Oparte na użytkownikach dołączanie hybrydowe do usługi Microsoft Entra: Zwiększanie limitu konta komputera w jednostce organizacyjnej (OU)

Celem dodatku Intune Connector for Active Directory jest dołączanie komputerów do domeny i dodawanie ich do jednostki organizacyjnej. Z tego powodu zarządzane konto usługi używane dla łącznika usługi Intune dla usługi Active Directory musi mieć uprawnienia do tworzenia kont komputerów w jednostce organizacyjnej, w której komputery są przyłączone do domeny lokalnej.

W przypadku uprawnień domyślnych w usłudze Active Directory przyłączenia do domeny za pomocą łącznika usługi Intune dla usługi Active Directory mogą początkowo działać bez modyfikacji uprawnień jednostki organizacyjnej w usłudze Active Directory. Jednak gdy MSA podejmie próbę przyłączenia więcej niż 10 komputerów do domeny lokalnej, przestanie działać, ponieważ domyślnie usługa Active Directory zezwala na przyłączenie do domeny lokalnej najwyżej 10 komputerów z jednym kontem.

Następujący użytkownicy nie są ograniczeni przez przyłączenie do domeny z 10 komputerami:

• Użytkownicy w grupach Administratorzy lub Administratorzy domeny: W celu zapewnienia zgodności z modelem zasad najmniejszych uprawnień firma Microsoft nie zaleca nadawania MSA uprawnień administratora ani administratora domeny.
• Użytkownicy z delegowanymi uprawnieniami do jednostek organizacyjnych (OU) i kontenerów w usłudze Active Directory w celu tworzenia kont komputerów: Ta metoda jest zalecana, ponieważ jest zgodna z modelem zasad najmniejszych uprawnień.

Aby usunąć to ograniczenie, MSA musi mieć uprawnienie Tworzenie kont komputerów w jednostce organizacyjnej (OU), do której są przyłączone komputery w domenie lokalnej. Łącznik usługi Intune dla usługi Active Directory ustawia uprawnienia dla kont MSA na jednostki organizacyjne, o ile spełniony jest jeden z następujących warunków:

• Administrator instalujący łącznik usługi Intune dla usługi Active Directory ma niezbędne uprawnienia do ustawiania uprawnień dla jednostek organizacyjnych.
• Administrator konfigurujący łącznik usługi Intune dla usługi Active Directory ma niezbędne uprawnienia do ustawiania uprawnień dla jednostek organizacyjnych.

Jeśli administrator instalujący lub konfigurujący łącznik usługi Intune dla usługi Active Directory nie ma uprawnień niezbędnych do ustawiania uprawnień dla jednostek organizacyjnych, należy wykonać następujące czynności:

1. Zaloguj się na komputerze, który ma dostęp do konsoli Użytkownicy i komputery usługi Active Directory, za pomocą konta z uprawnieniami niezbędnymi do ustawiania uprawnień w jednostkach organizacyjnych.

2. Otwórz konsolę Użytkownicy i komputery usługi Active Directory, uruchamiając polecenie DSA.msc.

3. Rozwiń żądaną domenę i przejdź do jednostki organizacyjnej (OU), do której są przyłączane komputery podczas rozwiązania Windows Autopilot.

   Uwaga

   Jednostka organizacyjna, do której komputery dołączają podczas wdrażania programu Windows Autopilot, jest określana później w kroku Konfigurowanie i przypisywanie profilu przyłączania do domeny .

4. Kliknij prawym przyciskiem myszy jednostkę organizacyjną i wybierz polecenie Właściwości.

   Uwaga

   Jeśli komputery dołączają do domyślnego kontenera Komputery , a nie do jednostki organizacyjnej, kliknij prawym przyciskiem myszy kontener Komputery i wybierz polecenie Deleguj kontrolę.

