Migrera Microsoft Entra Connect Sync Group Writeback v2 till Microsoft Entra Cloud Sync

Den här artikeln beskriver hur du migrerar Group Writeback med hjälp av Microsoft Entra Connect Sync (tidigare Azure Active Directory Connect) till Microsoft Entra Cloud Sync. Detta scenario är endast för kunder som för närvarande använder Microsoft Entra Connect Group Writeback v2. Processen som beskrivs i den här artikeln gäller endast molnskapade säkerhetsgrupper som skrivs tillbaka med ett universellt omfång.

Det här scenariot stöds endast för:

• Molnbaserade säkerhetsgrupper.
• Grupper som skrivits tillbaka till služba Active Directory med omfånget universellt.

E-postaktiverade grupper och distributionslistor som skrivs tillbaka till služba Active Directory fortsätter att fungera med Microsoft Entra Connect-gruppstödet för tillbakaskrivning, men återgår till det beteende som fanns i version 1 av gruppstödet för tillbakaskrivning. När du har inaktiverat tillbakaskrivning av grupp v2, skrivs alla Microsoft 365-grupper tillbaka till služba Active Directory oberoende av inställningen Tillbakaskrivning aktiverat i administrationscentret för Microsoft Entra. Mer information finns i Provisionera till služba Active Directory med FAQ om Microsoft Entra Cloud Sync.

Förutsättningar

• Ett Microsoft Entra-konto med minst en hybrididentitetsadministratör roll.

• Ett lokalt Active Directory-konto med minst domänadministratörsbehörighet.

  Krävs för att komma åt attributet adminDescription och kopiera det till attributet msDS-ExternalDirectoryObjectId.

• Lokal Doménové služby Active Directory-miljö som kör Windows Server 2022, Windows Server 2019 eller Windows Server 2016.

  Krävs för active directory-schemaattributet msDS-ExternalDirectoryObjectId.

• Etableringsagent med version 1.1.1367.0 eller senare.

• Etableringsagenten måste kunna kommunicera med domänkontrollanterna på portarna TCP/389 (LDAP) och TCP/3268 (global katalog).

  Krävs för global katalogsökning för att filtrera bort ogiltiga medlemskapsreferenser.

Namngivningskonvention för grupper som skrivits tillbaka

Som standard använder Microsoft Entra Connect Sync följande format när namngivningsgrupper skrivs tillbaka:

• standardformat:CN=Group_<guid>,OU=<container>,DC=<domain component>
• exempel:CN=Group_3a5c3221-c465-48c0-95b8-e9305786a271,OU=WritebackContainer,DC=Contoso,DC=com

För att göra det enklare att hitta grupper som skrivs tillbaka från Microsoft Entra-ID till služba Active Directory har Microsoft Entra Connect Sync lagt till ett alternativ för att skriva tillbaka gruppnamnet med hjälp av molnvisningsnamnet. Om du vill använda det här alternativet väljer du Writeback-gruppens unika namn med molnvisningsnamn under den initiala installationen av grupp-återställning v2. Om den här funktionen är aktiverad använder Microsoft Entra Connect följande nya format i stället för standardformatet:

• Nytt format:CN=<display name>_<last 12 digits of object ID>,OU=<container>,DC=<domain component>

• exempel:CN=Sales_e9305786a271,OU=WritebackContainer,DC=contoso,DC=com

Som standard använder Microsoft Entra Cloud Sync det nya formatet, även om funktionen Tillbakaskrivningsgrupp unikt namn med molnvisningsnamn inte är aktiverad i Microsoft Entra Connect Sync. Om du använder standardnamngivningen för Microsoft Entra Connect Sync och sedan migrerar gruppen så att den hanteras av Microsoft Entra Cloud Sync byter gruppen namn till det nya formatet. Använd följande avsnitt om du vill tillåta att Microsoft Entra Cloud Sync använder standardformatet från Microsoft Entra Connect.

