Funkce služby Microsoft Entra Connect Sync

Funkce synchronizace služby Microsoft Entra Connect má dvě komponenty:

• Místní komponenta s názvem Microsoft Entra Connect Sync, označovaná také jako synchronizační modul.
• Služba umístěná v Microsoft Entra ID označované také jako služba Microsoft Entra Connect Sync

Toto téma vysvětluje, jak fungují následující funkce služby Microsoft Entra Connect Sync a jak je můžete nakonfigurovat pomocí PowerShellu.

Pokud chcete zobrazit konfiguraci v adresáři Microsoft Entra pomocí Graph PowerShellu, použijte následující příkazy:

Connect-MgGraph -Scopes "OnPremDirectorySynchronization.Read.All"

Get-MgDirectoryOnPremiseSynchronization | Select-Object -ExpandProperty Features | Format-List

Výsledek vypadá takto:

BlockCloudObjectTakeoverThroughHardMatchEnabled  : False
BlockSoftMatchEnabled                            : False
BypassDirSyncOverridesEnabled                    : False
CloudPasswordPolicyForPasswordSyncedUsersEnabled : False
ConcurrentCredentialUpdateEnabled                : False
ConcurrentOrgIdProvisioningEnabled               : False
DeviceWritebackEnabled                           : False
DirectoryExtensionsEnabled                       : True
FopeConflictResolutionEnabled                    : False
GroupWriteBackEnabled                            : False
PasswordSyncEnabled                              : True
PasswordWritebackEnabled                         : False
QuarantineUponProxyAddressesConflictEnabled      : False
QuarantineUponUpnConflictEnabled                 : False
SoftMatchOnUpnEnabled                            : True
SynchronizeUpnForManagedUsersEnabled             : False
UnifiedGroupWritebackEnabled                     : True
UserForcePasswordChangeOnLogonEnabled            : False
UserWritebackEnabled                             : True
AdditionalProperties                             : {}

V nástroji Microsoft Entra Connect se konfigurují následující nastavení:

Odolnost duplicitních atributů

Místo toho, aby se nepodařilo zřídit objekty s duplicitními názvy UPN / proxyAddresses, duplikovaný atribut je "v karanténě" a je přiřazena dočasná hodnota. Po vyřešení konfliktu se dočasný hlavní název uživatele (UPN) automaticky změní na správnou hodnotu. Další informace najdete v tématu Synchronizace identit a odolnost duplicitních atributů.

Soft match userPrincipalName

Pokud je tato funkce povolená, povolí se pro hlavní název uživatele (UPN) kromě primární adresy SMTP, která je vždy povolená. Soft-match se používá ke spárování stávajících cloudových uživatelů v Microsoft Entra ID s místními uživateli.

Pokud potřebujete spárovat místní účty AD s existujícími účty vytvořenými v cloudu a nepoužíváte Exchange Online, je tato funkce užitečná. V tomto scénáři obvykle nemáte důvod nastavit atribut SMTP v cloudu.

Tato funkce je ve výchozím nastavení zapnutá pro nově vytvořené adresáře Microsoft Entra. Spuštěním tohoto příkazu zjistíte, jestli je tato funkce povolená:

Connect-MgGraph -Scopes "OnPremDirectorySynchronization.Read.All"

$DirectorySync = Get-MgDirectoryOnPremiseSynchronization
$DirectorySync.Features.SoftMatchOnUpnEnabled

Pokud tato funkce není pro váš adresář Microsoft Entra povolená, můžete ji povolit spuštěním tohoto příkazu:

Connect-MgGraph -Scopes "OnPremDirectorySynchronization.ReadWrite.All"

$SoftMatchOnUpn = @{ SoftMatchOnUpnEnabled = "true" }
Update-MgDirectoryOnPremiseSynchronization -Features $SoftMatchOnUpn `
   -OnPremisesDirectorySynchronizationId $DirectorySync.Id

BlockSoftMatch

Pokud je tato funkce povolená, zablokuje funkci Soft Match. Zákazníkům se doporučuje povolit tuto funkci a ponechat ji zapnutou, dokud se pro tenanty nebude znovu vyžadovat soft matching. Tento příznak by se měl znovu povolit po dokončení jakékoli měkké shody a už není potřeba.

Příklad : Blokování obnovitelné shody ve vašem tenantovi:

Connect-MgGraph -Scopes "OnPremDirectorySynchronization.ReadWrite.All"

$SoftBlock = @{ BlockSoftMatchEnabled = "true" }
Update-MgDirectoryOnPremiseSynchronization -Features $SoftBlock `
   -OnPremisesDirectorySynchronizationId $DirectorySync.Id

Synchronizace aktualizací userPrincipalName

Aktualizace atributu UserPrincipalName pomocí synchronizační služby z místního prostředí byly zablokované, pokud nebyly splněny obě tyto podmínky:

• Uživatel spravovaný (nefederovaný).
• Uživatel nemá přiřazenou licenci.

Povolení této funkce umožňuje synchronizačnímu modulu aktualizovat userPrincipalName při změně v místním prostředí a použít synchronizaci hodnot hash hesel nebo předávací ověřování.

Tato funkce je ve výchozím nastavení zapnutá pro nově vytvořené adresáře Microsoft Entra. Spuštěním tohoto příkazu zjistíte, jestli je tato funkce povolená:

Connect-MgGraph -Scopes "OnPremDirectorySynchronization.Read.All"

$DirectorySync = Get-MgDirectoryOnPremiseSynchronization
$DirectorySync.Features.SynchronizeUpnForManagedUsersEnabled

Pokud tato funkce není pro váš adresář Microsoft Entra povolená, můžete ji povolit spuštěním tohoto příkazu:

Connect-MgGraph -Scopes "OnPremDirectorySynchronization.ReadWrite.All"

$SyncUpnManagedUsers = @{ SynchronizeUpnForManagedUsersEnabled = "true" }
Update-MgDirectoryOnPremiseSynchronization -Features $SyncUpnManagedUsers `
   -OnPremisesDirectorySynchronizationId $DirectorySync.Id

Po povolení této funkce zůstanou existující hodnoty userPrincipalName tak, jak jsou. Při další změně atributu userPrincipalName v místním prostředí se normální rozdílová synchronizace uživatelů aktualizuje. Jakmile je tato funkce povolená, není možné ji zakázat.

Viz také

• Microsoft Entra Connect Sync
• Integrace místních identit s ID Microsoft Entra