternehmen die Verwendung derselben Anmeldeinformationen für lokale Benutzerkonten und Cloud-Benutzerkonten. Administratoren können die Benutzer einer lokalen Domain vor Ort mit Office 365 und Azure Active Directory (Azure AD) synchronisieren, um dasselbe Benutzerkonto sowohl für die lokale als auch für die Cloud-Authentifizierung zu verwenden. Dies wird als hybride Bereitstellung bezeichnet und ist bei Unternehmen, die Microsoft-Softwareprodukte verwenden, sehr beliebt.Dieser Blogbeitrag behandelt die AD-Synchronisierung von Office 365 und erklärt, wie Sie die Active Directory-Synchronisierung von Office 365 durchführen können, um vor Ort und in der Cloud Benutzerkonten für Microsoft-Produkte zu synchronisieren.
Office 365 und Azure AD
Office 365 ist ein Mandant in Azure Active Directory und nutzt das Portal, um Daten für die Authentifizierung zu speichern und Berechtigungen für den Zugriff auf die Microsoft-Cloud-Umgebung zu konfigurieren. Der Administrator des Office 365-Mandanten kann auf das Azure-Portal zugreifen, um Berechtigungen zu verwalten und andere Einstellungen zu konfigurieren. Wenn Sie einen laufenden ADDC (Active Directory Domain Controller) vor Ort haben, können Sie Office 365 mit AD synchronisieren (Ihr lokales Active Directory und Azure Active Directory mit Office 365 synchronisieren) und so die Integration von Office 365 Active Directory erreichen.Dieser Ansatz bietet Ihnen eine hybride Identität und ermöglicht es Benutzern, mit denselben Anmeldeinformationen auf Office 365-Dienste und lokale Ressourcen in Ihrem Büro/Rechenzentrum zuzugreifen. In diesem Fall werden Active Directory-Daten wie Benutzer, Gruppen und Kontakte synchronisiert. Die Verzeichnissynchronisierung ist ein wichtiger Schritt bei der Umstellung auf die Cloud, wenn Sie eine hybride Umgebung wünschen.
Was ist Azure AD Connect?
Azure AD Connect ist ein leichtgewichtiges Tool, das auf einem lokalen Server installiert wird, der als ADDC fungiert. Azure AD Connect synchronisiert Ihre lokalen Active Directory-Identitätsdaten mit Azure Active Directory, das von Office 365 in der Cloud verwendet wird. Dieses Tool kann auf einem Domänencontroller oder auf einem Windows Server installiert werden, der Mitglied der Domain ist. Azure AD Connect hat das Directory Synchronization Tool (DirSync) ersetzt, das nicht mehr unterstützt wird.Azure AD Connect unterstützt die folgenden Funktionalitäten:
- Synchronisierung von Passwort-Hashes
- Durchgangsauthentifizierung
- Verbundene Authentifizierung. Die Authentifizierung kann von einem Client-Computer für einen anderen Identitätsanbieter angefordert werden.
Standardmäßig wird die Verzeichnissynchronisierung vom vor Ort liegenden AD zum von Office 365 verwendeten Azure AD durchgeführt. Sie können jedoch die Active Directory-Synchronisierung in umgekehrter Richtung konfigurieren und die Änderungen von Azure AD zu Ihrem vor Ort liegenden AD synchronisieren. Standardmäßig ist die Synchronisierung alle 30 Minuten geplant. Sie können die Zeitplanungskonfiguration bearbeiten und die Office 365-Verzeichnissynchronisierung in PowerShell erzwingen. Sie können die Delta-Synchronisierung so konfigurieren, dass nur die Daten synchronisiert werden, die seit der letzten Office 365 AD-Synchronisierung geändert wurden. Es wird empfohlen, eine Delta-Synchronisierung innerhalb von 7 Tagen nach der letzten Synchronisierung durchzuführen.
Einhaltung der Anforderungen für die Archivierung .
Um Azure AD Connect zu installieren und auszuführen, stellen Sie Folgendes sicher:
- Ein Active Directory-Domänencontroller mit dem Betriebssystem Windows Server muss vor Ort installiert und konfiguriert sein.
- Die Active Directory-Funktionalität vor Ort muss Windows Server 2003 oder höher sein.
