Vorbereiten der Verzeichnissynchronisierung mit Microsoft 365

Dieser Artikel gilt sowohl für Microsoft 365 Enterprise als auch für Office 365 Enterprise.

Wenn Sie das hybride Identitätsmodell ausgewählt und den Schutz für Administratorkonten in Schritt 2 und Benutzerkonten in Schritt 3 dieser Lösung konfiguriert haben, besteht Ihre nächste Aufgabe in der Bereitstellung der Verzeichnissynchronisierung. Die Verzeichnissynchronisierung bietet für Ihre Organisation folgende Vorteile:

• Reduzierung der Verwaltungsprogramme in Ihrer Organisation
• Optionales Aktivieren des Single Sign-On-Szenarios
• Automatisieren von Kontoänderungen in Microsoft 365

Weitere Informationen zu den Vorteilen der Verwendung der Verzeichnissynchronisierung finden Sie unter Hybrididentität mit Microsoft Entra ID.

Die Verzeichnissynchronisierung erfordert jedoch Planung und Vorbereitung, um sicherzustellen, dass Ihre Active Directory Domain Services (AD DS) mit dem Microsoft Entra-Mandanten Ihres Microsoft 365-Abonnements mit einem Minimum an Fehlern synchronisiert werden.

Führen Sie diese Schritte aus, um die besten Ergebnisse zu erzielen.

AD DS-Vorbereitung

Um einen nahtlosen Übergang zu Microsoft 365 mithilfe der Synchronisierung sicherzustellen, müssen Sie Ihre AD DS-Gesamtstruktur vorbereiten, bevor Sie mit der Bereitstellung der Microsoft 365-Verzeichnissynchronisierung beginnen.

Ihre Verzeichnisvorbereitung sollte sich auf die folgenden Aufgaben konzentrieren:

• Entfernen Sie die doppelten Attribute "proxyAddress" und "userPrincipalName ".

• Aktualisieren Sie leere und ungültige userPrincipalName-Attribute durch gültige userPrincipalName-Attribute .

• Entfernen Sie ungültige und fragwürdige Zeichen in den Attributen givenName, surname ( sn ), sAMAccountName, displayName, mail, proxyAddresses, mailNickname und userPrincipalName . Ausführliche Informationen zum Vorbereiten von Attributen finden Sie unter Liste der Attribute, die vom Azure Active Directory-Synchronisierungstool synchronisiert werden.

  Hinweis

  Dies sind dieselben Attribute, die Microsoft Entra Connect synchronisiert.

Überlegungen zur Bereitstellung mehrerer Gesamtstrukturen

Verwenden Sie für mehrere Gesamtstrukturen und SSO-Optionen eine benutzerdefinierte Installation von Microsoft Entra Connect.

Wenn Ihre Organisation über mehrere Gesamtstrukturen zur Authentifizierung (Anmeldegesamtstrukturen) verfügt, wird dringend Folgendes empfohlen:

• Erwägen Sie, Ihre Gesamtstrukturen zu konsolidieren. Im Allgemeinen ist mehr Aufwand erforderlich, um mehrere Gesamtstrukturen zu verwalten. Sofern in Ihrer Organisation keine Sicherheitsbeschränkungen die Notwendigkeit separater Gesamtstrukturen erfordern, sollten Sie eine Vereinfachung Ihrer lokalen Umgebung in Betracht ziehen.
• Verwenden Sie diese Option nur in der primären Anmeldegesamtstruktur. Erwägen Sie, Microsoft 365 nur in Ihrer primären Anmeldegesamtstruktur für Ihre erstmalige Bereitstellung von Microsoft 365 bereitzustellen.

Wenn Sie Ihre AD DS-Bereitstellung mit mehreren Gesamtstrukturen nicht konsolidieren können oder andere Verzeichnisdienste zum Verwalten von Identitäten verwenden, können Sie sie möglicherweise mithilfe von Microsoft oder einem Partner synchronisieren.

Weitere Informationen finden Sie unter Topologien für Microsoft Entra Connect .

Von der Verzeichnissynchronisierung abhängige Features

Die Verzeichnissynchronisierung ist für folgende Features und Funktionen erforderlich:

