MFA การเข้าถึงแบบมีเงื่อนไขแบ่งการซิงโครไนซ์ Azure AD Connect

บริการซิงโครไนซ์ Azure AD Connect ไม่ทำงานมานานกว่าหนึ่งสัปดาห์ เมื่อเราเรียกใช้การซิงค์ AD ด้วยตนเองกับ PowerShell จะแสดงข้อผิดพลาด เหตุใดสิ่งนี้จึงเกิดขึ้น และเหตุใดจึงเกิดเหตุการณ์เช่นนี้หลังจากใช้งาน Azure AD Multi-Factor Authentication (MFA) สิ่งสำคัญที่สุดคือ วิธีแก้ปัญหาการซิงโครไนซ์ Azure AD Connect ที่ล้มเหลวคืออะไร

ตรวจสอบการซิงโครไนซ์ Azure AD Connect

มาดูวิธีการตรวจสอบว่า Azure AD Connect ไม่ทำงาน

ผู้จัดการบริการการซิงโครไนซ์

ลงชื่อเข้าใช้บนเซิร์ฟเวอร์ Azure AD Connect เริ่มแอปพลิเคชัน ตัวจัดการบริการซิงโครไนซ์ ดูเวลาเริ่มต้นและเวลาสิ้นสุด

ในภาพหน้าจอด้านล่าง เวลาเริ่มต้นและเวลาสิ้นสุดคือ 4/11/2021 วันนี้คือ 19/4/2021 เป็นเวลามากกว่าหนึ่งสัปดาห์แล้วที่ Azure AD Connect ซิงค์

ศูนย์การจัดการ Microsoft 365

ลงชื่อเข้าใช้ศูนย์การจัดการ Microsoft 365 ตรวจสอบการ์ดการจัดการผู้ใช้

เราสามารถยืนยันได้ว่าสถานะการซิงค์ล่าสุดของ Azure AD Connect นั้นนานกว่าสามวันที่ผ่านมา และไม่มีการซิงโครไนซ์รหัสผ่านล่าสุดเกิดขึ้น

ข้อผิดพลาดในการซิงโครไนซ์ Azure AD Connect

เรียกใช้ Windows PowerShell ในฐานะผู้ดูแลระบบ เรียกใช้การบังคับซิงค์ Azure AD Connect กับ PowerShell มันจะแสดงข้อผิดพลาดด้านล่าง

PS C:\> Import-Module ADSync
PS C:\> Start-ADSyncSyncCycle -PolicyType Delta
Start-ADSyncSyncCycle : System.Management.Automation.CmdletInvocationException: System.InvalidOperationException: Showing a modal dialog box or form when the application is 
not running in UserInteractive mode is not a valid operation. Specify the ServiceNotification or DefaultDesktopOnly style to display a notification from a service 
application.

Start-ADSyncSyncCycle: System.Management.Automation.CmdletInvocationException: System.InvalidOperationException: การแสดงกล่องโต้ตอบโมดอลหรือแบบฟอร์มเมื่อแอปพลิเคชันไม่ทำงานในโหมด UserInteractive ไม่ใช่การดำเนินการที่ถูกต้อง ระบุรูปแบบ ServiceNotification หรือ DefaultDesktopOnly เพื่อแสดงการแจ้งเตือนจากแอปพลิเคชันบริการ

หน้าจอด้านล่างแสดงลักษณะที่ปรากฏหลังจากรันคำสั่ง AD Sync

เหตุการณ์แอปพลิเคชันตัวแสดงเหตุการณ์

เริ่ม ตัวแสดงเหตุการณ์ ไปที่ บันทึกของ Windows > แอปพลิเคชัน เหตุการณ์ข้อผิดพลาดต่อไปนี้ปรากฏขึ้น:

• เหตุการณ์ 662 การซิงโครไนซ์ไดเรกทอรี

• เหตุการณ์ 6900, ADSync

• เหตุการณ์ 655 การซิงโครไนซ์ไดเรกทอรี

• รหัสเหตุการณ์ 906 การซิงโครไนซ์ไดเรกทอรี

คลิกที่ รหัสเหตุการณ์ 906

เหตุการณ์ 906, Directory Synchronization
GetSecurityToken: ไม่สามารถดึงโทเค็นความปลอดภัยสำหรับบริการเว็บการจัดเตรียม (AWS) บริการ ADSync ไม่ได้รับอนุญาตให้โต้ตอบกับเดสก์ท็อปเพื่อตรวจสอบสิทธิ์ Sync_DC01-2016_588c77bd8651@exoip365.onmicrosoft.com ข้อผิดพลาดนี้อาจเกิดขึ้นหากมีการเปิดใช้งานนโยบายการรับรองความถูกต้องแบบหลายปัจจัยหรือแบบโต้ตอบอื่นๆ สำหรับบัญชีการซิงโครไนซ์