- Sie müssen über Rechte der Domain-Verwaltung oder die Berechtigungen eines lokalen Administrators auf einem Computer verfügen, der Mitglied einer Domain ist.
Unterstützte Betriebssysteme: Windows Server 2012, Windows Server 2016, Windows Server 2019 mit einer grafischen Benutzeroberfläche. Windows Server Core wird nicht unterstützt. Die Ausgabe von Windows Server muss Standard oder höher sein. Essentials-Ausgaben werden nicht unterstützt..NET Framework 4.5.1 oder höher muss auf einem Windows Server-Computer installiert sein, auf dem Azure AD Connect ausgeführt wird.PowerShell 3.0 oder höher. Die Skript-Ausführungsrichtlinie muss die Ausführung von Skripten zulassen. Die empfohlene Richtlinie lautet RemoteSigniert.Sie müssen über eine externe Domain verfügen, die mit Ihrem Office 365-Mandanten verknüpft ist.Sie benötigen Zugriff auf einen Azure-Mandanten (für Ihr Office 365-Mandanten-/Administratorkonto). Globale Administratorrechte sind erforderlich.Es muss ein Verzeichnis in Azure AD erstellt werden. Ein Domänencontroller in Azure AD muss als beschreibbar konfiguriert werden.Netzwerkanforderungen:
- Eine ausgehende HTTPS-Verbindung zu Microsoft-Servern
- TCP 80. Das HTTP-Protokoll wird zum Herunterladen von Zertifikatssperrlisten zur Überprüfung von TSL/SSL-Zertifikaten verwendet.
- TCP 443. HTTPS wird verwendet, um Daten mit Azure Active Directory zu synchronisieren.
- TLS 1.2 muss auf einem Windows-Rechner aktiviert sein.
Vorbereitung der Umgebung
Überprüfen Sie die UPN-Suffixe (oder User Principal Name) für Ihre lokale Domäne, die vor Ort von dem lokalen Active Directory verwendet wird. Die lokale Domäne muss routbar sein, und das lokale Domänensuffix sollte nicht .local, .test, etc. Domains mit solchen Suffixen werden als nicht routbar klassifiziert und können nur mit einem .onmicrosoft.com Domain. Wenn Sie beispielsweise die .NAKIVO.test Domain in Ihrem vor Ort installierten Active Directory und nakivo.onmicrosoft.com in Azure Active Directory, user1@NAKIVO.test sollte synchronisiert werden mit user1@NAKIVO.onmicrosoft.com. Wenn Sie ein domain.net Name in Ihrem lokalen Active Directory, und der Name der externen Domain, die in Office 365 und Azure verwendet wird, lautet ebenfalls domain.net, dann user1@domain.net aus dem vor Ort liegenden Active Directory kann synchronisiert werden mit user1@domain.net in Azure AD, das von Office 365 für die Authentifizierung und die Konfiguration von Berechtigungen verwendet wird. Daher muss der Domain-Name gültig sein und korrekte Suffixe wie .com, .net, .uk, .us, .edu, usw. für eine vollständige Synchronisierung und zur Namensabgleichung. Die UPNs lokaler Benutzer in Ihrem Active Directory können mit Azure AD und Office 365 synchronisiert werden.Hinweis: Die in diesem Blogbeitrag verwendeten Domainnamen dienen nur als Beispiele. Bitte verwenden Sie die korrekten Domainnamen entsprechend der Konfiguration Ihrer Umgebung.Sie können Ihre Domainnamen für Office 365 in der Microsoft 365-ADMIN-Center. Gehen Sie zu Einstellungen > Domains um verfügbare Domains anzuzeigen, die mit Ihrem Office 365-Mandanten verknüpft werden können.
Eine Domain routingfähig machen
Sie können die Einstellungen Ihrer vor Ort liegenden Domäne bearbeiten, um die Domäne für bessere Synchronisierungsfunktionen routingfähig zu machen, indem Sie die erforderlichen UPN-Suffixe hinzufügen. Fügen Sie UPN-Suffixe zu Ihrer bestehenden vor Ort liegenden Domäne hinzu, damit die Namen der Benutzer vor Ort und in Microsoft 365 (Azure) übereinstimmen. Registrieren Sie zunächst ein neues Suffix und aktualisieren Sie dann die Active Directory-Benutzer vor Ort, damit sie das aktualisierte Suffix verwenden.
