Användardriven Microsoft Entra hybridanslutning: Öka gränsen för datorkontot i organisationsenheten (OU)

Syftet med Intune Connector för služba Active Directory är att ansluta datorer till en domän och lägga till dem i en organisationsenhet. Därför måste det hanterade tjänstkonto som används för Intune Connector för služba Active Directory ha behörighet att skapa datorkonton i organisationsenheten där datorerna är anslutna till den lokala domänen.

Med standardbehörigheter i služba Active Directory kan domänanslutningar av Intune Connector för služba Active Directory initialt fungera utan några behörighetsändringar för organisationsenheten i služba Active Directory. Men när MSA försöker ansluta fler än 10 datorer till den lokala domänen slutar det fungera eftersom služba Active Directory som standard endast tillåter att enskilda konton ansluter upp till 10 datorer till den lokala domänen.

Följande användare begränsas inte av begränsningen att ansluta till domäner med 10 datorer:

• Användare i grupperna Administratörer eller Domänadministratörer: För att följa modellen med principer för minsta behörighet rekommenderar Microsoft inte att du gör MSA till administratör eller domänadministratör.
• Användare med delegerade behörigheter för organisationsenheter (OU) och containrar i služba Active Directory för att skapa datorkonton: Den här metoden rekommenderas eftersom den följer modellen för principer med lägsta behörighet.

För att åtgärda den här begränsningen behöver MSA behörigheten Skapa datorkonton i organisationsenheten (OU) där datorerna är anslutna i den lokala domänen. Intune Connector för služba Active Directory anger behörigheter för MSA till organisationsenheterna så länge något av följande villkor är uppfyllt:

• Administratören som installerar Intune Connector för služba Active Directory har nödvändiga behörigheter för att ange behörigheter för organisationsenheterna.
• Administratören som konfigurerar Intune Connector för služba Active Directory har nödvändiga behörigheter för att ange behörigheter för organisationsenheterna.

Om administratören som installerar eller konfigurerar Intune Connector för služba Active Directory inte har nödvändiga behörigheter för att ange behörigheter för organisationsenheterna måste följande steg följas:

1. Logga in på en dator som har åtkomst till konsolen Active Directory - användare och datorer med ett konto som nödvändig behörighet för att ange behörigheter för organisationsenheter.

2. Öppna konsolen Active Directory - användare och datorer genom att köra DSA.msc.

3. Expandera önskad domän och navigera till den organisationsenhet (OU) som datorerna ansluter till under Windows Autopilot.

   Obs!

   Den organisationsenhet som datorer ansluter till under Windows Autopilot-distributionen anges senare under steget Konfigurera och tilldela domänanslutningsprofil .

4. Högerklicka på organisationsenheten och välj Egenskaper.

   Obs!

   Om datorer ansluter till standarddatorbehållaren i stället för en organisationsenhet högerklickar du på datorbehållaren och väljer Delegera kontroll.

5. I fönstret Egenskaper för organisationsenheten som öppnas väljer du fliken Säkerhet .

6. Välj Avancerat på fliken Säkerhet.

7. I fönstret Avancerade säkerhetsinställningar väljer du Lägg till.

8. Välj länken Välj ett huvudnamn bredvid Behörighetspost bredvid Behörighetspost.

9. I fönstret Välj användare, dator, tjänstkonto eller grupp väljer du knappen Objekttyper.

10. I fönstret Objekttyper markerar du kryssrutan Tjänstkonton och väljer sedan OK.

11. I fönstret Välj användare, dator, tjänstkonto eller grupp under Ange det objektnamn som ska väljas anger du namnet på den MSA som används för Intune Connector för služba Active Directory.

    Tips

    MSA skapades under steget/avsnittet Installera Intune Connector för služba Active Directory och har namnformatet msaODJ##### där ##### är fem slumpmässiga tecken. Om MSA-namnet inte är känt följer du dessa steg för att hitta MSA-namnet:

    1. På servern som kör Intune Connector för služba Active Directory högerklickar du på Start-menyn och väljer sedan Datorhantering.
    2. I fönstret Datorhantering expanderar du Tjänster och program och väljer sedan Tjänster.
    3. I resultatfönstret letar du upp tjänsten med namnet Intune ODJConnector för aktiv tjänst. MSA-namnet visas i kolumnen Logga in som .

12. Välj Kontrollera namn för att verifiera MSA-namnposten. När posten har verifierats väljer du OK.

13. I fönstret Behörighetspost väljer du den nedrullningsbara menyn Gäller för: och väljer sedan endast det här objektet.

