Preparare la sincronizzazione della directory con Microsoft 365

Questo articolo si applica sia a Microsoft 365 Enterprise che a Office 365 Enterprise.

Se si sceglie il modello di identità ibrido e si configura la protezione per gli account amministratore nel passaggio 2 e per gli account utente nel passaggio 3 di questa soluzione, l'attività successiva consiste nel distribuire la sincronizzazione della directory. I vantaggi della sincronizzazione della directory per l'organizzazione includono:

• Riduzione dei programmi amministrativi nell'organizzazione
• Abilitazione facoltativa dello scenario Single Sign-On
• Automatizzare le modifiche all'account in Microsoft 365

Per ulteriori informazioni sui vantaggi dell'utilizzo della sincronizzazione della directory, vedere Identità ibrida con Microsoft Entra ID.

Tuttavia, la sincronizzazione della directory richiede pianificazione e preparazione per garantire che Active Directory Domain Services (AD DS) venga sincronizzato con il tenant di Microsoft Entra dell'abbonamento Microsoft 365 con un numero minimo di errori.

Seguire questa procedura per ottenere risultati ottimali.

Preparazione di Servizi di dominio Active Directory

Per garantire una transizione senza problemi a Microsoft 365 usando la sincronizzazione, è necessario preparare la foresta di Servizi di dominio Active Directory prima di iniziare la distribuzione della sincronizzazione della directory di Microsoft 365.

La preparazione della directory dovrebbe concentrarsi sulle seguenti attività:

• Rimuovere gli attributi proxyAddress e userPrincipalName duplicati.

• Aggiornare gli attributi userPrincipalName vuoti e non validi con attributi userPrincipalName validi.

• Rimuovere caratteri non validi e discutibili negli attributi givenName, surname ( sn ), sAMAccountName, displayName, mail, proxyAddresses, mailNickname e userPrincipalName . Per informazioni dettagliate sulla preparazione degli attributi, vedere Elenco degli attributi sincronizzati dallo Strumento di sincronizzazione di Azure Active Directory.

  Nota

  Questi sono gli stessi attributi sincronizzati da Microsoft Entra Connect.

Considerazioni sulla distribuzione a più foreste

Per più foreste e opzioni SSO, utilizzare un'installazione personalizzata di Microsoft Entra Connect.

Se l'organizzazione dispone di più foreste per l'autenticazione (foreste di accesso), è consigliabile utilizzare le opzioni seguenti:

• È consigliabile consolidare le foreste. In generale, è necessario un sovraccarico maggiore per mantenere più foreste. A meno che l'organizzazione non disponga di vincoli di sicurezza che impongono la necessità di foreste separate, è consigliabile semplificare l'ambiente locale.
• Da utilizzare solo nella foresta di accesso primaria. Prendere in considerazione la distribuzione di Microsoft 365 solo nella foresta di accesso principale per l'implementazione iniziale di Microsoft 365.

Se non è possibile consolidare la distribuzione di Servizi di dominio Active Directory a più foreste o si usano altri servizi directory per gestire le identità, potrebbe essere possibile sincronizzarle con l'aiuto di Microsoft o di un partner.

Per altre informazioni, vedere Topologie per Microsoft Entra Connect .

Funzionalità che dipendono dalla sincronizzazione della directory

La sincronizzazione della directory è necessaria per le caratteristiche e le funzionalità seguenti:

