Configurar a sincronização entre inquilinos

Este artigo descreve as etapas para configurar a sincronização entre locatários usando o centro de administração do Microsoft Entra. Quando configurado, o Microsoft Entra ID provisiona e desprovisiona automaticamente os usuários B2B em seu locatário de destino. Para obter detalhes importantes sobre o que esse serviço faz, como funciona e perguntas frequentes, consulte Automatizar o provisionamento e o desprovisionamento de usuários para aplicativos SaaS com o Microsoft Entra ID.

Objetivos de aprendizagem

Ao final deste artigo, você será capaz de:

• Criar usuários B2B em seu locatário de destino
• Remover usuários B2B em seu locatário de destino
• Mantenha os atributos do usuário sincronizados entre os locatários de origem e de destino

Pré-requisitos

Locatário de origem

• Licença Microsoft Entra ID P1 ou P2. Para obter mais informações, consulte Requisitos de licença.
• Função de Administrador de Segurança para definir configurações de acesso entre locatários.
• Função de Administrador de Identidade Híbrida para configurar a sincronização entre locatários.
• Função de Administrador de Aplicativos na Nuvem ou Administrador de Aplicativos para atribuir usuários a uma configuração e excluir uma configuração.

Locatário de destino

• Licença Microsoft Entra ID P1 ou P2. Para obter mais informações, consulte Requisitos de licença.
• Função de Administrador de Segurança para definir configurações de acesso entre locatários.

Etapa 1: Planejar a implantação do provisionamento

1. Defina como você gostaria de estruturar os locatários em sua organização.

2. Saiba como funciona o serviço de aprovisionamento.

3. Determine quem estará no Escopo para provisionamento.

4. Determine quais dados mapear entre locatários.

Etapa 2: Habilitar a sincronização do usuário no locatário de destino

Locatário de destino

1. Entre no centro de administração do Microsoft Entra do locatário de destino.

2. Navegue até Configurações de acesso entre locatários de identidades>externas.>

3. Na guia Configurações da organização, selecione Adicionar organização.

4. Adicione o locatário de origem digitando o ID do locatário ou nome de domínio e selecionando Adicionar.

   

5. Em Acesso de entrada da organização adicionada, selecione Herdado do padrão.

6. Selecione a guia Sincronização entre locatários.

7. Marque a caixa de seleção Permitir que os usuários sincronizem com este locatário .

   

8. Selecione Guardar.

9. Se vir uma caixa de diálogo Ativar sincronização entre inquilinos e resgate automático a perguntar se pretende ativar o resgate automático, selecione Sim.

   Selecionar Sim resgatará automaticamente os convites no locatário de destino.

   

Etapa 3: resgatar convites automaticamente no locatário de destino

Locatário de destino

Nesta etapa, você resgata automaticamente os convites para que os usuários do locatário de origem não precisem aceitar o prompt de consentimento. Essa configuração deve ser verificada no locatário de origem (saída) e no locatário de destino (entrada). Para obter mais informações, consulte Configuração de resgate automático.

1. No locatário de destino, na mesma página Configurações de acesso de entrada, selecione a guia Configurações de confiança .

2. Marque a caixa de seleção Resgatar convites automaticamente com o locatário do locatário<>.

   Essa caixa já pode estar marcada se você tiver selecionado Sim anteriormente na caixa de diálogo Habilitar sincronização entre locatários e resgate automático.

   

3. Selecione Guardar.

Etapa 4: resgatar convites automaticamente no locatário de origem

Locatário de origem

Nesta etapa, você resgata automaticamente os convites no locatário de origem.

1. Entre no centro de administração do Microsoft Entra do locatário de origem.

2. Navegue até Configurações de acesso entre locatários de identidades>externas.>

3. Na guia Configurações da organização, selecione Adicionar organização.

4. Adicione o locatário de destino digitando o ID do locatário ou nome de domínio e selecionando Adicionar.

   

5. Em Acesso de saída para a organização de destino, selecione Herdado do padrão.

6. Selecione a guia Configurações de confiança .

7. Marque a caixa de seleção Resgatar convites automaticamente com o locatário do locatário<>.

   

8. Selecione Guardar.

Etapa 5: Criar uma configuração no locatário de origem

Locatário de origem

1. No locatário de origem, navegue até Sincronização>entre locatários de identidades>externas.

   

   Se você estiver usando o portal do Azure, navegue até Microsoft Entra ID>Manage>Cross-tenant synchronization.