• Microsoft Entra nahtloses einmaliges Anmelden (SSO)
• Koexistenz von Skype
• Exchange-Hybridbereitstellung, einschließlich:
  • Vollständig freigegebene globale Adressliste (GAL) zwischen Ihrer lokalen Exchange-Umgebung und Microsoft 365.
  • Synchronisierung von GAL-Informationen aus unterschiedlichen E-Mail-Systemen.
  • Die Möglichkeit zum Hinzufügen von Benutzern zu und Entfernen von Benutzern aus Microsoft 365-Dienstangeboten. Dies erfordert Folgendes:
    • Die bidirektionale Synchronisierung muss während der Einrichtung der Verzeichnissynchronisierung konfiguriert werden. Standardmäßig schreiben Verzeichnissynchronisierungstools Verzeichnisinformationen nur in die Cloud. Wenn Sie die bidirektionale Synchronisierung konfigurieren, aktivieren Sie die Zurückschreibfunktion, sodass eine begrenzte Anzahl von Objektattributen aus der Cloud kopiert und anschließend in Ihr lokales AD DS zurückgeschrieben wird. Das Zurückschreiben wird auch als Exchange-Hybridmodus bezeichnet.
  • Lokale hybride Exchange-Bereitstellung.
  • Die Möglichkeit, einige Benutzerpostfächer nach Microsoft 365 zu verschieben, während andere Benutzerpostfächer lokal belassen werden.
  • Sichere Absender und blockierte Absender lokal werden nach Microsoft 365 repliziert.
  • Grundlegende Delegierung und Funktion zum Senden von E-Mails im Auftrag.
  • Sie verfügen über eine integrierte lokale Smartcard- oder Multi-Faktor-Authentifizierungslösung.
• Synchronisierung von Fotos, Miniaturansichten, Konferenzräumen und Sicherheitsgruppen

1. Aufgaben zur Verzeichnisbereinigung

Bevor Sie Ihr AD DS mit Ihrem Microsoft Entra-Mandanten synchronisieren, müssen Sie Ihr AD DS bereinigen.

Führen Sie in Ihrem AD DS die folgenden Bereinigungsaufgaben für jedes Benutzerkonto aus, dem eine Microsoft 365-Lizenz zugewiesen wird:

1. Stellen Sie sicher, dass im proxyAddresses-Attribut eine gültige und eindeutige E-Mail-Adresse angegeben ist.

2. Entfernen Sie alle doppelten Werte im Attribut proxyAddresses.

3. Stellen Sie, wenn möglich, einen gültigen und eindeutigen Wert für das userPrincipalName-Attribut im Benutzerobjekt des Benutzers sicher. Stellen Sie für eine optimale Synchronisierung sicher, dass der AD DS-UPN mit dem Microsoft Entra UPN übereinstimmt. Wenn ein Benutzer keinen Wert für das userPrincipalName-Attribut hat, muss das Benutzerobjekt einen gültigen und eindeutigen Wert für das sAMAccountName-Attribut enthalten. Entfernen Sie alle doppelten Werte im Attribut userPrincipalName.

4. Stellen Sie für eine optimale Nutzung der globalen Adressliste (GAL) sicher, dass die Informationen in den folgenden Attributen des AD DS-Benutzerkontos korrekt sind:

   • givenName
   • surname
   • displayName
   • Position
   • Abteilung
   • Büro
   • Telefon (geschäftlich)
   • Mobiltelefon
   • Faxnummer
   • Straße
   • Stadt/Ort
   • Bundesland/Kanton
   • PLZ
   • Land oder Region

2. Vorbereitung von Verzeichnisobjekten und Attributen

Eine erfolgreiche Verzeichnissynchronisierung zwischen Ihrem AD DS und Microsoft 365 erfordert, dass Ihre AD DS-Attribute ordnungsgemäß vorbereitet sind. Beispielsweise müssen Sie sicherstellen, dass in bestimmten Attributen, die mit der Microsoft 365-Umgebung synchronisiert werden, keine bestimmten Zeichen verwendet werden. Unerwartete Zeichen führen nicht dazu, dass die Verzeichnissynchronisierung fehlschlägt, können aber eine Warnung zurückgeben. Ungültige Zeichen führen dazu, dass die Verzeichnissynchronisierung fehlschlägt.

Die Verzeichnissynchronisierung schlägt auch fehl, wenn einige Ihrer AD DS-Benutzer über ein oder mehrere doppelte Attribute verfügen. Jeder Benutzer muss über eindeutige Attribute verfügen.

Die Attribute, die Sie vorbereiten müssen, sind hier aufgelistet:

• displayName

  • Wenn das Attribut im Benutzerobjekt vorhanden ist, wird es mit Microsoft 365 synchronisiert.
  • Wenn dieses Attribut im Benutzerobjekt vorhanden ist, muss es einen Wert dafür geben. Das heißt, das Attribut darf nicht leer sein.
  • Maximale Anzahl der Zeichen: 256

• givenName

  • Wenn das Attribut im Benutzerobjekt vorhanden ist, wird es mit Microsoft 365 synchronisiert, aber Microsoft 365 erfordert oder verwendet es nicht.
  • Maximale Anzahl der Zeichen: 64

• E-Mail

  • Der Attributwert muss innerhalb des Verzeichnisses eindeutig sein.

