วิธีโยกย้ายไปยัง Azure AD Connect Cloud Sync
Azure AD Connect Cloud Sync แทนที่ซอฟต์แวร์ Azure AD Connect ที่มีอยู่ด้วยเอเจนต์แบบน้ำหนักเบาที่ได้รับการกำหนดค่าและควบคุมอย่างสมบูรณ์จาก Azure Active Directory Admin Center
ในบทช่วยสอนนี้ ฉันจะแสดงให้คุณเห็นวิธีการโยกย้ายไปยังการซิงค์บนคลาวด์ Azure AD Connect และลบซอฟต์แวร์ที่มีอยู่
การซิงค์บนคลาวด์ Azure AD Connect ทำงานอย่างไร
การซิงค์บนคลาวด์ Azure AD Connect เป็นการทดแทนที่รวดเร็วและปรับใช้ได้ง่ายสำหรับแอปพลิเคชันซอฟต์แวร์ Azure AD Connect แบบดั้งเดิมเพื่อซิงโครไนซ์ข้อมูลประจำตัวภายในองค์กรของคุณกับ Azure Active Directory
ในปัจจุบัน รองรับสถานการณ์การระบุตัวตนแบบไฮบริดทั่วไป (ซับซ้อนน้อยกว่า) และต้องใช้โครงสร้างพื้นฐานขั้นต่ำในการรัน
คุณเพียงปรับใช้ตัวแทนในสภาพแวดล้อม Active Directory ในเครื่องของคุณ จากนั้นการตั้งค่าและการกำหนดค่าทั้งหมดจะถูกจัดเก็บไว้ในระบบคลาวด์และจัดการผ่านศูนย์การจัดการ Azure Active Directory
ข้อจำกัด
เนื่องจากเครื่องมือการซิงค์บนคลาวด์ค่อนข้างใหม่ จึงยังมีข้อจำกัดบางประการในการใช้งานผ่านแอปพลิเคชันซอฟต์แวร์ที่มีอยู่ ข้อจำกัดเหล่านี้ได้แก่:
- ไม่สามารถเชื่อมต่อกับไดเรกทอรี LDAP อื่นได้
- ไม่รองรับวัตถุอุปกรณ์
- ไม่ซิงค์แอตทริบิวต์ส่วนขยาย
- ไม่สามารถกรองตามค่าแอตทริบิวต์ได้
- ไม่รองรับการเขียนกลับแบบกลุ่ม
- ไม่รองรับการเขียนกลับอุปกรณ์
- ไม่รองรับการเขียนกลับแบบไฮบริดของ Exchange
- จำกัดอยู่ที่ 150,000 ออบเจ็กต์
- จำกัดเฉพาะกลุ่มที่มีสมาชิก 50,000 คน
- ไม่รองรับการรวมแอตทริบิวต์ผู้ใช้จากหลายโดเมน
ประโยชน์ของการซิงค์บนคลาวด์ Azure AD Connect
เนื่องจาก Microsoft วางแผนที่จะย้ายเครื่องมือการซิงค์ข้อมูลประจำตัวไปยังระบบคลาวด์โดยสมบูรณ์ จุดสนใจหลักจึงอยู่ที่การพัฒนาเครื่องมือการซิงค์บนคลาวด์ใหม่ ดังนั้นสำหรับข้อจำกัดใดๆ คุณสามารถคาดหวังได้ว่าสิ่งเหล่านี้จะรวมอยู่ในการอัปเดตในอนาคตเนื่องจากโซลูชันกำลังได้รับการพัฒนาเพิ่มเติม
ประโยชน์หลักบางประการ ได้แก่:
- รวดเร็วและง่ายต่อการปรับใช้
- ความสามารถในการเชื่อมต่อกับฟอเรสต์ AD ที่ไม่ได้เชื่อมต่อหลายอัน
- โมเดลการติดตั้งน้ำหนักเบาโดยไม่มีข้อกำหนดสำหรับแบ็กเอนด์ SQL ในการปรับใช้ขนาดใหญ่
- สามารถปรับใช้เอเจนต์หลายตัวในองค์กรเพื่อความพร้อมใช้งานสูงโดยมีการกำหนดค่าเพิ่มเติมเพียงเล็กน้อยหรือไม่มีเลย
- ประหยัดค่าใช้จ่ายเนื่องจากข้อกำหนดการใช้งานที่ต่ำกว่า
- รองรับสถานการณ์ที่ซับซ้อนมากขึ้น เช่น การซื้อกิจการและการควบรวมกิจการ
- สามารถอยู่ร่วมกับ Azure AD Connect ได้