Hinzufügen des neuen UPN-Suffixes
Gehen Sie zu Active Directory-Domänen und -Vertrauensstellungen auf Ihrem vor Ort installierten Domänencontroller. Öffnen Sie dazu Server-Manager, klicken Sie Werkzeugeund klicken Sie im sich öffnenden Menü auf Active Directory-Domänen und -VertrauensstellungenAlternativ können Sie auch domain.msc im Menü „Ausführen“ (drücken Sie Win+R um das Menü „Ausführen“ zu öffnen) oder in der Eingabeaufforderung (CMD).
Das Fenster „Active Directory-Domänen und -Vertrauensstellungen“ wird geöffnet. Klicken Sie mit der rechten Maustaste. Active Directory-Domänen und -Vertrauensstellungen und klicken Sie im Kontextmenü auf Eigenschaften.
Geben Sie den korrekten standardisierten Domain-Name mit der richtigen Endung ein, zum Beispiel: id.comoder nakivo.comKlicken Sie auf Hinzufügen, dann klicken Sie auf OK Um die Einstellungen zu speichern und dieses Fenster zu schließen.
UPNs für bestehende Benutzer bearbeiten
Jetzt sollten Sie die UPN-Suffixe für vorhandene Benutzer auf dem vor Ort befindlichen Active Directory-Domänencontroller bearbeiten.Gehen Sie zu Active Directory-Benutzer und -Computer Öffnen Sie den Server-Manager und gehen Sie zum Menü „Extras“ (genau wie zuvor). Alternativ können Sie auch die Taste Win+R Um das Menü „Ausführen“ zu öffnen, geben Sie Folgendes ein: dsa.msc im Dialogfeld „Ausführen“ und klicken Sie auf EingebenIn der Active Directory-Benutzer und -Computer Fenster, erweitern Sie Ihre Domain und klicken Sie auf die Schaltfläche Benutzer Verzeichnis. Wählen Sie einen Domain-Benutzer aus, klicken Sie mit der rechten Maustaste auf den Domain-Benutzer und drücken Sie Eigenschaften im Kontextmenü.
Wählen Sie die Konto Registerkarte im Fenster „Benutzereigenschaften“. Wählen Sie im Dropdown-Menü den richtigen Domain-Name mit der richtigen Endung aus. Klicken Sie auf OK um die Einstellungen zu speichern und das Fenster zu schließen.
Wiederholen Sie diesen Vorgang für alle Benutzer, die Mitglieder Ihrer vor Ort liegenden Domäne sind (Benutzer, für die Sie die Office 365 AD-Synchronisierung durchführen möchten). Wenn Sie eine große Anzahl von Benutzern in Ihrer vor Ort liegenden Active Directory haben, verwenden Sie PowerShell für die Massenbearbeitung, anstatt die Eigenschaften jedes Benutzers manuell zu bearbeiten. Verwenden Sie zu diesem Zweck die oben genannten Befehle:$LocalUsers = Get-ADUser -Filter \"UserPrincipalName -like '*domain.local'\" -Properties userPrincipalName -ResultSetSize $null$LocalUsers | foreach {$newUpn = $_.UserPrincipalName.Replace(\"@domain.local\",\"@domain.com\"); $_ | Set-ADUser -UserPrincipalName $newUpn}Geben Sie Ihre korrekten Domain-Namen anstelle von domain.lokal und domain.com basierend auf der Konfiguration in Ihrer Umgebung.Sie können einen UPN und die Adresse in PowerShell mit dem MSOnline PowerShell-Modul (Azure AD PowerShell-Modul).Set-MsolUserPrincipalName -UserPrincipalName user@olddomain.com -NewUserPrincipalName user@newdomain.comNach der Aktualisierung der UPNs können Sie die vor Ort installierten Active Directory-Domänendienste mit Microsoft 365 und Azure Active Directory synchronisieren.
E-Mail-Proxy-Attribute bearbeiten
Bearbeiten Sie das E-Mail-Attribut für jeden Benutzer und legen Sie eine SMTP-Proxy-E-Mail-Adresse fest.Um die Attribut-Editor Registerkarte, auf der Sie den SMTP-Proxy einstellen können (im Fenster „Benutzereigenschaften“), im Active Directory-Benutzer und -Computer Fenster, klicken Sie Ansehen > Erweiterte Funktionen.