14. Avmarkera alla objekt under Behörigheter och markera sedan endast kryssrutan Skapa datorobjekt .

15. Välj OK för att stänga fönstret Behörighetspost .

16. I fönstret Avancerade säkerhetsinställningar väljer du Verkställ eller OK för att tillämpa ändringarna.

Syftet med Intune Connector för služba Active Directory är att ansluta datorer till en domän och lägga till dem i en organisationsenhet. Därför måste servern som kör Intune Connector för služba Active Directory ha behörighet att skapa datorkonton i organisationsenheten där datorerna är anslutna till den lokala domänen.

Med standardbehörigheter i služba Active Directory kan domänanslutningar av Intune Connector för služba Active Directory initialt fungera utan några behörighetsändringar för organisationsenheten i služba Active Directory. Men när servern som kör Intune Connector för služba Active Directory försöker ansluta fler än 10 datorer till den lokala domänen slutar den fungera eftersom služba Active Directory som standard endast tillåter ett enskilt konto att ansluta upp till 10 datorer till den lokala domänen.

Följande användare begränsas inte av begränsningen att ansluta till domäner med 10 datorer:

• Användare i grupperna Administratörer eller Domänadministratörer – för att följa modellen för principer med lägsta behörighet rekommenderar Microsoft inte att göra datorkontot som kör Intune Connector för služba Active Directory till administratör eller domänadministratör.
• Användare med delegerade behörigheter för organisationsenheter (OU) och containrar i služba Active Directory för att skapa datorkonton – den här metoden rekommenderas eftersom den följer modellen för principer med lägsta behörighet.

För att åtgärda den här begränsningen behöver servern som kör Intune Connector för služba Active Directory behörigheten Skapa datorkonton i organisationsenheten (OU) där datorerna är anslutna i den lokala domänen:

Om du vill öka gränsen för datorkontot i organisationsenheten (OU) som datorer ansluter till under Windows Autopilot följer du dessa steg på en dator som har åtkomst till konsolen Active Directory - användare och datorer:

1. Öppna konsolen Active Directory - användare och datorer genom att köra DSA.msc.

2. Expandera önskad domän och navigera till den organisationsenhet (OU) som datorerna ansluter till under Windows Autopilot.

   Obs!

   Den organisationsenhet som datorer ansluter till under Windows Autopilot-distributionen anges senare under steget Konfigurera och tilldela domänanslutningsprofil .

3. Högerklicka på organisationsenheten och välj Delegera kontroll.

   Obs!

   Om datorer ansluter till standarddatorbehållaren i stället för en organisationsenhet högerklickar du på datorbehållaren och väljer Delegera kontroll.

4. I fönstret Välkommen till guiden Delegering av kontroll i guiden Delegering av kontroll väljer du Nästa.

5. Välj Lägg till under Markerade användare och grupper i fönstret Användare eller grupper.

6. Bredvid Välj den här objekttypen: Välj Objekttyper i fönstret Välj användare, datorer eller grupper.

7. I fönstret Objekttyper markerar du kryssrutan Datorer och väljer sedan OK. De andra objekten i det här fönstret kan lämnas med standardinställningarna.

8. I fönstret Välj användare, datorer eller grupper under rutan Ange de objektnamn som ska väljas anger du namnet på den dator där Intune Connector för služba Active Directory installerades under steget Installera Intune Connector för služba Active Directory.

9. Välj Kontrollera namn för att verifiera posten. När posten har verifierats väljer du OK.

10. I fönstret Användare eller grupper kontrollerar du att rätt dator visas under Markerade användare och grupper: och väljer sedan Nästa.

11. I fönstret Uppgifter att delegera väljer du Skapa en anpassad uppgift att delegera och väljer sedan Nästa.

12. I fönstret služba Active Directory-objekttyp :

    1. Markera endast följande objekt i mappen.

    2. Välj Datorobjektunder Endast följande objekt i mappen.

    3. Markera kryssrutan Skapa markerade objekt i den här mappen .

    4. Välj Nästa.

13. I fönstret Behörigheter: markerar du kryssrutan Fullständig behörighet och väljer sedan Nästa.

    Obs!

    När du har markerat kryssrutan Fullständig kontroll markeras alla andra alternativ under Behörigheter: automatiskt. Det automatiska valet av kryssrutor är normalt och förväntat. Avmarkera inte någon av kryssrutorna när de har markerats automatiskt.

14. I fönstret Slutför guiden Delegering av kontroll väljer du Slutför.