Eine Schritt-für-Schritt-Anleitung zum Einrichten der Office 365 AD-Synchronisierung
Unternehmen nutzen Active Directory zur zentralen Verwaltung von Windows-Computern und -Benutzern. Die Konfiguration eines Active Directory-Domänencontrollers (ADDC) unter Windows Server ist einfach, und Administratoren können diesen Server nutzen, um Benutzer zu authentifizieren, Berechtigungen zu konfigurieren und den Zugriff auf gemeinsam genutzte Ressourcen zu verwalten.
Viele Unternehmen, die bereits Windows einsetzen, sind auf eine Microsoft-Cloudplattform wie Microsoft 365 (früher Office 365) oder Azure umgestiegen. In diesem Fall muss ein Systemadministrator Konten für Benutzer in Microsoft 365 anlegen. Manchmal ziehen es Unternehmen vor, für lokale Benutzerkonten und Cloud-Benutzerkonten dieselben Anmeldeinformationen zu verwenden. Administratoren können die Benutzer einer lokalen Domain vor Ort mit Office 365 und Azure Active Directory (Azure AD) synchronisieren, um dasselbe Benutzerkonto sowohl für die lokale als auch für die Cloud-Authentifizierung zu nutzen. Dies wird als Hybrid-Bereitstellung bezeichnet und ist bei Unternehmen, die Microsoft-Softwareprodukte einsetzen, sehr beliebt.
Dieser Blogbeitrag befasst sich mit der Office 365-AD-Synchronisierung und erläutert, wie Sie die Office 365-Active-Directory-Synchronisierung durchführen können, um vor Ort und in der Cloud Benutzerkonten für Microsoft-Produkte zu synchronisieren.
Office 365 und Azure AD
Office 365 ist ein Mandant in Azure Active Directory und nutzt das Portal, um Daten für die Authentifizierung zu speichern und Berechtigungen für den Zugriff auf die Microsoft-Cloud-Umgebung zu konfigurieren. Der Administrator des Office 365-Mandanten kann über das Azure-Portal auf Berechtigungen zugreifen und diese verwalten sowie weitere Einstellungen vornehmen. Wenn Sie über einen laufenden ADDC (Active Directory-Domänencontroller) vor Ort verfügen, können Sie Office 365 mit AD synchronisieren (Ihr lokales Active Directory und Azure Active Directory mit Office 365 synchronisieren) und so eine Office 365-Active-Directory-Integration erreichen.
Dieser Ansatz bietet Ihnen eine hybride Identität und ermöglicht es Benutzern, mit denselben Anmeldeinformationen sowohl auf Office 365-Dienste als auch auf lokale Ressourcen in Ihrem Büro bzw. Rechenzentrum zuzugreifen. In diesem Fall werden Active Directory-Daten wie Benutzer, Gruppen und Kontakte synchronisiert. Die Verzeichnissynchronisierung ist ein wichtiger Schritt bei der Umstellung auf die Cloud, wenn Sie eine hybride Umgebung einrichten möchten.
Was ist Azure AD Connect?
Azure AD Connect ist ein schlankes Tool, das auf einem lokalen Server installiert wird, der als ADDC fungiert. Azure AD Connect synchronisiert Ihre lokalen Active Directory-Identitätsdaten mit Azure Active Directory, das von Office 365 in der Cloud verwendet wird. Dieses Tool kann auf einem Domänencontroller oder auf einem Windows-Server installiert werden, der Mitglied der Domain ist. Azure AD Connect hat das Directory Synchronization Tool (DirSync) ersetzt, das inzwischen veraltet ist.
Azure AD Connect unterstützt die folgenden Funktionalitäten:
- Synchronisierung von Passwort-Hashes
- Pass-Through-Authentifizierung
- Föderierte Authentifizierung. Ein Client-Computer kann eine Authentifizierung bei einem anderen Identitätsanbieter anfordern.
