Zelfstudie: Migreren naar Microsoft Entra Cloud Sync voor een gesynchroniseerd Active Directory-forest

In deze zelfstudie leert u hoe u migreert naar Microsoft Entra Cloud Sync voor een test-Active Directory-forest dat is gesynchroniseerd met behulp van Microsoft Entra Connect Sync.

Dit artikel bevat informatie over een basismigratie. Raadpleeg de documentatie migreren naar Microsoft Entra Cloud Sync voordat u uw productieomgeving migreert.

In deze zelfstudie leert u het volgende:

Overwegingen

Denk aan de volgende punten voordat u deze zelfstudie uitvoert:

• Zorg ervoor dat u bekend bent met de basisprincipes van Microsoft Entra Cloud Sync.

• Zorg ervoor dat u Microsoft Entra Connect Sync versie 1.4.32.0 of hoger uitvoert en dat u de synchronisatieregels hebt geconfigureerd zoals beschreven.

• Verwijder tijdens de testfase of co-existentie de organisatie-eenheid (OE), groep, domein of gerelateerde objecten uit Microsoft Entra Connect Sync-bereik niet. Houd de objecten binnen de scope en gebruik de aangepaste cloudNoFlow inkomende regel en JoinNoFlow uitgaande regel die in deze zelfstudie worden beschreven om te voorkomen dat Microsoft Entra Connect Sync het toevoegen van objecten, het verwijderen van objecten en updates van niet-verwijzingskenmerken exporteert.

  Wanneer u objecten uit het synchronisatiebereik van Microsoft Entra Connect Sync verwijdert, worden deze verwijderd uit de connectorruimte van Active Directory, de metaverse en de connectorruimte van Microsoft Entra. Deze verwijdering kan referenties in de connectorspace verwijderen en ertoe leiden dat referentieverwijderingen, zoals het verwijderen van groepslidmaatschappen, naar Microsoft Entra ID worden geëxporteerd.

• Zorg ervoor dat de objecten in de pilotscope zijn ingevuld met ms-ds-consistencyGUID, zodat Microsoft Entra Cloud Sync de objecten precies laat overeenkomen.

  Microsoft Entra Connect Sync vult ms-ds-consistencyGUID niet standaard in voor groepsobjecten.

• Volg de stappen in deze zelfstudie precies. Deze configuratie is bedoeld voor geavanceerde scenario's.

Het verwijderen van het bereik van Microsoft Entra Connect Sync plannen

Verwijder geen OE's, groepen of domeinen uit Microsoft Entra Connect Sync-bereik tijdens de co-existentie of testfase. Doe dit pas nadat de migratie voor dat bereik is voltooid en u hebt gecontroleerd of Cloud Sync gezaghebbend is voor de objecten en de bijbehorende verwijzingen.

Voordat u een bereik verwijdert uit Microsoft Entra Connect Sync, controleert u of:

• Alle objecten in dat bereik zijn opgenomen in de juiste cloudsynchronisatieconfiguratie.
• Gerelateerde objecten waarnaar wordt verwezen, zoals groepsleden en managers, worden ook gemigreerd of zijn niet meer afhankelijk van Microsoft Entra Connect Sync voor referentieonderhoud.
• Er zijn geen resterende scope-overschrijdende of domeinoverschrijdende verwijzingen die Microsoft Entra Connect Sync uit de connectorspace kan verwijderen en als verwijderingen van verwijzingen kan exporteren.

Verwijder een domein alleen uit Microsoft Entra Connect Sync nadat de migratie voor dat domein is voltooid en u zeker weet dat er geen resterende verwijzingen tussen domeinen zijn.