   

2. Selecione Configurações.

3. Na parte superior da página, selecione Nova configuração.

4. Forneça um nome para a configuração e selecione Criar.

   Pode levar até 15 segundos para que a configuração que você acabou de criar apareça na lista.

Etapa 6: Testar a conexão com o locatário de destino

Locatário de origem

1. No locatário de origem, você verá sua nova configuração. Caso contrário, na lista de configurações, selecione sua configuração.

   

2. Selecione Introdução.

3. Defina o Modo de Aprovisionamento como Automático.

4. Na seção Credenciais do administrador, altere o Método de autenticação para Política de sincronização entre locatários.

   

5. Na caixa ID do Locatário , insira o ID do locatário de destino.

6. Selecione Testar conexão para testar a conexão.

   Você verá uma mensagem informando que as credenciais fornecidas estão autorizadas a habilitar o provisionamento. Se a conexão de teste falhar, consulte Dicas de solução de problemas mais adiante neste artigo.

   

7. Selecione Guardar.

   As seções Mapeamentos e Configurações são exibidas.

8. Feche a página Provisionamento .

Etapa 7: Definir quem está no escopo do provisionamento

Locatário de origem

O serviço de provisionamento do Microsoft Entra permite definir quem será provisionado de uma ou ambas as seguintes maneiras:

• Com base na atribuição à configuração
• Com base nos atributos do usuário

Comece pequeno. Teste com um pequeno conjunto de usuários antes de distribuir para todos. Quando o escopo para provisionamento é definido como usuários e grupos atribuídos, você pode controlá-lo atribuindo um ou dois usuários à configuração. Você pode refinar ainda mais quem está no escopo para provisionamento criando filtros de escopo baseados em atributos, descritos na próxima etapa.

1. No locatário de origem, selecione Provisionamento e expanda a seção Configurações .

   

2. Na lista Escopo, selecione se deseja sincronizar todos os usuários no locatário de origem ou apenas os usuários atribuídos à configuração.

   É recomendável selecionar Sincronizar apenas usuários e grupos atribuídos em vez de Sincronizar todos os usuários e grupos. Reduzir o número de usuários no escopo melhora o desempenho.

3. Se você fez alguma alteração, selecione Salvar.

4. Na página de configuração, selecione Usuários e grupos.

   Para que a sincronização entre locatários funcione, pelo menos um usuário interno deve ser atribuído à configuração.

5. Selecione Adicionar usuário/grupo.

6. Na página Adicionar Atribuição, em Usuários e grupos, selecione Nenhum Selecionado.

7. No painel Usuários e grupos, procure e selecione um ou mais usuários ou grupos internos que você deseja atribuir à configuração.

   Se você selecionar um grupo para atribuir à configuração, somente os usuários que são membros diretos do grupo estarão no escopo para provisionamento. Você pode selecionar um grupo estático ou um grupo dinâmico. A atribuição não entra em cascata para grupos aninhados.

8. Selecione Selecionar.

9. Selecione Atribuir.

   

   Para obter mais informações, consulte Atribuir usuários e grupos a um aplicativo.

Etapa 8: (Opcional) Definir quem está no escopo para provisionamento com filtros de escopo

Locatário de origem

Independentemente do valor selecionado para Escopo na etapa anterior, você pode limitar ainda mais quais usuários são sincronizados criando filtros de escopo baseados em atributos.

1. No locatário de origem, selecione Provisionamento e expanda a seção Mapeamentos .

   

2. Selecione Provisionar usuários do Microsoft Entra ID para abrir a página Mapeamento de atributos.

3. Em Escopo do objeto de origem, selecione Todos os registros.

   

4. Na página Escopo do Objeto de Origem , selecione Adicionar filtro de escopo.

5. Adicione quaisquer filtros de escopo para definir quais usuários estão no escopo para provisionamento.

   Para configurar filtros de escopo, consulte as instruções fornecidas em Escopo de usuários ou grupos a serem provisionados com filtros de escopo.

