Migrar o Write-back de Grupo do Microsoft Entra Connect Sync V2 para o Microsoft Entra Cloud Sync

Este artigo descreve como migrar o Group Writeback usando o Microsoft Entra Connect Sync (anteriormente Azure Active Directory Connect) para o Microsoft Entra Cloud Sync. Este cenário é somente para clientes que estão atualmente usando o Group Writeback do Microsoft Entra Connect v2. O processo descrito neste artigo aplica-se apenas a grupos de segurança criados na nuvem que são replicados com um escopo universal.

Este cenário só tem suporte para:

• Grupos de segurança criados na nuvem.
• Grupos gravados de volta no Active Directory com o escopo universal.

Grupos habilitados para email e listas de distribuição gravados de volta no Active Directory continuam funcionando com o recurso Write-back do Grupo do Microsoft Entra Connect, mas passam a se comportar como na versão 1 do Write-back do Grupo. Nesse cenário, depois de desabilitar o Writeback de Grupo v2, todos os grupos do Microsoft 365 serão novamente gravados no Active Directory, independentemente da configuração Writeback habilitado no Centro de Administração do Microsoft Entra. Para obter mais informações, consulte Provisionamento no Active Directory com o Microsoft Entra Cloud Sync FAQ.

Pré-requisitos

• Uma conta do Microsoft Entra com pelo menos uma função de administrador de Identidade Híbrida .

• Uma conta do Active Directory local com pelo menos permissões de administrador de domínio.

  Necessário para acessar o adminDescription atributo e copiá-lo para o msDS-ExternalDirectoryObjectId atributo.

• Ambiente local do Active Directory Domain Services que executa o Windows Server 2022, o Windows Server 2019 ou o Windows Server 2016.

  Necessário para o atributo do esquema do Active Directory msDS-ExternalDirectoryObjectId.

• Agente de provisionamento com a versão de build 1.1.1367.0 ou posterior.

• O agente de provisionamento deve ser capaz de se comunicar com os controladores de domínio nas portas TCP/389 (LDAP) e TCP/3268 (catálogo global).

  Necessário para pesquisa de catálogo global para filtrar referências de associação inválidas.

Convenção de nomenclatura para grupos gravados de volta

Por padrão, o Microsoft Entra Connect Sync usa o seguinte formato quando grupos de nomenclatura são gravados novamente:

• Formato padrão:CN=Group_<guid>,OU=<container>,DC=<domain component>
• exemplo:CN=Group_3a5c3221-c465-48c0-95b8-e9305786a271,OU=WritebackContainer,DC=Contoso,DC=com

Para facilitar a localização dos grupos que estão sendo gravados do Microsoft Entra ID no Active Directory, o Microsoft Entra Connect Sync adicionou uma opção para gravar o nome do grupo usando o nome de exibição na nuvem. Para usar essa opção, selecione Nome Diferenciado de Write-back de Grupo com Nome de Exibição na Nuvem durante a configuração inicial do Write-back de Grupo V2. Se esse recurso estiver habilitado, o Microsoft Entra Connect usará o novo formato a seguir em vez do formato padrão:

• Novo formato:CN=<display name>_<last 12 digits of object ID>,OU=<container>,DC=<domain component>

• exemplo:CN=Sales_e9305786a271,OU=WritebackContainer,DC=contoso,DC=com

Por padrão, o Microsoft Entra Cloud Sync usa o novo formato, mesmo que o recurso Nome Diferenciado do Grupo de Write-back com Nome de Exibição de Nuvem não esteja habilitado no Microsoft Entra Connect Sync. Se você usar a nomenclatura padrão do Microsoft Entra Connect Sync e migrar o grupo para que ele seja gerenciado pelo Microsoft Entra Cloud Sync, o grupo será renomeado para o novo formato. Use a seção a seguir para permitir que o Microsoft Entra Cloud Sync use o formato padrão do Microsoft Entra Connect.

Usar o formato padrão

Se você quiser que o Microsoft Entra Cloud Sync use o mesmo formato padrão que o Microsoft Entra Connect Sync, será necessário modificar a expressão de fluxo de atributo para o CN atributo. Os dois mapeamentos possíveis são:

Para obter mais informações, consulte Adicionar um mapeamento de atributo – ID do Microsoft Entra ao Active Directory.

Etapa 1: Copiar adminDescription para msDS-ExternalDirectoryObjectID

Para validar referências de associação de grupo, o Microsoft Entra Cloud Sync deve consultar o catálogo global do Active Directory para o msDS-ExternalDirectoryObjectID atributo. Esse atributo indexado é replicado em todos os catálogos globais na floresta do Active Directory.

