Topologies et scénarios pris en charge par la synchronisation cloud Microsoft Entra

Cet article décrit différentes topologies locales et Microsoft Entra qui utilisent la synchronisation cloud de Microsoft Entra. Cet article inclut seulement des configurations et scénarios pris en charge.

Points à retenir concernant tous les scénarios et topologies

Les informations suivantes doivent être conservées à l’esprit lors de la sélection d’une solution.

• Les utilisateurs et les groupes doivent être identifiés de manière unique sur l’ensemble des forêts.
• La correspondance entre les forêts ne se produit pas avec la synchronisation avec le cloud.
• L’ancrage source des objets est choisi automatiquement. Il utilise ms-DS-ConsistencyGuid s’il est présent, sinon ObjectGUID est utilisé.
• Vous ne pouvez pas changer l’attribut utilisé pour l’ancre source.

Topologies prises en charge pour l’approvisionnement d’Active Directory dans Microsoft Entra ID

Les topologies suivantes sont prises en charge pour le provisionnement d’Active Directory vers Microsoft Entra ID.

Forêt unique, locataire Microsoft Entra unique

La topologie la plus simple est une forêt locale unique, avec un ou plusieurs domaines, et un locataire Microsoft Entra unique. Pour obtenir un exemple de ce scénario, consultez le Tutoriel : Une seule forêt avec un seul locataire Microsoft Entra

Multi-forêts, un seul locataire Microsoft Entra

Une topologie courante est constituée de plusieurs forêts AD, avec un ou plusieurs domaines et un seul tenant Microsoft Entra.

Forêt existante avec Microsoft Entra Connect, nouvelle forêt avec le provisionnement cloud

Cette topologie de scénario est similaire au scénario multi-forêts. Toutefois, cela concerne un environnement existant de Microsoft Entra Connect, suivi par l'intégration d'une nouvelle forêt en utilisant Microsoft Entra Cloud Sync. Pour un exemple de ce scénario, consultez Tutoriel : Une forêt existante avec un seul tenant Microsoft Entra

Mise à l'essai de la synchronisation dans le cloud Microsoft Entra dans une forêt de Active Directory (AD) hybride existante

Le scénario de pilotage implique Microsoft Entra Connect Sync et Cloud Sync dans la même forêt. Connect Sync et Cloud Sync ne doivent pas exporter simultanément les modifications normales pour le même objet et le même jeu d’attributs. Pendant le processus documenté de migration manuelle par phases, les objets peuvent rester dans l’étendue Connect Sync, tandis que les règles cloudNoFlow et JoinNoFlow empêchent les exportations normales de Connect Sync et conservent les références requises.

Pour le processus documenté, consultez Créer une règle entrante utilisateur personnalisée dans le didacticiel de migration manuelle.

Fusion d’objets à partir de sources déconnectées

(Préversion publique)

Dans ce scénario, les attributs d’un(e) utilisateur(-trice) proviennent de deux forêts Active Directory déconnectées.

Un exemple serait :

• Une forêt (1) contient la plupart des attributs.
• Une deuxième forêt (2) contient quelques attributs.

Étant donné que la deuxième forêt n’a pas de connectivité réseau au serveur Microsoft Entra Connect, l’objet ne peut pas être fusionné via Microsoft Entra Connect. La synchronisation cloud dans la deuxième forêt permet à la valeur d’attribut d’être récupérée à partir de la deuxième forêt. Microsoft Entra Connect synchronise l’objet dans l’ID Microsoft Entra, puis la valeur peut être fusionnée avec elle.