Wählen Sie nun einen Benutzer aus, öffnen Sie die Benutzereigenschaften und klicken Sie auf die Schaltfläche Attribut-Editor Registerkarte, dann doppelklicken Sie auf die Proxy-Adressen Attribut.
Office 365-E-Mail-Adressen sollten als SMTP-Proxyadressen für Active Directory-Benutzer auf dem vor Ort befindlichen Domänencontroller definiert werden, zum Beispiel:SMTP:user2@NAKIVO.comDie primäre E-Mail-Adresse muss enthalten SMTP in Großbuchstaben. Andere Proxy-Adressen für E-Mails können mit SMTP in Kleinbuchstaben.Hit Hinzufügen um den Wert hinzuzufügen, dann drücken Sie OK um die Einstellungen zu speichern.
Wiederholen Sie diese Aktion für jeden Benutzer, der für die Office 365-Synchronisierung benötigt wird.
Überprüfen von Benutzernamen im Office 365 ADMIN Center
Öffnen Sie das Microsoft 365 ADMIN Center und gehen Sie zu Benutzer > Aktiv Benutzer und überprüfen Sie die Benutzernamen und Domänenendungen, die in ihren Namen verwendet werden. Wenn Sie eine benutzerdefinierte Domain haben, wie z. B. nakivo.comEntscheiden Sie sich für die Verwendung dieser Benutzernamen anstelle der Namen mit dem nakivo.onmicrosoft.com domain.
Klicken Sie auf die drei Punkte neben dem entsprechenden Benutzer und wählen Sie im sich öffnenden Menü die Option Benutzername und E-Mail-Adresse verwalten um die erforderliche Domain für einen Benutzername auszuwählen. Im Idealfall stimmen die Domain-Namen und Benutzernamen in Office 365 mit den Benutzernamen vor Ort im Active Directory überein.Öffnen Gruppen im Microsoft 365 Admin Center und bearbeiten Sie die Adressen von Gruppen genauso wie Sie die E-Mail-Adressen der Benutzer bearbeitet haben.
Installieren von Azure AD Connect
Herunterladen Sie Azure AD Connect über den folgenden Link von der Microsoft-Website:https://www.microsoft.com/en-us/download/details.aspx?id=47594Sie können den Azure Connect-Status überprüfen und einen Link zum Herunterladen von Dateien von der Azure AD Connect Seite im Microsoft Azure-Portal. Gehen Sie dazu zu Azure Active Directory > Azure AD Connect im Azure-Portal.
Speichern Sie die Azure AD Connect-Installationsdatei auf dem Server, auf dem Sie dieses Tool installieren möchten, beispielsweise auf einem Domänencontroller.Führen Sie die Azure AD Connect-Installationsdatei aus (AzureADConnect.msi). Der Azure AD-Verbindungs-Assistent wird geöffnet.WillkommenWählen Sie auf der Willkommensseite „Ich stimme den Lizenzbedingungen und Datenschutzhinweisen zu.“ und klicken Sie Weiter.
Express-EinstellungenWählen Sie eine der beiden verfügbaren Optionen aus – Anpassen oder Express-Einstellungen verwenden. Das Anpassen Diese Option bietet Ihnen mehr Kontrolle bei der Konfiguration der Office 365 Active Directory-Synchronisierung.
Erforderliche KomponentenWählen Sie die erforderlichen Komponenten für die Installation aus und legen Sie die Konfigurationseinstellungen für die ausgewählten Optionen fest.
- Geben Sie einen benutzerdefinierten Standort für die Installation an.
- Verwenden Sie einen vorhandenen SQL Server.
- Verwenden Sie ein vorhandenes Dienstkonto.
- Benutzerdefinierte Synchronisierungsgruppen angeben
- Import-Synchronisierungseinstellungen
Klicken Installieren weitermachen.
BenutzeranmeldungWählen Sie eine der verfügbaren Anmeldemethoden aus. Einige Optionen erfordern zusätzliche Konfigurationsschritte.