1. Em seu ambiente on-premises, abra ADSI Edit.

2. Copie o valor que está no atributo adminDescription do grupo.

   

3. Cole o valor no atributo msDS-ExternalDirectoryObjectID.

   

Você pode usar o script do PowerShell a seguir para ajudar a automatizar esta etapa. Este script pega todos os grupos do contêiner OU=Groups,DC=Contoso,DC=com e copia o valor do atributo adminDescription para o valor do atributo msDS-ExternalDirectoryObjectID. Antes de usar esse script, atualize a variável $gwbOU com o valor DistinguishedName da unidade organizacional (OU) de destino do write-back do grupo.

# Provide the DistinguishedName of your Group Writeback target OU
$gwbOU = 'OU=Groups,DC=Contoso,DC=com'

# Get all groups written back to Active Directory
$properties = @('displayName', 'Samaccountname', 'adminDescription', 'msDS-ExternalDirectoryObjectID')
$groups = Get-ADGroup -Filter * -SearchBase $gwbOU -Properties $properties | 
    Where-Object {$_.adminDescription -ne $null} |
        Select-Object $properties

# Set msDS-ExternalDirectoryObjectID for all groups written back to Active Directory 
foreach ($group in $groups) {
    Set-ADGroup -Identity $group.Samaccountname -Add @{('msDS-ExternalDirectoryObjectID') = $group.adminDescription}
} 

Você pode usar o script do PowerShell a seguir para verificar os resultados do script anterior. Você também pode confirmar que todos os grupos têm o adminDescription valor igual ao msDS-ExternalDirectoryObjectID valor.

# Provide the DistinguishedName of your Group Writeback target OU
$gwbOU = 'OU=Groups,DC=Contoso,DC=com'


# Get all groups written back to Active Directory
$properties = @('displayName', 'Samaccountname', 'adminDescription', 'msDS-ExternalDirectoryObjectID')
$groups = Get-ADGroup -Filter * -SearchBase $gwbOU -Properties $properties | 
    Where-Object {$_.adminDescription -ne $null} |
        Select-Object $properties

$groups | select displayName, adminDescription, 'msDS-ExternalDirectoryObjectID', @{Name='Equal';Expression={$_.adminDescription -eq $_.'msDS-ExternalDirectoryObjectID'}}

Etapa 2: Colocar o servidor de Sincronização do Microsoft Entra Connect no modo de preparo e desabilitar o agendador de sincronização

1. Inicie o assistente de Sincronização do Microsoft Entra Connect.

2. Selecione Configurar.

3. Selecione Configurar o modo de preparo e selecioneAvançar.

4. Insira suas credenciais do Microsoft Entra.

5. Selecione a opção Habilitar modo de preparo e selecione Avançar.

   

6. Selecione Configurar.

7. Selecione Sair.

   

8. No servidor d seu Microsoft Entra Connect, abra um prompt do PowerShell como administrador.

9. Desabilite o agendador de sincronização:

   Set-ADSyncScheduler -SyncCycleEnabled $false  
   

Etapa 3: Criar uma regra de entrada de grupo personalizada

No Editor de Regras de Sincronização do Microsoft Entra Connect, crie uma regra de sincronização de entrada direcionada a grupos criados na nuvem que atualmente são geridos no Microsoft Entra ID e têm um atributo de e-mail NULL. Essa regra de sincronização de entrada é uma regra de junção que define o cloudNoFlow atributo como True.

A finalidade dessa regra é sinalizar esses grupos para que Microsoft Entra Connect Sync continue a reconhecê-los como objetos unidos depois que o Write-back de Grupo estiver desabilitado. Isso impede que os objetos de grupo locais existentes sejam tratados como fora do escopo durante a transição do Group Writeback no Microsoft Entra Connect Sync para o provisionamento de grupos no Microsoft Entra Cloud Sync.

Você pode criar essa regra de sincronização usando a interface do usuário ou o PowerShell com o script fornecido.

Criar uma regra de entrada de grupo personalizada na interface do usuário

1. No menu Iniciar , inicie o Editor de Regras de Sincronização.

2. Em Direção, selecione Entrada na lista suspensa e selecione Adicionar nova regra.

3. Na página Descrição , insira os seguintes valores e selecione Avançar:

   • Nome: dê à regra um nome significativo.
   • Descrição: adicionar uma descrição significativa.
   • Sistema conectado: escolha o conector do Microsoft Entra para o qual você está escrevendo a regra de sincronização personalizada.
   • Tipo de objeto do sistema conectado: selecionar grupo.
   • Tipo de Objeto do Metaverso: selecionar grupo.
   • Tipo de link: Selecione Ingressar.
   • Precedência: forneça um valor exclusivo no sistema. Recomendamos que você use um valor inferior a 100 para que ele tenha precedência sobre as regras padrão.
   • Etiqueta: Deixe o campo vazio.

