Szenario – Verwenden von Verzeichniserweiterungen mit Gruppenbereitstellung in Active Directory

Szenario: Sie verfügen über Hunderte von Gruppen in Microsoft Entra ID. Sie möchten einige dieser Gruppen, aber nicht alle wieder in Active Directory bereitstellen. Sie möchten einen Schnellfilter einrichten, der auf Gruppen angewendet werden kann, ohne einen komplizierteren Bereichsfilter erstellen zu müssen.

Die Umgebung, die Sie in diesem Szenario erstellen, können Sie zu Testzwecken verwenden oder um sich besser mit der Cloudsynchronisierung vertraut zu machen.

Annahmen

• In diesem Szenario wird davon ausgegangen, dass Sie bereits über eine Arbeitsumgebung verfügen, die Benutzer mit Microsoft Entra ID synchronisiert.
• Wir haben vier Benutzer, die synchronisiert sind. Britta Simon, Lola Jacobson, Anna Ringdahl und John Smith.
• In Active Directory wurden drei Organisationseinheiten erstellt: Sales, Marketing und Groups.
• Die Benutzerkonten Britta Simon und Anna Ringdahl befinden sich in der Organisationseinheit „Sales“.
• Die Benutzerkonten Lola Jacobson und John Smith befinden sich in der Organisationseinheit „Marketing“.
• Ihre Gruppen aus Microsoft Entra ID werden in der Organisationseinheit „Groups“ bereitgestellt.

Erstellen von zwei Gruppen in Microsoft Entra ID

Sie erstellen zunächst zwei Gruppen in Microsoft Entra ID. Eine Gruppe heißt „Sales“, die andere „Marketing“.

Führen Sie zum Erstellen der zwei Gruppen die folgenden Schritte aus:

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens mit der Rolle Hybrididentitätsadministrator an.
2. Navigieren Sie zu Entra-ID-Gruppen>>alle Gruppen.
3. Wählen Sie oben die Option "Neue Gruppe" aus.
4. Vergewissern Sie sich, dass Gruppentyp auf Sicherheit festgelegt ist.
5. Geben Sie unter Gruppennamen den Namen Sales ein.
6. Behalten Sie unter Mitgliedschaftstyp die Zuweisungsoption bei.
7. Wählen Sie "Erstellen" aus.
8. Wiederholen Sie diesen Vorgang, und verwenden Sie Marketing als Gruppenname.

Hinzufügen von Benutzern zu neu erstellten Gruppen

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens mit der Rolle Hybrididentitätsadministrator an.
2. Navigieren Sie zu Entra-ID-Gruppen>>alle Gruppen.
3. Geben Sie oben in das Suchfeld Sales ein.
4. Wählen Sie die neue Gruppe "Vertrieb " aus.
5. Wählen Sie auf der linken Seite "Mitglieder" aus.
6. Wählen Sie oben " Mitglieder hinzufügen" aus.
7. Geben Sie oben im Suchfeld Britta Simon ein.
8. Setzen Sie einen Häkchen neben Britta Simon und Anna Ringdahl , und wählen Sie "Auswählen" aus.
9. Es sollte erfolgreich gelingen, sie der Gruppe hinzuzufügen.
10. Wählen Sie ganz links "Alle Gruppen " aus, und wiederholen Sie diesen Vorgang mithilfe der Marketinggruppe , und fügen Sie dieser Gruppe Lola Jacobson und John Smith hinzu.

Installieren und verbinden Sie das Microsoft Graph PowerShell SDK.

1. Wenn die Hauptmodule des Microsoft Graph PowerShell SDK noch nicht installiert sind, folgen Sie der Microsoft Graph PowerShell SDK-Dokumentation, um sie zu installieren: Microsoft.Graph.

2. Öffnen Sie PowerShell mit Administratorberechtigungen.

3. Führen Sie zum Festlegen der Ausführungsrichtlinie den folgenden Befehl aus (drücken Sie [A] (Ja für alle), wenn Sie dazu aufgefordert werden):

   Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser
   

4. Stellen Sie eine Verbindung mit Ihrem Mandanten her (Achten Sie darauf, bei der Anmeldung die Option „Im Auftrag von“ für die Einwilligung zu verwenden.):

   Connect-MgGraph -Scopes "Directory.ReadWrite.All", "Application.ReadWrite.All", "User.ReadWrite.All, Group.ReadWrite.All"
   

Erstellen unserer CloudSyncCustomExtensionApp-Anwendung und des Dienstprinzipals

1. Abrufen der Mandanten-ID:

   $tenantId = (Get-MgOrganization).Id
   $tenantId
   

1. Überprüfen Sie mithilfe der Variable $tenantId aus dem vorherigen Schritt, ob CloudSyncCustomExtensionApp vorhanden ist.