- Passwort-Hash-Synchronisierung. Ein Hash des Passworts eines Benutzers aus dem vor Ort befindlichen Active Directory wird mit Azure Active Directory synchronisiert.
- Pass-Through-Authentifizierung. Benutzer können dasselbe Passwort vor Ort im AD und in der Cloud (Office 365, Azure) verwenden, ohne dass zusätzliche Infrastruktur und eine Verbundumgebung erforderlich sind.
- Verbund mit AD FS. Eine Hybridumgebung sollte mithilfe von Active Directory und Active Directory-Verbunddiensten vor Ort bereitgestellt werden. Die Erneuerung von Zertifikaten und zusätzliche AD FS-Serverbereitstellungen werden unterstützt.
- Verbund mit PingFederate. Diese Option kann verwendet werden, wenn ein Unternehmensserver von PingFederate in Ihrer Infrastruktur bereitgestellt ist, um eine einmalige Anmeldung für die Benutzerauthentifizierung bereitzustellen.
- Nicht konfigurieren. Sie können eine Lösung verwenden, die nicht von diesem Assistenten verwaltet wird, für die föderierte Anmeldung. Benutzer, die in einem Unternehmensnetzwerk angemeldet sind, können nach der Synchronisierung von Office 365 mit AD auf Cloud-Ressourcen zugreifen, ohne erneut Passwörter eingeben zu müssen.
Lesen Sie den Blogbeitrag über Active Directory-Verbunddienste Passwort-Hash-Synchronisierung oder Nicht konfigurieren als empfohlene Option, wenn Sie sich nicht sicher sind, was Sie tun sollen.
Mit Azure AD verbinden. Geben Sie einen Benutzernamen und ein Passwort Ihres Microsoft 365-Benutzerkontos ein, das über globale Administratorrechte in Microsoft Azure/Office 365 verfügt (Anmeldeinformationen des Office 365-Administrators). Dieses Administratorkonto wird benötigt, um Azure AD Connect so zu konfigurieren, dass die Anwendung die Office 365 AD-Synchronisierung durchführen kann. Klicken Sie auf Weiter bei jedem Schritt, um fortzufahren.
Verzeichnisse verbindenGeben Sie die Informationen für Ihr aktuelles Active Directory ein, das in der vor Ort verwendeten Domänenumgebung verwendet wird. Wählen Sie den Verzeichnistyp (Active Directory) aus, geben Sie die Domänenstruktur an und klicken Sie auf Verzeichnis hinzufügenund geben Sie die Anmeldeinformationen des Domänenadministrators ein. Wenn Sie eine Domänenstruktur synchronisieren müssen, verwenden Sie die Anmeldeinformationen des Unternehmensadministrators.
Anmeldung bei Azure ADÜberprüfen Sie Ihre Domänen und Active Directory-UPN-Suffixe. Wählen Sie das vor Ort verwendete Attribut aus, das als Benutzername in Azure AD und Office 365 verwendet werden soll. Wir wählen Benutzerprinzipalname. Wählen Sie die Ohne verifizierte Domains fortfahren Aktivieren Sie das Kontrollkästchen, wenn Ihre Domain nicht überprüft wurde. Sie können den Verifizierungsprozess später abschließen, damit sich Benutzer bei Azure AD und Office 365 anmelden können.
Domain- und OU-FilterungBehalten Sie die Standardeinstellungen auf diesem Bildschirm bei, um die Active Directory-Synchronisierung der gesamten AD-Daten durchzuführen. Wählen Sie benutzerdefinierte Domänen und Organisationseinheiten aus, wenn Sie die Einstellungen anpassen müssen. Sie können Domänen oder Organisationseinheiten, die Sie nicht synchronisieren möchten, abwählen.
Identifizierung von BenutzernEs wird empfohlen, in diesem Schritt die Standardeinstellungen für eine grundlegende Einrichtung der Active Directory-Synchronisierung mit Office 365 (für ein Azure AD, eine Domain und eine AD-Gesamtstruktur) beizubehalten. Wenn Sie eine komplexere Einrichtung durchführen müssen, wählen Sie benutzerdefinierte Optionen für Benutzeridentitäten über Verzeichnisse hinweg aus. In der Quelle ANKER Benutzeridentifizierungsoptionen, Standard auswählen Objekt-GUID Optionen zum Generieren von IDs und Zuordnen von Benutzern.