   

4. Na página de filtro de escopo , adicione os seguintes valores e selecione Avançar:

   Atributo	Operador	Valor
   cloudMastered	EQUAL	true
   mail	ISNULL

   

5. Na página Regras de junção, selecione Avançar.

6. Na página Adicionar transformações , para FlowType, selecione Constante. Para o Atributo de Destino, selecionecloudNoFlow. Para Origem, selecione True.

   

7. Selecione Adicionar.

Criar uma regra de entrada para grupo personalizado no PowerShell

1. No servidor d seu Microsoft Entra Connect, abra um prompt do PowerShell como administrador.

2. Importe o módulo .

   Import-Module ADSync
   

3. Forneça um valor exclusivo para a precedência da regra de sincronização (0-99).

   # Provide the sync rule precedence (0-99)
   [int] $inboundSyncRulePrecedence = 88
   

4. Execute o seguinte script:

    New-ADSyncRule  `
    -Name 'In from AAD - Group SOAinAAD coexistence with Cloud Sync' `
    -Identifier 'e4eae1c9-b9bc-4328-ade9-df871cdd3027' `
    -Description 'https://learn.microsoft.com/entra/identity/hybrid/cloud-sync/migrate-group-writeback' `
    -Direction 'Inbound' `
    -Precedence $inboundSyncRulePrecedence `
    -PrecedenceAfter '00000000-0000-0000-0000-000000000000' `
    -PrecedenceBefore '00000000-0000-0000-0000-000000000000' `
    -SourceObjectType 'group' `
    -TargetObjectType 'group' `
    -Connector 'b891884f-051e-4a83-95af-2544101c9083' `
    -LinkType 'Join' `
    -SoftDeleteExpiryInterval 0 `
    -ImmutableTag '' `
    -OutVariable syncRule
   
    Add-ADSyncAttributeFlowMapping  `
    -SynchronizationRule $syncRule[0] `
    -Source @('true') `
    -Destination 'cloudNoFlow' `
    -FlowType 'Constant' `
    -ValueMergeType 'Update' `
    -OutVariable syncRule
   
    New-Object  `
    -TypeName 'Microsoft.IdentityManagement.PowerShell.ObjectModel.ScopeCondition' `
    -ArgumentList 'cloudMastered','true','EQUAL' `
    -OutVariable condition0
   
    New-Object  `
    -TypeName 'Microsoft.IdentityManagement.PowerShell.ObjectModel.ScopeCondition' `
    -ArgumentList 'mail','','ISNULL' `
    -OutVariable condition1
   
    Add-ADSyncScopeConditionGroup  `
    -SynchronizationRule $syncRule[0] `
    -ScopeConditions @($condition0[0],$condition1[0]) `
    -OutVariable syncRule
   
    Add-ADSyncRule  `
    -SynchronizationRule $syncRule[0]
   
    Get-ADSyncRule  `
    -Identifier 'e4eae1c9-b9bc-4328-ade9-df871cdd3027'
   

Etapa 4: Criar uma regra de saída de grupo personalizada

Você também precisa de uma regra de sincronização de saída com um tipo de link JoinNoFlow e um filtro de escopo que seleciona grupos nos quais cloudNoFlow está definido como True. Essa regra de saída mantém o relacionamento de associação após o writeback de grupo ser desabilitado na Sincronização do Microsoft Entra e impede que adições de objetos, exclusões de objetos e atualizações de atributos que não sejam de referência sejam exportados para esses grupos.

Sem essa regra, os grupos regravados anteriormente podem ser interpretados como estando fora do escopo e excluídos do Active Directory local durante o próximo ciclo de sincronização. Essa regra é necessária para desativar com segurança o Group Writeback v2, permitindo que o Microsoft Entra Cloud Sync assuma as funções de provisionamento de grupo.

Você pode criar essa regra de sincronização usando a interface do usuário ou o PowerShell com o script fornecido.

Criar uma regra personalizada de saída de grupo na interface do usuário

1. Em Direção, selecione Saída na lista suspensa e, em seguida, selecione Adicionar regra.

2. Na página Descrição , insira os seguintes valores e selecione Avançar:

   • Nome: dê à regra um nome significativo.
   • Descrição: adicionar uma descrição significativa.
   • Sistema conectado: escolha o conector do Active Directory para o qual você está escrevendo a regra de sincronização personalizada.
   • Tipo de objeto do sistema conectado: selecionar grupo.
   • Tipo de Objeto do Metaverso: selecionar grupo.
   • Tipo de link: selecione JoinNoFlow.
   • Precedência: forneça um valor exclusivo no sistema. Recomendamos que você use um valor inferior a 100 para que ele tenha precedência sobre as regras padrão.
   • Marca: deixe o campo vazio.