โซลูชันสำหรับการซิงโครไนซ์ AD Connect ล้มเหลว

วิธีแก้ปัญหาสำหรับการซิงโครไนซ์ AD Connect ที่ล้มเหลวหลังจากใช้งาน Azure AD MFA คือ ยกเว้นบัญชี Azure AD Connect Sync จาก Azure AD MFA

บัญชีบริการ เช่น บัญชี Azure AD Connect Sync เป็นบัญชีที่ไม่โต้ตอบซึ่งไม่ได้เชื่อมโยงกับผู้ใช้รายใดรายหนึ่ง โดยปกติจะใช้โดยบริการแบ็คเอนด์ที่อนุญาตให้เข้าถึงแอปพลิเคชันโดยทางโปรแกรม แต่ยังใช้เพื่อลงชื่อเข้าใช้ระบบเพื่อวัตถุประสงค์ด้านการดูแลระบบด้วย บัญชีบริการเช่นนี้ควรได้รับการยกเว้นเนื่องจาก MFA ไม่สามารถดำเนินการให้เสร็จสิ้นโดยทางโปรแกรมได้

ค้นหาบัญชีการซิงโครไนซ์ Azure AD

ในข้อผิดพลาดบันทึกเหตุการณ์ซึ่งเราได้ดูไปแล้วในขั้นตอนก่อนหน้า คุณสามารถคัดลอกบัญชีที่คุณต้องการแยกออกจาก Azure MFA ได้

หากคุณต้องการตรวจสอบบัญชีใน Synchronization Service Manager ให้คลิกที่ ตัวเชื่อมต่อ คลิกประเภท Windows Azure Active Directory (Microsoft) คลิกคุณสมบัติ

คลิก การเชื่อมต่อ และค้นหา ชื่อผู้ใช้

อ่านเพิ่มเติม: ค้นหาบัญชี Azure AD Connect »

ไม่รวม MFA สำหรับบัญชี Azure AD Connect Sync

ลงชื่อเข้าใช้ Microsoft Azure เปิดเมนูและเรียกดู Azure Active Directory > ความปลอดภัย > การเข้าถึงแบบมีเงื่อนไข แก้ไขนโยบายการเข้าถึงแบบมีเงื่อนไขที่บังคับใช้ MFA สำหรับบัญชีผู้ใช้

ในตัวอย่างนี้ เป็นนโยบาย ผู้ใช้ MFA ทั้งหมด

อ่านเพิ่มเติม: กำหนดค่าการรับรองความถูกต้องแบบหลายปัจจัยของ Azure AD »

ใต้ การมอบหมาย คลิก ผู้ใช้และกลุ่ม และเลือก ยกเว้น ทำเครื่องหมายที่ช่อง ผู้ใช้และกลุ่ม ค้นหาบัญชีการซิงโครไนซ์ที่คุณคัดลอกไว้ในขั้นตอนก่อนหน้า ตรวจสอบให้แน่ใจว่านโยบาย เปิด และคลิก บันทึก

ตรวจสอบสถานะการซิงค์ Azure AD Connect

คุณสามารถรอได้สูงสุด 30 นาที หรือหากคุณไม่ต้องการรอนานขนาดนั้น ให้บังคับซิงค์ Azure AD Connect กับ PowerShell

PS C:\> Import-Module ADSync
PS C:\> Start-ADSyncSyncCycle -PolicyType Delta

เวลาเริ่มต้นและเวลาสิ้นสุดเปลี่ยนเป็น 19/4/2021

ตรวจสอบสีเขียวสำหรับการซิงค์ Azure AD Connect ในศูนย์การจัดการ Microsoft 365

สิ่งนี้ช่วยคุณแก้ไขการซิงโครไนซ์ Azure AD Connect ที่เสียหายหลังจากกำหนดค่า MFA การเข้าถึงแบบมีเงื่อนไขหรือไม่

อ่านต่อ: เพิ่มผู้ใช้ในกลุ่มด้วย PowerShell »

บทสรุป

คุณได้เรียนรู้ว่าเหตุใดบริการซิงโครไนซ์ Azure AD Connect จึงหยุดการซิงค์หลังจากใช้การรับรองความถูกต้องแบบหลายปัจจัยของ Azure AD เป็นเรื่องที่น่ายินดีเนื่องจากมีการเปิดใช้งาน MFA บนบัญชี Azure AD Connect Sync ไม่รวมบัญชี Azure AD Connect Sync จากนโยบาย Azure Conditional Access และจะเริ่มการซิงค์

วิธีที่ดีกว่าคือการสร้างกลุ่มความปลอดภัยชื่อ Non-MFA และเพิ่มบัญชี Azure AD Connect Sync เป็นสมาชิก ด้วยวิธีนี้ คุณจะจัดระเบียบไว้หากคุณต้องการเพิ่มบัญชีบริการอื่นๆ ในอนาคต

คุณสนุกกับบทความนี้หรือไม่? คุณอาจต้องการเชื่อมต่อกับ Azure AD ด้วย PowerShell อย่าลืมติดตามเราและแบ่งปันบทความนี้