Aggiunta ibrida a Microsoft Entra guidata dall'utente: aumentare il limite dell'account computer nell'unità organizzativa

Lo scopo di Intune Connector per Active Directory è quello di aggiungere computer a un dominio e aggiungerli a un'unità organizzativa. Per questo motivo, l'account del servizio gestito utilizzato per il connettore di Intune per Active Directory deve disporre delle autorizzazioni necessarie per creare account computer nell'unità organizzativa in cui i computer sono aggiunti al dominio locale.

Con le autorizzazioni predefinite in Active Directory, i join a domini tramite Intune Connector per Active Directory potrebbero inizialmente funzionare senza alcuna modifica delle autorizzazioni all'unità organizzativa in Active Directory. Tuttavia, dopo che MSA tenta di aggiungere più di 10 computer al dominio locale, smette di funzionare perché per impostazione predefinita Active Directory consente solo a un singolo account di aggiungere fino a 10 computer al dominio locale.

Gli utenti seguenti non sono limitati dal limite di aggiunta a 10 computer domain join:

• Utenti nel gruppo Administrators o Domain Administrators: Per garantire la conformità al modello dei principi dei privilegi minimi, Microsoft non consiglia di assegnare al servizio gestito il servizio gestito come amministratore o amministratore di dominio.
• Utenti con autorizzazioni delegate per unità organizzative e contenitori in Active Directory per creare account computer: questo metodo è consigliato perché segue il modello dei principi dei privilegi minimi.

Per correggere questa limitazione, l'MSA necessita dell'autorizzazione Crea account computer nell'unità organizzativa a cui i computer sono aggiunti nel dominio locale. Intune Connector per Active Directory imposta le autorizzazioni per gli MSA sulle unità organizzative purché venga soddisfatta una delle condizioni seguenti:

• L'amministratore che installa Intune Connector per Active Directory dispone delle autorizzazioni necessarie per impostare le autorizzazioni per le unità organizzative.
• L'amministratore che configura Intune Connector per Active Directory dispone delle autorizzazioni necessarie per impostare le autorizzazioni per le unità organizzative.

Se l'amministratore che installa o configura Intune Connector per Active Directory non dispone delle autorizzazioni necessarie per impostare le autorizzazioni per le unità organizzative, è necessario seguire i seguenti passaggi:

1. Accedere a un computer che ha accesso alla console Utenti e computer di Active Directory con un account che dispone delle autorizzazioni necessarie per impostare le autorizzazioni per le unità organizzative.

2. Aprire la console Utenti e computer di Active Directory eseguendo DSA.msc.

3. Espandere il dominio desiderato e passare all'unità organizzativa a cui i computer vengono aggiunti durante Windows Autopilot.

   Nota

   L'unità organizzativa aggiunta dai computer durante la distribuzione di Windows Autopilot viene specificata in un secondo momento durante il passaggio Configurare e assegnare il profilo di aggiunta a un dominio .

4. Fare clic con il pulsante destro del mouse sull'unità organizzativa e selezionare Proprietà.

   Nota

   Se i computer vengono aggiunti al contenitore Computer predefinito anziché a un'unità organizzativa, fare clic con il pulsante destro del mouse sul contenitore Computer e scegliere Delega controllo.

5. Nella finestra Proprietà unità organizzativa visualizzata selezionare la scheda Sicurezza .

6. Nella scheda Sicurezza , selezionare Avanzate.

7. Nella finestra Impostazioni di sicurezza avanzate , selezionare Aggiungi.

8. Nelle finestre Immissione autorizzazioni , accanto a Entità, selezionare il collegamento Seleziona un'entità principale.

9. Nella finestra Seleziona utente, computer, account di servizio o gruppo, selezionare il pulsante Tipi di oggetto....

10. Nella finestra Tipi di oggetto selezionare la casella di controllo Account di servizio , quindi scegliere OK.

11. Nella finestra Seleziona utente, computer, account di servizio o gruppo, in Immettere il nome dell'oggetto da selezionare, immettere il nome dell'MSA utilizzato per Intune Connector per Active Directory.

    Consiglio

    L'MSA è stato creato durante il passaggio/sezione Installazione di Intune Connector per Active Directory e ha il formato del nome in msaODJ##### cui ##### sono presenti cinque caratteri casuali. Se il nome MSA non è noto, seguire questa procedura per trovare il nome MSA:

    1. Nel server che esegue Intune Connector per Active Directory fare clic con il pulsante destro del mouse sul menu Start e quindi selezionare Gestione computer.
    2. Nella finestra Gestione computer espandere Servizi e applicazioni , quindi selezionare Servizi.
    3. Nel riquadro dei risultati individuare il servizio con il nome Intune ODJConnector per il servizio attivo. Il nome dell'MSA è elencato nella colonna Accedi come .

12. Selezionare Controlla nomi per convalidare la voce del nome MSA. Una volta convalidata la voce, selezionare OK.

13. Nelle finestre Immissione autorizzazioni selezionare il menu a discesa Si applica a: e quindi selezionare Solo questo oggetto.

