Gebruikersgestuurde hybride deelname aan Microsoft Entra: de limiet voor computeraccounts in de organisatie-eenheid (OU) verhogen

Met Intune Connector voor Active Directory kunt u computers koppelen aan een domein en deze toevoegen aan een organisatie-eenheid. Daarom moet het Managed Service-account dat wordt gebruikt voor de Intune-connector voor Active Directory, beschikken over machtigingen voor het maken van computeraccounts in de organisatie-eenheid waaraan de computers zijn gekoppeld aan het on-premises domein.

Met standaardmachtigingen in Active Directory werken domeinkoppelingen door de Intune-connector voor Active Directory mogelijk in eerste instantie zonder dat de machtigingen voor de organisatie-eenheid in Active Directory zijn gewijzigd. Wanneer MSA echter meer dan tien computers aan het on-premises domein wil koppelen, werkt MSA niet meer omdat in Active Directory standaard slechts één account kan worden gekoppeld aan maximaal tien computers aan het on-premises domein.

De volgende gebruikers worden niet beperkt door de beperking van deelname aan domeinen met 10 computers:

• Gebruikers in de groep Administrators of Domeinbeheerders: om te voldoen aan het model met de principes met de minste bevoegdheden, raadt Microsoft af om de MSA een beheerder of domeinbeheerder te maken.
• Gebruikers met gedelegeerde machtigingen voor organisatie-eenheden en containers in Active Directory om computeraccounts te maken: Deze methode wordt aanbevolen, omdat hiervoor het model wordt gevolgd volgens principes met de minste bevoegdheden.

De MSA lost deze beperking alleen op als de MSA de machtiging Computeraccounts maken nodig in de organisatie-eenheid (OU) waarmee de computers zijn verbonden in het on-premises domein. De Intune Connector voor Active Directory stelt de machtigingen voor de MSA's voor de organisatie-eenheden in als aan een van de volgende voorwaarden wordt voldaan:

• De beheerder die de Intune Connector voor Active Directory installeert, beschikt over de benodigde machtigingen om machtigingen in te stellen voor de organisatie-eenheden.
• De beheerder die de Intune-connector voor Active Directory configureert, beschikt over de benodigde machtigingen om machtigingen voor de organisatie-eenheden in te stellen.

Als de beheerder die de Intune Connector voor Active Directory installeert of configureert, niet over de benodigde machtigingen beschikt om machtigingen voor de organisatie-eenheden in te stellen, moet u de volgende stappen volgen:

1. Meld u aan bij een computer die toegang heeft tot de Active Directory: gebruikers en computers console met een account dat als de benodigde machtigingen voor het instellen van machtigingen voor organisatie-eenheden.

2. Open de console Active Directory: gebruikers en computers door DSA.msc uit te voeren.

3. Vouw het gewenste domein uit en navigeer naar de organisatie-eenheid (OU) waaraan computers deelnemen tijdens Windows Autopilot.

   Opmerking

   De organisatie-eenheid waaraan computers deelnemen tijdens de Windows Autopilot-implementatie wordt later opgegeven tijdens de stap Domeindeelname configureren en toewijzen .

4. Klik met de rechtermuisknop op de organisatie-eenheid en selecteer Eigenschappen.

   Opmerking

   Als computers deelnemen aan de standaardcontainer Computers in plaats van een organisatie-eenheid, klikt u met de rechtermuisknop op de container Computers en selecteert u Beheer delegeren.

5. Selecteer het tabblad Beveiliging in het venster Eigenschappen van organisatie-eenheid dat wordt geopend.

6. Selecteer op het tabblad Beveiliging de optie Geavanceerd.

7. Selecteer Toevoegen in het venster Geavanceerde beveiligingsinstellingen.

8. Selecteer in het venster Toegangsmachtiging , naast de hoofd, de koppeling Een principal selecteren .

9. Selecteer de knop Objecttypen... in het venster Gebruiker, computer, serviceaccount of groep selecteren.

10. Schakel in het venster Objecttypen het selectievakje Serviceaccounts in en selecteer vervolgens OK.

11. Voer in het venster Gebruiker, computer, serviceaccount of groep onder Enter the object name to select de naam in van de MSA die wordt gebruikt voor de Intune Connector for Active Directory.

    Tip

    De MSA is gemaakt tijdens de stap/sectie Install the Intune Connector for Active Directory en heeft de naamnotatie msaODJ##### waar ##### vijf willekeurige tekens staan. Als de MSA-naam niet bekend is, volgt u deze stappen om de MSA-naam te vinden:

    1. Klik op de server waarop de Intune Connector for Active Directory wordt uitgevoerd, met de rechtermuisknop op het menu Start en selecteer vervolgens Computerbeheer.
    2. Vouw in het venster Computerbeheer Services en toepassingen uit en selecteer Services.
    3. Zoek in het resultatenvenster de service met de naam Intune ODJConnector for Active Service. De naam van het MSA wordt vermeld in de kolom Aanmelden als .

12. Selecteer Namen controleren om de vermelding van de MSA-naam te valideren. Selecteer OK wanneer de invoer is gevalideerd.

13. Selecteer in het venster Vermelding op machtiging het vervolgkeuzemenu Van toepassing op: en selecteer vervolgens Alleen dit object.

