Eseguire la migrazione del writeback dei gruppi di sincronizzazione v2 di Microsoft Entra Connect alla sincronizzazione cloud di Microsoft Entra

Il documento seguente descrive come eseguire la migrazione del writeback dei gruppi a Microsoft Entra Connect Sync tramite Microsoft Entra Cloud Sync (in precedenza Azure AD Connect). Questo scenario riguarda solo i clienti che attualmente usano il writeback dei gruppi v2 di Microsoft Entra Connect. Il processo descritto in questo documento riguarda solo i gruppi di sicurezza creati dal cloud di cui viene eseguito il writeback con un ambito universale.

Prerequisiti

Per implementare questo scenario, è necessario soddisfare i prerequisiti seguenti.

• Account Microsoft Entra con almeno un ruolo di amministratore delle identità ibride.
• Un account AD locale con almeno le autorizzazioni di amministratore di dominio, necessario per accedere all'attributo adminDescription e copiarlo nell'attributo msDS-ExternalDirectoryObjectId
• Ambiente Active Directory Domain Services locale con sistema operativo Windows Server 2016 o versioni successive.
  • Necessario per l'attributo dello schema di Active Directory: msDS-ExternalDirectoryObjectId
• Agente di provisioning con build 1.1.1367.0 o versioni successive.
• L'agente di provisioning deve poter comunicare con i controller di dominio sulle porte TCP/389 (LDAP) e TCP/3268 (catalogo globale).
  • Necessario per la ricerca nel catalogo globale per filtrare riferimenti ad appartenenze non valide

Convenzione di denominazione per i gruppi di cui viene eseguito il writeback

Per impostazione predefinita, Microsoft Entra Connect Sync usa il formato seguente per la denominazione dei gruppi di cui viene eseguito il writeback.

• Formato predefinito: CN=Group_<guid>,OU=<contenitore>,DC=<componente di dominio>,DC=<componente di dominio>

• Esempio: CN=Group_3a5c3221-c465-48c0-95b8-e9305786a271,OU=WritebackContainer,DC=contoso,DC=com

Per semplificare l'individuazione dei gruppi di cui viene eseguito il writeback da Microsoft Entra ID in Active Directory, Microsoft Entra Connect Sync ha aggiunto un'opzione per eseguire il writeback del nome del gruppo usando il nome visualizzato del cloud. A tale scopo, selezionare Eseguire il writeback del nome distinto del gruppo con il nome visualizzato del cloud durante la configurazione iniziale del writeback dei gruppi v2. Se questa funzionalità è abilitata, Microsoft Entra Connect usa il nuovo formato seguente, anziché il formato predefinito:

• Nuovo formato: CN=<nome visualizzato>_<ultime 12 cifre dell'ID oggetto>,OU=<contenitore>,DC=<componente di dominio>,DC=<componente di dominio>

• Esempio: CN=Sales_e9305786a271,OU=WritebackContainer,DC=contoso,DC=com

Uso del formato predefinito

Se si vuole che la sincronizzazione cloud usi lo stesso formato di Microsoft Entra Connect Sync, è necessario modificare l'espressione del flusso dell'attributo per l'attributo CN. I due possibili mapping sono:

Per altre informazioni, vedere Aggiungere un mapping di attributi - Microsoft Entra ID in Active Directory

Passaggio 1 - Copiare adminDescription in msDS-ExternalDirectoryObjectID

Per convalidare i riferimenti all'appartenenza a gruppi, Microsoft Entra Cloud Sync deve eseguire una query sul Catalogo globale di Active Directory per l'attributo msDS-ExternalDirectoryObjectID. Si tratta di un attributo indicizzato che viene replicato in tutti i cataloghi globali all'interno della foresta Active Directory.

1. Aprire ADSI Edit nell'ambiente locale.

2. Copiare il valore dell'attributo adminDescription del gruppo

   

3. Incollarlo nell'attributo msDS-ExternalDirectoryObjectID

   

Per automatizzare questo passaggio, è possibile utilizzare il seguente script di PowerShell. Questo script accetta tutti i gruppi nel contenitore OU=Groups,DC=Contoso,DC=com e copia il valore dell'attributo adminDescription nel valore dell'attributo msDS-ExternalDirectoryObjectID. Prima di usare questo script, aggiornare la variabile $gwbOU con DistinguishedName dell'unità organizzativa (OU) di destinazione del writeback del gruppo.