Standardmäßig erfolgt die Verzeichnissynchronisierung vom vor Ort befindlichen AD zum von Office 365 verwendeten Azure AD. Sie können die Active-Directory-Synchronisierung jedoch auch in umgekehrter Richtung konfigurieren und Änderungen von Azure AD in Ihr vor Ort befindliches AD synchronisieren. Standardmäßig ist die Synchronisierung alle 30 Minuten geplant. Sie können die Zeitplanungskonfiguration bearbeiten und die Office 365-Verzeichnissynchronisierung in PowerShell erzwingen. Sie können eine Delta-Synchronisierung so konfigurieren, dass nur die Daten synchronisiert werden, die sich seit der letzten Office 365-AD-Synchronisierung geändert haben. Es wird empfohlen, eine Delta-Synchronisierung innerhalb von 7 Tagen nach der letzten Synchronisierung durchzuführen.
Anforderungen
Um Azure AD Connect zu installieren und auszuführen, stellen Sie Folgendes sicher:
- Ein Active Directory Domänencontroller, der das Windows Server-Betriebssystem ausführt, muss vor Ort installiert werden.
- Die vor Ort funktionierende Active Directory Funktionalitätsebene muss Windows Server 2003 oder später sein.
- Sie müssen Domain-Administrator-Berechtigungen oder die Berechtigungen für einen lokalen Administrator auf einem Computer haben, der ein Mitglied der Domain ist.
Unterstützte Betriebssysteme: Windows Server 2012, Windows Server 2016, Windows Server 2019 mit einer GUI. Windows Server Core wird nicht unterstützt. Die Ausgabe von Windows Server muss Standard oder höher sein. Essentials-Ausgaben werden nicht unterstützt.
.NET Framework 4.5.1 oder später muss auf einer Windows Server-Maschine installiert sein, die Azure AD Connect ausführt.
PowerShell 3.0 oder später. Die Skriptausführungsrichtlinie muss Ihnen erlauben, Skripte auszuführen. Die empfohlene Richtlinie ist RemoteSigned.
Sie müssen eine externe Domain haben, die mit Ihrem Office 365-Mandanten verbunden ist.
Sie benötigen Zugriff auf einen Azure Mandanten (für Ihr Office 365-Mandanten-/Admin-Konto). Globale Administratorbescheinigungen sind erforderlich.
Ein Verzeichnis in Azure AD muss erstellt werden. Ein Domänencontroller in Azure AD muss als beschreibbar konfiguriert werden.
Netzwerkanforderungen:
- Eine ausgehende HTTPS Verbindung zu Microsoft-Servern
- TCP 80. Das HTTP-Protokoll wird verwendet, um Zertifikatsperrlisten für die Verifizierung von TSL/SSL Zertifikate herunterzuladen
- TCP 443. HTTPS wird verwendet, um Daten mit Azure Active Directory zu synchronisieren
- TLS 1.2 muss auf einer Windows-Maschine aktiviert sein.
Vorbereitung der Umgebung
Überprüfen Sie die UPN (oder User Principal Name) Suffixe für Ihre lokale Domain, welche vom vor Ort Active Directory genutzt wird. Die lokale Domain muss routable sein, und das lokale Domain-Suffix sollte nicht .local, .test, etc. sein. Domains mit solchen Suffixen werden als nicht routable klassifiziert, und diese Domains können nur mit einer .onmicrosoft.com Domain synchronisiert werden. Zum Beispiel, wenn Sie die .nakivo.test Domain in Ihrem vor Ort Active Directory haben und nakivo.onmicrosoft.com in Azure Active Directory, sollte user1@nakivo.test zu user1@nakivo.onmicrosoft.com synchronisiert werden. Wenn Sie einen domain.net Namen in Ihrem lokalen Active Directory haben, und der Name der externen Domain, die in Office 365 und Azure genutzt wird, ist ebenfalls domain.net, dann kann user1@domain.net vom vor Ort Active Directory synchronisiert werden. mit user1@domain.net in Azure AD, genutzt von Office 365 für die Authentifizierung und zur Konfiguration von Berechtigungen. Daher muss der Domainname gültig sein und korrektes Suffixe wie .com, .net, .uk, .us, .edu, usw. für eine vollständige Synchronisierung und Namensübereinstimmung haben. UPNs von lokalen Benutzern in Ihrem Active Directory können mit Azure AD und Office 365 synchronisiert werden.
Note: Die in diesem Blogpost verwendeten Domainnamen sind Beispiele. Bitte verwenden Sie die korrekten Domainnamen gemäß der Konfiguration Ihrer Umgebung.