Använd standardformatet

Om du vill att Microsoft Entra Cloud Sync ska använda samma standardformat som Microsoft Entra Connect Sync måste du ändra attributflödesuttrycket för attributet CN. De två möjliga mappningarna är:

Mer information finns i Lägg till en attributmappning – Microsoft Entra-ID i služba Active Directory.

Steg 1: Kopiera adminDescription till msDS-ExternalDirectoryObjectID

För att verifiera referenserna för gruppmedlemskap måste Microsoft Entra Cloud Sync fråga den globala služba Active Directory-katalogen om attributet msDS-ExternalDirectoryObjectID. Det här indexerade attributet replikeras i alla globala kataloger i služba Active Directory-skogen.

1. I din lokala miljö öppnar du ADSI Edit.

2. Kopiera värdet som finns i gruppens adminDescription attribut.

   

3. Klistra in värdet i attributet msDS-ExternalDirectoryObjectID.

   

Du kan använda följande PowerShell-skript för att automatisera det här steget. Det här skriptet tar alla grupper i OU=Groups,DC=Contoso,DC=com-containern och kopierar värdet av adminDescription-attributet till msDS-ExternalDirectoryObjectID-attributet. Innan du använder det här skriptet, uppdatera variabeln $gwbOU med det DistinguishedName-värdet för målorganisationsenheten (OU) för din gruppåterkoppling.

# Provide the DistinguishedName of your Group Writeback target OU
$gwbOU = 'OU=Groups,DC=Contoso,DC=com'

# Get all groups written back to Active Directory
$properties = @('displayName', 'Samaccountname', 'adminDescription', 'msDS-ExternalDirectoryObjectID')
$groups = Get-ADGroup -Filter * -SearchBase $gwbOU -Properties $properties | 
    Where-Object {$_.adminDescription -ne $null} |
        Select-Object $properties

# Set msDS-ExternalDirectoryObjectID for all groups written back to Active Directory 
foreach ($group in $groups) {
    Set-ADGroup -Identity $group.Samaccountname -Add @{('msDS-ExternalDirectoryObjectID') = $group.adminDescription}
} 

Du kan använda följande PowerShell-skript för att kontrollera resultatet av föregående skript. Du kan också bekräfta att alla grupper har värdet adminDescription lika med det msDS-ExternalDirectoryObjectID värdet.

# Provide the DistinguishedName of your Group Writeback target OU
$gwbOU = 'OU=Groups,DC=Contoso,DC=com'


# Get all groups written back to Active Directory
$properties = @('displayName', 'Samaccountname', 'adminDescription', 'msDS-ExternalDirectoryObjectID')
$groups = Get-ADGroup -Filter * -SearchBase $gwbOU -Properties $properties | 
    Where-Object {$_.adminDescription -ne $null} |
        Select-Object $properties

$groups | select displayName, adminDescription, 'msDS-ExternalDirectoryObjectID', @{Name='Equal';Expression={$_.adminDescription -eq $_.'msDS-ExternalDirectoryObjectID'}}

Steg 2: Placera Microsoft Entra Connect Sync-servern i mellanlagringsläge och inaktivera synkroniseringsschemaläggaren

1. Öppna guiden Microsoft Entra Connect Sync.

2. Välj Konfigurera.

3. Välj Konfigurera mellanlagringsläge och välj Nästa.

4. Ange Microsoft Entra-autentiseringsuppgifter.

5. Markera kryssrutan Aktivera mellanlagringsläge och välj Nästa.

   

6. Välj Konfigurera.

7. Välj Avsluta.

   

8. Öppna en PowerShell-fråga som administratör på Microsoft Entra Connect-servern.

