Guida: Migrare a Microsoft Entra Cloud Sync per una foresta Active Directory sincronizzata

Questa esercitazione illustra come eseguire la migrazione a Microsoft Entra Cloud Sync per una foresta di Active Directory di test sincronizzata con Microsoft Entra Connect Sync.

Questo articolo fornisce informazioni per una migrazione di base. Esaminare la documentazione eseguire la migrazione a Microsoft Entra Cloud Sync prima di tentare di eseguire la migrazione dell'ambiente di produzione.

In questa esercitazione si apprenderà come:

Considerazioni

Prima di provare questa esercitazione, considerare quanto segue:

• Assicurarsi di avere familiarità con le nozioni di base di Microsoft Entra Cloud Sync.

• Assicurarsi di eseguire Microsoft Entra Connect Sync versione 1.4.32.0 o successiva e di aver configurato le regole di sincronizzazione come documentato.

• Durante la fase pilota o di coesistenza, non rimuovere l'unità organizzativa pilota (OU), il gruppo, il dominio o gli oggetti a cui si fa riferimento correlati dall'ambito di Microsoft Entra Connect Sync. Mantieni gli oggetti nell'ambito di sincronizzazione e usa la regola in ingresso personalizzata cloudNoFlow e la regola in uscita personalizzata JoinNoFlow descritte in questa esercitazione per impedire a Microsoft Entra Connect Sync di esportare aggiunte di oggetti, eliminazioni degli oggetti e aggiornamenti di attributi non di riferimento.

  La rimozione di oggetti dall'ambito Microsoft Entra Connect Sync li rimuove dallo spazio connettore Active Directory, dal metaverse e dallo spazio connettore Microsoft Entra. Questa operazione può rimuovere riferimenti nello spazio del connettore e causare l’eliminazione di riferimenti, ad esempio le rimozioni dell’appartenenza ai gruppi, che vengono poi esportate a Microsoft Entra ID.

• Assicurarsi che gli oggetti nell'ambito pilota abbiano ms-ds-consistencyGUID compilati in modo che Microsoft Entra Cloud Sync corrisponda esattamente agli oggetti.

  Microsoft Entra Connect Sync, per impostazione predefinita, non popola ms-ds-consistencyGUID per gli oggetti di gruppo.

• Seguire i passaggi descritti in questa esercitazione esattamente. Questa configurazione è destinata agli scenari avanzati.

Pianificare la rimozione dell'ambito di applicazione da Microsoft Entra Connect Sync

Non rimuovere unità organizzative, gruppi o domini dall'ambito Microsoft Entra Connect Sync durante la fase di coesistenza o pilota. Esegui questa operazione solo dopo che la migrazione per tale ambito è stata completata e dopo aver verificato che Cloud Sync sia autorevole per gli oggetti e i relativi riferimenti.

Prima di rimuovere un ambito da Microsoft Entra Connect Sync, verificare che:

• Tutti gli oggetti nell'ambito sono inclusi nella configurazione appropriata di Sincronizzazione cloud.
• Anche gli oggetti a cui si fa riferimento correlati, ad esempio i membri del gruppo e i responsabili, vengono migrati o non dipendono più da Microsoft Entra Connect Sync per la manutenzione di riferimento.
• Non sono rimasti riferimenti residui tra ambiti o tra domini che Microsoft Entra Connect Sync potrebbe eliminare dallo spazio del connettore ed esportare come rimozioni dei riferimenti.

Rimuovere un dominio da Microsoft Entra Connect Sync solo dopo che la migrazione per tale dominio è stata completata e dopo essersi accertati che non vi siano più riferimenti tra domini.