   

6. Selecione Ok e Salvar para salvar as alterações.

   Se você adicionou um filtro, verá uma mensagem informando que salvar as alterações resultará na ressincronização de todos os usuários e grupos atribuídos. Isso pode levar muito tempo, dependendo do tamanho do seu diretório.

7. Selecione Sim e feche a página Mapeamento de Atributos.

Etapa 9: Revisar mapeamentos de atributos

Locatário de origem

Os mapeamentos de atributos permitem definir como os dados devem fluir entre o locatário de origem e o locatário de destino. Para obter informações sobre como personalizar os mapeamentos de atributos padrão, consulte Tutorial - Personalizar mapeamentos de atributos de provisionamento de usuário para aplicativos SaaS no Microsoft Entra ID.

1. No locatário de origem, selecione Provisionamento e expanda a seção Mapeamentos .

2. Selecione Provisionar usuários do Microsoft Entra ID.

3. Na página Mapeamento de Atributos, role para baixo para revisar os atributos de usuário sincronizados entre locatários na seção Mapeamentos de Atributos.

   O primeiro atributo, alternativeSecurityIdentifier, é um atributo interno usado para identificar exclusivamente o usuário entre locatários, fazer a correspondência entre usuários no locatário de origem com os usuários existentes no locatário de destino e garantir que cada usuário tenha apenas uma conta. O atributo correspondente não pode ser alterado. Tentar alterar o atributo correspondente ou adicionar atributos correspondentes adicionais resultará em um schemaInvalid erro.

   

4. Selecione o atributo Member (userType) para abrir a página Edit Attribute .

5. Revise a configuração Valor constante para o atributo userType .

   Essa configuração define o tipo de usuário que será criado no locatário de destino e pode ser um dos valores na tabela a seguir. Por padrão, os usuários serão criados como membros externos (usuários de colaboração B2B). Para obter mais informações, consulte Propriedades de um usuário de colaboração B2B do Microsoft Entra.

   Valor constante	Description
   Membro	Predefinição. Os usuários serão criados como membros externos (usuários de colaboração B2B) no locatário de destino. Os usuários poderão funcionar como qualquer membro interno do locatário de destino.
   Convidado	Os usuários serão criados como convidados externos (usuários de colaboração B2B) no locatário de destino.

   Nota

   Se o usuário B2B já existir no locatário de destino, Member (userType) não será alterado para Member, a menos que a configuração Apply this mapping esteja definida como Always.

   O tipo de usuário escolhido tem as seguintes limitações para aplicativos ou serviços (mas não estão limitados a):

   Aplicação ou serviço	Limitações
   Power BI	- O suporte para UserType Member no Power BI está atualmente em visualização. Para obter mais informações, consulte Distribuir conteúdo do Power BI para usuários convidados externos com o Microsoft Entra B2B.
   Azure Virtual Desktop	- Membro externo e convidado externo não são suportados na Área de Trabalho Virtual do Azure.

   

6. Se quiser definir quaisquer transformações, na página Mapeamento de Atributos, selecione o atributo que deseja transformar, como displayName.

7. Defina o tipo de mapeamento como Expressão.

8. Na caixa Expressão, insira a expressão de transformação. Por exemplo, com o nome para exibição, você pode fazer o seguinte:

   • Inverta o nome e o sobrenome e adicione uma vírgula no meio.
   • Adicione o nome de domínio entre parênteses no final do nome para exibição.

   Para obter exemplos, consulte Referência para escrever expressões para mapeamentos de atributos no Microsoft Entra ID.

   

Etapa 10: Especificar configurações de provisionamento adicionais

Locatário de origem

1. No locatário de origem, selecione Provisionamento e expanda a seção Configurações .

   

2. Marque a caixa de seleção Enviar uma notificação por e-mail quando ocorrer uma falha.

3. Na caixa Email de notificação, digite o endereço de e-mail de uma pessoa ou grupo que deve receber notificações de erro de provisionamento.

   As notificações por e-mail são enviadas dentro de 24 horas após o trabalho entrar no estado de quarentena. Para alertas personalizados, consulte Compreender como o provisionamento se integra aos logs do Azure Monitor.

4. Para evitar a exclusão acidental, selecione Impedir exclusão acidental e especifique um valor limite. Por padrão, o limite é definido como 500.

