Scenario - Utilizzo delle estensioni della directory con il provisioning di gruppi in Active Directory

Scenario: sono disponibili centinaia di gruppi in Microsoft Entra ID. Si vuole eseguire il provisioning di alcuni di questi gruppi, ma non di tutti in Active Directory. Vorresti un filtro rapido che possa essere applicato ai gruppi senza dover creare un filtro di ambito più complesso.

È possibile usare l'ambiente creato in questo scenario per il test o per acquisire familiarità con la sincronizzazione cloud.

Presupposti

• Questo scenario presuppone che l'utente disponga già di un ambiente di lavoro che sincronizza gli utenti con Microsoft Entra ID.
• Sono presenti 4 utenti sincronizzati. Britta Simon, Lola Jacobson, Anna Ringdahl e John Smith.
• Sono state create tre unità organizzative in Active Directory: Vendite, Marketing e Gruppi
• Gli account utente di Britta Simon e Anna Ringdahl risiedono nell'unità organizzativa Vendite.
• Gli account utente Lola Jacobson e John Smith risiedono nell'unità organizzativa Marketing.
• L'unità organizzativa dei Gruppi è il luogo in cui sono forniti i gruppi di Microsoft Entra ID.

Creare due gruppi in Microsoft Entra ID

Per iniziare, creare due gruppi in Microsoft Entra ID. Un gruppo è Vendite e l'altro è Marketing.

Per creare due gruppi, attenersi alla procedura seguente.

1. Accedi all'interfaccia di amministrazione di Microsoft Entra come almeno un amministratore di identità ibrida .
2. Passa a Entra ID>Gruppi>Tutti i gruppi.
3. Nella parte superiore selezionare Nuovo gruppo.
4. Assicurarsi che il tipo di gruppo sia impostato sulla sicurezza.
5. Per Nome gruppo immettere Sales
6. Per Tipo di appartenenza mantenerlo assegnato.
7. Fare clic su Crea.
8. Ripetere questo processo usando Marketing come Nome del gruppo.

Aggiungere utenti ai gruppi appena creati

1. Accedi all'interfaccia di amministrazione di Microsoft Entra come almeno un amministratore di identità ibrida .
2. Passa a Entra ID>Gruppi>Tutti i gruppi.
3. Nella parte superiore immettere Sales nella casella di ricerca.
4. Selezionare il nuovo gruppo Vendite .
5. A sinistra selezionare Membri.
6. Nella parte superiore selezionare Aggiungi membri.
7. Nella parte superiore della casella di ricerca immettere Britta Simon.
8. Inserire un segno di spunta accanto a Britta Simon e Anna Ringdahl e selezionare Seleziona.
9. Dovrebbe aggiungerla con successo al gruppo.
10. All'estrema sinistra selezionare Tutti i gruppi e ripetere questo processo usando il gruppo Marketing e aggiungendo Lola Jacobson e John Smith a tale gruppo.

Installare e connettere SDK PowerShell di Microsoft Graph

1. Se non è ancora installato, seguire la documentazione di SDK PowerShell di Microsoft Graph per installare i moduli principali di SDK PowerShell di Microsoft Graph: Microsoft.Graph.

2. Aprire PowerShell con privilegi amministrativi

3. Per impostare i criteri di esecuzione, eseguire (premere [A] Sì a tutti quando richiesto):

   Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser
   

4. Collegarsi al tenant (assicurarsi di accettare per conto suo al momento dell'accesso):

   Connect-MgGraph -Scopes "Directory.ReadWrite.All", "Application.ReadWrite.All", "User.ReadWrite.All, Group.ReadWrite.All"
   

Creare l'applicazione CloudSyncCustomExtensionApp e l'entità servizio

1. Recupera l'ID del tenant:

   $tenantId = (Get-MgOrganization).Id
   $tenantId
   

1. Usando la $tenantId variabile del passaggio precedente, verificare se CloudSyncCustomExtensionApp esiste.

   $cloudSyncCustomExtApp = Get-MgApplication -Filter "identifierUris/any(uri:uri eq 'api://$tenantId/CloudSyncCustomExtensionsApp')"
   $cloudSyncCustomExtApp
   

