Konfigurowanie synchronizacji urządzenia z usługą Microsoft Entra Cloud Sync

Synchronizacja urządzeń umożliwia synchronizację obiektów komputerów z usługi Active Directory (AD) do usługi Microsoft Entra ID za pomocą zadania AD2AADDeviceSync w konfiguracji synchronizacji z chmurą AD do Microsoft Entra ID. Po synchronizacji urządzenia mogą zostać dołączone hybrydowo do usługi Microsoft Entra.

Synchronizacja urządzenia jest domyślnie wyłączona. Przed rozpoczęciem upewnij się, że środowisko spełnia wymagania wstępne. Następnie skonfiguruj punkt połączenia z usługą (SCP), włącz synchronizację urządzeń, aprowizację urządzenia na żądanie, zarządzanie synchronizacją urządzeń z Microsoft Graph i odzyskiwanie usuniętych urządzeń.

Prerequisites

Upewnij się, że środowisko spełnia następujące wymagania:

• Zainstaluj agenta aprowizacji Microsoft Entra w środowisku lokalnym. Agent musi być w wersji 1.1.1107 lub nowszej. Pobierz najnowszą dostępną wersję agenta z centrum administracyjne Microsoft Entra. Aby zapoznać się z wersjami agentów, zobacz historię wersji agenta aprowizacji Microsoft Entra.
• Utwórz konfigurację synchronizacji z chmury z AD do Microsoft Entra ID. Aby uzyskać instrukcje konfiguracji, zobacz Konfigurowanie aprowizacji z Active Directory do Microsoft Entra ID.
• Identyfikator dzierżawy Microsoft Entra i zweryfikowana domena używana przez urządzenia do uwierzytelniania. W przypadku środowisk federacyjnych użyj domeny federacyjnej. W przeciwnym razie użyj domeny podstawowej *.onmicrosoft.com .
• Jeśli musisz skonfigurować SCP (punkt połączenia usługi), potrzebny jest tymczasowy dostęp do konta należącego do grupy Administratorzy przedsiębiorstwa w każdym lesie AD zawierającym komputery przyłączone do domeny. Skorzystaj z procesu dostępu uprzywilejowanego dokładnie na czas stosowanego w organizacji, jeśli taki proces jest dostępny.
• Aby skonfigurować synchronizację urządzeń w centrum administracyjne Microsoft Entra, użyj konta z co najmniej rolą administratora tożsamości hybrydowej.

Konfigurowanie punktu połączenia z usługą

Skonfiguruj obiekt SCP w każdym lesie usługi Active Directory, który zawiera komputery dołączone do domeny. Urządzenia używają SCP do odnalezienia dzierżawy Microsoft Entra, w której są rejestrowane.

Punkt połączenia usługi może być już skonfigurowany w lesie. Przed uruchomieniem skryptu zweryfikuj istniejące wartości SCP i zapisz bieżące wartości azureADName i azureADId, aby w razie potrzeby można było je przywrócić. Jeśli wartości już identyfikują zamierzonego dzierżawcę, przejdź do Włącz synchronizację urządzeń.

Aby skonfigurować SCP, wykonaj następujące kroki:

1. Zaloguj się na stacji roboczej z uprawnieniami administracyjnymi przyłączonej do domeny lub na kontrolerze domeny, używając konta należącego do grupy Enterprise Admins w bieżącym lesie. Użyj sesji Windows programu PowerShell, w której zasady organizacji zezwalają na skrypty lokalne.

2. Zapisz następujący skrypt jako ConfigureSCP.ps1:

   #
   # ConfigureSCP.ps1
   # Configures the service connection point (SCP) for Microsoft Entra hybrid join in the current forest.
   #
   # REQUIREMENT: Must be run by an Enterprise Admin of the current forest.
   #
   # EXAMPLES:
   #   .\ConfigureSCP.ps1 -Domain contoso.com -TenantId <guid>
   #   .\ConfigureSCP.ps1 -Domain contoso.onmicrosoft.com -TenantId <guid>
   #
   [CmdletBinding()]
   param(
       # Verified domain used for device authentication.
       # If you use federation, enter a federated domain name.
       # Otherwise, enter your primary *.onmicrosoft.com domain name.
       [Parameter(Mandatory = $true)]
       [ValidateNotNullOrEmpty()]
       [string]$Domain,
   