5. W otwartym oknie Właściwości jednostki organizacyjnej wybierz kartę Zabezpieczenia .

6. Na karcie Zabezpieczenia wybierz pozycję Zaawansowane.

7. W oknie Zaawansowane ustawienia zabezpieczeń wybierz pozycję Dodaj.

8. W oknach wpisów uprawnień obok pozycji Podmiot zabezpieczeń wybierz link Wybierz podmiot zabezpieczeń .

9. W oknie Wybieranie użytkownika, komputera, konta usługi lub grupy wybierz przycisk Typy obiektów.

10. W oknie Typy obiektów zaznacz pole wyboru Konta usług, a następnie wybierz przycisk OK.

11. W oknie Wybieranie użytkownika, komputera, konta usługi lub grupy w obszarze Wprowadź nazwę obiektu do wybrania wprowadź nazwę konta MSA używanego dla łącznika usługi Intune dla usługi Active Directory.

    Porada

    MSA zostało utworzone podczas kroku/sekcji Instalowanie kroku/sekcji dodatku Intune Connector for Active Directory i ma format nazwymsaODJ#####, w którym ##### znajduje się pięć losowych znaków. Jeśli nazwa MSA nie jest znana, wykonaj następujące kroki, aby znaleźć nazwę MSA:

    1. Na serwerze z uruchomionym łącznikiem usługi Intune dla usługi Active Directory kliknij prawym przyciskiem myszy menu Start, a następnie wybierz pozycję Zarządzanie komputerem.
    2. W oknie Zarządzanie komputerem rozwiń węzeł Usługi i aplikacje , a następnie wybierz pozycję Usługi.
    3. In the results pane, locate the service with the name Intune ODJConnector for Active Service. Nazwa konta MSA jest wyświetlana w kolumnie Logowanie jako .

12. Wybierz pozycję Sprawdź nazwy , aby sprawdzić poprawność wpisu nazwy MSA. Po zweryfikowaniu wpisu wybierz przycisk OK.

13. W oknach Permission Entry wybierz menu rozwijane Dotyczy: , a następnie wybierz opcję Tylko ten obiekt.

14. W obszarze Uprawnienia usuń zaznaczenie wszystkich elementów, a następnie zaznacz tylko pole wyboru Utwórz obiekty komputerowe .

15. Wybierz przycisk OK , aby zamknąć okno Wpis uprawnień .

16. W oknie Zaawansowane ustawienia zabezpieczeń wybierz przycisk Zastosuj lub OK , aby zastosować zmiany.

Celem dodatku Intune Connector for Active Directory jest dołączanie komputerów do domeny i dodawanie ich do jednostki organizacyjnej. Z tego powodu serwer z uruchomionym łącznikiem usługi Intune dla usługi Active Directory musi mieć uprawnienia do tworzenia kont komputerów w jednostce organizacyjnej, w której komputery są przyłączone do domeny lokalnej.

W przypadku uprawnień domyślnych w usłudze Active Directory przyłączenia do domeny za pomocą łącznika usługi Intune dla usługi Active Directory mogą początkowo działać bez modyfikacji uprawnień jednostki organizacyjnej w usłudze Active Directory. Jednak gdy serwer z uruchomioną aplikacją Intune Connector for Active Directory spróbuje dołączyć więcej niż 10 komputerów do domeny lokalnej, przestanie działać, ponieważ domyślnie usługa Active Directory zezwala tylko na przyłączenie jednego konta do domeny lokalnej do maksymalnie 10 komputerów.

Następujący użytkownicy nie są ograniczeni przez przyłączenie do domeny z 10 komputerami:

• Użytkownicy w grupach Administratorzy lub Administratorzy domeny — w celu zachowania zgodności z modelem zasad najmniejszych uprawnień firma Microsoft nie zaleca nadawania konta komputera z uruchomionym łącznikiem usługi Intune Connector for Active Directory administratorowi ani administratorowi domeny.
• Użytkownicy z delegowanymi uprawnieniami do tworzenia kont komputerów w jednostkach organizacyjnych (OU) i kontenerach w usłudze Active Directory — ta metoda jest zalecana, ponieważ jest zgodna z modelem zasad najmniejszych uprawnień.