Sie können Ihre Domainnamen für Office 365 im Microsoft 365-ADMIN-Center überprüfen. Gehen Sie zu Settings > Domains, um verfügbare Domains zu sehen, die mit Ihrem Office 365-Mandanten verknüpft werden können.
Eine Domain routbar machen
Sie können die Einstellungen Ihrer lokalen Domain bearbeiten, um die Domain für bessere Synchronisierungsfähigkeiten routbar zu machen, indem Sie die erforderlichen UPN-Suffixe hinzufügen. Fügen Sie UPN-Suffixe Ihrer vorhandenen lokalen Domain hinzu, um die Namen der Benutzer vor Ort und in Microsoft 365 (Azure) abzugleichen. Zuerst registrieren Sie ein neues Suffix und aktualisieren dann die Active Directory-Benutzer vor Ort, um das aktualisierte Suffix zu verwenden.
Das neue UPN-Suffix hinzufügen
Gehen Sie zu Active Directory-Domains und Trusts auf Ihrem lokalen Domaincontroller. Um dies zu tun, öffnen Sie Server Manager, klicken Sie auf Tools, und im Menü, das sich öffnet, klicken Sie auf Active Directory Domains and Trusts. Alternativ führen Sie domain.msc im Ausführen-Menü (drücken Sie Win+R, um das Ausführen-Menü zu öffnen) oder in der Eingabeaufforderung (CMD) aus.
Das Active Directory Domains und Trusts-Fenster öffnet sich. Klicken Sie mit der rechten Maustaste auf Active Directory Domains and Trusts und im Kontextmenü auf Properties.
Geben Sie den korrekten standardisierten Domainnamen mit dem richtigen Suffix ein, zum Beispiel id.com , oder nakivo.com . Klicken Sie auf Add, dann auf OK, um die Einstellungen zu speichern und dieses Fenster zu schließen.
UPNs für bestehende Benutzer bearbeiten
Jetzt sollten Sie die UPN-Suffixe für bestehende Benutzer im lokalen Active Directory-Domaincontroller bearbeiten.
Gehen Sie zu Active Directory Users and Computers indem Sie den Server Manager öffnen und zum Tools-Menü gehen (genauso wie zuvor). Alternativ drücken Sie Win+R, um das Ausführen-Menü zu öffnen, geben Sie dsa.msc im Ausführen-Dialogfeld ein und klicken auf Enter.
Im Active Directory Benutzer und Computer Fenster, erweitern Sie Ihre Domain und klicken Sie auf das Users Verzeichnis. Wählen Sie einen Domain-Benutzer, klicken Sie mit der rechten Maustaste darauf und wählen im Kontextmenü Properties.
Wählen Sie die Account Registerkarte im Benutzer-Eigenschaftenfenster. Wählen Sie im Dropdown-Menü den korrekten Domainnamen mit dem richtigen Suffix aus. Drücken Sie OK, um die Einstellungen zu speichern und das Fenster zu Schließen.
Wiederholen Sie diesen Vorgang für alle Benutzer, die Mitglieder Ihrer vor Ort Domain sind (Benutzer, für die Sie die Office 365 AD-Synchronisation durchführen möchten). Wenn Sie eine große Anzahl von Benutzern in Ihrem vor Ort Active Directory haben, verwenden Sie stattdessen PowerShell für die Massenbearbeitung, anstatt die Eigenschaften jedes Benutzers manuell zu Bearbeiten. Verwenden Sie die obigen Befehle zu diesem Zweck:
$LocalUsers = Get-ADUser -Filter "UserPrincipalName -like '*domain.local'" -Properties userPrincipalName -ResultSetSize $null
$LocalUsers | foreach {$newUpn = $_.UserPrincipalName.Replace("@domain.local","@domain.com"); $_ | Set-ADUser -UserPrincipalName $newUpn}
Stellen Sie Ihre richtigen Domainnamen anstelle von domain.local und domain.com basierend auf der Konfiguration in Ihrer Umgebung ein.
Sie können einen UPN und die Adresse in PowerShell mit dem MSOnline PowerShell Modul (Azure AD PowerShell Modul) ändern.