2. Se esiste un'app CloudSyncCustomExtension, passare al passaggio successivo. In caso contrario, creare la nuova app CloudSyncCustomExtensionApp:

   $cloudSyncCustomExtApp = New-MgApplication -DisplayName "CloudSyncCustomExtensionsApp" -IdentifierUris "api://$tenantId/CloudSyncCustomExtensionsApp"
   $cloudSyncCustomExtApp 
   

3. Verifica se l'app CloudSyncCustomExtensionsApp dispone di un'entità di sicurezza associata. Se è stata appena creata una nuova app, passare al passaggio successivo.

   Get-MgServicePrincipal -Filter "AppId eq '$($cloudSyncCustomExtApp.AppId)'"
   

4. ** Se hai appena creato una nuova app o un'entità di sicurezza non è presente, crea un'entità di sicurezza per CloudSyncCustomExtensionsApp:

   New-MgServicePrincipal -AppId $cloudSyncCustomExtApp.AppId
   

Creare l'attributo di estensione personalizzato

1. Recupera l'ID del tenant:

   $tenantId = (Get-MgOrganization).Id
   $tenantId
   

2. Ottenere l'applicazione CloudSyncCustomExtensionsApp:

   $cloudSyncCustomExtApp = Get-MgApplication -Filter "identifierUris/any(uri:uri eq 'api://$tenantId/CloudSyncCustomExtensionsApp')"
   

3. A questo punto, in CloudSyncCustomExtensionApp creare l'attributo di estensione personalizzato denominato "WritebackEnabled" e assegnarlo agli oggetti Group:

   New-MgApplicationExtensionProperty -ApplicationId $cloudSyncCustomExtApp.Id -Name 'WritebackEnabled' -DataType 'Boolean' -TargetObjects 'Group'
   

4. Questo cmdlet crea un attributo di estensione simile a extension_<guid>_WritebackEnabled.

Crea la configurazione di sincronizzazione del cloud

1. Accedi all'interfaccia di amministrazione di Microsoft Entra come almeno un amministratore di identità ibrida .

2. Accedere a Entra ID>Entra Connect>Cloud sincronizzazione.

3. Selezionare Nuova configurazione.

4. Selezionare Microsoft Entra ID to AD sync.

5. Nella schermata di configurazione selezionare il dominio e se abilitare la sincronizzazione dell'hash delle password. Selezionare Crea.

6. Si apre la schermata Inizia. Da qui è possibile continuare a configurare la sincronizzazione cloud

7. A sinistra selezionare Filtri di ambito, quindi selezionare Ambito> gruppoTutti i gruppi.

8. Selezionare Modifica mapping degli attributi e modificare il Contenitore di destinazione in OU=Groups,DC=Contoso,DC=com. Selezionare Salva.

9. Selezionare Aggiungi filtro di definizione dell'ambito degli attributi.

10. Digitare un nome per il filtro di ambito: Filter groups with Writeback Enabled

11. In Attributo di destinazione selezionare l'attributo appena creato simile a extension_<guid>_WritebackEnabled.

13. In Operatore selezionare IS TRUE.
14. Selezionare Salva e quindi Salva.
15. Lascia la configurazione disabilitata e torna su di essa.

Aggiungere una nuova proprietà di estensione a uno dei gruppi

Per questa parte, aggiungeremo un valore alla proprietà che abbiamo appena creato in uno dei nostri gruppi esistenti, Marketing.

