Zpětný zápis skupin pomocí Microsoft Entra Cloud Sync

S vydáním agenta pro zřizování ve verzi 1.1.1370.0 nyní cloudová synchronizace umožňuje zpětný zápis skupin. Tato funkce znamená, že cloudová synchronizace může nasazovat skupiny přímo do vašeho místního prostředí Active Directory. Pomocí funkcí zásad správného řízení identit teď můžete řídit přístup k aplikacím založeným na AD, například zahrnutím skupiny do přístupového balíčku pro správu nároků.

Zřízení ID Microsoft Entra pro Active Directory – požadavky

K implementaci skupin zřizování do služby Active Directory se vyžadují následující požadavky.

Požadavky na licenci

Použití této funkce vyžaduje licence Microsoft Entra ID P1. Pokud chcete najít správnou licenci pro vaše požadavky, projděte si porovnání obecně dostupných funkcí Microsoft Entra ID.

Obecné požadavky

• Účet Microsoft Entra s alespoň rolí správce Hybrid Identity Administrator
• Místní prostředí služeb Active Directory doménové struktury s operačním systémem Windows Server 2016 nebo novějším.
  • Požadováno pro atribut schématu AD – msDS-ExternalDirectoryObjectId
• Agent pro zřizování s verzí buildu 1.1.1370.0 nebo novější.

$credential = Get-Credential  

  Set-AADCloudSyncPermissions -PermissionType UserGroupCreateDelete -TargetDomain "FQDN of domain" -EACredential $credential

• Agent zřizování musí být schopný komunikovat s jedním nebo více řadiči domény na portech TCP/389 (LDAP) a TCP/3268 (globální katalog).
  • Vyžaduje se, aby vyhledávání globálního katalogu odfiltruje neplatné odkazy na členství.
• Microsoft Entra Connect Sync s buildem verze 2.2.8.0 nebo novějším
  • Je vyžadováno pro podporu členství uživatele v místním prostředí, synchronizovaného pomocí synchronizace Microsoft Entra Connect.
  • Vyžadováno pro synchronizaci AD:user:objectGUID s AAD:user:onPremisesObjectIdentifier

Podporované skupiny a omezení škálování

Podporuje se následující:

• Podporují se jenom skupiny zabezpečení vytvořené v cloudu.
• Tyto skupiny mohou mít přiřazené nebo dynamické skupiny členství.
• Tyto skupiny můžou obsahovat pouze místní synchronizované uživatele nebo další skupiny zabezpečení vytvořené v cloudu.
• Uživatelské účty na místní síti, které jsou synchronizovány a jsou členy této v cloudu vytvořené bezpečnostní skupiny, mohou být ze stejné domény nebo z různých domén, ale všechny musí patřit do stejné doménové struktury.
• Tyto skupiny se zapisují zpět s rozsahem skupin AD typu univerzální. Vaše místní prostředí musí podporovat univerzální rozsah skupiny.
• Skupiny, které jsou větší než 50 000 členů, se nepodporují.
• Tenanti, kteří mají více než 150 000 objektů, nejsou podporováni. To znamená, že pokud má tenant jakoukoli kombinaci uživatelů a skupin, které překračují 150 tisíc objektů, tenant se nepodporuje.
• Každá přímá podřízená vnořená skupina se počítá jako jeden člen v referenční skupině.
• Pokud je skupina ručně aktualizována ve službě Active Directory, není podporováno odsouhlasení skupin mezi MICROSOFT Entra ID a Službou Active Directory.

Další informace

Následuje další informace o zřizování skupin ve službě Active Directory.

• Skupiny zřízené pro AD pomocí cloudové synchronizace můžou obsahovat jenom místní synchronizované uživatele nebo další skupiny zabezpečení vytvořené v cloudu.
• Tito uživatelé musí mít atribut onPremisesObjectIdentifier nastavený na svém účtu.
• OnPremisesObjectIdentifier musí odpovídat odpovídajícímu objektuGUID v cílovém prostředí AD.
• Atribut objectGUID uživatelů v místním prostředí k atributu onPremisesObjectIdentifier uživatelů v cloudu lze synchronizovat pomocí Microsoft Entra Cloud Sync (1.1.1370.0) nebo Microsoft Entra Connect Sync (2.2.8.0)
• Pokud k synchronizaci uživatelů používáte Microsoft Entra Connect Sync (2.2.8.0) místo Microsoft Entra Cloud Sync a chcete používat zřizování do AD, musí to být verze 2.2.8.0 nebo novější.
• Zřizování z Microsoft Entra ID do služby Active Directory se podporuje pouze u běžných tenantů Microsoft Entra ID. Nájemníci, jako B2C, nejsou podporováni.
• Úloha zřizování skupin se má spouštět každých dvacet minut.

Podporované scénáře zpětného zápisu pro skupiny pomocí Microsoft Entra Cloud Sync

Následující části popisují podporované scénáře zpětného zápisu skupin pomocí Microsoft Entra Cloud Sync.

• Migrace zpětného zápisu skupin z Microsoft Entra Connect Sync V2 na Microsoft Entra Cloud Sync
• Řízení aplikací založených na místní Active Directory (Kerberos) pomocí zásad správného řízení Microsoft Entra ID

Migrace zpětného zápisu skupiny z Microsoft Entra Connect Sync v2 do Microsoft Entra Cloud Sync

Scénář: Migrace zpětného zápisu skupiny pomocí nástroje Microsoft Entra Connect Sync (dříve Azure AD Connect) do Microsoft Entra Cloud Sync Tento scénář je určený pouze pro zákazníky, kteří aktuálně používají zpětný zápis skupiny Microsoft Entra Connect v2. Proces popsaný v tomto dokumentu se týká pouze skupin zabezpečení vytvořených v cloudu, které se zapisují zpět s univerzálním oborem. Skupiny s podporou pošty a distribuční seznamy zapsané zpět pomocí zpětného zápisu skupiny Microsoft Entra Connect v1 nebo v2 nejsou podporovány.

Další informace naleznete v tématu Migrace zpětného zápisu skupiny Microsoft Entra Connect Sync V2 do Microsoft Entra Cloud Sync.

Řízení aplikací založených na místní Active Directory (Kerberos) pomocí zásad správného řízení Microsoft Entra ID

Scénář: Správa místních aplikací pomocí skupin Active Directory, které jsou zřízené a spravované v cloudu Microsoft Entra Cloud Sync umožňuje plně řídit přiřazení aplikací v AD a současně využívat funkce zásad správného řízení Microsoft Entra ID k řízení a nápravě všech žádostí souvisejících s přístupem.

Další informace naleznete v tématu Správa aplikací založených na místní Active Directory (Kerberos) pomocí Microsoft Entra ID Governance.

Další kroky

• Zřízení skupin pro Active Directory pomocí Microsoft Entra Cloud Sync
• Řízení aplikací založených na místní Active Directory (Kerberos) pomocí zásad správného řízení Microsoft Entra ID
• Migrovat zpětné zapisování skupin v Microsoft Entra Connect Sync V2 do Microsoft Entra Cloud Sync