       # Microsoft Entra tenant identifier (GUID).
       [Parameter(Mandatory = $true)]
       [guid]$TenantId
   )
   
   $ErrorActionPreference = "Stop"
   
   Write-Output "Configuring the SCP for Microsoft Entra hybrid join in your Active Directory forest."
   
   try {
       ## Set variables
       $azureADName = "azureADName:" + $Domain.Trim()
       $azureADId   = "azureADId:" + $TenantId.ToString()
       $keywords    = "keywords"
       $ldap        = "LDAP://"
   
       $rootDSE    = New-Object System.DirectoryServices.DirectoryEntry($ldap + "RootDSE")
       $configCN   = $rootDSE.Properties["configurationNamingContext"][0].ToString()
       $servicesCN = "CN=Services," + $configCN
       $drcCN      = "CN=Device Registration Configuration," + $servicesCN
       $scpCN      = "CN=62a0ff2e-97b9-4513-943f-0d221bd30080," + $drcCN
   
       ## Get/Create: CN=Device Registration Configuration,CN=Services
       if ([System.DirectoryServices.DirectoryEntry]::Exists($ldap + $drcCN)) {
           $deDRC = New-Object System.DirectoryServices.DirectoryEntry($ldap + $drcCN)
       }
       else {
           $de    = New-Object System.DirectoryServices.DirectoryEntry($ldap + $servicesCN)
           $deDRC = $de.Children.Add("CN=Device Registration Configuration", "container")
           $deDRC.CommitChanges()
       }
   
       ## Edit/Create: CN=62a0ff2e-97b9-4513-943f-0d221bd30080,CN=Device Registration Configuration,CN=Services
       if ([System.DirectoryServices.DirectoryEntry]::Exists($ldap + $scpCN)) {
           $deSCP = New-Object System.DirectoryServices.DirectoryEntry($ldap + $scpCN)
           $deSCP.Properties[$keywords].Clear()
       }
       else {
           $deSCP = $deDRC.Children.Add("CN=62a0ff2e-97b9-4513-943f-0d221bd30080", "serviceConnectionPoint")
       }
   
       $deSCP.Properties[$keywords].Add($azureADName) | Out-Null
       $deSCP.Properties[$keywords].Add($azureADId)   | Out-Null
       $deSCP.CommitChanges()
   
       Write-Output "Configuration complete!"
   }
   catch {
       Write-Output "Configuration could not be completed."
       Write-Output $_
       exit 1
   }
   

3. Uruchom skrypt przy użyciu wartości dla zamierzonej dzierżawy:

   • W przypadku Domain użyj domeny federacyjnej dla środowisk federacyjnych. W przeciwnym razie użyj domeny podstawowej *.onmicrosoft.com .
   • Dla TenantId użyj identyfikatora GUID dzierżawy Microsoft Entra.

   .\ConfigureSCP.ps1 -Domain <verified-domain> -TenantId <tenant-id>
   

4. Upewnij się, że PowerShell wyświetla Configuration complete!. Jeśli zostanie wyświetlony Configuration could not be completed.komunikat , przejrzyj towarzyszący błąd i rozwiąż go przed kontynuowaniem.

5. W każdym dodatkowym lesie usługi Active Directory zawierającym komputery dołączone do domeny sprawdź istniejące wartości SCP i w razie potrzeby powtórz tę procedurę.

6. Po skonfigurowaniu wszystkich wymaganych lasów wyloguj się ze wszystkich kont Enterprise Admins i usuń lub wyłącz tymczasowy dostęp zgodnie z obowiązującą w organizacji procedurą dostępu uprzywilejowanego.

Włączanie synchronizacji urządzeń

Włącz synchronizację urządzeń w istniejącej konfiguracji synchronizacji w chmurze AD do Microsoft Entra ID.