Set-MsolUserPrincipalName -UserPrincipalName user@olddomain.com -NewUserPrincipalName user@newdomain.com
Nach der Aktualisierung der UPNs sind Sie bereit, die vor Ort Active Directory Domain-Dienste mit Microsoft 365 und Azure Active Directory zu synchronisieren.
Bearbeiten der E-Mail Proxy-Attribute
Bearbeiten Sie das E-Mail-Attribut für jeden Benutzer und setzen Sie eine SMTP-Proxy-E-Mail-Adresse.
Um die Attribut-Editor Registerkarte anzuzeigen, in der Sie das SMTP-Proxy festlegen können (im Benutzer Eigenschaftenfenster), klicken Sie im Active Directory Benutzer und Computer Fenster, auf View > Advanced Features.
Wählen Sie nun einen Benutzer aus, öffnen Sie die Benutzereigenschaften, klicken Sie auf die Attribute Editor Registerkarte und doppelklicken Sie auf das proxyAddresses Attribut.
Office 365 E-Mail-Adressen sollten als SMTP-Proxy-Adressen für Active Directory-Benutzer auf dem vor Ort Domaincontroller definiert werden, zum Beispiel:
SMTP:user2@nakivo.com
Die primäre E-Mail-Adresse muss SMTP in Großbuchstaben enthalten. Andere Proxy-Adressen für E-Mails können mit smtp in Kleinbuchstaben beginnen.
Drücken Sie Add, um den Wert hinzuzufügen, dann drücken Sie OK, um die Einstellungen zu Speichern.
Wiederholen Sie diese Aktion für jeden benötigten Benutzer für die Office 365-Synchronisation.
Überprüfen der Benutzernamen im Office 365 Admincenter
Öffnen Sie das Microsoft 365 Admincenter, gehen Sie zu Users > Active Benutzer und überprüfen Sie die Benutzernamen und Domain-Suffixe, die in ihren Namen verwendet werden. Wenn Sie eine benutzerdefinierte Domain wie nakivo.com haben, entscheiden Sie sich dafür, diese Benutzerprinzipalnamen zu verwenden, anstatt der Namen mit der nakivo.onmicrosoft.com Domain.
Klicken Sie auf die drei Punkte neben dem entsprechenden Benutzer, und im sich öffnenden Menü drücken Sie Manage username and email, um die benötigte Domain für einen Benutzernamen auszuwählen. Die ideale Situation ist, wenn Domainnamen und Benutzernamen in Office 365 mit den Benutzernamen im vor Ort Active Directory übereinstimmen.
Öffnen Groups Sie im Microsoft 365 Admincenter und bearbeiten Sie Adressen von Gruppen, genauso wie Sie die Benutzer E-Mail-Adressen bearbeitet haben.
Installieren von Azure AD Connect
Laden Sie Azure AD Connect von der Microsoft-Website herunter, indem Sie den Link verwenden:
https://www.microsoft.com/en-us/download/details.aspx?id=47594
Sie können den Azure Connect Status überprüfen und einen Download-Link von der Azure AD Connect Seite im Microsoft Azure-Portal erhalten. Dazu gehen Sie zu Azure Active Directory > Azure AD Connect im Azure-Portal.
Speichern Sie die Installationsdatei von Azure AD Connect auf dem Server, auf dem Sie dieses Tool installieren möchten, zum Beispiel auf einem Domänencontroller.
Führen Sie die Installationsdatei von Azure AD Connect ( AzureADConnect.msi ) aus. Der Assistent von Azure AD Connect öffnet sich.
Welcome. Wählen Sie im Begrüßungsbildschirm “I agree to the license terms and privacy notice” aus und klicken Sie auf Continue.
Express Settings. Wählen Sie eine der beiden verfügbaren Optionen – Customize oder Use express settings. Die Customize Option bietet Ihnen mehr Kontrolle beim Konfigurieren der Office 365 Active Directory Synchronisierung.
Required Components. Wählen Sie die zu installierenden Komponenten aus und bestimmen Sie die Konfigurationseinstellungen für die ausgewählten Optionen.
- Geben Sie einen benutzerdefinierten Installationsort an
- Vorhandenen SQL-Server verwenden
- Vorhandenes Dienstkonto verwenden
- Benutzerdefinierte Synchronisierungsgruppen angeben
- Synchronisierungseinstellungen importieren
Klicken Sie auf Install um fortzufahren.