สถานการณ์จำลอง: เซิร์ฟเวอร์ Azure AD Connect ที่มีอยู่
ในสถานการณ์ของเรา ฉันมีการกำหนดค่า Azure AD Connect แบบดั้งเดิมที่สมเหตุสมผล มีตัวควบคุมโดเมนตัวเดียวที่ติดตั้ง Azure AD Connect ซึ่งจะซิงโครไนซ์ OU เฉพาะกับผู้เช่า Microsoft 365 ของฉัน
ภายใน OU เป้าหมาย ฉันมีบัญชีผู้ใช้ 3 บัญชีที่กำหนดค่าด้วย UPN ของ ourcloudnetwork.co.uk แอตทริบิวต์การซิงค์ต้นทางคือแอตทริบิวต์ mS-DS-ConsistencyGuid และเปิดใช้งานทั้งการซิงค์แฮชรหัสผ่านและการเขียนกลับรหัสผ่าน
ด้านล่างนี้ คุณจะเห็นการกำหนดค่าของ OU ที่ฉันเลือก
คุณสามารถดูการตั้งค่าการซิงโครไนซ์ Azure AD Connect ปัจจุบันของฉันได้ที่นี่:
ขั้นตอนที่ 1: การกำหนดค่าโหมด Staging สำหรับ Azure AD Connect
ฉันจะเริ่มต้นด้วยการตั้งค่าเซิร์ฟเวอร์ Azure AD Connect ที่มีอยู่เป็นโหมดชั่วคราว ด้วยเหตุนี้เราจึงทราบว่าการเปลี่ยนแปลงใดๆ ที่เกิดขึ้นโดยการปรับใช้การซิงค์บนคลาวด์ Azure AD Connect ใหม่จะไม่ได้รับผลกระทบจากเซิร์ฟเวอร์ที่มีอยู่ของเรา
1. เริ่มต้นด้วยการเปิด Microsoft Azure Active Directory Connect บนเซิร์ฟเวอร์ของคุณ
2. เลือก กำหนดค่า
3. เลือก กำหนดค่าโหมดการแสดงละคร และคลิก ถัดไป
4. เข้าสู่ระบบด้วยผู้ใช้ Azure AD Global Administrator ของคุณ และคลิก Next
5. ทำเครื่องหมาย เปิดใช้งานโหมดการแสดงละคร และคลิก ถัดไป
6. สุดท้าย ตรวจสอบให้แน่ใจว่าได้ทำเครื่องหมายในช่อง เริ่มกระบวนการซิงโครไนซ์ แล้วคลิก กำหนดค่า จากนั้น ออก
หากต้องการยืนยันว่าการเปลี่ยนแปลงการกำหนดค่าของคุณสำเร็จ ให้เปิด PowerShell และเรียกใช้ Get-ADSyncScheduler คุณจะเห็นแอตทริบิวต์ StagingModeEnabled ถูกตั้งค่าเป็น True
ขั้นตอนที่ 2: ดาวน์โหลดและติดตั้งตัวแทนการซิงค์ใหม่
ตอนนี้เรามีเซิร์ฟเวอร์ที่มีอยู่ในโหมดชั่วคราว มาดูการดาวน์โหลดและกำหนดค่าเอเจนต์การซิงค์บนคลาวด์ Azure AD Connect แบบน้ำหนักเบา และติดตั้งบนเซิร์ฟเวอร์เดียวกับที่เราใช้ซอฟต์แวร์ที่มีอยู่
1. เริ่มต้นด้วยการเข้าสู่ระบบศูนย์การจัดการ Azure Active Directory: https://aad.portal.azure.com/
2. เลือก Azure Active Directory จากนั้นคลิก Azure AD Connect
3. เลือก จัดการการซิงค์บนคลาวด์ Azure AD, ซึ่งจะนำคุณไปยังหน้าการกำหนดค่าการซิงค์บนคลาวด์
4. หากต้องการดาวน์โหลดสื่อการติดตั้งสำหรับตัวแทนการซิงค์คลาวด์ Azure AD Connect ให้คลิก ดาวน์โหลดตัวแทน
5. บนเซิร์ฟเวอร์ที่มีอยู่ของคุณ ให้คัดลอกไฟล์ที่ดาวน์โหลดมาและรันโปรแกรมติดตั้ง เมื่อได้รับแจ้ง ให้ยอมรับข้อกำหนดและเงื่อนไขแล้วคลิกติดตั้ง
6. เมื่อวิซาร์ดการปรับใช้งานเริ่มทำงาน ให้คลิก ถัดไป