# Provide the DistinguishedName of your Group Writeback target OU
$gwbOU = 'OU=Groups,DC=Contoso,DC=com'

# Get all groups written back to Active Directory
$properties = @('displayName', 'Samaccountname', 'adminDescription', 'msDS-ExternalDirectoryObjectID')
$groups = Get-ADGroup -Filter * -SearchBase $gwbOU -Properties $properties | 
    Where-Object {$_.adminDescription -ne $null} |
        Select-Object $properties

# Set msDS-ExternalDirectoryObjectID for all groups written back to Active Directory 
foreach ($group in $groups) {
    Set-ADGroup -Identity $group.Samaccountname -Add @{('msDS-ExternalDirectoryObjectID') = $group.adminDescription}
} 

Lo script di PowerShell seguente può essere usato per verificare i risultati dello script precedente o confermare che tutti i gruppi abbiano un valore adminDescription uguale al valore msDS-ExternalDirectoryObjectID.

# Provide the DistinguishedName of your Group Writeback target OU
$gwbOU = 'OU=Groups,DC=Contoso,DC=com'


# Get all groups written back to Active Directory
$properties = @('displayName', 'Samaccountname', 'adminDescription', 'msDS-ExternalDirectoryObjectID')
$groups = Get-ADGroup -Filter * -SearchBase $gwbOU -Properties $properties | 
    Where-Object {$_.adminDescription -ne $null} |
        Select-Object $properties

$groups | select displayName, adminDescription, 'msDS-ExternalDirectoryObjectID', @{Name='Equal';Expression={$_.adminDescription -eq $_.'msDS-ExternalDirectoryObjectID'}}

Passaggio 2 - Inserire il server di Microsoft Entra Connect Sync in modalità di staging e disabilitare l'utilità di pianificazione della sincronizzazione

1. Avviare la procedura guidata di Microsoft Entra Connect Sync

2. Fare clic su Configura

3. Selezionare Configurazione della modalità di staging e fare clic su Avanti

4. Immettere le credenziali di Microsoft Entra

5. Selezionare la casella di controllo Abilita modalità di staging e fare clic su Avanti

   

6. Fare clic su Configura

7. Fare clic su Esci

   

8. Nel server di Microsoft Entra Connect, aprire un prompt di PowerShell come amministratore.

9. Disabilitare l'utilità di pianificazione della sincronizzazione:

   Set-ADSyncScheduler -SyncCycleEnabled $false  
   

Passaggio 3 - Creare una regola in ingresso personalizzata per i gruppi

Nell'editor delle regole di sincronizzazione di Microsoft Entra Connect è necessario creare una regola di sincronizzazione in ingresso che filtri i gruppi con NULL come attributo di posta elettronica. La regola di sincronizzazione in ingresso è una regola di join con un attributo di destinazione cloudNoFlow. Questa regola indica a Microsoft Entra Connect di non sincronizzare gli attributi per questi gruppi. Per creare questa regola di sincronizzazione, è possibile scegliere di usare l'interfaccia utente o crearla tramite PowerShell con lo script fornito.

Creare una regola in ingresso di gruppo personalizzato nell'interfaccia utente

1. Lanciare l'editor delle regole di sincronizzazione dal menu Start.

2. Selezionare In ingresso nell'elenco a discesa Direzione e fare clic su Aggiungi nuova regola.

3. Nella pagina Descrizione, immettere quanto segue e fare clic su Avanti:

   • Nome: assegnare un nome significativo alla regola

   • Descrizione: aggiungere una descrizione significativa

   • Sistema connesso: scegliere il connettore Microsoft Entra per cui si sta scrivendo la regola di sincronizzazione personalizzata

   • Tipo di oggetto di sistema connesso: gruppo

   • Tipo di oggetto metaverse: gruppo

   • Tipo di collegamento: join

   • Precedenza: fornire un valore univoco nel sistema. È consigliabile un valore inferiore a 100, in modo da avere la precedenza sulle regole predefinite.

   • Tag: lasciare vuoto

     

4. Nella pagina Filtro di ambito, selezionare Aggiungi e aggiungere quanto segue, quindi fare clic su Avanti.

   Attributo	Operatore	Valore
   cloudMastered	EQUAL	true
   mail	ISNULL

   

5. Nella pagina di regole di Join, fare clic su Avanti.

6. Nella pagina Transformations (Trasformazioni) aggiungere una trasformazione costante: impostare su True l'attributo cloudNoFlow.