User Sign-In. Wählen Sie eine der verfügbaren Anmeldemethoden. Einige Optionen erfordern zusätzliche Konfigurationsschritte.
- Passwort-Hash-Synchronisation. Ein Hash eines Benutzerpassworts aus der lokalen Active Directory wird mit Azure Active Directory synchronisiert.
- Durchleitungs-Authentifizierung. Benutzer können dasselbe Passwort sowohl in der lokalen AD als auch in der Cloud (Office 365, Azure) verwenden, es sind jedoch keine zusätzliche Infrastruktur und föderierte Umgebung erforderlich.
- Föderation mit AD FS. Eine hybride Umgebung sollte mit Hilfe von Active Directory und Active Directory Föderationsdiensten konfiguriert werden, die lokal bereitgestellt sind. Zertifikaterneuerung und zusätzliche AD FS- Server-Bereitstellungen werden unterstützt.
- Föderation mit PingFederate. Diese Option kann genutzt werden, wenn ein Unternehmens-PingFederate-Server in Ihrer Infrastruktur bereitgestellt wurde, um eine einmalige Anmeldung zur Benutzerauthentifizierung bereitzustellen.
- Nicht konfigurieren. Sie können eine Lösung verwenden, die von diesem Assistenten nicht verwaltet wird, für ein föderiertes Anmelden. Benutzer, die sich im Unternehmensnetzwerk angemeldet haben, können auf Cloud-Ressourcen zugreifen, nachdem Sie Office 365 mit AD synchronisiert haben, ohne die Passwörter erneut eingeben zu müssen.
Lesen Sie den Blogbeitrag über Active Directory-Verbunddienste.
Wählen Sie Password Hash Synchronization oder Do not configure als empfohlene Option, wenn Sie nicht sicher sind, was Sie tun sollen. 
Connect to Azure AD. Geben Sie einen Benutzernamen und ein Passwort Ihres Microsoft 365-Benutzerkontos ein, das über globale Administratorrechte in Microsoft Azure/Office 365 verfügt (Office 365-Administratoranmeldeinformationen). Dieses Administratorkonto wird benötigt, um Azure AD Connect so zu konfigurieren, dass die Anwendung die Office 365-AD-Synchronisierung durchführen kann. Klicken Sie in jedem Schritt auf Next, um fortzufahren.
Connect Directories. Geben Sie Informationen zu Ihrem aktuellen Active Directory ein, das vor Ort verwendet wird. Wählen Sie den Verzeichnistyp (Active Directory) aus, geben Sie die Domänenwaldstruktur an, klicken Sie auf Add Directory und geben Sie die Anmeldeinformationen des Domänenadministrators ein. Wenn Sie einen Domänenwald synchronisieren müssen, verwenden Sie die Anmeldeinformationen des Enterprise-Administrators.
Azure AD sign-in. Überprüfen Sie Ihre Domänen und die Active Directory-UPN-Suffixe. Wählen Sie das vor Ort verwendete Attribut aus, das als Benutzername in Azure AD und Office 365 verwendet werden soll. Wir wählen userPrincipalName. Aktivieren Sie das Kontrollkästchen Continue without any verified domains, falls Ihre Domäne noch nicht überprüft wurde. Sie können den Verifizierungsprozess später abschließen, damit sich Benutzer bei Azure AD und Office 365 anmelden können.
Domain and OU filtering. Behalten Sie die Standardeinstellungen auf diesem Bildschirm bei, um die Active Directory-Synchronisierung der gesamten AD-Daten durchzuführen. Wählen Sie benutzerdefinierte Domänen und Organisationseinheiten aus, falls Sie die Einstellungen anpassen müssen. Sie können Domänen oder Organisationseinheiten, die Sie nicht synchronisieren möchten, abwählen.
Identifying users. Es wird empfohlen, in diesem Schritt die Standardeinstellungen beizubehalten, um eine grundlegende Einrichtung der Active Directory-Synchronisierung mit Office 365 vorzunehmen (für ein Azure AD, eine Domäne und eine AD-Gesamtstruktur). Wenn Sie eine komplexere Konfiguration vornehmen müssen, wählen Sie benutzerdefinierte Optionen für Benutzeridentitäten über Verzeichnisse hinweg aus. Wählen Sie in den SOURCE ANCHOR Optionen zur Benutzeridentifizierung die Standardoption objectGUID aus, um IDs zu generieren und Benutzer zuzuordnen.