Prerequisiti

Per completare questa esercitazione sono necessari i requisiti seguenti

• Un ambiente di test con Microsoft Entra Connect Sync versione 1.4.32.0 o successiva
• Un'unità organizzativa o un gruppo che rientra nell'ambito della sincronizzazione e può essere usato durante il progetto pilota. È consigliabile iniziare con un piccolo set di oggetti.
• Server che esegue Windows Server 2022, Windows Server 2019 o Windows Server 2016 per ospitare l'agente di provisioning.
• L'ancoraggio di origine per la sincronizzazione Microsoft Entra Connect deve essere objectGuid o ms-ds-consistencyGUID

Aggiorna Microsoft Entra Connect

È necessario avere almeno Microsoft Entra Connect 1.4.32.0. Per aggiornare microsoft Entra Connect Sync, seguire la procedura descritta in Microsoft Entra Connect: Eseguire l'aggiornamento alla versione più recente.

Eseguire il backup della configurazione di Microsoft Entra Connect

Prima di apportare modifiche, eseguire il backup della configurazione di Microsoft Entra Connect. In questo modo, è possibile eseguire il rollback alla configurazione precedente. Per altre informazioni, vedere Importare ed esportare le impostazioni di configurazione di Microsoft Entra Connect.

Arrestare il programmatore di attività

Il servizio di sincronizzazione Microsoft Entra Connect sincronizza le modifiche rilevate nella directory locale usando un'utilità di pianificazione. Per modificare e aggiungere regole personalizzate, si vuole disabilitare l'utilità di pianificazione in modo che le sincronizzazioni non vengano eseguite mentre si lavora e si apportano le modifiche. Per arrestare il pianificatore, seguire i seguenti passaggi:

1. Nel server che esegue Microsoft Entra Connect Sync aprire PowerShell con privilegi amministrativi.
2. Eseguire Stop-ADSyncSyncCycle. Selezionare INVIO.
3. Eseguire Set-ADSyncScheduler -SyncCycleEnabled $false.

Creare una regola personalizzata per l'utente in ingresso

Nell'editor delle regole di sincronizzazione di Microsoft Entra Connect, creare una regola di sincronizzazione in ingresso che imposta l'attributo cloudNoFlow su True per gli utenti nell'unità organizzativa o nel gruppo identificato per il progetto pilota. Questo attributo viene usato con la regola in uscita JoinNoFlow più avanti nel corso di questa esercitazione per impedire a Microsoft Entra Connect Sync di esportare aggiunte di oggetti, eliminazioni di oggetti e aggiornamenti di attributi che non sono riferimenti per questi utenti. Gli aggiornamenti degli attributi di riferimento, ad esempio member e manager, possono comunque essere propagati ai fini della risoluzione dei riferimenti.

1. Aprire l'Editor delle Regole di Sincronizzazione dal menu dell'applicazione sul desktop.

   

2. In Direzione selezionare In ingresso nell'elenco a discesa. Selezionare quindi Aggiungi nuova regola.

   

3. Nella pagina Descrizione immettere i valori seguenti e selezionare Avanti:

   • Nome: assegnare alla regola un nome significativo.
   • Descrizione: aggiungere una descrizione significativa.
   • Sistema connesso: scegliere il connettore Microsoft Entra per cui si sta scrivendo la regola di sincronizzazione personalizzata.
   • Connected System Object Type (Tipo di oggetto sistema connesso): selezionare l'utente.
   • Tipo di oggetto metaverse: selezionare person.
   • Tipo di collegamento: selezionare Join.
   • Precedenza: specificare un valore univoco nel sistema.
   • Tag: lasciare vuoto questo campo.

   

4. Nella pagina Filtro di ambito, immettere l'unità organizzativa o il gruppo di sicurezza su cui si vuole basare il progetto pilota. Per filtrare in base a OU, aggiungere la parte OU del nome distinto. Questa regola si applica a tutti gli utenti che si trovano in tale unità organizzativa. Pertanto, se il nome distinto (DN) termina con OU=CPUsers,DC=contoso,DC=com, si aggiunge questo filtro. Quindi selezionare Avanti.