   

7. Selezionare Aggiungi.

Creare una regola di ingresso di gruppo personalizzato in PowerShell

1. Nel server di Microsoft Entra Connect, aprire un prompt di PowerShell come amministratore.

2. Importare il modulo.

   Import-Module ADSync
   

3. Specificare un valore univoco per la precedenza della regola di sincronizzazione [0-99].

   [int] $inboundSyncRulePrecedence = 88
   

4. Eseguire lo script seguente:

    New-ADSyncRule  `
    -Name 'In from AAD - Group SOAinAAD coexistence with Cloud Sync' `
    -Identifier 'e4eae1c9-b9bc-4328-ade9-df871cdd3027' `
    -Description 'https://video2.skills-academy.com/entra/identity/hybrid/cloud-sync/migrate-group-writeback' `
    -Direction 'Inbound' `
    -Precedence $inboundSyncRulePrecedence `
    -PrecedenceAfter '00000000-0000-0000-0000-000000000000' `
    -PrecedenceBefore '00000000-0000-0000-0000-000000000000' `
    -SourceObjectType 'group' `
    -TargetObjectType 'group' `
    -Connector 'b891884f-051e-4a83-95af-2544101c9083' `
    -LinkType 'Join' `
    -SoftDeleteExpiryInterval 0 `
    -ImmutableTag '' `
    -OutVariable syncRule
   
    Add-ADSyncAttributeFlowMapping  `
    -SynchronizationRule $syncRule[0] `
    -Source @('true') `
    -Destination 'cloudNoFlow' `
    -FlowType 'Constant' `
    -ValueMergeType 'Update' `
    -OutVariable syncRule
   
    New-Object  `
    -TypeName 'Microsoft.IdentityManagement.PowerShell.ObjectModel.ScopeCondition' `
    -ArgumentList 'cloudMastered','true','EQUAL' `
    -OutVariable condition0
   
    New-Object  `
    -TypeName 'Microsoft.IdentityManagement.PowerShell.ObjectModel.ScopeCondition' `
    -ArgumentList 'mail','','ISNULL' `
    -OutVariable condition1
   
    Add-ADSyncScopeConditionGroup  `
    -SynchronizationRule $syncRule[0] `
    -ScopeConditions @($condition0[0],$condition1[0]) `
    -OutVariable syncRule
   
    Add-ADSyncRule  `
    -SynchronizationRule $syncRule[0]
   
    Get-ADSyncRule  `
    -Identifier 'e4eae1c9-b9bc-4328-ade9-df871cdd3027'
   

Passaggio 4 - Creare una regola in uscita personalizzata per i gruppi

È necessaria anche una regola di sincronizzazione in uscita con un tipo di collegamento JoinNoFlow e il filtro di ambito con l'attributo cloudNoFlow impostato su Vero. Questa regola indica a Microsoft Entra Connect di non sincronizzare gli attributi per questi gruppi. Per creare questa regola di sincronizzazione, è possibile scegliere di usare l'interfaccia utente o crearla tramite PowerShell con lo script fornito.

Creare una regola in uscita del gruppo personalizzata nell'interfaccia utente

1. Selezionare In uscita nell'elenco a discesa Direzione e fare clic su Aggiungi regola.

2. Nella pagina Descrizione, immettere quanto segue e fare clic su Avanti:

   • Nome: assegnare un nome significativo alla regola
   • Descrizione: aggiungere una descrizione significativa
   • Sistema connesso: scegliere il connettore AD per cui si sta scrivendo la regola di sincronizzazione personalizzata
   • Tipo di oggetto di sistema connesso: gruppo
   • Tipo di oggetto metaverse: gruppo
   • Tipo di collegamento: JoinNoFlow
   • Precedenza: fornire un valore univoco nel sistema. È consigliabile un valore inferiore a 100, in modo da avere la precedenza sulle regole predefinite.
   • Tag: lasciare vuoto

   

3. Nella pagina Scoping filter (Filtro di ambito) scegliere cloudNoFlow uguale True. Quindi seleziona Avanti.

   