Filtering. Entscheiden Sie sich dafür, alle Benutzer und Geräte zu synchronisieren, oder wählen Sie benutzerdefinierte Objekte zur Synchronisierung aus. Sie können gruppenbasierte Filterung verwenden.
Optional Features. Wählen Sie zusätzliche Funktionen aus, falls Sie diese benötigen. Bewegen Sie den Mauszeiger über das „?“-Symbol neben dem Namen der jeweiligen Funktion, um Tipps zu erhalten, die Ihnen bei der richtigen Entscheidung helfen.
Ready to configure. Aktivieren Sie das Kontrollkästchen „ “ Start the synchronization process when configuration completes , wenn Sie die Synchronisierung unmittelbar nach Abschluss dieses Assistenten starten möchten. Sie können dieses Kontrollkästchen deaktivieren und die Synchronisierung bei Bedarf manuell starten. Klicken Sie auf Install , um die Konfiguration fertigzustellen.
Warten Sie, bis Installation und Konfiguration fertiggestellt sind. Wenn die Meldung „ “ Configuration Complete angezeigt wird, können Sie auf Exit klicken, um die Anwendung zu schließen. Kurze Informationen über den abgeschlossenen Office 365 AD-Synchronisationsprozess werden auf dem Konfiguration abgeschlossen Bildschirm angezeigt. Öffnen Sie dann das Microsoft 365 Admin Center und überprüfen Sie, ob die Active Directory-Synchronisation mit Office 365 erfolgreich abgeschlossen wurde. Öffnen Sie den Synchronisierungsfehler Abschnitt auf der Azure AD Connect Health Seite im Azure Portal, um detaillierte Informationen zu Fehlern zu sehen. Wenn Fehler vorliegen, lesen Sie die bereitgestellten Empfehlungen, die Ihnen helfen können, die Fehler zu beheben.
Wenn die Office 365 AD-Synchronisation erfolgreich abgeschlossen wurde, können Sie Lizenzen an neue Office 365-Benutzer zuweisen, die nach der Office 365-Synchronisation mit dem lokalen Active Directory hinzugefügt wurden.
Azure AD Connect-Konfiguration exportieren
Sie können Azure AD Connect im Express-Modus oder im benutzerdefinierten Modus bereitstellen. Bei mehreren Bereitstellungen, die dieselbe Azure AD Connect-Konfiguration verwenden, um das lokale Active Directory und Office 365 / Azure zu synchronisieren sowie mehrere AD-Forste zu synchronisieren, sollten Sie die Export-/Importfunktion der Azure AD Connect-Konfiguration in Erwägung ziehen.
Nachdem Sie Azure AD Connect im GUI mithilfe eines Assistenten konfiguriert haben, wird die Konfiguration in einer JSON-Datei gespeichert, die im %ProgramData%AADConnect Ordner abgelegt wird. Der Dateiname der JSON-Datei sieht folgendermaßen aus: Applied-SynchronizationPolicy-*.JSON, wobei * das Datum-/Zeitstempel bedeutet, welches hilft, zu identifizieren, wann die Konfiguration gespeichert wurde. Änderungen, die im GUI vorgenommen werden, werden automatisch exportiert. Jedoch sollten Änderungen, die mit PowerShell vorgenommen werden, bei Bedarf manuell exportiert werden.
Um die Einstellungen zu importieren, führen Sie Azure AD Connect aus, wählen die Customize Option, auf dem Erforderliche Komponenten installieren Bildschirm, wählen Import synchronization settings, klicken auf Browse, und wählen die JSON-Konfigurationsdatei aus.
Der Konfigurationsimport ermöglicht es Benutzern, mit minimalem manuellen Dateneingabeaufwand Azure AD Connect in kurzer Zeit zu konfigurieren und die identische Konfiguration auf mehreren Servern zu reproduzieren.
Werkzeuge für die Konfigurationsmigration
Es gibt Werkzeuge, um die Konfiguration von Azure AD Connect von einem Server auf einen anderen zu exportieren und zu importieren, um eine identische Konfiguration zu erzielen, wenn Sie die Office 365-Active Directory-Synchronisation durchführen.