7. ในหน้าเชื่อมต่อ Azure AD กล่องการรับรองความถูกต้องจะแจ้งให้คุณลงชื่อเข้าใช้ด้วยบัญชีผู้ดูแลระบบส่วนกลางของคุณทันที หากข้อความแจ้งการเข้าสู่ระบบไม่เปิดขึ้นโดยอัตโนมัติ ให้คลิก ตรวจสอบสิทธิ์
8. ในหน้ากำหนดค่าบัญชีบริการ เลือกตัวเลือก สร้าง gMSA จากนั้นป้อนข้อมูลรับรองผู้ดูแลระบบโดเมนของคุณสำหรับโดเมน Active Directory ของคุณ แล้วคลิก ถัดไป
9. คุณควรเห็น Active Directory ของคุณเชื่อมต่ออยู่แล้ว ถ้าคุณไม่เชื่อมต่อ ให้คลิก เพิ่มไดเรกทอรี และคลิก ถัดไป
10. ในหน้าสุดท้าย คลิก ยืนยัน บนหน้าจอ คุณจะเห็นชื่อของบัญชีบริการที่จัดการกลุ่มที่จะถูกสร้างขึ้น
การกำหนดค่าจะใช้เวลาประมาณ 2 นาทีจึงจะเสร็จสิ้น และการตั้งค่าที่ตามมาทั้งหมดจะได้รับการกำหนดค่าในศูนย์การจัดการ Azure Active Directory
ขั้นตอนที่ 3: กำหนดค่าการซิงค์ Azure AD Connect Cloud
เมื่อตัวแทนการซิงค์ถูกปรับใช้บนเซิร์ฟเวอร์ของเรา การกำหนดค่าส่วนที่เหลือจะดำเนินการผ่านศูนย์การจัดการ Azure Active Directory
เริ่มต้นด้วยการกลับไปที่หน้าการกำหนดค่าการซิงค์บนคลาวด์ของ Azure AD Connect ซึ่งสามารถเข้าถึงได้โดยการเข้าสู่ระบบ https://aad.portal.azure.com/ และเลือก Azure Active Directory > Azure AD Connect > จัดการ Azure AD Cloud ซิงค์
1. คุณจะเห็นว่าตัวเลือกการกำหนดค่าใหม่ไม่เป็นสีเทาอีกต่อไป เลือก การกำหนดค่าใหม่
2. เลือกโดเมน Active Directory ที่คุณต้องการซิงค์ (น่าจะมีเพียง 1 รายการ) เปิดใช้งานการซิงค์แฮชรหัสผ่าน หากคุณได้เปิดใช้งานไว้ก่อนหน้านี้ และคลิก สร้าง
3. การกำหนดค่าการซิงค์บนคลาวด์จะใช้เวลาประมาณ 30-60 วินาทีในการสร้าง และคุณจะถูกเปลี่ยนเส้นทางไปยัง หน้าการกำหนดค่าขั้นสูง โดยอัตโนมัติ
4. ลดขั้นตอนการตั้งค่าโดยเริ่มจากขอบเขตผู้ใช้ คลิกแก้ไขตัวกรองการกำหนดขอบเขต
5. หน้าต่างใหม่จะปรากฏขึ้นทางด้านขวา คุณมีตัวเลือกในการกรองตามผู้ใช้ กลุ่มความปลอดภัย หรือหน่วยขององค์กรทั้งหมด ฉันจะกรองตามหน่วยขององค์กร ดังนั้นฉันจะต้อง "ชื่อเฉพาะ" ของออบเจ็กต์ OU
6. เพื่อให้ได้ชื่อที่แตกต่างของ OU เป้าหมายของฉัน ฉันจะต้องเปิดผู้ใช้ไดเรกทอรีที่ใช้งานอยู่และคอมพิวเตอร์บนเซิร์ฟเวอร์ของฉัน
7. ในผู้ใช้ Active Directory และคอมพิวเตอร์ คลิก ดู จากนั้นคลิก คุณลักษณะขั้นสูง
8. คลิกขวาที่ OU เป้าหมายของคุณแล้วเลือก คุณสมบัติ เลือกแท็บ ตัวแก้ไขแอตทริบิวต์ และดับเบิลคลิกที่ distinguishedName
9. คัดลอกชื่อที่แตกต่างและวางลงในการกำหนดค่าของผู้ใช้ขอบเขตของคุณ แล้วคลิก เพิ่ม ทำซ้ำขั้นตอนนี้หากคุณมี OU เพิ่มเติมที่คุณต้องการซิงค์ สิ่งสำคัญคือคุณต้องทำให้ตัวเลือกนี้ถูกต้อง เนื่องจากหากไม่รวม OU หรือกลุ่มความปลอดภัยทั้งหมด คุณอาจจำเป็นต้องกู้คืนบัญชีผู้ใช้ที่ถูกลบ