Vereisten

Dit zijn de vereisten voor het voltooien van deze zelfstudie

• Een testomgeving met Microsoft Entra Connect Sync versie 1.4.32.0 of hoger
• Een organisatie-eenheid of groep die binnen het synchronisatiebereik valt en kan tijdens de pilot worden gebruikt. We raden u aan te beginnen met een kleine set objecten.
• Een server waarop Windows Server 2022, Windows Server 2019 of Windows Server 2016 wordt uitgevoerd om de inrichtingsagent te hosten.
• Bronanker voor Microsoft Entra Connect Sync moet objectGuid of ms-ds-consistencyGUID zijn

Microsoft Entra Connect bijwerken

U moet minimaal Microsoft Entra Connect 1.4.32.0 hebben. Als u Microsoft Entra Connect Sync wilt bijwerken, volgt u de stappen in Microsoft Entra Connect: upgraden naar de nieuwste versie.

Een back-up maken van uw Microsoft Entra Connect-configuratie

Maak een back-up van uw Microsoft Entra Connect-configuratie voordat u wijzigingen aanbrengt. Op deze manier kunt u teruggaan naar uw vorige configuratie. Zie Microsoft Entra Connect-configuratie-instellingen importeren en exporterenvoor meer informatie.

De planner stoppen

Microsoft Entra Connect Sync synchroniseert wijzigingen die plaatsvinden in uw on-premises directory met behulp van een scheduler. Als u aangepaste regels wilt wijzigen en toevoegen, wilt u de planner uitschakelen, zodat synchronisaties niet worden uitgevoerd terwijl u werkt en de wijzigingen aanbrengt. Gebruik de volgende stappen om de scheduler te stoppen:

1. Open PowerShell met beheerdersbevoegdheden op de server waarop Microsoft Entra Connect Sync wordt uitgevoerd.
2. Voer Stop-ADSyncSyncCycle uit. Druk op Enter.
3. Voer Set-ADSyncScheduler -SyncCycleEnabled $false uit.

Een aangepaste regel voor inkomend verkeer van gebruikers maken

Maak in de Microsoft Entra Connect Synchronization Rules Editor een inkomende synchronisatieregel die het kenmerk cloudNoFlow instelt op True voor gebruikers in de organisatie-eenheid of groep die u voor de pilot hebt geïdentificeerd. Dit kenmerk wordt later in deze zelfstudie gebruikt met de JoinNoFlow uitgaande regel om te voorkomen dat Microsoft Entra Connect Sync objecttoevoegingen, objectverwijderingen en updates van niet-verwijzingskenmerken voor deze gebruikers exporteert. Updates van referentiekenmerken, zoals member en manager, kunnen nog steeds worden doorgegeven voor het oplossen van verwijzingen.

1. Open de editor voor synchronisatieregels in het toepassingsmenu op het bureaublad.

   

2. Onder Richting, selecteer Inkomend in de vervolgkeuzelijst. Selecteer vervolgens Nieuwe regel toevoegen.

   

3. Voer op de pagina Beschrijving de volgende waarden in en selecteer Volgende:

   • Naam: geef de regel een betekenisvolle naam.
   • Beschrijving: Voeg een zinvolle beschrijving toe.
   • Connected System: kies de Microsoft Entra-connector waarvoor u de aangepaste synchronisatieregel schrijft.
   • Type verbonden systeemobject: selecteer gebruiker.
   • Metaverse-objecttype: Persoon selecteren.
   • koppelingstype: selecteer Samenvoegen.
   • Prioriteit: Geef een waarde op die uniek is in het systeem.
   • Tag: Laat dit veld leeg.

   

4. Voer op de pagina Bereikfilter de OU of beveiligingsgroep in waarop u de testfase wilt baseren. Als u wilt filteren op OE, voegt u het OE-gedeelte van de onderscheidende naam toe. Deze regel is van toepassing op alle gebruikers die zich in die organisatie-eenheid bevinden. Dus als de onderscheiden naam (DN) eindigt op OU=CPUsers,DC=contoso,DC=com, voegt u dit filter toe. Ga daarna naar Volgende.

   Regel	Kenmerk	Bediener	Waarde
   Bereik organisatie-eenheid	DN	ENDSWITH	Onderscheidende naam van de OE.
   Bereikgroep		ISMEMBEROF	Onderscheiden naam van de beveiligingsgroep.