1. Zaloguj się do centrum administracyjnego Microsoft Entra co najmniej w roli Administratora Tożsamości Hybrydowej.

2. Przejdź do Entra ID>Entra Connect>Synchronizacja z chmurą.

   

3. Wybierz istniejącą konfigurację AD do Microsoft Entra ID.

4. Wybierz Właściwości. W obszarze Podstawowe upewnij się, że synchronizacja urządzenia jest wyłączona.

   

5. Obok pozycji Podstawy wybierz ikonę edycji.

6. Wybierz pozycję Włącz synchronizację urządzeń, a następnie wybierz pozycję Zastosuj.

   

Przeglądanie atrybutów zsynchronizowanych urządzeń

Synchronizacja urządzeń z usługą Cloud Sync obsługuje następujące mapowania atrybutów urządzenia.

Mapowanie RegisteredOwnerReference jest stosowane tylko wtedy, gdy funkcja Cloud Sync po raz pierwszy znajdzie obiekt komputera w usłudze AD.

Skonfiguruj urządzenie na żądanie

Aprowizuj urządzenie na żądanie, aby uruchomić synchronizację urządzeń dla określonego obiektu komputera usługi AD.

1. Zaloguj się do centrum administracyjnego Microsoft Entra co najmniej w roli Administratora Tożsamości Hybrydowej.

2. Przejdź do Entra ID>Entra Connect>Synchronizacja z chmurą.

   

3. Wybierz istniejącą konfigurację AD do Microsoft Entra ID.
4. Wybierz opcję Świadczenie na żądanie.
5. Wybierz kartę urządzenia .
6. Wprowadź nazwę wyróżniającą komputera usługi AD.
7. Wybierz Provision.

Zarządzanie synchronizacją urządzeń za pomocą Microsoft Graph

Możesz utworzyć i uruchomić zadanie synchronizacji urządzenia lub aprowizować urządzenie na żądanie przy użyciu Microsoft Graph.

Tworzenie i uruchamianie zadania synchronizacji urządzenia

1. Użyj opcji Utwórz zadanie synchronizacji, aby utworzyć zadanie synchronizacji urządzenia.

2. W żądaniu:

   • Użyj identyfikatora jednostki usługi dla jednostki usługi AD to Microsoft Entra ID.
   • Ustaw opcję templateId na AD2AADDeviceSync.

3. Użyj Start synchronizationJob, aby uruchomić zadanie synchronizacji urządzeń.

Skonfiguruj urządzenie na żądanie za pomocą Microsoft Graph

1. Użyj polecenia Get synchronizationSchema w zadaniu synchronizacji urządzenia.

2. W odpowiedzi pobierz identyfikator reguły synchronizacji urządzenia z witryny synchronizationRules.

3. Użyj synchronizationJob: provisionOnDemand. W treści żądania ustaw:

   • objectId do nazwy rozróżniającej komputera z Użytkownicy i komputery usługi Active Directory.
   • objectTypeName do computer.
   • ruleId do identyfikatora reguły synchronizacji dla urządzenia.

Odzyskiwanie usuniętego urządzenia

Urządzenie można usunąć z Microsoft Entra ID, gdy:

• Odpowiedni komputer zostaje usunięty w usłudze Active Directory (AD), co powoduje, że funkcja Cloud Sync usuwa urządzenie w Microsoft Entra ID.
• Urządzenie zostaje odłączone od chmury po uruchomieniu dsregcmd /leave, co powoduje, że usługa Azure Device Registration Service usuwa urządzenie w Microsoft Entra ID.
• Administrator ręcznie usuwa urządzenie z Entra ID>Urządzenia w centrum administracyjne Microsoft Entra.

Jeśli usługa lub administrator inny niż synchronizacja w chmurze usunie urządzenie, usługa Cloud Sync nie utworzy ponownie urządzenia podczas następnego cyklu synchronizacji, chyba że odpowiedni obiekt komputera usługi AD ulegnie zmianie.

Użyj jednej z tych opcji, aby odzyskać urządzenie i przywrócić stan przyłączania hybrydowego:

• W centrum administracyjne Microsoft Entra przejdź do pozycji Entra ID>Urządzenia>Usunięte urządzenia, a następnie przywróć urządzenie.
• Zmień odpowiedni obiekt komputera w usłudze AD, a następnie zaczekaj na następny cykl synchronizacji urządzenia.
• Skonfiguruj urządzenie na żądanie.

Treści powiązane

• Co to jest usługa Microsoft Entra Cloud Sync?
• Weryfikowanie hybrydowego dołączania do Microsoft Entra