• Single Sign-On facile (SSO) di Microsoft Entra
• Coesistenza di Skype
• Distribuzione ibrida di Exchange, tra cui:
  • Elenco indirizzi globale completamente condiviso tra l'ambiente Exchange locale e Microsoft 365.
  • Sincronizzazione delle informazioni dell'elenco indirizzi globale da diversi sistemi di posta.
  • La possibilità di aggiungere e rimuovere utenti dalle offerte di servizi di Microsoft 365. Ciò richiede quanto segue:
    • La sincronizzazione bidirezionale deve essere configurata durante l'installazione della sincronizzazione della directory. Per impostazione predefinita, gli strumenti di sincronizzazione della directory scrivono le informazioni sulla directory solo nel cloud. Quando si configura la sincronizzazione bidirezionale, si abilita la funzionalità di writeback in modo che un numero limitato di attributi dell'oggetto venga copiato dal cloud e quindi riscritto nell'Active Directory Domain Services locale. Il writeback è noto anche come modalità ibrida di Exchange.
  • Una distribuzione ibrida di Exchange locale.
  • La possibilità di spostare alcune cassette postali degli utenti in Microsoft 365 mantenendo le cassette postali degli altri utenti in locale.
  • I mittenti attendibili e i mittenti bloccati in locale vengono replicati in Microsoft 365.
  • Funzionalità di base di delega e invio per conto di-e-mail.
  • Si dispone di una soluzione integrata di smart card locale o autenticazione a più fattori.
• Sincronizzazione di foto, anteprime, sale riunioni e gruppi di sicurezza

1. Attività di pulizia della directory

Prima di sincronizzare Servizi di dominio Active Directory con il tenant di Microsoft Entra, è necessario pulirlo.

In Servizi di dominio Active Directory completare le attività di pulizia seguenti per ogni account utente a cui verrà assegnata una licenza di Microsoft 365:

1. Verificare che nell'attributo proxyAddresses sia presente un indirizzo di posta elettronica valido e univoco.

2. Rimuovere tutti i valori duplicati nell'attributo proxyAddresses.

3. Se possibile, assicurarsi che l'attributo userPrincipalName sia valido e univoco nell'oggetto utente dell'utente. Per una migliore esperienza di sincronizzazione, verificare che l'UPN di Active Directory Domain Services corrisponda all'UPN di Microsoft Entra. Se un utente non dispone di un valore per l'attributo userPrincipalName , l'oggetto utente deve contenere un valore valido e univoco per l'attributo sAMAccountName . Rimuovere tutti i valori duplicati nell'attributo userPrincipalName.

4. Per un utilizzo ottimale dell'elenco indirizzi globale, verificare che le informazioni negli attributi seguenti dell'account utente di Servizi di dominio Active Directory siano corrette:

   • givenName
   • surname
   • displayName
   • Professione
   • Reparto
   • Ufficio
   • Telefono ufficio
   • Cellulare
   • Numero fax
   • Via e numero civico
   • Città
   • Stato o provincia
   • CAP
   • Paese

2. Preparazione dell'oggetto directory e degli attributi

La corretta sincronizzazione della directory tra Servizi di dominio Active Directory e Microsoft 365 richiede che gli attributi di Servizi di dominio Active Directory siano preparati correttamente. Ad esempio, è necessario assicurarsi che caratteri specifici non vengano usati in determinati attributi sincronizzati con l'ambiente Microsoft 365. I caratteri imprevisti non causano errori di sincronizzazione della directory, ma potrebbero restituire un avviso. I caratteri non validi sono responsabili dell'esito negativo della sincronizzazione della directory.

La sincronizzazione della directory avrà esito negativo anche se alcuni utenti di Servizi di dominio Active Directory hanno uno o più attributi duplicati. Ogni utente deve avere attributi univoci.

Gli attributi che è necessario preparare sono elencati di seguito:

• displayName

  • Se l'attributo esiste nell'oggetto utente, viene sincronizzato con Microsoft 365.
  • A un attributo presente nell'oggetto utente deve corrispondere un valore. Ovvero, l'attributo non deve essere vuoto.
  • Numero massimo di caratteri: 256

• givenName

  • Se l'attributo esiste nell'oggetto utente, viene sincronizzato con Microsoft 365, ma Microsoft 365 non lo richiede né lo usa.
  • Numero massimo di caratteri: 64

• Posta

  • Il valore dell'attributo deve essere univoco all'interno della directory.