14. In Autorizzazioni deselezionare tutti gli elementi e quindi selezionare solo la casella di controllo Crea oggetti computer .

15. Selezionare OK per chiudere la finestra Immissione autorizzazioni .

16. Nella finestra Impostazioni sicurezza avanzate , selezionare Applica o OK per applicare le modifiche.

Lo scopo di Intune Connector per Active Directory è quello di aggiungere computer a un dominio e aggiungerli a un'unità organizzativa. Per questo motivo, il server che esegue Intune Connector per Active Directory deve disporre delle autorizzazioni necessarie per creare account computer nell'unità organizzativa in cui i computer sono aggiunti al dominio locale.

Con le autorizzazioni predefinite in Active Directory, i join a domini tramite Intune Connector per Active Directory potrebbero inizialmente funzionare senza alcuna modifica delle autorizzazioni all'unità organizzativa in Active Directory. Tuttavia, dopo che il server che esegue il connettore Intune per Active Directory tenta di aggiungere più di 10 computer al dominio locale, smette di funzionare perché per impostazione predefinita Active Directory consente solo a un singolo account di aggiungere fino a 10 computer al dominio locale.

Gli utenti seguenti non sono limitati dal limite di aggiunta a 10 computer domain join:

• Utenti nel gruppo Administrators o Domain Administrators: per garantire la conformità al modello dei principi dei privilegi minimi, Microsoft non consiglia di assegnare la classificazione come amministratore o amministratore di dominio all'account computer che esegue Intune Connector per Active Directory.
• Utenti con autorizzazioni delegate per unità organizzative e contenitori in Active Directory per creare account computer. Questo metodo è consigliato perché segue il modello dei principi dei privilegi minimi.

Per correggere questa limitazione, il server che esegue Intune Connector per Active Directory necessita dell'autorizzazione Crea account computer nell'unità organizzativa a cui i computer sono aggiunti nel dominio locale:

Per aumentare il limite dell'account computer nell'unità organizzativa a cui i computer si uniscono durante Windows Autopilot, seguire questa procedura in un computer con accesso alla console Utenti e computer di Active Directory:

1. Aprire la console Utenti e computer di Active Directory eseguendo DSA.msc.

2. Espandere il dominio desiderato e passare all'unità organizzativa a cui i computer vengono aggiunti durante Windows Autopilot.

   Nota

   L'unità organizzativa aggiunta dai computer durante la distribuzione di Windows Autopilot viene specificata in un secondo momento durante il passaggio Configurare e assegnare il profilo di aggiunta a un dominio .

3. Fare clic con il pulsante destro del mouse sull'unità organizzativa e selezionare Delega controllo.

   Nota

   Se i computer vengono aggiunti al contenitore Computer predefinito anziché a un'unità organizzativa, fare clic con il pulsante destro del mouse sul contenitore Computer e scegliere Delega controllo.

4. Nella finestra Benvenuto nella Delega guidata del controllo della Delega guidata del controllo, selezionare Avanti.

5. Nella finestra Utenti o Gruppi , in Utenti e gruppi selezionati, selezionare Aggiungi.

6. Accanto a Seleziona questo tipo di oggetto: nella finestra Seleziona utenti, computer o gruppi , selezionare Tipi di oggetto.

7. Nella finestra Tipi di oggetto selezionare la casella di controllo Computer e quindi scegliere OK. Gli altri elementi in questa finestra possono essere lasciati predefiniti.

8. Nella finestra Seleziona utenti, computer o gruppi, nella casella Immettere i nomi degli oggetti da selezionare, immettere il nome del computer in cui è stato installato Intune Connector per Active Directory durante il passaggio Installa Intune Connector per Active Directory.

9. Selezionare Controlla nomi per convalidare la voce. Una volta convalidata la voce, selezionare OK.

10. Nella finestra Utenti o Gruppi , verificare che in Utenti e gruppi selezionati sia visualizzato il computer corretto e quindi selezionare Avanti.

11. Nella finestra Attività da delegare selezionare Crea un'attività personalizzata da delegare e quindi selezionare Avanti.

12. Nella finestra Tipo di oggetto di Active Directory :

    1. Selezionare solo gli oggetti seguenti nella cartella.

    2. In Solo gli oggetti seguenti nella cartella, selezionare Oggetti computer.

    3. Selezionare la casella di controllo Crea oggetti selezionati in questa cartella .

    4. Seleziona Avanti.

13. Nella finestra Autorizzazioni , in Autorizzazioni:, selezionare la casella di controllo Controllo completo e quindi selezionare Avanti.

    Nota

    Dopo aver selezionato la casella di controllo Controllo completo , tutte le altre opzioni in Autorizzazioni: vengono selezionate automaticamente. La selezione automatica delle caselle di controllo è normale e prevista. Non deselezionare alcuna casella di controllo dopo che sono state selezionate automaticamente.

14. Nella finestra Completamento della procedura guidata Delega del controllo , selezionare Fine.