   $cloudSyncCustomExtApp = Get-MgApplication -Filter "identifierUris/any(uri:uri eq 'api://$tenantId/CloudSyncCustomExtensionsApp')"
   $cloudSyncCustomExtApp
   

2. Wenn eine CloudSyncCustomExtensionApp vorhanden ist, fahren Sie mit dem nächsten Schritt fort. Erstellen Sie andernfalls die neue CloudSyncCustomExtensionApp-App:

   $cloudSyncCustomExtApp = New-MgApplication -DisplayName "CloudSyncCustomExtensionsApp" -IdentifierUris "api://$tenantId/CloudSyncCustomExtensionsApp"
   $cloudSyncCustomExtApp 
   

3. Überprüfen Sie, ob die CloudSyncCustomExtensionsApp-Anwendung einem Sicherheitsprinzipal zugeordnet ist. Wenn Sie gerade eine neue App erstellt haben, fahren Sie mit dem nächsten Schritt fort.

   Get-MgServicePrincipal -Filter "AppId eq '$($cloudSyncCustomExtApp.AppId)'"
   

4. Falls Sie gerade eine neue App erstellt haben oder kein Sicherheitshauptobjekt zurückgegeben wird, erstellen Sie ein Sicherheitshauptobjekt für CloudSyncCustomExtensionsApp:

   New-MgServicePrincipal -AppId $cloudSyncCustomExtApp.AppId
   

Unser benutzerdefiniertes Erweiterungsattribut erstellen

1. Abrufen der Mandanten-ID:

   $tenantId = (Get-MgOrganization).Id
   $tenantId
   

2. Abrufen der CloudSyncCustomExtensionsApp-Anwendung:

   $cloudSyncCustomExtApp = Get-MgApplication -Filter "identifierUris/any(uri:uri eq 'api://$tenantId/CloudSyncCustomExtensionsApp')"
   

3. Erstellen Sie nun unter „CloudSyncCustomExtensionApp“ das benutzerdefinierte Erweiterungsattribut „WritebackEnabled“, und weisen Sie es Gruppenobjekten zu:

   New-MgApplicationExtensionProperty -ApplicationId $cloudSyncCustomExtApp.Id -Name 'WritebackEnabled' -DataType 'Boolean' -TargetObjects 'Group'
   

4. Dieses Cmdlet erstellt ein Erweiterungsattribut, das wie folgt aussieht: extension_<guid>_WritebackEnabled.

Erstellen unserer Cloudsynchronisierung

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens mit der Rolle Hybrididentitätsadministrator an.

2. Navigieren Sie zur Entra ID>Entra Connect>Cloud-Synchronisierung.

3. Wählen Sie Neue Konfiguration aus.

4. Wählen Sie Microsoft Entra ID-Synchronisierung mit AD aus.

5. Wählen Sie im Konfigurationsbildschirm Ihre Domäne aus, und geben Sie an, ob die Kennworthashsynchronisierung aktiviert werden soll. Wählen Sie Erstellen aus.

6. Der Bildschirm Erste Schritte wird geöffnet. Von hier aus können Sie die Konfiguration der Cloudsynchronisierung fortsetzen.

7. Wählen Sie auf der linken Seite Bereichsfilter aus, und wählen Sie dann den Gruppenbereich>"Alle Gruppen" aus.

8. Wählen Sie " Attributzuordnung bearbeiten" aus, und ändern Sie den Zielcontainer in OU=Groups,DC=Contoso,DC=com. Wählen Sie Speichern.

9. Wählen Sie Attributbereichsfilter hinzufügen aus.

10. Geben Sie einen Namen für den Bereichsfilter ein: Filter groups with Writeback Enabled

11. Wählen Sie unter Zielattribut das neu erstellte Attribut aus, das wie folgt aussieht: extension_<guid>_WritebackEnabled.

13. Wählen Sie unter OperatorIS TRUE aus.
14. Wählen Sie Speichern aus, und wählen Sie dann Speichern aus.
15. Lassen Sie die Konfiguration deaktiviert, und kehren Sie später zurück.

Hinzufügen einer neuen Erweiterungseigenschaft zu einer unserer Gruppen

Für diesen Teil werden wir unserer neu erstellten Eigenschaft für eine der vorhandenen Gruppen (Marketing) einen Wert hinzufügen.