    Nota

    Se sono presenti valori duplicati, viene sincronizzato il primo utente che ha ricevuto il valore. Gli utenti successivi non appariranno in Microsoft 365. È necessario modificare il valore in Microsoft 365 o modificare entrambi i valori in Servizi di dominio Active Directory per visualizzare entrambi gli utenti in Microsoft 365.

• mailNickname (alias di Exchange)

  • Il valore dell'attributo non può iniziare con un punto (.).

  • Il valore dell'attributo deve essere univoco all'interno della directory.

    Nota

    I caratteri di sottolineatura ("_") nel nome sincronizzato indicano che il valore originale di questo attributo contiene caratteri non validi. Per ulteriori informazioni su questo attributo, vedere Attributo alias di Exchange.

• proxyAddresses

  • Attributo a valori multipli

  • Numero massimo di caratteri per valore: 256

  • Il valore dell'attributo non deve contenere uno spazio.

  • Il valore dell'attributo deve essere univoco all'interno della directory.

  • Caratteri non validi: <> ( ) ; , [ ] "

  • Le lettere con segni diacritici, come dieresi, accenti e tilde, non sono valide.

    I caratteri non validi si applicano ai caratteri che seguono il delimitatore di tipo e ":", in modo che SMTP:User@contso.com sia consentito, mentre SMTP:user:M@contoso.com non lo sia.

    Importante

    Tutti gli indirizzi SMTP (Simple Mail Transport Protocol) devono essere conformi agli standard di messaggistica di posta elettronica Rimuovere eventuali indirizzi duplicati o indesiderati.

• sAMAccountName

  • Numero massimo di caratteri: 20
  • Il valore dell'attributo deve essere univoco all'interno della directory.
  • Caratteri non validi: [ \ " | , / : <> + = ; ? * ']
  • Se un utente ha un attributo sAMAccountName non valido ma un attributo userPrincipalName valido, l'account utente viene creato in Microsoft 365.
  • Se sia sAMAccountName che userPrincipalName non sono validi, è necessario aggiornare l'attributo userPrincipalName di Servizi di dominio Active Directory.

• sn (cognome)

  • Se l'attributo esiste nell'oggetto utente, viene sincronizzato con Microsoft 365, ma Microsoft 365 non lo richiede né lo usa.

• targetAddress

  È necessario che l'attributo targetAddress (ad esempio, SMTP:tom@contoso.com) popolato per l'utente venga visualizzato nell'elenco indirizzi globale di Microsoft 365. Negli scenari di migrazione della messaggistica di terze parti, è necessaria l'estensione dello schema Microsoft 365 per Servizi di dominio Active Directory. L'estensione dello schema di Microsoft 365 aggiunge anche altri attributi utili per gestire gli oggetti di Microsoft 365 popolati utilizzando uno strumento di sincronizzazione della directory di Servizi di dominio Active Directory. Verrebbe ad esempio aggiunto l'attributo msExchHideFromAddressLists per gestire i gruppi di distribuzione o le cassette postali nascoste.

  • Numero massimo di caratteri: 256
  • Il valore dell'attributo non deve contenere uno spazio.
  • Il valore dell'attributo deve essere univoco all'interno della directory.
  • Caratteri non validi: \ <> ( ) ; , [ ] "
  • Tutti gli indirizzi SMTP (Simple Mail Transport Protocol) devono essere conformi agli standard di messaggistica di posta elettronica