   

5. Op de Join-regelspagina, selecteer Volgende.

6. Voeg op de pagina Transformaties een constante transformatie toe: Bronwaarde Waar voor het cloudNoFlow-kenmerk. Selecteer Toevoegen.

   

Volg dezelfde stappen voor alle objecttypen (gebruiker, groep en contactpersoon). Herhaal de stappen op basis van de geconfigureerde Active Directory-connector of het Active Directory-forest.

Maak een aangepaste uitgaande regel voor gebruikers

U hebt een uitgaande synchronisatieregel nodig met een koppelingstype JoinNoFlow en een bereikfilter dat het cloudNoFlow kenmerk heeft ingesteld op True. Deze regel zorgt ervoor dat Microsoft Entra Connect Sync voor deze gebruikers geen toevoegingen van objecten, verwijderingen van objecten of updates van niet-verwijzingskenmerken exporteert. Updates van referentiekenmerken, zoals member en manager, kunnen nog steeds worden doorgegeven voor het oplossen van referenties.

1. Selecteer onder RichtingUitgaand in de vervolgkeuzelijst. Selecteer vervolgens Regel toevoegen.

   

2. Voer op de pagina Beschrijving de volgende waarden in en selecteer Volgende:

   • Naam: geef de regel een betekenisvolle naam.
   • Beschrijving: Voeg een zinvolle beschrijving toe.
   • Connected System: kies de Microsoft Entra-connector waarvoor u de aangepaste synchronisatieregel schrijft.
   • Type verbonden systeemobject: selecteer gebruiker.
   • Metaverse-objecttype: Persoon selecteren.
   • koppelingstype: selecteer JoinNoFlow-.
   • Prioriteit: Geef een waarde op die uniek is in het systeem.
   • Tag: Laat dit veld leeg.

   

3. Selecteer voor het kenmerk op de pagina Bereikfilter de optie cloudNoFlow. Voor waarde, selecteer Waar. Ga daarna naar Volgende.

   

4. Op de regels voor samenvoegen pagina, selecteer Volgende.

5. Selecteer Toevoegen op de pagina Transformaties.

Volg dezelfde stappen voor alle objecttypen (gebruiker, groep en contactpersoon).

Microsoft Entra-voorzieningsagent installeren

Als u de zelfstudie Basic Active Directory en Azure-omgeving gebruikt, kies dan CP1. Volg deze stappen om de agent te installeren.

1. Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een hybride identiteitsbeheerder.

2. Selecteer In het linkerdeelvenster Entra Connect en selecteer vervolgens CloudSynchronisatie.

   

3. Selecteer in het linkerdeelvenster Agents.

4. Selecteer on-premises agentdownloaden en selecteer vervolgens Voorwaarden accepteren &downloaden.

   

5. Nadat u het Microsoft Entra Connect Provisioning Agent Package hebt gedownload, voert u het AADConnectProvisioningAgentSetup.exe installatiebestand uit vanuit de downloadmap.

6. Op het scherm dat wordt geopend, vink je het selectievakje Ik ga akkoord met de licentievoorwaarden aan en selecteer daarna Installeren.

   

7. Nadat de installatie is voltooid, wordt de configuratiewizard geopend. Selecteer Volgende om de configuratie te starten.

   

8. Meld u aan met een account met ten minste de Hybride Identiteitsbeheerder-rol. Als u verbeterde beveiliging van Internet Explorer hebt ingeschakeld, wordt de aanmelding geblokkeerd. Sluit de installatie, schakel verbeterde beveiliging van Internet Explorer uit en start de installatie van het Microsoft Entra Provisioning Agent-pakket opnieuw.