   Regola	Attributo	Operatore	Valore
   Unità Organizzativa (OU) di Scoping	DN	ENDSWITH	Nome distinto dell'unità organizzativa.
   Gruppo di definizione dell'ambito		ISMEMBEROF	Nome distinto del gruppo di sicurezza.

   

5. Nella pagina Regole di join selezionare Avanti.

6. Nella pagina Trasformazioni aggiungere una trasformazione Costante: valore di origine true per l'attributo cloudNoFlow. Selezionare Aggiungi.

   

Seguire la stessa procedura per tutti i tipi di oggetto (utente, gruppo e contatto). Ripetere i passaggi in base al connettore Active Directory o alla foresta Active Directory configurata.

Creare una regola utente personalizzata in uscita

È necessaria una regola di sincronizzazione in uscita con un tipo di collegamento di JoinNoFlow e il filtro di ambito con l'attributo cloudNoFlow impostato su True. Questa regola indica a Microsoft Entra Connect Sync di non esportare aggiunte di oggetti, eliminazioni di oggetti o aggiornamenti degli attributi non di riferimento per questi utenti. Gli aggiornamenti degli attributi di riferimento, come member e manager, possono comunque continuare a essere propagati per la risoluzione dei riferimenti.

1. In Direzione selezionare In uscita dall'elenco a discesa. Selezionare quindi Aggiungi regola.

   

2. Nella pagina Descrizione immettere i valori seguenti e selezionare Avanti:

   • Nome: assegnare alla regola un nome significativo.
   • Descrizione: aggiungere una descrizione significativa.
   • Sistema connesso: scegliere il connettore Microsoft Entra per cui si sta scrivendo la regola di sincronizzazione personalizzata.
   • Connected System Object Type (Tipo di oggetto sistema connesso): selezionare l'utente.
   • Tipo di oggetto metaverse: selezionare person.
   • Tipo di collegamento: selezionare JoinNoFlow.
   • Precedenza: specificare un valore univoco nel sistema.
   • Tag: lasciare vuoto questo campo.

   

3. Nella pagina Scoping filter, per l'Attributo, selezionare cloudNoFlow. In Valore selezionare True. Quindi selezionare Avanti.

   Screenshot che mostra una regola personalizzata.

4. Nella pagina Regole di join selezionare Avanti.

5. Nella pagina Trasformazioni selezionare Aggiungi.

Seguire la stessa procedura per tutti i tipi di oggetto (utente, gruppo e contatto).

Installare l'agente di provisioning di Microsoft Entra

Se stai seguendo l'esercitazione sull'ambiente Active Directory e Azure di base usa CP1. Per installare l'agente, seguire questa procedura.

1. Accedi all'interfaccia di amministrazione di Microsoft Entra come almeno un amministratore di identità ibrida .

2. Nel riquadro sinistro selezionare Entra Connect e quindi Selezionare Sincronizzazione cloud.

   

3. Nel riquadro sinistro selezionare Agenti.

4. Selezionare Scarica agente locale e quindi selezionare Accetta termini e download.

   

5. Dopo aver scaricato il pacchetto dell'agente di provisioning di Microsoft Entra Connect, eseguire il file di installazione AADConnectProvisioningAgentSetup.exe dalla cartella Download.

6. Nella schermata visualizzata selezionare la casella di controllo Accetto le condizioni di licenza e quindi selezionare Installa.

   

7. Al termine dell'installazione, verrà aperta la configurazione guidata. Selezionare Avanti per avviare la configurazione.

   

8. Accedere con un account che abbia almeno il ruolo di amministratore dell'identità ibrida . Se è abilitata la sicurezza avanzata di Internet Explorer, blocca l'accesso. In tal caso, chiudere l'installazione, disabilitare la sicurezza avanzata di Internet Explorer e riavviare l'installazione del pacchetto microsoft Entra Provisioning Agent.