FilternWählen Sie, ob Sie alle Benutzer und Geräte synchronisieren möchten, oder wählen Sie bestimmte Objekte für die Synchronisierung aus. Sie können gruppenbasierte Filter verwenden.
Optionale FunktionenWählen Sie zusätzliche Funktionen aus, wenn Sie diese benötigen. Bewegen Sie den Mauszeiger über das Symbol „?“ weiter neben dem Namen der einzelnen Funktionen, um Hilfe zu erhalten, die Ihnen bei der richtigen Entscheidung hilft.
Bereit zum Konfigurieren. Wählen Sie die Starten Sie den Synchronisierungsvorgang, wenn die Konfiguration abgeschlossen ist. Aktivieren Sie dieses Kontrollkästchen, wenn Sie die Synchronisierung sofort nach dem Fertigstellen dieses Assistenten starten möchten. Sie können dieses Kontrollkästchen deaktivieren und die Synchronisierung bei Bedarf manuell starten. Klicken Sie auf Installieren um die Konfiguration fertigzustellen.
Warten Sie, bis die Installation und Konfiguration fertiggestellt sind. Wenn Sie die Meldung Konfiguration abgeschlossen Nachricht, können Sie klicken Beenden um die Anwendung zu schließen. Kurzinformationen zum Fertigstellen des Office 365 AD-Synchronisierungsprozesses werden auf dem Konfiguration abgeschlossen Bildschirm. Öffnen Sie dann das Microsoft 365 ADMIN Center und überprüfen Sie, ob die Active Directory-Synchronisierung mit Office 365 erfolgreich abgeschlossen wurde. Öffnen Sie die Synchronisierungsfehler Abschnitt in der Azure AD Connect Health Seite im Azure-Portal, um Details zu Fehlern anzuzeigen. Wenn Fehler vorliegen, lesen Sie die bereitgestellten Empfehlungen, die Ihnen bei der Behebung der Fehler helfen können.
Wenn die Office 365-AD-Synchronisierung erfolgreich abgeschlossen wurde, können Sie Lizenzen neuen Office 365-Benutzern zuweisen, die nach der Office 365-Synchronisierung mit dem vor Ort befindlichen Active Directory hinzugefügt wurden.
Exportieren der Azure AD Connect-Konfiguration
Sie können Azure AD Connect im Expressmodus oder im benutzerdefinierten Modus bereitstellen. Bei mehreren Bereitstellungen, die dieselbe Azure AD Connect-Konfiguration zur Synchronisierung von Active Directory vor Ort und Office 365/Azure sowie zur Synchronisierung mehrerer AD-Gesamtstrukturen verwenden, sollten Sie den Export/Import der Azure AD Connect-Konfiguration in Betracht ziehen.Nach der Konfiguration von Azure AD Connect in der GUI mithilfe eines Assistenten wird die Konfiguration in einer JSON-Datei gespeichert, die im %ProgramData%\AADConnect Ordner. Der Name einer JSON-Datei sieht wie folgt aus: Applied-SynchronizationPolicy-*.JSON wobei * für den Datums-/Zeitstempel steht, der dabei hilft, zu erkennen, wann die Konfiguration gespeichert wurde. In der GUI vorgenommene Änderungen werden automatisch exportiert. Mit PowerShell vorgenommene Änderungen sollten jedoch bei Bedarf manuell exportiert werden.Um Einstellungen zu importieren, führen Sie Azure AD Connect aus und wählen Sie die Option Anpassen Optionen, auf der Installieren Sie die erforderlichen Komponenten. Bildschirm, auswählen Import-Synchronisierungseinstellungen, klicken Sie Durchsuchenund wählen Sie die JSON-Konfigurationsdatei aus.
Durch den Import der Konfiguration können Benutzer Azure AD Connect mit minimalem manuellem Dateneingabeaufwand in kurzer Zeit konfigurieren und die identische Konfiguration auf mehreren Servern reproduzieren.