9. Inaktivera synkroniseringsschemaläggaren:

   Set-ADSyncScheduler -SyncCycleEnabled $false  
   

Steg 3: Skapa en anpassad regel för inkommande grupper

I Redigeraren för Microsoft Entra Connect-synkroniseringsregler skapar du en regel för inkommande synkronisering som riktar sig till molnskapade grupper som för närvarande hanteras i Microsoft Entra-ID och har ett NULL e-postattribut. Den här regeln för inkommande synkronisering är en kopplingsregel som anger cloudNoFlow attributet till True.

Syftet med den här regeln är att flagga dessa grupper så att Microsoft Entra Connect Sync fortsätter att identifiera dem som anslutna objekt när tillbakaskrivning av grupp har inaktiverats. Detta förhindrar att befintliga lokala gruppobjekt behandlas som att de inte längre omfattas under övergången från grupptillbakaskrivning i Microsoft Entra Connect Sync till grupprovisionering i Microsoft Entra Cloud Sync.

Du kan skapa den här synkroniseringsregeln med hjälp av antingen användargränssnittet eller PowerShell med det angivna skriptet.

Skapa en inkommande gruppregel i användargränssnittet

1. Starta redigeraren för synkroniseringsregler på menyn Starta.

2. Under Directionväljer du Inkommande i listrutan och väljer Lägg till ny regel.

3. På sidan Beskrivning anger du följande värden och väljer Nästa:

   • Namn: Ge regeln ett meningsfullt namn.
   • Beskrivning: Lägg till en beskrivande beskrivning.
   • Connected System: Välj den Microsoft Entra-anslutning som du skriver den anpassade synkroniseringsregeln för.
   • Ansluten systemobjekttyp: Välj grupp.
   • metaversumobjekttyp: Välj grupp.
   • Länktyp: Välj Anslut.
   • Prioritet: Ange ett värde som är unikt i systemet. Vi rekommenderar att du använder ett värde som är lägre än 100 så att det har företräde framför standardreglerna.
   • Tagg: Lämna fältet tomt.

   

4. På sidan omfångsfilter lägger du till följande värden och väljer Nästa:

   Attribut	Operatör	Värde
   cloudMastered	EQUAL	true
   mail	ISNULL

   

5. På sidan Kopplingsregler väljer du Nästa.

6. På sidan Lägg till transformeringar väljer du Konstantför FlowType. För Target Attributeväljer du cloudNoFlow. För Sourceväljer du True.

   

7. Markera Lägga till.

Skapa en anpassad regel för inkommande grupp i PowerShell

1. Öppna en PowerShell-fråga som administratör på Microsoft Entra Connect-servern.

2. Importera modulen.

   Import-Module ADSync
   

3. Ange ett unikt värde för synkroniseringsregelns prioritet (0–99).

   # Provide the sync rule precedence (0-99)
   [int] $inboundSyncRulePrecedence = 88
   

4. Kör följande skript:

    New-ADSyncRule  `
    -Name 'In from AAD - Group SOAinAAD coexistence with Cloud Sync' `
    -Identifier 'e4eae1c9-b9bc-4328-ade9-df871cdd3027' `
    -Description 'https://learn.microsoft.com/entra/identity/hybrid/cloud-sync/migrate-group-writeback' `
    -Direction 'Inbound' `
    -Precedence $inboundSyncRulePrecedence `
    -PrecedenceAfter '00000000-0000-0000-0000-000000000000' `
    -PrecedenceBefore '00000000-0000-0000-0000-000000000000' `
    -SourceObjectType 'group' `
    -TargetObjectType 'group' `
    -Connector 'b891884f-051e-4a83-95af-2544101c9083' `
    -LinkType 'Join' `
    -SoftDeleteExpiryInterval 0 `
    -ImmutableTag '' `
    -OutVariable syncRule
   
    Add-ADSyncAttributeFlowMapping  `
    -SynchronizationRule $syncRule[0] `
    -Source @('true') `
    -Destination 'cloudNoFlow' `
    -FlowType 'Constant' `
    -ValueMergeType 'Update' `
    -OutVariable syncRule
   