Impostare il valore della proprietà di estensione usando SDK PowerShell di Microsoft Graph

1. Recupera l'ID del tenant:

   $tenantId = (Get-MgOrganization).Id
   $tenantId
   

2. Ottenere l'applicazione CloudSyncCustomExtensionsApp:

   $cloudSyncCustomExtApp = Get-MgApplication -Filter "identifierUris/any(uri:uri eq 'api://$tenantId/CloudSyncCustomExtensionsApp')"
   

3. Ottieni la nostra proprietà dell'estensione:

   $gwbEnabledExtAttrib = Get-MgApplicationExtensionProperty -ApplicationId $cloudSyncCustomExtApp.Id | 
       Where-Object {$_.Name -Like '*WritebackEnabled'} | Select-Object -First 1
   $gwbEnabledExtAttrib 
   $gwbEnabledExtName = $gwbEnabledExtAttrib.Name
   

4. Ora, ottieni il gruppo Marketing.

   $marketingGrp = Get-MgGroup -ConsistencyLevel eventual -Filter "DisplayName eq 'Marketing'"
   $marketingGrp 
   

5. Quindi, con la variabile $gwbEnabledExtName contenente extension_<guid>_WritebackEnabled, impostare il valore True per il gruppo Marketing:

   Update-MgGroup -GroupId $marketingGrp.Id -AdditionalProperties @{$gwbEnabledExtName = $true}
   

6. Per confermare, è possibile leggere il valore della extension_<guid>_WritebackEnabled proprietà con:

   $marketingGrp = Get-MgGroup -ConsistencyLevel eventual -Filter "DisplayName eq 'Marketing'" -Property Id,$gwbEnabledExtName
   $marketingGrp.AdditionalProperties.$gwbEnabledExtName
   

Impostare il valore della proprietà di estensione usando Microsoft Graph Explorer

È necessario assicurarsi di aver acconsentito a Group.ReadWrite.All. A tale scopo, selezionare Modifica autorizzazioni.

1. Passare a Microsoft Graph Explorer

2. Accedi usando l'account amministratore del tenant. Un account amministratore di identità ibrida è stato usato per creare questo scenario e potrebbe essere sufficiente.

3. Nella parte superiore modificare GET in PATCH

4. Nella casella indirizzo immettere: https://graph.microsoft.com/v1.0/groups/<Group Id>

5. Nel corpo della richiesta immettere:

   {
     "extension_<guid>_WritebackEnabled": true
   }
   

6. Seleziona Esegui interroga.

7. Se l'operazione è stata eseguita correttamente, viene visualizzato [].

8. A questo punto, modificare PATCH in GET e esaminare le proprietà del gruppo di marketing.

9. Seleziona Esegui interroga. Verrà visualizzato l'attributo appena creato.

Testare la configurazione

1. Accedi all'interfaccia di amministrazione di Microsoft Entra come almeno un amministratore di identità ibrida .

2. Accedere a Entra ID>Entra Connect>Cloud sincronizzazione.

   

3. In Configurazione selezionare la configurazione.
4. A sinistra selezionare Provision on demand (Provision on demand).
5. Immettere Marketing nella casella Gruppo selezionato
6. Nella sezione Utenti selezionati selezionare alcuni utenti da testare. Selezionare Lola Jacobson e John Smith.
7. Seleziona Provision. Il provisioning dovrebbe avere successo.
8. Provare ora con il gruppo Sales e aggiungere Britta Simon e Anna Ringdahl. Non dovrebbe effettuare il provisioning.
9. In Active Directory dovrebbe essere visualizzato il gruppo Marketing appena creato.
10. È ora possibile passare alla pagina Entra ID>Entra Connect>> per rivedere e abilitare la configurazione per avviare la sincronizzazione.

Passaggi successivi

• Usa il writeback di gruppo con Microsoft Entra Cloud Sync

• Gestisci le applicazioni basate su Active Directory locale (Kerberos) utilizzando Microsoft Entra ID Governance

• Eseguire la migrazione del writeback dei gruppi di Microsoft Entra Connect Sync V2 alla sincronizzazione cloud di Microsoft Entra