4. Nella pagina di regole di Join, fare clic su Avanti.

5. Nella pagina Trasformazioni, selezionare Aggiungi.

Creare una regola di ingresso di gruppo personalizzato in PowerShell

1. Nel server di Microsoft Entra Connect, aprire un prompt di PowerShell come amministratore.

2. Importare il modulo.

   Import-Module ADSync
   

3. Specificare un valore univoco per la precedenza della regola di sincronizzazione [0-99].

   [int] $outboundSyncRulePrecedence = 89
   

4. Ottenere Active Directory Connector per il writeback del gruppo.

   $connectorAD = Get-ADSyncConnector -Name "Contoso.com"
   

5. Eseguire lo script seguente:

    New-ADSyncRule  `
    -Name 'Out to AD - Group SOAinAAD coexistence with Cloud Sync' `
    -Identifier '419fda18-75bb-4e23-b947-8b06e7246551' `
    -Description 'https://video2.skills-academy.com/entra/identity/hybrid/cloud-sync/migrate-group-writeback' `
    -Direction 'Outbound' `
    -Precedence $outboundSyncRulePrecedence `
    -PrecedenceAfter '00000000-0000-0000-0000-000000000000' `
    -PrecedenceBefore '00000000-0000-0000-0000-000000000000' `
    -SourceObjectType 'group' `
    -TargetObjectType 'group' `
    -Connector $connectorAD.Identifier `
    -LinkType 'JoinNoFlow' `
    -SoftDeleteExpiryInterval 0 `
    -ImmutableTag '' `
    -OutVariable syncRule
   
    New-Object  `
    -TypeName 'Microsoft.IdentityManagement.PowerShell.ObjectModel.ScopeCondition' `
    -ArgumentList 'cloudNoFlow','true','EQUAL' `
    -OutVariable condition0
   
    Add-ADSyncScopeConditionGroup  `
    -SynchronizationRule $syncRule[0] `
    -ScopeConditions @($condition0[0]) `
    -OutVariable syncRule
   
    Add-ADSyncRule  `
    -SynchronizationRule $syncRule[0]
   
    Get-ADSyncRule  `
    -Identifier '419fda18-75bb-4e23-b947-8b06e7246551'
   

Passaggio 5 - Usare PowerShell per completare la configurazione

1. Nel server di Microsoft Entra Connect, aprire un prompt di PowerShell come amministratore.

2. Importare il modulo ADSync:

   Import-Module ADSync
   

3. Eseguire un ciclo di sincronizzazione completo:

   Start-ADSyncSyncCycle -PolicyType Initial
   

4. Disabilitare la funzionalità di writeback dei gruppi per il tenant:

   Avviso

   questa operazione è irreversibile. Dopo aver disabilitato il writeback del gruppo V2, tutti i gruppi di Microsoft 365 verranno riscritti in AD, indipendentemente dall'impostazione Writeback abilitata nell'interfaccia di amministrazione di Entra.

   Set-ADSyncAADCompanyFeature -GroupWritebackV2 $false 
   

5. Eseguire un ciclo di sincronizzazione completo (di nuovo):

   Start-ADSyncSyncCycle -PolicyType Initial
   

6. Riabilitare l'utilità di pianificazione della sincronizzazione:

   Set-ADSyncScheduler -SyncCycleEnabled $true  
   

   

Passaggio 6 - Rimuovere il server di Microsoft Entra Connect Sync dalla modalità di staging

1. Avviare la procedura guidata di Microsoft Entra Connect Sync
2. Fare clic su Configura
3. Selezionare Configurazione della modalità di staging e fare clic su Avanti
4. Immettere le credenziali di Microsoft Entra
5. Deselezionare la casella di controllo Abilita modalità di staging e fare clic su Avanti
6. Fare clic su Configura
7. Fare clic su Esci

Passaggio 7 - Configurare Microsoft Entra Cloud Sync

Ora che i gruppi sono rimossi dall'ambito di sincronizzazione di Microsoft Entra Connect Sync, è possibile configurare Microsoft Entra Cloud Sync in modo tale che assumi il controllo della sincronizzazione dei gruppi di sicurezza. Vedere Effettuare il provisioning dei gruppi in Active Directory usando Microsoft Entra Cloud Sync.

Passaggi successivi

• Effettuare il provisioning dei gruppi in Active Directory usando Microsoft Entra Cloud Sync
• Gestire le app locali basate su Active Directory (Kerberos) usando Microsoft Entra ID Governance
• Domande frequenti sul provisioning di Active Directory con Microsoft Entra Cloud Sync