Microsoft Entra provisioning agent gMSA poleceń cmdlet programu PowerShell

Celem tego dokumentu jest opisanie poleceń cmdlet programu PowerShell gMSA agenta aprowizacji w chmurze microsoft Entra Connect. Te polecenia cmdlet umożliwiają uzyskanie większego stopnia szczegółowości uprawnień stosowanych na koncie usługi (gMSA). Domyślnie usługa Microsoft Entra Cloud Sync stosuje wszystkie uprawnienia podobne do programu Microsoft Entra Connect w domyślnym gMSA lub niestandardowym gMSA podczas instalacji agenta aprowizacji w chmurze.

Ten dokument zawiera następujące polecenia cmdlet:

Set-AADCloudSyncPermissions

Set-AADCloudSyncRestrictedPermissions

Jak używać poleceń cmdlet:

Do korzystania z tych poleceń cmdlet wymagane są następujące wymagania wstępne.

1. Instalowanie agenta aprowizacji.

2. Zaimportuj moduł PowerShell agenta aprowizacji do sesji programu PowerShell.

   Import-Module "C:\Program Files\Microsoft Azure AD Connect Provisioning Agent\Microsoft.CloudSync.Powershell.dll"
   

3. Te polecenia cmdlet wymagają parametru o nazwie Credential , który można przekazać, lub wyświetli monit użytkownika, jeśli nie zostanie podany w wierszu polecenia. W zależności od używanej składni polecenia cmdlet te poświadczenia muszą być kontem administratora przedsiębiorstwa lub co najmniej administratorem domeny docelowej, w której ustawiasz uprawnienia.

4. Aby utworzyć zmienną dla poświadczeń, użyj:

   $credential = Get-Credential

5. Aby ustawić uprawnienia usługi Active Directory dla agenta aprowizacji w chmurze, możesz użyć następującego polecenia cmdlet. Spowoduje to przyznanie uprawnień w katalogu głównym domeny umożliwiającej konto usługi zarządzanie obiektami lokalna usługa Active Directory. Zobacz Używanie polecenia Set-AADCloudSyncPermissions poniżej, aby zapoznać się z przykładami dotyczącymi ustawiania uprawnień.

   Set-AADCloudSyncPermissions -EACredential $credential

6. Aby ograniczyć uprawnienia usługi Active Directory ustawione domyślnie na koncie agenta aprowizacji w chmurze, możesz użyć następującego polecenia cmdlet. Zwiększy to bezpieczeństwo konta usługi, wyłączając dziedziczenie uprawnień i usuwając wszystkie istniejące uprawnienia, z wyjątkiem samodzielnej i pełnej kontroli dla administratorów. Zobacz Używanie polecenia Set-AADCloudSyncRestrictedPermission poniżej, aby zapoznać się z przykładami dotyczącymi ograniczania uprawnień.

   Set-AADCloudSyncRestrictedPermission -Credential $credential

Korzystanie z polecenia Set-AADCloudSyncPermissions

Set-AADCloudSyncPermissions obsługuje następujące typy uprawnień, które są identyczne z uprawnieniami używanymi przez klasyczną synchronizację programu Azure AD Connect (ADSync). Obsługiwane są następujące typy uprawnień:

Możesz użyć narzędzia AADCloudSyncPermissions na jeden z dwóch sposobów:

• Udzielanie uprawnień wszystkim skonfigurowanym domenom
• Udzielanie uprawnień do określonej domeny

Udzielanie uprawnień wszystkim skonfigurowanym domenom

Przyznanie pewnych uprawnień do wszystkich skonfigurowanych domen będzie wymagać użycia konta administratora przedsiębiorstwa.

$credential = Get-Credential
Set-AADCloudSyncPermissions -PermissionType "Any mentioned above" -EACredential $credential 

Udzielanie uprawnień do określonej domeny

Udzielenie pewnych uprawnień do określonej domeny będzie wymagać użycia obiektu TargetDomainCredential, który jest administratorem przedsiębiorstwa lub administratorem domeny docelowej. Domena docelowa musi być już skonfigurowana za pomocą kreatora.

$credential = Get-Credential
Set-AADCloudSyncPermissions -PermissionType "Any mentioned above" -TargetDomain "FQDN of domain" -TargetDomainCredential $credential

Korzystanie z polecenia Set-AADCloudSyncRestrictedPermissions

Aby zwiększyć bezpieczeństwo, Set-AADCloudSyncRestrictedPermissions zaostrzy uprawnienia ustawione na samym koncie agenta aprowizacji w chmurze. Wzmocnienie uprawnień na koncie agenta aprowizacji w chmurze obejmuje następujące zmiany:

• Wyłączanie dziedziczenia

• Usuń wszystkie uprawnienia domyślne, z wyjątkiem ACL specyficznych dla SIEBIE.

• Ustaw uprawnienia Pełna kontrola dla systemów, administratorów, administratorów domeny i administratorów przedsiębiorstwa.

• Ustaw uprawnienia do odczytu dla uwierzytelnionych użytkowników i kontrolerów domeny przedsiębiorstwa.

  Parametr -Credential jest niezbędny do określenia konta administratora, które ma niezbędne uprawnienia, aby ograniczyć uprawnienia usługi Active Directory na koncie agenta aprowizacji w chmurze. Zazwyczaj jest to domena lub administrator przedsiębiorstwa.

Na przykład:

$credential = Get-Credential 
Set-AADCloudSyncRestrictedPermissions -Credential $credential  

Następne kroki

• Omówienie kont usług zarządzanych przez grupę
• Omówienie kont gMSA z synchronizacją w chmurze