   

9. Selecteer een groepsbeheerd serviceaccount (gMSA) op het scherm Serviceaccount configureren. Dit account wordt gebruikt om de agentservice uit te voeren. Als een beheerd serviceaccount al door een andere agent is geconfigureerd in uw domein en u een tweede agent installeert, selecteert u gMSA aanmaken. Het systeem detecteert het bestaande account en voegt de vereiste machtigingen voor de nieuwe agent toe om het gMSA-account te gebruiken. Wanneer u hierom wordt gevraagd, kiest u een van de volgende twee opties:

   • gMSA-maken: laat de agent het provAgentgMSA$ beheerde serviceaccount voor u maken. Het beheerde serviceaccount van de groep (bijvoorbeeld CONTOSO\provAgentgMSA$) wordt aangemaakt in hetzelfde Active Directory-domein waar de hostserver is toegevoegd. Als u deze optie wilt gebruiken, voert u de referenties van de Active Directory-domeinbeheerder in (aanbevolen).
   • Aangepaste gMSA-gebruiken: geef de naam op van het beheerde serviceaccount dat u handmatig voor deze taak hebt gemaakt.

   

10. Selecteer Volgende om door te gaan.

11. Als uw domeinnaam wordt weergegeven onder Geconfigureerde domeinen, gaat u naar de volgende stap in het scherm Active Directory verbinden. Voer anders uw Active Directory-domeinnaam in en selecteer Directory toevoegen.

    

12. Meld u aan met uw Active Directory-domeinbeheerdersaccount. Het domeinbeheerdersaccount mag geen verlopen wachtwoord hebben. Als het wachtwoord is verlopen of tijdens de installatie van de agent wordt gewijzigd, configureert u de agent opnieuw met de nieuwe referenties. Met deze bewerking wordt uw on-premises map toegevoegd. Selecteer OK-en selecteer vervolgens Volgende om door te gaan.

13. Selecteer Volgende om door te gaan.

14. Selecteer Bevestigen in het scherm Configuratie voltooid. Met deze bewerking wordt de agent geregistreerd en opnieuw gestart.

    

15. Nadat de bewerking is voltooid, ziet u een melding dat uw agentconfiguratie is geverifieerd. Selecteer Afsluiten. Als u het eerste scherm nog steeds krijgt, selecteert u Sluiten.

De installatie van de agent controleren

Agentverificatie vindt plaats in Azure Portal en op de lokale server waarop de agent wordt uitgevoerd.

De agent controleren in Azure Portal

Voer de volgende stappen uit om te controleren of de Microsoft Entra-id de agent registreert:

1. Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een hybride identiteitsbeheerder.

2. Selecteer Entra Connect en selecteer vervolgens CloudSynchronisatie.

   

3. Klik op de pagina Cloudsynchronisatie op Agents om de agents te zien die u hebt geïnstalleerd. Controleer of de agent wordt weergegeven en of de status actief is.

De agent op de lokale server controleren

Voer de volgende stappen uit om te controleren of de agent actief is:

1. Meld u aan bij de server met een beheerdersaccount.

2. Ga naar Services. U kunt ook Start/Run/Services.msc gebruiken om er toegang toe te krijgen.

3. Controleer onder Services of Microsoft Azure AD Connect Agent Updater en Microsoft Azure AD Connect Provisioning Agent aanwezig zijn en of de status Wordt uitgevoerd.

   

De versie van de provisioning agent verifiëren

Volg deze stappen om de versie van de agent die wordt uitgevoerd te verifiëren:

1. Ga naar C:\Program Files\Microsoft Azure AD Connect Provisioning Agent.
2. Klik met de rechtermuisknop op AADConnectProvisioningAgent.exe en selecteer eigenschappen.
3. Selecteer het tabblad Details. Het versienummer wordt weergegeven naast de productversie.

Microsoft Entra Cloud Sync configureren

Volg deze stappen om voorziening te configureren:

1. Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een hybride identiteitsbeheerder.

2. Blader naar Entra ID>Entra Connect>Cloud-synchronisatie.

   

3. Selecteer Nieuwe configuratie.

   

4. Selecteer in het configuratiescherm uw domein en of u wachtwoord-hashsynchronisatie wilt inschakelen. Selecteer Vervolgens Maken.