Tools für die Konfigurationsmigration
Es gibt Tools zum Exportieren und Importieren der Konfiguration von Azure AD Connect von einem Server auf einen anderen, um bei der Synchronisierung von Office 365 Active Directory eine identische Konfiguration zu erhalten.Kopieren Sie die Einstellungen migrieren.ps1 Datei aus C:ProgrammeMicrosoft Azure Active Directory ConnectTools oder einen benutzerdefinierten Ordner, in dem Azure AD Connect auf dem ersten Server an einem benutzerdefinierten Standort installiert ist, zum Beispiel C:Programme.Führen Sie den MigrateSettings.ps1 Skript auf dem ersten (vorhandenen) Server. Wenn die Ausgabemeldung angezeigt wird, dass ein Parameter, der das Argument „True“ akzeptiert, nicht gefunden wurde, bearbeiten Sie das Skript und entfernen Sie $true aus dem Skript.
Führen Sie das Skript aus und überprüfen Sie das Verzeichnis in der Ausgabe. Die Azure AD-Synchronisierungskonfiguration wird in diesen Ordner exportiert. Kopieren Sie diesen Exported-ServerConfiguration-* Ordner und dessen Inhalt auf den zweiten (neuen) Server.Führen Sie Azure AD Connect auf dem zweiten Server und auf dem Installieren Sie die erforderlichen Komponenten. Bildschirm auswählen für Importieren Sie die Synchronisierungseinstellungen. und wählen Sie die MigratedPolicy.json Konfigurationsdatei (wie oben erläutert) befindet sich im kopierten Exportierte-Serverkonfiguration-* ordner.
Weitere Optionen für die AD-Synchronisierung in Office 365
Wenn Sie nicht 30 Minuten warten können, was dem Standardintervall zwischen Synchronisierungsvorgängen entspricht, erzwingen Sie die Office 365 AD-Synchronisierung von PowerShell-Befehlen. Das Azure Active Directory PowerShell-Modul wird in der Regel zusammen mit dem Azure AD Connect-Tool installiert.Importieren Sie das ADSync PowerShell-Modul:Import-Module ADSyncÜberprüfen Sie Ihre aktuellen Office 365 AD-Synchronisierungseinstellungen:Get-ADSyncSchedulerErzwinge eine Delta-Synchronisierung, um nur die seit der letzten erfolgreichen Synchronisierung vorgenommenen Änderungen zu synchronisieren:Start-ADSyncSyncCycle -PolicyType DeltaErzwinge eine vollständige Synchronisierung, um alle Daten zu synchronisieren:Start-ADSyncSyncCycle -PolicyType InitialÄndern Sie das AD-Synchronisierungsintervall für Office 365 auf 10 Minuten:Set-ADSyncScheduler -CustomizedSyncCycleInterval 00:10:00Beachten Sie, dass bei der manuellen Office 365 AD-Synchronisierung keine Passwörter synchronisiert werden. Versuchen Sie in diesem Fall, den AD-Synchronisierungsdienst von Office 365 auf einem lokalen Server mit Azure AD Connect neu zu starten, und überprüfen Sie anschließend, ob die Anmeldeinformationen korrekt sind.
Konfigurationsempfehlungen
Schützen Sie einen Server, auf dem Azure AD Connect installiert ist. Beschränken Sie den Zugriff für Benutzer, die keine Administratoren sind, auf den Server, auf dem Azure AD Connect ausgeführt wird. Verwenden Sie sichere Passwörter, um die von diesem Active Directory-Synchronisierungstool verwendeten Dienstkonten zu schützen. Angesichts der Leistungsfähigkeit dieses Tools sind sichere Passwörter von entscheidender Bedeutung, falls jemand Zugriff auf den Server erhält, auf dem AD Sync ausgeführt wird. Sie können vertrauenswürdige Benutzer zur Gruppe „ADSyncAdmins“ hinzufügen, um die Zugriffsverwaltung zu vereinfachen.Überprüfen Sie die Gruppen, die Sie von vor Ort AD mit Azure AD und Office 365 synchronisieren möchten. Nicht alle Gruppen sollten synchronisiert werden. Es kann Gruppen geben, die in der Cloud nutzlos sind oder aufgrund von Sicherheits- oder Produktivitätsgründen nicht synchronisiert werden sollten. Filtern Sie Sicherheitsgruppen und Verteilergruppen, die für Microsoft 365- und Azure-Cloudumgebungen nicht relevant sind. Schließen Sie alle Administratorgruppen von der Office 365 Active Directory-Synchronisierung aus.Betrachten Sie die Office 365 Active Directory-Synchronisierung mit Azure AD Sync nicht als Lösung zum Backup. Einige Attribute von Objekten in der Cloud sind einzigartig, z. B. Lizenzinformationen zu Office 365-Benutzern. Wenn diese spezifischen Informationen in der Cloud gelöscht werden, können Sie sie nicht wiederherstellen, indem Sie die Office 365 Active Directory-Synchronisierung vor Ort ausführen. Die Synchronisierung des lokalen Active Directory mit Azure ist nicht dasselbe wie ein Backup von Active Directory und Domänencontrollern vor Ort. Verwenden Sie spezielle Tools und Sicherungslösungen, um Ihre vor Ort ausgeführten Active Directory-Domänencontroller und Office 365-Daten in der Cloud zu schützen.