• userPrincipalName

  • L'attributo userPrincipalName deve essere in un formato di accesso in stile Internet in cui il nome utente è seguito dal simbolo di chiocciola (@) e da un nome di dominio, ad esempio user@contoso.com. Tutti gli indirizzi SMTP (Simple Mail Transport Protocol) devono essere conformi agli standard di messaggistica di posta elettronica
  • Il numero massimo di caratteri per l'attributo userPrincipalName è 113. È consentito un numero specifico di caratteri prima e dopo il simbolo di chiocciola (@), come riportato di seguito:
  • Numero massimo di caratteri per il nome utente che si trova davanti al simbolo di chiocciola (@): 64
  • Numero massimo di caratteri per il nome di dominio dopo il simbolo chiocciola (@): 48
  • Caratteri non validi: \ % & * + / = ? { } | <> ( ) ; : , [ ] " #
  • Caratteri ammessi: A – Z, a – z, 0 – 9, ' . - _ ! ^ ~
  • Le lettere con segni diacritici, come dieresi, accenti e tilde, non sono valide.
  • Il carattere @ è necessario in ogni valore userPrincipalName.
  • Il carattere @ non può essere il primo carattere in ogni valore userPrincipalName .
  • Il nome utente non può terminare con un punto (.), una e commerciale (&), uno spazio o un chiocciola (@).
  • Il nome utente non può contenere spazi.
  • Devono essere utilizzati domini instradabili; Ad esempio, i domini locali o interni non possono essere usati.
  • Unicode viene convertito in caratteri di sottolineatura.
  • userPrincipalName non può contenere valori duplicati nella directory.

3. Preparare l'attributo userPrincipalName

Active Directory è progettato per consentire agli utenti finali dell'organizzazione di accedere alla directory utilizzando sAMAccountName o userPrincipalName. Analogamente, gli utenti finali possono accedere a Microsoft 365 usando il nome dell'entità utente (UPN) del proprio account aziendale o dell'istituto di istruzione. La sincronizzazione della directory tenta di creare nuovi utenti in Microsoft Entra ID utilizzando lo stesso UPN presente in Active Directory Domain Services. L'UPN viene formattato come un indirizzo di posta elettronica.

In Microsoft 365, l'UPN è l'attributo predefinito usato per generare l'indirizzo di posta elettronica. È facile impostare userPrincipalName (in Servizi di dominio Active Directory e in Microsoft Entra ID) e l'indirizzo di posta elettronica principale in proxyAddresses su valori diversi. Quando sono impostati su valori diversi, può esserci confusione per gli amministratori e gli utenti finali.

È meglio allineare questi attributi per ridurre la confusione. Per soddisfare i requisiti dell'accesso Single Sign-On con Active Directory Federation Services (ADFS) 2.0, è necessario verificare che gli UPN in Microsoft Entra ID e nell'AD DS corrispondano e utilizzino uno spazio dei nomi di dominio valido.

4. Aggiungere un suffisso UPN alternativo a Servizi di dominio Active Directory

Potrebbe essere necessario aggiungere un suffisso UPN alternativo per associare le credenziali aziendali dell'utente all'ambiente Microsoft 365. Il suffisso UPN è la parte di un UPN che si trova a destra del carattere @. Gli UPN utilizzati per Single Sign-On possono includere lettere, numeri, punti, trattini e caratteri di sottolineatura, ma nessun altro tipo di carattere.

Per altre informazioni su come aggiungere un suffisso UPN alternativo ad Active Directory, vedere Preparare la sincronizzazione della directory.

5. Abbinare l'UPN di Active Directory DS con l'UPN di Microsoft 365

Se è già stata configurata la sincronizzazione della directory, l'UPN dell'utente per Microsoft 365 potrebbe non corrispondere all'UPN di Active Directory DS dell'utente definito nell'Active Directory Domain Services. Questa condizione può verificarsi quando a un utente è stata assegnata una licenza prima della verifica del dominio. Per risolvere il problema, usare PowerShell per correggere l'UPN duplicato per aggiornare l'UPN dell'utente e assicurarsi che l'UPN di Microsoft 365 corrisponda al dominio e al nome utente dell'azienda. Se si aggiorna l'UPN in Servizi di dominio Active Directory e si vuole che venga sincronizzato con l'identità di Microsoft Entra, è necessario rimuovere la licenza dell'utente in Microsoft 365 prima di apportare le modifiche in Servizi di dominio Active Directory.

Vedere anche Come preparare un dominio non instradabile, ad esempio un dominio con estensione local, per la sincronizzazione della directory.

Passaggi successivi

Dopo aver completato i passaggi da 1 a 5, vedere Configurare la sincronizzazione della directory.