   

5. Selecteer op het scherm Aan de slag de optie Bereikfilters toevoegen naast het pictogram Bereikfilters toevoegen . Of selecteer in het linkerdeelvenster onder Beheren de optie Bereikfilters.

   

6. Selecteer het scopingsfilter. Voor deze zelfstudie selecteert u Geselecteerde organisatie-eenheden. Met dit filter wordt de configuratie beperkt tot toepassing op specifieke organisatie-eenheden.

7. Voer in het vak OU=CPUsers,DC=contoso,DC=com in.

   

8. Selecteer >Opslaantoevoegen.

De taakscheduler starten

Microsoft Entra Connect Sync synchroniseert wijzigingen die plaatsvinden in uw on-premises directory met behulp van een scheduler. Nu u de regels hebt gewijzigd, kunt u de scheduler opnieuw starten.

1. Open PowerShell met beheerdersbevoegdheden op de server waarop Microsoft Entra Connect Sync wordt uitgevoerd.
2. Voer Set-ADSyncScheduler -SyncCycleEnabled $true uit.
3. Voer Start-ADSyncSyncCycle uit. Selecteer vervolgens Enter.

Nadat de scheduler is ingeschakeld, stopt Microsoft Entra Connect Sync met het exporteren van objecttoevoegingen, objectverwijderingen en updates van niet-verwijzingskenmerken voor objecten waarvoor cloudNoFlow=true in de metaverse en de uitgaande regel JoinNoFlow gebruikt. Verwijzingskenmerken worden anders verwerkt. Updates voor verwijzingskenmerken, zoals member en manager, kunnen nog steeds worden geëxporteerd voor referentieomzetting.

Als een object wordt verwijderd uit Microsoft Entra Verbindingssynchronisatiebereik, worden de verbindingsruimte en metaverse-objecten verwijderd. Verwijzingen naar of van dat object kunnen worden verwijderd in de Microsoft Entra-connectorruimte en worden geëxporteerd als referentieverwijderingen. Dit gedrag kan leiden tot verwijderingen van groepslidmaatschappen of andere verwijzingswijzigingen in Microsoft Entra ID.

Problemen oplossen

Als de testfase niet werkt zoals verwacht, gaat u terug naar de installatie van Microsoft Entra Connect Sync.

1. Provisioningconfiguratie uitschakelen in het portaal.
2. Gebruik het hulpprogramma Synchronisatieregeleditor om alle aangepaste synchronisatieregels uit te schakelen die u hebt gemaakt voor cloudinrichting. Als u uitschakelt, wordt een volledige synchronisatie op alle connectors uitgevoerd.

Groepslidmaatschappen of managerverwijzingen verwijderd

Dit probleem kan optreden als objecten worden verwijderd uit Microsoft Entra Verbindingssynchronisatiebereik, terwijl gerelateerde groepen, gebruikers, contactpersonen of andere objecten waarnaar wordt verwezen, nog steeds naast elkaar bestaan. Wanneer objecten uit het bereik worden verwijderd, verwijdert Microsoft Entra Connect Sync de bijbehorende verbindingsruimte en metaverse-objecten. Deze verwijdering kan referenties in de Microsoft Entra-connectorruimte laten vervallen en verwijderingen van referenties exporteren naar Microsoft Entra ID.

Om te herstellen, voegt u de betrokken objecten opnieuw toe aan het synchronisatiebereik van Microsoft Entra Connect Sync en voert u een volledige synchronisatie uit om de connectorruimte en metaverse-verwijzingen opnieuw op te bouwen. Voordat u het bereik opnieuw probeert te verwijderen, controleert u of Microsoft Entra Cloud Sync alle betrokken objecten inricht en dat verwijzingen, zoals groepslidmaatschappen en managerrelaties, intact blijven na een inrichtingscyclus van Cloud Sync.

Verwante inhoud

• Wat is voorziening?
• Wat is Microsoft Entra Cloud Synchronisatie?