Configurare la sincronizzazione dei dispositivi con Microsoft Entra Cloud Sync

La sincronizzazione dei dispositivi consente di sincronizzare gli oggetti computer da Active Directory (AD) a Microsoft Entra ID tramite il processo AD2AADDeviceSync in una configurazione di Cloud Sync da AD a Microsoft Entra ID. Dopo la sincronizzazione, i dispositivi possono essere aggiunti a Microsoft Entra in modalità ibrida.

La sincronizzazione del dispositivo è disabilitata per impostazione predefinita. Prima di iniziare, assicurarsi che l'ambiente soddisfi i prerequisiti. Configurare quindi un punto di connessione del servizio (SCP), abilitare la sincronizzazione dei dispositivi, effettuare il provisioning di un dispositivo su richiesta, gestire la sincronizzazione dei dispositivi con Microsoft Graph e ripristinare i dispositivi eliminati.

Prerequisites

Assicurarsi che l'ambiente soddisfi questi requisiti:

• Installare l'agente di provisioning Microsoft Entra nell'ambiente locale. L'agente deve essere alla versione 1.1.1107 o successiva. Scaricare la versione più recente dell'agente disponibile dal Interfaccia di amministrazione di Microsoft Entra. Per le versioni dell'agente, vedere la cronologia delle versioni dell'agente di provisioning Microsoft Entra.
• Creare una configurazione di Cloud Sync da AD a Microsoft Entra ID. Per i passaggi di configurazione, vedere Configurare il provisioning da Active Directory a Microsoft Entra ID.
• L'ID del tenant Microsoft Entra e il dominio verificato che i dispositivi usano per l'autenticazione. Per gli ambienti federati, usare un dominio federato. In caso contrario, usare il dominio primario *.onmicrosoft.com .
• Se è necessario configurare SCP, l'accesso temporaneo a un account membro del gruppo Enterprise Admins in ogni foresta di Active Directory che contiene computer aggiunti a un dominio. Usa il processo di accesso privilegiato just-in-time (JIT) della tua organizzazione, se disponibile.
• Per configurare la sincronizzazione dei dispositivi nella Interfaccia di amministrazione di Microsoft Entra, usare un account con almeno il ruolo Di amministratore delle identità ibride.

Configurare un punto di connessione del servizio

Configurare un SCP in ogni foresta di Active Directory contenente computer aggiunti al dominio. I dispositivi usano SCP per individuare il tenant Microsoft Entra in cui si registrano.

Un SCP potrebbe essere già configurato nella foresta. Prima di eseguire lo script, verificare i valori SCP esistenti e registrare i valori e azureADName correnti azureADId in modo da poterli ripristinare, se necessario. Se i valori identificano già il tenant previsto, passare a Abilita sincronizzazione del dispositivo.

Per configurare SCP, seguire questa procedura:

1. Accedi a una workstation amministrativa aggiunta a un dominio o a un controller di dominio con un account che sia membro di Enterprise Admins per la foresta corrente. Usare una sessione di PowerShell Windows in cui i criteri dell'organizzazione consentono script locali.

2. Salvare lo script seguente come ConfigureSCP.ps1:

   #
   # ConfigureSCP.ps1
   # Configures the service connection point (SCP) for Microsoft Entra hybrid join in the current forest.
   #
   # REQUIREMENT: Must be run by an Enterprise Admin of the current forest.
   #
   # EXAMPLES:
   #   .\ConfigureSCP.ps1 -Domain contoso.com -TenantId <guid>
   #   .\ConfigureSCP.ps1 -Domain contoso.onmicrosoft.com -TenantId <guid>
   #
   [CmdletBinding()]
   param(
       # Verified domain used for device authentication.
       # If you use federation, enter a federated domain name.
       # Otherwise, enter your primary *.onmicrosoft.com domain name.
       [Parameter(Mandatory = $true)]
       [ValidateNotNullOrEmpty()]
       [string]$Domain,
   