    Hinweis

    Wenn doppelte Werte vorhanden sind, wird der erste Benutzer mit dem Wert synchronisiert. Nachfolgende Benutzer werden nicht in Microsoft 365 angezeigt. Sie müssen entweder den Wert in Microsoft 365 oder beide Werte in AD DS ändern, damit beide Benutzer in Microsoft 365 angezeigt werden.

• mailNickname (Exchange-Alias)

  • Der Attributwert darf nicht mit einem Punkt (.) beginnen.

  • Der Attributwert muss innerhalb des Verzeichnisses eindeutig sein.

    Hinweis

    Unterstriche ("_") im synchronisierten Namen geben an, dass der ursprüngliche Wert dieses Attributs ungültige Zeichen enthält. Weitere Informationen zu diesem Attribut finden Sie unter Exchange-Aliasattribut.

• proxyAddresses

  • Mehrwertiges Attribut

  • Maximale Anzahl von Zeichen pro Wert: 256

  • Der Attributwert darf kein Leerzeichen enthalten.

  • Der Attributwert muss innerhalb des Verzeichnisses eindeutig sein.

  • Ungültige Zeichen: <> ( ) ; , [ ] "

  • Buchstaben mit diakritischen Zeichen, z. B. Umlaute, Akzente und Tilden, sind ungültige Zeichen.

    Die ungültigen Zeichen gelten für die Zeichen nach dem Typtrennzeichen und ":", sodass SMTP:User@contso.com zulässig ist, SMTP:user:M@contoso.com jedoch nicht.

    Wichtig

    Alle SMTP-Adressen (Simple Mail Transport Protocol) müssen den E-Mail-Messaging-Standards entsprechen. Entfernen Sie doppelte oder unerwünschte Adressen, falls vorhanden.

• sAMAccountName

  • Maximale Anzahl der Zeichen: 20
  • Der Attributwert muss innerhalb des Verzeichnisses eindeutig sein.
  • Ungültige Zeichen: [ \ " | , / : <> + = ; ? * ']
  • Wenn ein Benutzer über ein ungültiges sAMAccountName-Attribut verfügt, aber über ein gültiges userPrincipalName-Attribut verfügt, wird das Benutzerkonto in Microsoft 365 erstellt.
  • Wenn sowohl sAMAccountName als auch userPrincipalName ungültig sind, muss das AD DS-Attribut "userPrincipalName" aktualisiert werden.

• Sn (Nachname)

  • Wenn das Attribut im Benutzerobjekt vorhanden ist, wird es mit Microsoft 365 synchronisiert, aber Microsoft 365 erfordert oder verwendet es nicht.

• targetAddress

  Es ist erforderlich, dass das targetAddress-Attribut (z. B. SMTP:tom@contoso.com), das für den Benutzer ausgefüllt wird, in der Microsoft 365 GAL enthalten sein muss. In Messagingmigrationsszenarien von Drittanbietern würde dies die Microsoft 365-Schemaerweiterung für AD DS erfordern. Die Microsoft 365-Schemaerweiterung würde auch andere nützliche Attribute zum Verwalten von Microsoft 365-Objekten hinzufügen, die mithilfe eines Verzeichnissynchronisierungstools von AD DS ausgefüllt werden. Beispielsweise würde das msExchHideFromAddressLists-Attribut zum Verwalten ausgeblendeter Postfächer oder Verteilergruppen hinzugefügt.

  • Maximale Anzahl der Zeichen: 256
  • Der Attributwert darf kein Leerzeichen enthalten.
  • Der Attributwert muss innerhalb des Verzeichnisses eindeutig sein.
  • Ungültige Zeichen: \ <> ( ) ; , [ ] "
  • Alle SMTP-Adressen (Simple Mail Transport Protocol) müssen den E-Mail-Messaging-Standards entsprechen.