   Para obter mais informações, consulte Habilitar a prevenção de exclusões acidentais no serviço de provisionamento do Microsoft Entra.

5. Selecione Salvar para salvar as alterações.

Etapa 11: Fornecimento de teste sob demanda

Locatário de origem

Agora que você tem uma configuração, pode testar o provisionamento sob demanda com um de seus usuários.

1. No locatário de origem, navegue até Sincronização>entre locatários de identidades>externas.

2. Selecione Configurações e, em seguida, selecione sua configuração.

3. Selecione Provisão sob demanda.

4. Na caixa Selecione um usuário ou grupo, procure e selecione um de seus usuários de teste.

   

5. Selecione Provisionar.

   Após alguns momentos, a página Executar ação aparece com informações sobre o provisionamento do usuário de teste no locatário de destino.

   

   Se o usuário não estiver no escopo, você verá uma página com informações sobre por que o usuário de teste foi ignorado.

   

   Na página Provisão sob demanda, você pode exibir detalhes sobre a provisão e ter a opção de tentar novamente.

   

6. No locatário de destino, verifique se o usuário de teste foi provisionado.

   

7. Se tudo estiver funcionando conforme o esperado, atribua usuários adicionais à configuração.

   Para obter mais informações, consulte Provisionamento sob demanda no Microsoft Entra ID.

Etapa 12: Iniciar o trabalho de provisionamento

Locatário de origem

O trabalho de provisionamento inicia o ciclo de sincronização inicial de todos os usuários definidos na seção Escopo das Configurações . O ciclo inicial leva mais tempo para ser executado do que os ciclos subsequentes, que ocorrem aproximadamente a cada 40 minutos, enquanto o serviço de provisionamento do Microsoft Entra estiver em execução.

1. No locatário de origem, navegue até Sincronização>entre locatários de identidades>externas.

2. Selecione Configurações e, em seguida, selecione sua configuração.

3. Na página Visão geral, revise os detalhes de provisionamento.

   

4. Selecione Iniciar provisionamento para iniciar o trabalho de provisionamento .

Etapa 13: Monitorar o provisionamento

Locatários de origem e de destino

Depois de iniciar um trabalho de provisionamento, você pode monitorar o status.

1. No locatário de origem, na página Visão geral , verifique a barra de progresso para ver o status do ciclo de provisionamento e quão próximo ele está da conclusão. Para obter mais informações, consulte Verificar o status do provisionamento de usuários.

   Se o provisionamento parecer estar em um estado não íntegro, a configuração entrará em quarentena. Para obter mais informações, consulte Provisionamento de aplicativos no status de quarentena.

   

2. Selecione Logs de provisionamento para determinar quais usuários foram provisionados com ou sem êxito. Por padrão, os logs são filtrados pela ID da entidade de serviço da configuração. Para obter mais informações, consulte Provisionamento de logs no Microsoft Entra ID.

   

3. Selecione Logs de auditoria para exibir todos os eventos registrados no Microsoft Entra ID. Para obter mais informações, consulte Logs de auditoria no Microsoft Entra ID.

   

   Você também pode exibir logs de auditoria no locatário de destino.

4. No locatário de destino, selecione Logs de auditoria de usuários>para exibir eventos registrados para gerenciamento de usuários.

   

Etapa 14: Definir configurações de licença

Locatário de destino

Mesmo que os usuários estejam sendo provisionados no locatário de destino, eles ainda podem ser capazes de remover a si mesmos. Se os usuários se removerem e estiverem no escopo, eles serão provisionados novamente durante o próximo ciclo de provisionamento. Se você quiser não permitir a capacidade de os usuários se removerem da sua organização, você deve definir as configurações de licença do usuário externo.

1. No locatário de destino, navegue até Configurações de colaboração externa de identidades>>externas.

2. Em Configurações de licença do usuário externo, escolha se deseja permitir que os usuários externos saiam da sua organização.

Essa configuração também se aplica à colaboração B2B e à conexão direta B2B, portanto, se você definir as configurações de saída de usuário externo como Não, os usuários de colaboração B2B e os usuários de conexão direta B2B não poderão sair da sua organização. Para obter mais informações, consulte Sair de uma organização como um usuário externo.