Kopieren Sie die MigrateSettings.ps1 Datei von C:Program FilesMicrosoft Azure Active Directory ConnectTools oder einem benutzerdefinierten Ordner, in dem Azure AD Connect auf dem ersten Server installiert ist, an einen benutzerdefinierten Standort, z. B. C:Programme .
Führen Sie das MigrateSettings.ps1 Skript auf dem ersten (bestehenden) Server aus. Wenn Sie die Ausgabemeldung sehen, dass ein Parameter, der das Argument „Wahr“ akzeptiert, nicht gefunden wurde, bearbeiten Sie das Skript und entfernen Sie $true aus dem Skript.
Führen Sie das Skript aus und überprüfen Sie das Verzeichnis in der Ausgabe. Die Azure AD-Synchronisierungskonfiguration wird in diesen Ordner exportiert. Kopieren Sie diesen Exported-ServerConfiguration-* Ordner und seinen Inhalt auf den zweiten (neuen) Server.
Führen Sie Azure AD Verbinden auf dem zweiten Server aus und wählen Sie auf dem Bildschirm erforderliche Komponenten installieren die Option Synchronisierungseinstellungen importieren und wählen Sie die MigratedPolicy.json Konfigurationsdatei (wie oben erklärt) im kopierten Exportierten-Serverkonfiguration-* Ordner aus.
Weitere Office 365 AD Sync Optionen
Wenn Sie nicht 30 Minuten warten können, dies ist das Standardintervall zwischen den Synchronisierungsvorgängen, zwingen Sie die Office 365 AD-Sync mit PowerShell-Befehlen. Das Azure Active Directory PowerShell-Modul wird normalerweise mit dem Azure AD Verbinden-Tool installiert.
Importieren Sie das ADSync PowerShell-Modul:
Import-Module ADSync
Überprüfen Sie Ihre aktuellen Office 365 AD-Synchronisierungseinstellungen:
Get-ADSyncScheduler
Erzwingen Sie eine Deltasynchronisierung, um nur Änderungen seit der letzten erfolgreichen Synchronisierung zu synchronisieren:
Start-ADSyncSyncCycle -PolicyType Delta
Erzwingen Sie eine vollständige Synchronisierung, um alle Daten zu synchronisieren:
Start-ADSyncSyncCycle -PolicyType Initial
Ändern Sie das Office 365 AD-Sync-Intervall auf 10 Minuten:
Set-ADSyncScheduler -CustomizedSyncCycleInterval 00:10:00
Beachten Sie, dass die manuelle Office 365 AD-Synchronisierung keine Benutzerkennwörter synchronisiert. In diesem Fall versuchen Sie, den AD-Sync Office 365-Dienst auf einem lokalen Server, auf dem Azure AD Verbinden ausgeführt wird, neu zu starten und dann zu überprüfen, ob die Anmeldeinformationen korrekt sind.
Konfigurationsempfehlungen
Schützen Sie einen Server, auf dem Azure AD Verbinden installiert ist. Beschränken Sie den Zugriff für Benutzer, die keine Administratoren sind, auf den Server, auf dem Azure AD Verbinden ausgeführt wird. Verwenden Sie Codekennwörter, um Dienstkonten zu schützen, die von diesem Active Directory-Synchronisierungstool verwendet werden. Angesichts der Leistungsfähigkeit dieses Tools sind Codekennwörter entscheidend, wenn jemand Zugriff auf den Server erhält, auf dem die AD-Synchronisierung ausgeführt wird. Sie können vertrauenswürdige Benutzer zur ADSyncAdmins-Gruppe hinzufügen, um einen bequemen Zugriff zu verwalten.