• userPrincipalName

  • Das userPrincipalName-Attribut muss im Internetformat vorliegen, bei dem auf den Benutzernamen das At-Zeichen (@) und ein Domänenname folgen, user@contoso.comz. B. Alle SMTP-Adressen (Simple Mail Transport Protocol) müssen den E-Mail-Messaging-Standards entsprechen.
  • Die maximale Anzahl von Zeichen für das userPrincipalName-Attribut beträgt 113. Vor und nach dem @-Zeichen ist eine bestimmte Anzahl von Zeichen zulässig:
  • Maximale Anzahl von Zeichen für den Benutzernamen, der vor dem @-Zeichen steht: 64
  • Maximale Anzahl von Zeichen für den Domänennamen nach dem @-Zeichen: 48
  • Ungültige Zeichen: \ % & * + / = ? { } | <> ( ) ; : , [ ] " #
  • Zulässige Zeichen: A – Z, a – z, 0 – 9, ' . - _ ! ^ ~
  • Buchstaben mit diakritischen Zeichen, z. B. Umlaute, Akzente und Tilden, sind ungültige Zeichen.
  • Das @-Zeichen ist in jedem userPrincipalName-Wert erforderlich.
  • Das @-Zeichen darf nicht das erste Zeichen in jedem userPrincipalName-Wert sein.
  • Der Benutzername darf nicht mit einem Punkt (.), einem kaufmännischen Und-Zeichen (&), einem Leerzeichen oder einem At-Zeichen (@) enden.
  • Der Benutzername darf keine Leerzeichen enthalten.
  • Es müssen routingfähige Domänen verwendet werden. Lokale oder interne Domänen können beispielsweise nicht verwendet werden.
  • Unicode-Zeichen werden in Unterstriche umgewandelt.
  • userPrincipalName darf keine doppelten Werte im Verzeichnis enthalten.

3. Vorbereiten des userPrincipalName-Attributs

Active Directory ist so konzipiert, dass sich die Endbenutzer in Ihrer Organisation bei Ihrem Verzeichnis anmelden können, indem sie entweder "sAMAccountName " oder " userPrincipalName" verwenden. Ebenso können sich Endbenutzer bei Microsoft 365 anmelden, indem sie den Benutzerprinzipalnamen (User Principal Name, UPN) ihres Geschäfts-, Schul- oder Unikontos verwenden. Die Verzeichnissynchronisierung versucht, neue Benutzer in Microsoft Entra ID zu erstellen, indem sie denselben UPN verwenden, der sich in Ihrem AD DS befindet. Der UPN ist wie eine E-Mail-Adresse formatiert.

In Microsoft 365 ist der UPN das Standardattribut, das zum Generieren der E-Mail-Adresse verwendet wird. Es ist einfach, userPrincipalName (in AD DS und in Microsoft Entra ID) und die primäre E-Mail-Adresse in proxyAddresses auf unterschiedliche Werte festzulegen. Wenn sie auf unterschiedliche Werte festgelegt sind, kann es für Administratoren und Endbenutzer zu Verwirrung kommen.

Es empfiehlt sich, diese Attribute aufeinander abzustimmen, um Verwirrung zu vermeiden. Um die Anforderungen des einmaligen Anmeldens mit Active Directory-Verbunddienste (AD FS) 2.0 zu erfüllen, müssen Sie sicherstellen, dass die UPNs in Microsoft Entra ID und Ihr AD DS übereinstimmen und einen gültigen Domänennamespace verwenden.

4. Hinzufügen eines alternativen UPN-Suffix zu AD DS

Möglicherweise müssen Sie ein alternatives UPN-Suffix hinzufügen, um die Unternehmensanmeldeinformationen des Benutzers der Microsoft 365-Umgebung zuzuordnen. Ein UPN-Suffix ist der Teil eines Benutzerprinzipalnamens, der rechts vom Zeichen @ steht. UPNs, die für einmaliges Anmelden verwendet werden, können Buchstaben, Zahlen, Punkte, Bindestriche und Unterstriche enthalten, aber keine anderen Zeichen.

Weitere Informationen zum Hinzufügen eines alternativen UPN-Suffix zu Active Directory finden Sie unter Vorbereiten der Verzeichnissynchronisierung.

5. Gleichen Sie den AD DS-UPN mit dem Microsoft 365 UPN ab

Wenn Sie die Verzeichnissynchronisierung bereits eingerichtet haben, stimmt der UPN des Benutzers für Microsoft 365 möglicherweise nicht mit dem AD DS-UPN des Benutzers überein, der in Ihrem AD DS definiert ist. Diese Bedingung kann auftreten, wenn einem Benutzer eine Lizenz zugewiesen wurde, bevor die Domäne überprüft wurde. Um dieses Problem zu beheben, verwenden Sie PowerShell, um den doppelten UPN zu beheben , um den UPN des Benutzers zu aktualisieren und sicherzustellen, dass der Microsoft 365 UPN mit dem Benutzernamen und der Domäne des Unternehmens übereinstimmt. Wenn Sie den UPN in AD DS aktualisieren und möchten, dass er mit der Microsoft Entra-Identität synchronisiert wird, müssen Sie die Benutzerlizenz in Microsoft 365 entfernen, bevor Sie die Änderungen in AD DS vornehmen.

Siehe auch : Vorbereiten einer nicht routingfähigen Domäne (z. B. ".local-Domäne") für die Verzeichnissynchronisierung.

Nächste Schritte

Nachdem Sie die Schritte 1 bis 5 abgeschlossen haben, lesen Sie Einrichten der Verzeichnissynchronisierung.