Cette configuration est avancée et il existe quelques mises en garde à cette topologie :

1. Vous devez utiliser ms-DS-ConsistencyGuid comme ancre source dans la configuration de la synchronisation cloud.
2. Le ms-DS-ConsistencyGuid de l’objet utilisateur dans la deuxième forêt doit correspondre à celui de l’objet correspondant dans Microsoft Entra ID.
3. Vous devez remplir l’attribut UserPrincipalName et l’attribut Alias dans la deuxième forêt, et il doit correspondre à ceux qui sont synchronisés à partir de la première forêt.
4. Vous devez supprimer tous les attributs du mappage d’attributs dans la configuration de la synchronisation cloud qui n’ont pas de valeur ou qui peuvent avoir une valeur différente dans la deuxième forêt. Vous ne pouvez pas avoir de mappages d’attributs qui se chevauchent entre la première forêt et la seconde.
5. S’il n’existe aucun objet correspondant dans la première forêt, pour un objet synchronisé à partir de la deuxième forêt, la synchronisation cloud crée toujours l’objet dans l’ID Microsoft Entra. L’objet possède uniquement les attributs définis dans la configuration de mappage de la synchronisation cloud pour la deuxième forêt.
6. Si vous supprimez l’objet de la deuxième forêt, il est temporairement supprimé de manière réversible dans Microsoft Entra ID. Il restaure automatiquement après le prochain cycle de synchronisation Microsoft Entra Connect.
7. Si vous supprimez l’objet de la première forêt, il est supprimé de manière réversible dans Microsoft Entra ID. L’objet ne sera pas restauré, sauf si une modification est apportée à l’objet dans la deuxième forêt. Après 30 jours, l’objet est supprimé en dur de l’ID Microsoft Entra. Si une modification est apportée à l’objet dans la deuxième forêt, elle est créée en tant qu’objet dans Microsoft Entra ID.

Topologies prises en charge pour l’approvisionnement de Microsoft Entra ID dans Active Directory

Les topologies suivantes sont prises en charge pour l’approvisionnement de Microsoft Entra ID dans Active Directory.

Approvisionnement de groupe d'une seule forêt dans Active Directory

La topologie d’approvisionnement de groupe la plus simple est une forêt locale unique, avec un ou plusieurs domaines et un tenant Microsoft Entra unique. Pour obtenir un exemple de ce scénario, consultez Provisionner des utilisateurs et des groupes de Microsoft Entra ID à Active Directory.

Approvisionnement de groupe de forêts multiples dans Active Directory

Une topologie d’approvisionnement de groupe plus avancée se compose de plusieurs forêts AD locales partageant un seul tenant Microsoft Entra ID.

Cette configuration est avancée et vous devez retenir certains éléments sur cette topologie :

• L’appartenance au groupe provisionnée à AD inclut uniquement les membres disposant d’un compte AD. Ces membres peuvent être des utilisateurs synchronisés depuis l’environnement local, des utilisateurs gérés dans le cloud que Cloud Sync approvisionne dans AD parce qu’ils entrent dans le périmètre de l’approvisionnement des utilisateurs, ou d’autres groupes de sécurité créés dans le cloud.
• Les utilisateurs synchronisés locaux doivent avoir l’attribut onPremisesObjectIdentifier défini sur leur compte.
• L’attribut onPremisesObjectIdentifier doit correspondre à un objectGUID correspondant dans l’environnement AD cible.
• Un attribut objectGUID d’utilisateurs sur site peut être synchronisé vers un attribut onPremisesObjectIdentifier d'utilisateurs cloud à l’aide de Microsoft Entra Cloud Sync (1.1.1370.0) ou de Microsoft Entra Connect Sync (2.2.8.0).
• À l’intérieur de votre locataire, vous pouvez partager un groupe commun qui contient des utilisateurs provenant des deux forêts.
• Toutefois, les utilisateurs qui n’existent pas dans l’autre forêt ne sont pas approvisionnés comme membres du groupe en cas d’approvisionnement local. Par conséquent, si vous disposez d’un groupe dans Microsoft Entra ID qui contient des utilisateurs de contoso.com et de fabrikam.com, seuls les utilisateurs qui existent dans la forêt contoso.com sont membres du groupe lorsqu’ils sont approvisionnés dans contoso.com. La même chose est vraie avec fabrikam.

Étapes suivantes

• Qu'est-ce que le provisioning ?
• Qu’est-ce que la synchronisation cloud Microsoft Entra ?