    New-Object  `
    -TypeName 'Microsoft.IdentityManagement.PowerShell.ObjectModel.ScopeCondition' `
    -ArgumentList 'cloudMastered','true','EQUAL' `
    -OutVariable condition0
   
    New-Object  `
    -TypeName 'Microsoft.IdentityManagement.PowerShell.ObjectModel.ScopeCondition' `
    -ArgumentList 'mail','','ISNULL' `
    -OutVariable condition1
   
    Add-ADSyncScopeConditionGroup  `
    -SynchronizationRule $syncRule[0] `
    -ScopeConditions @($condition0[0],$condition1[0]) `
    -OutVariable syncRule
   
    Add-ADSyncRule  `
    -SynchronizationRule $syncRule[0]
   
    Get-ADSyncRule  `
    -Identifier 'e4eae1c9-b9bc-4328-ade9-df871cdd3027'
   

Steg 4: Skapa en utgående regel för anpassad grupp

Du behöver också en regel för utgående synkronisering med en länktyp JoinNoFlow och ett omfångsfilter som väljer grupper där cloudNoFlow är inställt på True. Den här utgående regeln underhåller kopplingsrelationen när tillbakaskrivning av grupp har inaktiverats i Microsoft Entra Connect Sync och förhindrar att objekttillagningar, objektborttagningar och icke-referensattributuppdateringar exporteras för dessa grupper.

Utan den här regeln kan tidigare bakåtskrivna grupper tolkas som inte längre i omfånget och tas bort från lokálna služba Active Directory under nästa synkroniseringscykel. Den här regeln krävs för att på ett säkert sätt avveckla Group Writeback v2 samtidigt som Microsoft Entra Cloud Sync kan ta över ansvaret för gruppförsörjning.

Du kan skapa den här synkroniseringsregeln med hjälp av antingen användargränssnittet eller PowerShell med det angivna skriptet.

Skapa en anpassad regel för utgående grupp i användargränssnittet

1. Under Directionväljer du Utgående i listrutan och sedan välj Lägg till regel.

2. På sidan Beskrivning anger du följande värden och väljer Nästa:

   • Namn: Ge regeln ett meningsfullt namn.
   • Beskrivning: Lägg till en beskrivande beskrivning.
   • Anslutet system: Välj den služba Active Directory-anslutning som du skriver den anpassade synkroniseringsregeln för.
   • Ansluten systemobjekttyp: Välj grupp.
   • metaversumobjekttyp: Välj grupp.
   • Länktyp: Välj JoinNoFlow.
   • Prioritet: Ange ett värde som är unikt i systemet. Vi rekommenderar att du använder ett värde som är lägre än 100 så att det har företräde framför standardreglerna.
   • Tag: Lämna fältet tomt.

   

3. På sidan Scoping filter, för Attribute, välj cloudNoFlow. För Operatör välj LIKA. För Valueväljer du True. Välj sedan Nästa.

   

4. På sidan Kopplingsregler väljer du Nästa.

5. På sidan Transformeringar väljer du Lägg till.

Skapa en anpassad regel för inkommande grupp i PowerShell

1. Öppna en PowerShell-fråga som administratör på Microsoft Entra Connect-servern.