Aby rozwiązać to ograniczenie, serwer z uruchomionym łącznikiem usługi Intune dla usługi Active Directory musi mieć uprawnienie Tworzenie kont komputerów w jednostce organizacyjnej (OU), do której są przyłączone komputery w domenie lokalnej:

Aby zwiększyć limit konta komputera w jednostce organizacyjnej (OU), do której są dołączane komputery podczas rozwiązania Windows Autopilot, wykonaj następujące czynności na komputerze mającym dostęp do konsoli Użytkownicy i komputery usługi Active Directory:

1. Otwórz konsolę Użytkownicy i komputery usługi Active Directory, uruchamiając polecenie DSA.msc.

2. Rozwiń żądaną domenę i przejdź do jednostki organizacyjnej (OU), do której są przyłączane komputery podczas rozwiązania Windows Autopilot.

   Uwaga

   Jednostka organizacyjna, do której komputery dołączają podczas wdrażania programu Windows Autopilot, jest określana później w kroku Konfigurowanie i przypisywanie profilu przyłączania do domeny .

3. Kliknij prawym przyciskiem myszy jednostkę organizacyjną i wybierz polecenie Deleguj kontrolę.

   Uwaga

   Jeśli komputery dołączają do domyślnego kontenera Komputery , a nie do jednostki organizacyjnej, kliknij prawym przyciskiem myszy kontener Komputery i wybierz polecenie Deleguj kontrolę.

4. W oknie Kreator delegowania kontroli Kreator delegowaniakontroli — Zapraszamy! wybierz przycisk Dalej.

5. W oknie Użytkownicy lub grupy w obszarze Wybrani użytkownicy i grupy wybierz pozycję Dodaj.

6. Obok pozycji Wybierz ten typ obiektu: w oknie Wybieranie użytkowników, komputerów lub grup wybierz pozycję Typy obiektów.

7. W oknie Typy obiektów zaznacz pole wyboru Komputery, a następnie wybierz przycisk OK. Pozostałe elementy w tym oknie można pozostawić domyślne.

8. W oknie Wybieranie użytkowników, komputerów lub grup w obszarze pola Wprowadź nazwy obiektów do zaznaczenia wprowadź nazwę komputera, na którym zainstalowano dodatek Intune Connector for Active Directory w kroku Instalowanie łącznika Intune dla usługi Active Directory.

9. Wybierz pozycję Sprawdź nazwy , aby sprawdzić poprawność wpisu. Po zweryfikowaniu wpisu wybierz przycisk OK.

10. W oknie Użytkownicy lub grupy sprawdź, czy w obszarze Wybrani użytkownicy i grupy jest wyświetlany odpowiedni komputer, a następnie wybierz pozycję Dalej.

11. W oknie Zadania do delegowania wybierz pozycję Utwórz zadanie niestandardowe do delegowania, a następnie wybierz przycisk Dalej.

12. W oknie Typ obiektu usługi Active Directory :

    1. Zaznacz tylko następujące obiekty w folderze.

    2. W obszarze Tylko następujące obiekty w folderze wybierz pozycję Obiekty komputerów.

    3. Zaznacz pole wyboru Utwórz zaznaczone obiekty w tym folderze .

    4. Wybierz pozycję Dalej.

13. W oknie Uprawnienia w obszarze Uprawnienia: zaznacz pole wyboru Pełna kontrola , a następnie wybierz przycisk Dalej.

    Uwaga

    Po zaznaczeniu pola wyboru Pełna kontrola wszystkie inne opcje w obszarze Uprawnienia: zostaną automatycznie zaznaczone . Automatyczne zaznaczanie pól wyboru jest normalne i oczekiwane. Nie usuwaj zaznaczenia żadnych pól wyboru, gdy zostały automatycznie zaznaczone.

14. W oknie Kończenie procesu Kreator delegowania kontroli wybierz przycisk Zakończ.