14. Schakel onder Machtigingen de selectie van alle items ongedaan en schakel vervolgens alleen het selectievakje Computerobjecten maken in.

15. Selecteer OK om het venster Vermelding van machtigingen te sluiten.

16. Selecteer in het venster Geavanceerde beveiligingsinstellingen de optie Toepassen of OK om de wijzigingen toe te passen.

Met Intune Connector voor Active Directory kunt u computers koppelen aan een domein en deze toevoegen aan een organisatie-eenheid. Daarom moet de server waarop de Intune Connector voor Active Directory wordt uitgevoerd, beschikken over machtigingen voor het maken van computeraccounts in de organisatie-eenheid waarin de computers zijn gekoppeld aan het on-premises domein.

Met standaardmachtigingen in Active Directory werken domeinkoppelingen door de Intune-connector voor Active Directory mogelijk in eerste instantie zonder dat de machtigingen voor de organisatie-eenheid in Active Directory zijn gewijzigd. Nadat de server waarop de Intune Connector voor Active Directory wordt uitgevoerd, echter meer dan tien computers aan het on-premises domein wil koppelen, werkt de server niet meer omdat in Active Directory standaard slechts één account kan worden gekoppeld aan maximaal tien computers van het on-premises domein.

De volgende gebruikers worden niet beperkt door de beperking van deelname aan domeinen met 10 computers:

• Gebruikers in de groepen Administrators of Domeinadministrators - om te voldoen aan het model met de principes met de minste bevoegdheden, raadt Microsoft af om het computeraccount waarop de Intune Connector for Active Directory wordt uitgevoerd, in te stellen als beheerder of domeinbeheerder.
• Gebruikers met gedelegeerde machtigingen voor organisatie-eenheden (organisatie-eenheden) en containers in Active Directory om computeraccounts te maken. Deze methode wordt aanbevolen, omdat daarbij het model wordt gevolgd volgens de principes met de minste bevoegdheden.

U lost deze beperking op wanneer de server waarop de Intune-connector voor Active Directory wordt uitgevoerd, de machtiging Computeraccounts maken nodig in de organisatie-eenheid (OU) waarmee de computers zijn gekoppeld in het on-premises domein:

Als u de limiet voor computeraccounts wilt verhogen in de organisatie-eenheid (OU) waaraan computers deelnemen tijdens Windows Autopilot, voert u deze stappen uit op een computer die toegang heeft tot de console Active Directory: gebruikers en computers:

1. Open de console Active Directory: gebruikers en computers door DSA.msc uit te voeren.

2. Vouw het gewenste domein uit en navigeer naar de organisatie-eenheid (OU) waaraan computers deelnemen tijdens Windows Autopilot.

   Opmerking

   De organisatie-eenheid waaraan computers deelnemen tijdens de Windows Autopilot-implementatie wordt later opgegeven tijdens de stap Domeindeelname configureren en toewijzen .

3. Klik met de rechtermuisknop op de organisatie-eenheid en selecteer Beheer overdragen.

   Opmerking

   Als computers deelnemen aan de standaardcontainer Computers in plaats van een organisatie-eenheid, klikt u met de rechtermuisknop op de container Computers en selecteert u Beheer delegeren.

4. Selecteer Volgende in het venster Welkom bij de wizard Machtiging van besturing van de wizard Overdracht van beheer.

5. Selecteer Toevoegen in het venster Gebruikers of groepen onder Geselecteerde gebruikers en groepen.

6. Naast Selecteer dit objecttype: in het venster Gebruikers, computers of groepen selecteren , selecteert u Objecttypen.

7. Schakel in het venster Objecttypen het selectievakje Computers in en selecteer vervolgens OK. U kunt de andere items in dit venster op hun standaardwaarde laten staan.

8. Voer in het venster Gebruikers, computers of groepen selecteren onder het vak De te selecteren objectnamen invoeren de naam in van de computer waarop de Intune Connector voor Active Directory is geïnstalleerd tijdens de stap De Intune Connector voor Active Directory installeren.

9. Selecteer Namen controleren om de invoer te valideren. Selecteer OK wanneer de invoer is gevalideerd.

10. Controleer in het venster Gebruikers of groepen of de juiste computer wordt weergegeven onder Geselecteerde gebruikers en groepen: en selecteer vervolgens Volgende.

11. Selecteer in het venster Taken om te delegeren de optie Een aangepaste taak maken om te delegeren en selecteer vervolgens Volgende.

12. In het venster Active Directory-objecttype :

    1. Selecteer alleen de volgende objecten in de map.

    2. Selecteer onder Alleen de volgende objecten in de mapde optie Computerobjecten.

    3. Schakel het selectievakje Geselecteerde objecten in deze map maken in.

    4. Selecteer Volgende.

13. Schakel in het venster Machtigingen onder Machtigingen het selectievakje Volledig beheer in en selecteer Volgende.

    Opmerking

    Nadat het selectievakje Volledig beheer is ingeschakeld, worden alle andere opties onder Machtigingen: automatisch ingeschakeld. De automatische selectie van de selectievakjes is normaal en verwacht. Schakel geen selectievakjes uit nadat ze automatisch zijn ingeschakeld.

14. Selecteer Voltooien in het venster van de wizard Controleoverdracht voltooien.