       # Microsoft Entra tenant identifier (GUID).
       [Parameter(Mandatory = $true)]
       [guid]$TenantId
   )
   
   $ErrorActionPreference = "Stop"
   
   Write-Output "Configuring the SCP for Microsoft Entra hybrid join in your Active Directory forest."
   
   try {
       ## Set variables
       $azureADName = "azureADName:" + $Domain.Trim()
       $azureADId   = "azureADId:" + $TenantId.ToString()
       $keywords    = "keywords"
       $ldap        = "LDAP://"
   
       $rootDSE    = New-Object System.DirectoryServices.DirectoryEntry($ldap + "RootDSE")
       $configCN   = $rootDSE.Properties["configurationNamingContext"][0].ToString()
       $servicesCN = "CN=Services," + $configCN
       $drcCN      = "CN=Device Registration Configuration," + $servicesCN
       $scpCN      = "CN=62a0ff2e-97b9-4513-943f-0d221bd30080," + $drcCN
   
       ## Get/Create: CN=Device Registration Configuration,CN=Services
       if ([System.DirectoryServices.DirectoryEntry]::Exists($ldap + $drcCN)) {
           $deDRC = New-Object System.DirectoryServices.DirectoryEntry($ldap + $drcCN)
       }
       else {
           $de    = New-Object System.DirectoryServices.DirectoryEntry($ldap + $servicesCN)
           $deDRC = $de.Children.Add("CN=Device Registration Configuration", "container")
           $deDRC.CommitChanges()
       }
   
       ## Edit/Create: CN=62a0ff2e-97b9-4513-943f-0d221bd30080,CN=Device Registration Configuration,CN=Services
       if ([System.DirectoryServices.DirectoryEntry]::Exists($ldap + $scpCN)) {
           $deSCP = New-Object System.DirectoryServices.DirectoryEntry($ldap + $scpCN)
           $deSCP.Properties[$keywords].Clear()
       }
       else {
           $deSCP = $deDRC.Children.Add("CN=62a0ff2e-97b9-4513-943f-0d221bd30080", "serviceConnectionPoint")
       }
   
       $deSCP.Properties[$keywords].Add($azureADName) | Out-Null
       $deSCP.Properties[$keywords].Add($azureADId)   | Out-Null
       $deSCP.CommitChanges()
   
       Write-Output "Configuration complete!"
   }
   catch {
       Write-Output "Configuration could not be completed."
       Write-Output $_
       exit 1
   }
   

3. Eseguire lo script usando i valori per il tenant previsto:

   • Per Domainusare un dominio federato per gli ambienti federati. In caso contrario, usare il dominio primario *.onmicrosoft.com .
   • Per TenantId, usare il GUID del tenant di Microsoft Entra.

   .\ConfigureSCP.ps1 -Domain <verified-domain> -TenantId <tenant-id>
   

4. Verificare che PowerShell visualizzi Configuration complete!. Se viene visualizzato Configuration could not be completed., esaminare l'errore a cui si accompagna e risolverlo prima di continuare.

5. In ogni foresta di Active Directory aggiuntiva che contiene computer aggiunti a un dominio, verificare i valori SCP esistenti e, se necessario, ripetere questa procedura.

6. Dopo aver configurato tutte le foreste necessarie, disconnettersi da tutti gli account Enterprise Admins e rimuovere o disattivare l'accesso temporaneo secondo il processo di gestione degli accessi privilegiati della propria organizzazione.

Abilitare la sincronizzazione dei dispositivi

Abilitare la sincronizzazione dei dispositivi nella configurazione Cloud Sync esistente di AD to Microsoft Entra ID.