10. คุณสามารถปล่อยให้ตัวเลือกจัดการแอตทริบิวต์เป็นค่าเริ่มต้น เว้นแต่คุณจะกำหนดค่าไว้เป็นอย่างอื่นก่อนหน้านี้ ตรวจสอบให้แน่ใจว่าได้เปิดใช้งานแฮชรหัสผ่านการซิงค์แล้ว
11. การทดสอบการจัดสรรผู้ใช้เพื่อให้แน่ใจว่าการตั้งค่าของคุณทำงานตามที่คาดไว้จะคุ้มค่า เลือก จัดสรรผู้ใช้
12. ทำตามขั้นตอนเดียวกันเพื่อค้นหาชื่อที่แตกต่าง แต่คราวนี้ให้ดำเนินการดังกล่าวสำหรับบัญชีผู้ใช้ภายใน OU เป้าหมายของคุณ คัดลอกและจัดหน้าชื่อเฉพาะในหน้า จัดเตรียมตามความต้องการ จากนั้นคลิก จัดเตรียม
13. หลังจากผ่านไปประมาณ 10-15 วินาที การจัดเตรียมจะเสร็จสิ้น คลิกปุ่ม ดูรายละเอียด สำหรับแต่ละขั้นตอนเพื่อให้แน่ใจว่าการตั้งค่าจะแสดงตามที่คาดไว้ เมื่อคุณพอใจแล้ว คลิกเสร็จสิ้น
14. กำหนดค่าที่อยู่อีเมลเพื่อรับการแจ้งเตือนข้อผิดพลาด ฉันขอแนะนำอย่างยิ่งให้คุณลดเกณฑ์การลบโดยไม่ตั้งใจจากค่าเริ่มต้น (500) เป็นสิ่งที่สมเหตุสมผลมากกว่า
15. หากคุณพร้อม คลิก เปิดใช้งาน ในขั้นตอนที่ 5 จากนั้นคลิก บันทึก ที่ด้านบนของหน้า
ขั้นตอนที่ 4: การลบตัวแทน Azure AD Connect เก่า
เมื่อติดตั้งและรันเอเจนต์การซิงค์ Azure AD Connect Cloud สำเร็จแล้ว คุณจะพร้อมที่จะถอนการติดตั้งซอฟต์แวร์ Azure AD Connect เก่า
1. บนเซิร์ฟเวอร์ของคุณ เปิด แผงควบคุม และเลือก ถอนการติดตั้งโปรแกรม
2. เลือก Microsoft Azure AD Connect และคลิก ถอนการติดตั้ง
3. ปล่อยให้ตัวเลือกทั้งหมดเป็นค่าเริ่มต้น และคลิก ลบ
4. เมื่อลบออกแล้ว โปรแกรมเดียวที่คล้ายกันที่คุณควรเห็นเหลืออยู่ในโปรแกรมและคุณลักษณะของคุณคือ Microsoft Azure AD Connect Provisioning Agent และ Agent Updater ใหม่
การตรวจสอบสถานะการซิงค์บนคลาวด์
หากต้องการตรวจสอบสถานะของการซิงค์บนคลาวด์ของคุณ คุณต้องดำเนินการตอนนี้ผ่านพอร์ทัลผู้ดูแลระบบ Azure Active Directory ทำตามขั้นตอนก่อนหน้านี้เพื่อไปที่หน้าการซิงค์บนคลาวด์ Azure AD Connect หรือคลิกที่นี่:
https://aad.portal.azure.com/#view/Microsoft_AAD_Connect_Provisioning/ProvisioningManagementBlade
บนหน้าการซิงค์บนคลาวด์ของ Azure AD Connect ให้คลิกที่ สถานะ ของการกำหนดค่าของคุณ
เมื่อการซิงค์เสร็จสิ้น คุณจะเห็นผลลัพธ์ในหน้าต่างป๊อปอัปทางด้านขวา
คำถามที่พบบ่อยบางส่วน
บัญชี gMSA เดียวกันสามารถใช้กับตัวแทนการจัดสรรแต่ละรายได้หรือไม่
ใช่ คุณสามารถใช้บัญชี gMSA ซ้ำกับตัวแทนภายในโดเมนเดียวกันได้ อย่างไรก็ตาม จะต้องสร้างบัญชี gMSA ใหม่ในแต่ละโดเมนที่แยกจากกัน