   

9. Nella schermata Configura account del servizio selezionare un account del servizio gestito del gruppo. Questo account viene utilizzato per eseguire il servizio dell'agente. Se un account del servizio gestito è già configurato nel dominio da un altro agente e si sta installando un secondo agente, selezionare Crea gMSA. Il sistema rileva l'account esistente e aggiunge le autorizzazioni necessarie per consentire al nuovo agente di utilizzare l'account gMSA. Quando richiesto, scegliere una delle due opzioni seguenti:

   • Creare gMSA: Lascia che l'agente crei per te l'account del servizio gestito provAgentgMSA$. L'account del servizio gestito del gruppo (ad esempio, CONTOSO\provAgentgMSA$) viene creato nello stesso dominio di Active Directory in cui il server host è stato aggiunto. Per usare questa opzione, immettere le credenziali di amministratore di dominio di Active Directory (scelta consigliata).
   • Usa gMSA personalizzato: fornisci il nome dell'account del servizio gestito che hai creato manualmente per questo compito.

   

10. Per continuare, selezionare Avanti.

11. Nella schermata Connetti Active Directory , se il nome di dominio viene visualizzato in Domini configurati, passare al passaggio successivo. In caso contrario, immettere il nome di dominio di Active Directory e selezionare Aggiungi directory.

    

12. Accedere con l'account amministratore di dominio di Active Directory. L'account amministratore di dominio non deve avere una password scaduta. Se la password è scaduta o cambia durante l'installazione dell'agente, riconfigurare l'agente con le nuove credenziali. Questa operazione aggiungerà la tua directory locale. Selezionare OK e quindi avanti per continuare.

13. Selezionare Avanti per continuare.

14. Nella schermata Configurazione completata selezionare Conferma. Questa operazione registra e riavvia l'agente.

    

15. Al termine dell'operazione, viene visualizzata una notifica che indica che la configurazione dell'agente è stata verificata correttamente. Selezionare Esci. Se si ottiene ancora la schermata iniziale, selezionare Chiudi.

Verificare l'installazione dell'agente

La verifica dell'agente viene eseguita nel portale di Azure e nel server locale che esegue l'agente.

Verificare l'agente nel portale di Azure

Per verificare che Microsoft Entra ID registri l'agente, seguire questa procedura:

1. Accedi all'interfaccia di amministrazione di Microsoft Entra come almeno un amministratore di identità ibrida .

2. Selezionare Entra Connect, e quindi selezionare Cloud Sync (la Sincronizzazione cloud).

   

3. Nella pagina Sincronizzazione cloud fare clic su Agenti per visualizzare gli agenti installati. Verificare che l'agente sia visualizzato e che lo stato sia attivo.

Verificare l'agente nel server locale

Per verificare se l'agente è in esecuzione, seguire questa procedura:

1. Accedere al server con un account amministratore.

2. Passare a Servizi. È anche possibile usare Start/Run/Services.msc per ottenerlo.

3. In Servizi verificare che sia presente Microsoft Azure AD Connect Agent Updater e Microsoft Azure AD Connect Provisioning Agent e che lo stato sia In esecuzione.

   

Controlla la versione dell'agente di provisioning

Per verificare la versione dell'agente in esecuzione, seguire questa procedura:

1. Passare a C:\Programmi\Microsoft Azure AD Connect Provisioning Agent.
2. Fare clic con il pulsante destro del mouse AADConnectProvisioningAgent.exe e scegliere Proprietà.
3. Selezionare la scheda Dettagli . Il numero di versione viene visualizzato accanto alla versione del prodotto.

Configurare Microsoft Entra Cloud Sync

Per configurare il provisioning, seguire questa procedura:

1. Accedi all'interfaccia di amministrazione di Microsoft Entra come almeno un amministratore di identità ibrida .

2. Passare a Entra ID>Entra Connect>sincronizzazione Cloud.

   

3. Selezionare Nuova configurazione.

   

4. Nella schermata di configurazione selezionare il dominio e se abilitare la sincronizzazione dell'hash delle password. Selezionare quindi Crea.