Office 365-Backup und Active Directory-Backup
Sie sollten regelmäßig Backups von Office 365 erstellen und diese an einem sicheren Ort aufbewahren. Das Office 365-Backup sollte die erforderlichen Daten aus Office-Anwendungen wie Exchange Online-E-Mails, OneDrive und SharePoint enthalten. Office 365-Daten werden in der Cloud gespeichert, aber wenn einige dieser Daten durch Ransomware beschädigt oder versehentlich gelöscht werden, kann ein Backup die einzige Möglichkeit sein, diese Daten wiederherzustellen, insbesondere wenn Sie den Datenverlust erst bemerken, wenn es bereits zu spät ist.Active Directory ist ein zentralisiertes Verwaltungssystem in einem Windows-Netzwerk. Die Nichtverfügbarkeit eines Active Directory-Domänencontrollers kann den Betrieb eines gesamten Unternehmens zum Erliegen bringen. Sichern Sie vor Ort ausgeführte Active Directory-Domänencontroller, damit Daten im Katastrophenfall wiederhergestellt werden können. Verwenden Sie vorzugsweise spezielle Backup-Lösungen von Drittanbietern, die Application-Aware-Backups unterstützen, wenn Sie laufende Server mit laufenden Anwendungen sichern.NAKIVO Backup & Replication ist eine Lösung für die Datensicherheit kleiner und mittlerer Unternehmen sowie von Großunternehmen, die Folgendes unterstützt: Office 365 Cloud-Backup, darunter Apps wie Exchange Online, SharePoint Online, Microsoft Teams und OneDrive for Business. Sie können mehrere Office 365-Mandanten sichern, alle Benutzer oder benutzerdefinierte Benutzer auswählen und die benötigten Elemente auf granularer Ebene wiederherstellen.NAKIVO Backup & Replication Unterstützt physische Server-Backups, einschließlich Windows-Servern, die als Active Directory-Domänencontroller fungieren und folgende Aufgaben ausführen können: Active Directory-Backup. Unterstützung von Application-Aware-Backup ermöglicht Ihnen die Sicherung von Domänencontrollern und die Speicherung anwendungskonsistenter Daten in einem Backup. Granulare Wiederherstellung wird auch für physische Server-Backups unterstützt.
Schlussfolgerung
Unternehmen, die auf die Cloud umsteigen, tun dies nur teilweise. Sie nutzen weiterhin Active Directory-Dienste vor Ort in Kombination mit Cloud-Diensten. Dies wird als hybride Umgebung bezeichnet. Eine Option zur Synchronisierung von Office 365 mit AD ermöglicht es Unternehmen, hybride Umgebungen zu konfigurieren und Benutzerkonten und Authentifizierungsoptionen zwischen vor Ort betriebenem AD und Azure AD zu synchronisieren.Die Synchronisierung von Office 365 Active Directory kann mit Azure AD Connect durchgeführt werden, einem von Microsoft entwickelten nativen Tool. Sie müssen Ihr vor Ort liegendes Active Directory vorbereiten, die Domäneneinstellungen für die vor Ort liegende Domäne und die mit Ihrem Office 365-Mandanten verknüpfte externe Domäne konfigurieren und die Optionen für die Office 365-Verzeichnissynchronisierung in AD Connect konfigurieren. Durch die Integration von Office 365 Active Directory können Benutzer dieselben Anmeldeinformationen für lokale Windows-Umgebungen und in Office 365 verwenden.