   

3. Na página de filtro de escopo , para Atributo, selecionecloudNoFlow. Para Operador , selecione IGUAL. Para Valor, selecione True. Em seguida, selecione Avançar.

   

4. Na página Regras de junção, selecione Avançar.

5. Na página de Transformações, selecione Adicionar.

Criar uma regra de entrada para grupo personalizado no PowerShell

1. No servidor d seu Microsoft Entra Connect, abra um prompt do PowerShell como administrador.

2. Importe o módulo .

   Import-Module ADSync
   

3. Forneça um valor exclusivo para a precedência da regra de sincronização (0-99).

   # Provide the sync rule precedence (0-99)
   [int] $outboundSyncRulePrecedence = 89
   

4. Obter o Active Directory Connector para Write-back de Grupo.

   # Provide the name of your Active Directory Connector
   $connectorAD = Get-ADSyncConnector -Name "Contoso.com"
   

5. Execute o seguinte script:

    New-ADSyncRule  `
    -Name 'Out to AD - Group SOAinAAD coexistence with Cloud Sync' `
    -Identifier '419fda18-75bb-4e23-b947-8b06e7246551' `
    -Description 'https://learn.microsoft.com/entra/identity/hybrid/cloud-sync/migrate-group-writeback' `
    -Direction 'Outbound' `
    -Precedence $outboundSyncRulePrecedence `
    -PrecedenceAfter '00000000-0000-0000-0000-000000000000' `
    -PrecedenceBefore '00000000-0000-0000-0000-000000000000' `
    -SourceObjectType 'group' `
    -TargetObjectType 'group' `
    -Connector $connectorAD.Identifier `
    -LinkType 'JoinNoFlow' `
    -SoftDeleteExpiryInterval 0 `
    -ImmutableTag '' `
    -OutVariable syncRule
   
    New-Object  `
    -TypeName 'Microsoft.IdentityManagement.PowerShell.ObjectModel.ScopeCondition' `
    -ArgumentList 'cloudNoFlow','true','EQUAL' `
    -OutVariable condition0
   
    Add-ADSyncScopeConditionGroup  `
    -SynchronizationRule $syncRule[0] `
    -ScopeConditions @($condition0[0]) `
    -OutVariable syncRule
   
    Add-ADSyncRule  `
    -SynchronizationRule $syncRule[0]
   
    Get-ADSyncRule  `
    -Identifier '419fda18-75bb-4e23-b947-8b06e7246551'
   

Etapa 5: Usar o PowerShell para concluir a configuração

1. No servidor d seu Microsoft Entra Connect, abra um prompt do PowerShell como administrador.

2. Importe o ADSync módulo:

   Import-Module ADSync
   

3. Execute um ciclo de sincronização completo:

   Start-ADSyncSyncCycle -PolicyType Initial
   

4. Desabilitar o recurso Write-back de Grupos para o locatário.

   Aviso

   essa operação é irreversível. Depois que você desabilitar o Write-back de Grupo v2, todos os grupos do Microsoft 365 serão gravados no Active Directory, independentemente da configuração de Write-back Habilitado no centro de administração do Microsoft Entra.

   Set-ADSyncAADCompanyFeature -GroupWritebackV2 $false 
   

5. Execute um ciclo de sincronização completo novamente:

   Start-ADSyncSyncCycle -PolicyType Initial
   

6. Reative o agendador de sincronização:

   Set-ADSyncScheduler -SyncCycleEnabled $true  
   

   

Etapa 6: Remover o servidor de Sincronização do Microsoft Entra Connect do modo de preparo

1. Inicie o assistente de Sincronização do Microsoft Entra Connect.
2. Selecione Configurar.
3. Selecione Configurar o modo de preparo e selecioneAvançar.
4. Insira suas credenciais do Microsoft Entra.
5. Desmarque a caixa de seleção Habilitar modo de preparo e selecione Avançar.
6. Selecione Configurar.
7. Selecione Sair.

Etapa 7: Configurar o Microsoft Entra Cloud Sync

Agora que a Sincronização do Microsoft Entra tem as regras de no-flow configuradas para os grupos existentes com writeback, configure a Sincronização do Microsoft Entra para assumir o provisionamento dos grupos de segurança no Active Directory. Para obter mais informações, consulte Provisionar grupos no Active Directory usando o Microsoft Entra Cloud Sync.

Antes de desativar Microsoft Entra Connect Sync Group Writeback, verifique se Microsoft Entra Cloud Sync provisiona os grupos e mantém suas associações em Active Directory.

Conteúdo relacionado

• Provisionar grupos no Active Directory usando o Microsoft Entra Cloud Sync
• Governe aplicativos locais baseados no Active Directory (Kerberos) usando a Governança de ID do Microsoft Entra
• Provisionamento no Active Directory com Perguntas Frequentes sobre o Microsoft Entra Cloud Sync