Sugestões de resolução de problemas

Excluir uma configuração

Siga estas etapas para excluir uma configuração na página Configurações .

1. No locatário de origem, navegue até Sincronização>entre locatários de identidades>externas.

2. Na página Configurações, adicione uma marca de seleção ao lado da configuração que você deseja excluir.

3. Selecione Excluir e, em seguida, OK para excluir a configuração.

   

Cenários comuns e soluções

Sintoma - A conexão de teste falha com AzureDirectoryB2BManagementPolicyCheckFailure

Ao configurar a sincronização entre locatários no locatário de origem e você testar a conexão, ela falha com a seguinte mensagem de erro:

You appear to have entered invalid credentials. Please confirm you are using the correct information for an administrative account.
Error code: AzureDirectoryB2BManagementPolicyCheckFailure
Details: Policy permitting auto-redemption of invitations not configured.

Motivo

Esse erro indica que a política para resgatar convites automaticamente nos locatários de origem e de destino não foi configurada.

Solução

Siga as etapas em Etapa 3: resgatar convites automaticamente no locatário de destino e Etapa 4: resgatar convites automaticamente no locatário de origem.

Sintoma - A caixa de seleção Resgate automático está desativada

Ao configurar a sincronização entre locatários, a caixa de seleção Resgate automático é desabilitada.

Motivo

O seu inquilino não tem uma licença do Microsoft Entra ID P1 ou P2.

Solução

Você deve ter o Microsoft Entra ID P1 ou P2 para definir as configurações de confiança.

Sintoma - O usuário excluído recentemente no locatário de destino não foi restaurado

Depois de excluir suavemente um usuário sincronizado no locatário de destino, o usuário não é restaurado durante o próximo ciclo de sincronização. Se você tentar excluir suavemente um usuário com provisionamento sob demanda e, em seguida, restaurar o usuário, isso pode resultar em usuários duplicados.

Motivo

Não há suporte para a restauração de um usuário excluído anteriormente no locatário de destino.

Solução

Restaure manualmente o usuário excluído automaticamente no locatário de destino. Para obter mais informações, consulte Restaurar ou remover um usuário excluído recentemente usando a ID do Microsoft Entra.

Sintoma - Os usuários são ignorados porque a entrada por SMS está habilitada no usuário

Os usuários são ignorados da sincronização. A etapa de escopo inclui o seguinte filtro com status false: "Filtrar usuários externos.alternativeSecurityIds EQUALS 'None'"

Motivo

Se o login por SMS estiver habilitado para um usuário, ele será ignorado pelo serviço de provisionamento.

Solução

Desative o SMS Sign-in para os usuários. O script abaixo mostra como você pode desabilitar o SMS Sign-in usando o PowerShell.

##### Disable SMS Sign-in options for the users

#### Import module
Install-Module Microsoft.Graph.Users.Actions
Install-Module Microsoft.Graph.Identity.SignIns
Import-Module Microsoft.Graph.Users.Actions

Connect-MgGraph -Scopes "User.Read.All", "Group.ReadWrite.All", "UserAuthenticationMethod.Read.All","UserAuthenticationMethod.ReadWrite","UserAuthenticationMethod.ReadWrite.All"

##### The value for phoneAuthenticationMethodId is 3179e48a-750b-4051-897c-87b9720928f7

$phoneAuthenticationMethodId = "3179e48a-750b-4051-897c-87b9720928f7"

#### Get the User Details

$userId = "objectid_of_the_user_in_Entra_ID"

#### validate the value for SmsSignInState

$smssignin = Get-MgUserAuthenticationPhoneMethod -UserId $userId


    if($smssignin.SmsSignInState -eq "ready"){   
      #### Disable Sms Sign-In for the user is set to ready

      Disable-MgUserAuthenticationPhoneMethodSmsSignIn -UserId $userId -PhoneAuthenticationMethodId $phoneAuthenticationMethodId
      Write-Host "SMS sign-in disabled for the user" -ForegroundColor Green
    }
    else{
    Write-Host "SMS sign-in status not set or found for the user " -ForegroundColor Yellow
    }



##### End the script

Sintoma - Os usuários não conseguem provisionar com erro AzureActiveDirectoryForbidden

Os usuários no escopo não provisionam. Os detalhes dos logs de provisionamento incluem a seguinte mensagem de erro:

Guest invitations not allowed for your company. Contact your company administrator for more details.