Überprüfen Sie die Gruppen, die Sie aus dem lokalen AD in Azure AD und Office 365 synchronisieren möchten. Nicht alle Gruppen sollten synchronisiert werden. Es kann Gruppen geben, die in der Cloud nutzlos sind oder aus Sicherheits- oder Produktivitätsgründen keinen Grund haben, synchronisiert zu werden. Filtern Sie Sicherheitsgruppen und Verteilungsgruppen, die für die Microsoft 365 und Azure-Cloud-Umgebungen nicht relevant sind. Schließen Sie alle Administratorgruppen von der Office 365 Active Directory-Synchronisation aus. Betrachten Sie die Synchronisation von Office 365 Active Directory mit Azure AD nicht als Backup-Lösung. Einige Attribute von Objekten in der Cloud sind einzigartig, zum Beispiel Lizenzinformationen über Office 365-Benutzer. Wenn diese spezifischen Informationen in der Cloud gelöscht werden, können Sie sie nicht wiederherstellen, indem Sie die Synchronisation von Office 365 Active Directory aus dem lokalen Active Directory ausführen. Die Synchronisation des lokalen Active Directory zu Azure ist nicht dasselbe wie ein Backup von Active Directory und Domänencontrollern. Verwenden Sie spezielle Tools und Backup-Lösungen, um Ihre lokalen Active Directory-Domänencontroller und Office 365-Daten in der Cloud zu schützen.
Office 365-Backup und Active Directory-Backup
Führen Sie regelmäßig ein Office 365-Backup durch und bewahren Sie diese Backups an einem sicheren Ort auf. Das Office 365-Backup sollte die benötigten Daten von Office-Anwendungen wie Exchange Online-E-Mail, OneDrive und SharePoint enthalten. Office 365-Daten werden in der Cloud gespeichert, aber wenn einige dieser Daten mit Ransomware infiziert oder versehentlich gelöscht werden, kann ein Backup die einzige Methode sein, um diese Daten wiederherzustellen, besonders wenn Sie den Datenverlust erst bemerken, wenn es zu spät ist.
Active Directory ist ein zentrales Verwaltungssystem in einem Windows-Netzwerk. Die Nichtverfügbarkeit eines Active Directory-Domänencontrollers kann den Betrieb eines Unternehmens zum Stillstand bringen. Erstellen Sie Backups von Active Directory-Domänencontrollern vor Ort, um die Wiederherstellung von Daten im Falle einer Katastrophe zu ermöglichen. Bevorzugen Sie dedizierte, anwendungsorientierte Backup-Lösungen von Drittanbietern, wenn Sie laufende Server mit aktiven Anwendungen sichern.
NAKIVO Backup & Replication ist eine Datensicherheitslösung für KMUs und Unternehmen, die Support für Office 365-Cloud-Backup bietet, einschließlich Anwendungen wie Exchange Online, SharePoint Online, Microsoft Teams und OneDrive for Business. Sie können mehrere Office 365-Mandanten sichern, alle Benutzer oder benutzerdefinierte Benutzer auswählen und die benötigten Elemente auf granularer Ebene wiederherstellen.
NAKIVO Backup & Replication unterstützt das Sicherungswesen physischer Server einschließlich Windows-Servern, die als Active Directory-Domänencontroller fungieren, und kann Active Directory-Backup ausführen. Unterstützung von Application-Aware Backup ermöglicht es Ihnen, Domänencontroller zu sichern und anwendungskonsistente Daten im Backup zu haben. Granulare Wiederherstellung wird auch für die Sicherung physischer Server unterstützt.
Fazit
Organisationen, die in die Cloud migrieren, tun dies nur teilweise. Sie nutzen weiterhin Active Directory-Dienste vor Ort in Kombination mit Cloud-Diensten. Dies ist als hybride Umgebung bekannt. Eine Option zur Synchronisierung von Office 365 mit AD ermöglicht es Unternehmen, Hybridumgebungen zu konfigurieren und Benutzerkonten sowie Authentifizierungsoptionen zwischen dem vor Ort befindlichen AD und Azure AD zu synchronisieren.
Die Synchronisierung von Office 365 mit Active Directory kann mit Azure AD Connect durchgeführt werden, einem von Microsoft entwickelten nativen Tool. Sie müssen Ihr vor Ort betriebenes Active Directory vorbereiten, die Domänen-Einstellungen für die vor Ort betriebene Domäne und die mit Ihrem Office 365-Mandanten verknüpfte externe Domäne konfigurieren sowie die Optionen für die Office 365-Verzeichnissynchronisierung in AD Connect einrichten. Durch die Office 365-Active-Directory-Integration können Benutzer dieselben Anmeldeinformationen sowohl für lokale Windows-Umgebungen als auch in Office 365 verwenden.