Festlegen des Werts der Erweiterungseigenschaft mithilfe des Microsoft Graph PowerShell SDK

1. Abrufen der Mandanten-ID:

   $tenantId = (Get-MgOrganization).Id
   $tenantId
   

2. Abrufen der CloudSyncCustomExtensionsApp-Anwendung:

   $cloudSyncCustomExtApp = Get-MgApplication -Filter "identifierUris/any(uri:uri eq 'api://$tenantId/CloudSyncCustomExtensionsApp')"
   

3. Abrufen unserer Erweiterungseigenschaft:

   $gwbEnabledExtAttrib = Get-MgApplicationExtensionProperty -ApplicationId $cloudSyncCustomExtApp.Id | 
       Where-Object {$_.Name -Like '*WritebackEnabled'} | Select-Object -First 1
   $gwbEnabledExtAttrib 
   $gwbEnabledExtName = $gwbEnabledExtAttrib.Name
   

4. Rufen Sie jetzt die Marketing-Gruppe ab:

   $marketingGrp = Get-MgGroup -ConsistencyLevel eventual -Filter "DisplayName eq 'Marketing'"
   $marketingGrp 
   

5. Legen Sie dann mit der Variablen $gwbEnabledExtName, die extension_<guid>_WritebackEnabled enthält, den Wert True für die Marketinggruppe fest:

   Update-MgGroup -GroupId $marketingGrp.Id -AdditionalProperties @{$gwbEnabledExtName = $true}
   

6. Zur Bestätigung lesen Sie den Wert der extension_<guid>_WritebackEnabled-Eigenschaft mit:

   $marketingGrp = Get-MgGroup -ConsistencyLevel eventual -Filter "DisplayName eq 'Marketing'" -Property Id,$gwbEnabledExtName
   $marketingGrp.AdditionalProperties.$gwbEnabledExtName
   

Den Wert der Erweiterungseigenschaft mit dem Microsoft Graph Explorer festlegen

Sie müssen sicherstellen, dass Sie Ihre Zustimmung zu Group.ReadWrite.All gegeben haben. Wählen Sie dazu Berechtigungen ändern aus.

1. Navigieren Sie zum Microsoft Graph Explorer.

2. Melden Sie sich mit Ihrem Mandantenadministratorkonto an. Ein Hybrididentitätsadministratorkonto wurde verwendet, um dieses Szenario zu erstellen und reicht möglicherweise aus.

3. Ändern Sie oben das GET in PATCH.

4. Geben Sie in der Adressleiste https://graph.microsoft.com/v1.0/groups/<Group Id> ein.

5. Geben Sie Folgendes in den Anforderungstext ein:

   {
     "extension_<guid>_WritebackEnabled": true
   }
   

6. Wählen Sie "Abfrage ausführen" aus.

7. Bei ordnungsgemäßer Ausführung werden Sie []. sehen.

8. Ändern Sie jetzt oben PATCH in GET, und sehen Sie sich die Eigenschaften der Marketinggruppe an.

9. Wählen Sie "Abfrage ausführen" aus. Das neu erstellte Attribut sollte angezeigt werden.

Testen der Konfiguration

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens mit der Rolle Hybrididentitätsadministrator an.

2. Navigieren Sie zur Entra ID>Entra Connect>Cloud-Synchronisierung.

   

3. Wählen Sie unter Konfiguration Ihre Konfiguration aus.
4. Wählen Sie auf der linken Seite Bedarfsbasiert bereitstellen aus.
5. Geben Sie Marketing in das Feld Ausgewählte Gruppe ein.
6. Wählen Sie im Abschnitt Ausgewählte Benutzer einige Benutzer*innen für Tests aus. Wählen Sie Lola Jacobson und John Smith aus.
7. Wählen Sie Bereitstellen aus. Sie sollte erfolgreich bereitgestellt werden.
8. Wiederholen Sie die Schritte jetzt für die Gruppe Sales, und fügen Sie Britta Simon und Anna Ringdahl hinzu. Die Bereitstellung sollte nicht erfolgen.
9. In Active Directory sollte die neu erstellte Gruppe „Marketing“ angezeigt werden.
10. Sie können jetzt zur Übersichtsseite der Entra ID>Entra Connect>Cloud-Synchronisierung > navigieren, um unsere Konfiguration zu überprüfen und zu aktivieren, um mit der Synchronisierung zu beginnen.

Nächste Schritte

• Verwenden des Gruppenrückschreibens mit der Microsoft Entra-Cloudsynchronisierung

• Verwalten Sie lokale Active-Directory-basierte Apps (Kerberos) mit Microsoft Entra ID Governance

• Migrieren Sie Microsoft Entra Connect Sync Group Writeback V2 zu Microsoft Entra Cloud Sync