Motivo

Este erro indica que as configurações de convite convidado no locatário de destino estão configuradas com a configuração mais restritiva: "Ninguém na organização pode convidar usuários convidados, incluindo administradores (mais restritivos)".

Solução

Altere as configurações de convite convidado no locatário de destino para uma configuração menos restritiva. Para obter mais informações, veja Configurar as definições de colaboração externa.

Sintoma - O Nome Principal do Usuário não é atualizado para usuários B2B existentes em estado de aceitação pendente

Quando um usuário é convidado pela primeira vez por meio de convite B2B manual, o convite é enviado para o endereço de e-mail do usuário de origem. Como resultado, o usuário convidado no locatário de destino é criado com um prefixo UPN (nome principal do usuário) usando a propriedade source mail value. Existem ambientes onde as propriedades do objeto de usuário de origem, UPN e Mail, têm valores diferentes, por exemplo, Mail == user.mail@domain.com e UPN == user.upn@otherdomain.com. Nesse caso, o usuário convidado no locatário de destino será criado com o UPN como user.mail_domain.com#EXT#@contoso.onmicrosoft.com.

A questão levanta quando então o objeto de origem é colocado no escopo para sincronização entre locatários e a expectativa é que, além de outras propriedades, o prefixo UPN do usuário convidado de destino seja atualizado para corresponder ao UPN do usuário de origem (usando o exemplo acima, o valor seria: user.upn_otherdomain.com#EXT#@contoso.onmicrosoft.com). No entanto, isso não está acontecendo durante os ciclos de sincronização incremental e a alteração é ignorada.

Motivo

Esse problema acontece quando o usuário B2B que foi convidado manualmente para o locatário de destino não aceitou ou resgatou o convite, portanto, seu estado está em aceitação pendente. Quando um usuário é convidado por meio de um e-mail, um objeto é criado com um conjunto de atributos que são preenchidos a partir do email, um deles é o UPN, que está apontando para o valor de email do usuário de origem. Se, posteriormente, você decidir adicionar o usuário ao escopo para sincronização entre locatários, o sistema tentará unir o usuário de origem a um usuário B2B no locatário de destino com base no atributo alternativeSecurityIdentifier, mas o usuário criado anteriormente não tem uma propriedade alternativeSecurityIdentifier preenchida porque o convite não foi resgatado. Portanto, o sistema não considerará isso como um novo objeto de usuário e não atualizará o valor UPN. O nome principal do usuário não é atualizado nos seguintes cenários:

1. O UPN e o e-mail são diferentes para um usuário quando foi convidado manualmente.
2. O usuário foi convidado antes de habilitar a sincronização entre locatários.
3. O utilizador nunca aceitou o convite, pelo que se encontra em "estado de aceitação pendente".
4. O usuário é colocado no escopo para sincronização entre locatários.

Solução

Para resolver o problema, execute o provisionamento sob demanda para que os usuários afetados atualizem o UPN. Você também pode reiniciar o provisionamento para atualizar o UPN para todos os usuários afetados. Por favor, note que isso desencadeia um ciclo inicial, que pode levar muito tempo para grandes inquilinos. Para obter uma lista de usuários convidados manuais em estado de aceitação pendente, você pode usar um script, consulte o exemplo abaixo.

Connect-MgGraph -Scopes "User.Read.All"
$users = Get-MgUser -Filter "userType eq 'Guest' and externalUserState eq 'PendingAcceptance'" 
$users | Select-Object DisplayName, UserPrincipalName | Export-Csv "C:\Temp\GuestUsersPending.csv"

Em seguida, você pode usar provisionOnDemand com PowerShell para cada usuário. O limite de taxa para esta API é de 5 solicitações por 10 segundos. Para obter mais informações, consulte Limitações conhecidas para provisionamento sob demanda.

Próximos passos

• Tutorial: Relatórios sobre o provisionamento automático de contas de usuário
• Gerenciando o provisionamento de conta de usuário para aplicativos corporativos no portal do Azure
• O que é o início de sessão único no Microsoft Entra ID?