2. Importera modulen.

   Import-Module ADSync
   

3. Ange ett unikt värde för synkroniseringsregelns prioritet (0–99).

   # Provide the sync rule precedence (0-99)
   [int] $outboundSyncRulePrecedence = 89
   

4. Hämta služba Active Directory-kopplingen för gruppåterställning.

   # Provide the name of your Active Directory Connector
   $connectorAD = Get-ADSyncConnector -Name "Contoso.com"
   

5. Kör följande skript:

    New-ADSyncRule  `
    -Name 'Out to AD - Group SOAinAAD coexistence with Cloud Sync' `
    -Identifier '419fda18-75bb-4e23-b947-8b06e7246551' `
    -Description 'https://learn.microsoft.com/entra/identity/hybrid/cloud-sync/migrate-group-writeback' `
    -Direction 'Outbound' `
    -Precedence $outboundSyncRulePrecedence `
    -PrecedenceAfter '00000000-0000-0000-0000-000000000000' `
    -PrecedenceBefore '00000000-0000-0000-0000-000000000000' `
    -SourceObjectType 'group' `
    -TargetObjectType 'group' `
    -Connector $connectorAD.Identifier `
    -LinkType 'JoinNoFlow' `
    -SoftDeleteExpiryInterval 0 `
    -ImmutableTag '' `
    -OutVariable syncRule
   
    New-Object  `
    -TypeName 'Microsoft.IdentityManagement.PowerShell.ObjectModel.ScopeCondition' `
    -ArgumentList 'cloudNoFlow','true','EQUAL' `
    -OutVariable condition0
   
    Add-ADSyncScopeConditionGroup  `
    -SynchronizationRule $syncRule[0] `
    -ScopeConditions @($condition0[0]) `
    -OutVariable syncRule
   
    Add-ADSyncRule  `
    -SynchronizationRule $syncRule[0]
   
    Get-ADSyncRule  `
    -Identifier '419fda18-75bb-4e23-b947-8b06e7246551'
   

Steg 5: Använd PowerShell för att slutföra konfigurationen

1. Öppna en PowerShell-fråga som administratör på Microsoft Entra Connect-servern.

2. Importera ADSync-modulen:

   Import-Module ADSync
   

3. Kör en fullständig synkroniseringscykel:

   Start-ADSyncSyncCycle -PolicyType Initial
   

4. Inaktivera funktionen Tillbakaskrivning av grupp för hyrtagaren.

   Varning

   Den här åtgärden kan inte ångras. När du har inaktiverat tillbakaskrivning av grupp v2 skrivs alla Microsoft 365-grupper tillbaka till služba Active Directory, oberoende av inställningen Tillbakaskrivning aktiverat i administrationscentret för Microsoft Entra.

   Set-ADSyncAADCompanyFeature -GroupWritebackV2 $false 
   

5. Kör en fullständig synkroniseringscykel igen:

   Start-ADSyncSyncCycle -PolicyType Initial
   

6. Återaktivera synkroniseringsschemaläggaren:

   Set-ADSyncScheduler -SyncCycleEnabled $true  
   

   

Steg 6: Ta bort Microsoft Entra Connect Sync-servern från mellanlagringsläget

1. Öppna guiden Microsoft Entra Connect Sync.
2. Välj Konfigurera.
3. Välj Konfigurera mellanlagringsläge och välj Nästa.
4. Ange Microsoft Entra-autentiseringsuppgifter.
5. Avmarkera kryssrutan Aktivera mellanlagringsläge och välj Nästa.
6. Välj Konfigurera.
7. Välj Avsluta.

Steg 7: Konfigurera Microsoft Entra Cloud Sync

Nu när Microsoft Entra Connect Sync har konfigurerats med regler för inget flöde för de befintliga tillbakaskrivna grupperna konfigurerar du Microsoft Entra Cloud Sync för att ta över etableringen av säkerhetsgrupper till služba Active Directory. Mer information finns i Etablera grupper till služba Active Directory med hjälp av Microsoft Entra Cloud Sync.

Innan du avvecklar funktionen Group Writeback i Microsoft Entra Connect Sync, kontrollerar du att Microsoft Entra Cloud Sync etablerar grupperna och upprätthåller deras medlemskap i služba Active Directory.

Relaterat innehåll

• Etablera grupper till služba Active Directory med hjälp av Microsoft Entra Cloud Sync
• Styra lokala Active Directory-baserade appar (Kerberos) med hjälp av Microsoft Entra ID Governance
• Vanliga frågor och svar om provisionering till služba Active Directory med Microsoft Entra Cloud Sync