1. Accedi all'interfaccia di amministrazione di Microsoft Entra come almeno un amministratore di identità ibrida .

2. Accedere a Entra ID>Entra Connect>Cloud sincronizzazione.

   

3. Selezionare la configurazione esistente di AD a Microsoft Entra ID.

4. Selezionare Proprietà. In Informazioni di base verificare che sincronizzazione del dispositivo sia Disabilitata.

   

5. Accanto a Informazioni di base selezionare l'icona di modifica.

6. Selezionare Abilita sincronizzazione del dispositivo e quindi applica.

   

Esaminare gli attributi dei dispositivi sincronizzati

La sincronizzazione dei dispositivi di Cloud Sync supporta i seguenti mapping degli attributi del dispositivo.

Il RegisteredOwnerReference mapping viene applicato solo la prima volta che Cloud Sync trova l'oggetto computer in AD.

Effettuare il provisioning di un dispositivo su richiesta

Effettuare il provisioning di un dispositivo su richiesta per eseguire la sincronizzazione dei dispositivi per un oggetto computer di Active Directory specifico.

1. Accedi all'interfaccia di amministrazione di Microsoft Entra come almeno un amministratore di identità ibrida .

2. Accedere a Entra ID>Entra Connect>Cloud sincronizzazione.

   

3. Selezionare la configurazione esistente di AD a Microsoft Entra ID.
4. Selezionare Erogazione su richiesta.
5. Selezionare la scheda Dispositivo .
6. Immettere il nome distinto del computer AD.
7. Selezionare Provision.

Gestire la sincronizzazione dei dispositivi con Microsoft Graph

È possibile creare e avviare il processo di sincronizzazione del dispositivo oppure effettuare il provisioning di un dispositivo su richiesta usando Microsoft Graph.

Creare e avviare un processo di sincronizzazione del dispositivo

1. Usare Create synchronizationJob per creare un processo di sincronizzazione del dispositivo.

2. Nella richiesta:

   • Usare l'ID dell'entità servizio della entità servizio da AD a Microsoft Entra ID.
   • Impostare templateId su AD2AADDeviceSync.

3. Usare Start synchronizationJob per avviare il processo di sincronizzazione del dispositivo.

Effettuare il provisioning di un dispositivo su richiesta con Microsoft Graph

1. Usare Get synchronizationSchema con il processo di sincronizzazione del dispositivo.

2. Nella risposta ottenere l'ID della regola di sincronizzazione del dispositivo da synchronizationRules.

3. Usare synchronizationJob: provisionOnDemand. Nel corpo della richiesta impostare:

   • objectIdal nome distinto del computer da Utenti e computer di Active Directory.
   • Da objectTypeName a computer.
   • ruleId all'ID della regola di sincronizzazione del dispositivo.

Ripristinare un dispositivo eliminato

Un dispositivo può essere eliminato da Microsoft Entra ID quando:

• Il computer corrispondente viene eliminato da Active Directory, il che fa sì che Cloud Sync elimini il dispositivo in Microsoft Entra ID.
• Il dispositivo viene scollegato dal cloud dopo l'esecuzione di dsregcmd /leave, il che causa l'eliminazione del dispositivo in Microsoft Entra ID da parte di Azure Device Registration Service.
• Un amministratore elimina manualmente il dispositivo da Entra ID>Devices nella Interfaccia di amministrazione di Microsoft Entra.

Se un servizio o un amministratore diverso da Cloud Sync elimina un dispositivo, Cloud Sync non ricrea il dispositivo durante il ciclo di sincronizzazione successivo, a meno che l'oggetto computer AD corrispondente non cambi.

Usare una di queste opzioni per ripristinare il dispositivo e ripristinarne lo stato di join ibrido:

• Nella Interfaccia di amministrazione di Microsoft Entra passare a Entra ID>Dispositivi>eliminati e quindi ripristinare il dispositivo.
• Modificare l'oggetto computer corrispondente in AD e quindi attendere il ciclo di sincronizzazione del dispositivo successivo.
• Effettuare il provisioning del dispositivo su richiesta.

Contenuti correlati

• Che cos'è Microsoft Entra Cloud Sync?
• Verificare l'aggiunta ad ambiente ibrido di Microsoft Entra