   

5. Nella schermata Attività iniziali selezionare Aggiungi filtri di ambito accanto all'icona Aggiungi filtri di ambito . In alternativa, nel riquadro sinistro in Gestisci selezionare Filtri di ambito.

   

6. Selezionare il filtro di ambito. Per questa esercitazione selezionare Unità organizzative selezionate. Questo filtro definisce l'ambito della configurazione da applicare a unità organizzative specifiche.

7. Nella casella immettere OU=CPUsers,DC=contoso,DC=com.

   

8. Selezionare Aggiungi>salva.

Avvia il pianificatore

Microsoft Entra Connect Sync sincronizza le modifiche che si verificano nella directory locale usando un'utilità di pianificazione. Dopo aver modificato le regole, è possibile riavviare l'utilità di pianificazione.

1. Nel server che esegue Microsoft Entra Connect Sync aprire PowerShell con privilegi di amministratore.
2. Eseguire Set-ADSyncScheduler -SyncCycleEnabled $true.
3. Eseguire Start-ADSyncSyncCycle. Selezionare quindi INVIO.

Dopo l'abilitazione dell'utilità di pianificazione, Microsoft Entra Connect Sync interrompe l'esportazione di aggiunte di oggetti, eliminazioni di oggetti e aggiornamenti di attributi non di riferimento per gli oggetti per cui cloudNoFlow=true nel metaverse e la regola in uscita usa JoinNoFlow. Gli attributi di riferimento vengono gestiti in modo diverso. Gli aggiornamenti per gli attributi di riferimento, ad esempio member e manager, possono comunque essere esportati per la risoluzione dei riferimenti.

Se un oggetto viene rimosso dall'ambito Microsoft Entra Connect Sync, vengono rimossi lo spazio connettore e gli oggetti metaverse. Tutti i riferimenti all'oggetto o dall'oggetto possono essere eliminati nello spazio del connettore Microsoft Entra ed esportati come eliminazioni dei riferimenti. Questo comportamento può causare rimozioni di appartenenza a gruppi o altre modifiche di riferimento in Microsoft Entra ID.

Risoluzione dei problemi

Se il progetto pilota non funziona come previsto, tornare alla configurazione di Microsoft Entra Connect Sync.

1. Disattiva la configurazione del provisioning nel portale.
2. Utilizzare lo strumento Editor delle regole di sincronizzazione per disabilitare tutte le regole di sincronizzazione personalizzate che hai creato per il provisioning cloud. La disabilitazione causa una sincronizzazione completa in tutti i connettori.

Rimosse le appartenenze ai gruppi o i riferimenti ai manager

Questo problema può verificarsi se gli oggetti vengono rimossi dall'ambito Microsoft Entra Connect Sync mentre i gruppi, gli utenti, i contatti o altri oggetti a cui si fa riferimento sono ancora in coesistenza. Quando gli oggetti vengono rimossi dall'ambito, Microsoft Entra Connect Sync rimuove lo spazio connettore e gli oggetti metaverse corrispondenti. Questa rimozione può rimuovere i riferimenti nell'area del connettore Microsoft Entra ed esportare in Microsoft Entra ID le eliminazioni dei riferimenti.

Per il ripristino, aggiungere nuovamente gli oggetti interessati nell'ambito di Microsoft Entra Connect Sync ed eseguire una sincronizzazione completa per ricreare lo spazio del connettore e i riferimenti del metaverse. Prima di tentare di rimuovere nuovamente l'ambito, verificare che Microsoft Entra Cloud Sync stia effettuando il provisioning di tutti gli oggetti interessati e che i riferimenti, ad esempio le appartenenze ai gruppi e le relazioni di gestione, rimangano intatti dopo un ciclo di provisioning di Sincronizzazione cloud.

Contenuto correlato

• Che cos'è il provisioning?
• Che cos'è Microsoft Entra Cloud Sync?