Tutorial: Migrieren zur Microsoft Entra-Cloudsynchronisierung für eine synchronisierte Active Directory-Gesamtstruktur

In diesem Tutorial wird Schritt für Schritt erläutert, wie Sie eine Migration zur Microsoft Entra-Cloudsynchronisierung für eine Active Directory-Testgesamtstruktur durchführen, die bereits mithilfe der Microsoft Entra Connect-Synchronisierung synchronisiert wurde.

Dieser Artikel enthält Informationen für eine grundlegende Migration. Lesen Sie die Dokumentation "Migration zu Microsoft Entra Cloud Sync ", bevor Sie versuchen, Ihre Produktionsumgebung zu migrieren.

In diesem Tutorial lernen Sie Folgendes:

Überlegungen

Beachten Sie Folgendes, bevor Sie dieses Tutorial durchführen:

• Stellen Sie sicher, dass Sie mit den Grundlagen von Microsoft Entra Cloud Sync vertraut sind.

• Stellen Sie sicher, dass Sie Microsoft Entra Connect Sync Version 1.4.32.0 oder höher ausführen und die Synchronisierungsregeln wie dokumentiert konfiguriert haben.

• Entfernen Sie während der Pilot- oder Koexistenzphase nicht die Organisationseinheit (OE), die Gruppe, die Domäne oder alle zugehörigen objekte, auf die verwiesen wird, aus Microsoft Entra Connect Sync-Bereich. Behalten Sie die Objekte im Bereich bei und verwenden Sie die in diesem Tutorial beschriebene benutzerdefinierte eingehende cloudNoFlow-Regel und ausgehende JoinNoFlow-Regel, um zu verhindern, dass Microsoft Entra Connect-Synchronisierung das Hinzufügen und Löschen von Objekten sowie Aktualisierungen von Attributen ohne Verweis exportiert.

  Durch das Entfernen von Objekten aus dem Microsoft Entra Connect-Synchronisierungsbereich werden diese aus dem Active Directory Connector Space, dem Metaverse und dem Microsoft Entra Connector Space entfernt. Diese Entfernung kann Verweise im Connector-Bereich entfernen und dazu führen, dass Verweislöschungen, z. B. das Entfernen von Gruppenmitgliedschaften, nach Microsoft Entra ID exportiert werden.

• Stellen Sie sicher, dass die Objekte im Pilotbereich ms-ds-consistencyGUID aufgefüllt wurden, damit Microsoft Entra Cloud Sync hart mit den Objekten übereinstimmt.

  Microsoft Entra Connect Sync füllt standardmäßig nicht ms-ds-consistencyGUID für Gruppenobjekte auf.

• Befolgen Sie die Schritte in diesem Lernprogramm genau. Diese Konfiguration ist für erweiterte Szenarien vorgesehen.

Das Entfernen des Bereichs aus der Microsoft Entra Connect-Synchronisierung planen

Entfernen Sie während der Koexistenz- oder Pilotphase keine OUs, Gruppen oder Domänen aus Microsoft Entra Connect-Synchronisierungsbereich. Führen Sie dies erst nach Abschluss der Migration für diesen Bereich durch, und Sie haben überprüft, dass Cloud Sync für die Objekte und deren Verweise autoritativ ist.

Bevor Sie einen Bereich aus Microsoft Entra Connect Sync entfernen, stellen Sie folgendes sicher:

• Alle Objekte in diesem Bereich sind in der entsprechenden Cloud-Synchronisierungskonfiguration enthalten.
• Verwandte referenzierte Objekte, z. B. Gruppenmitglieder und Vorgesetzte, werden ebenfalls migriert oder sind für die Pflege dieser Verweise nicht mehr von Microsoft Entra Connect Sync abhängig.
• Es gibt keine verbleibenden bereichsübergreifenden oder domänenübergreifenden Verweise, die die Microsoft Entra Connect-Synchronisierung möglicherweise aus seinem Connector-Bereich löscht und als Entfernung von Verweisen exportiert.

Entfernen Sie eine Domäne aus Microsoft Entra Connect Sync erst nach Abschluss der Migration für diese Domäne, und Sie sind sicher, dass keine domänenübergreifenden Verweise vorhanden sind.

Voraussetzungen

Im Folgenden finden Sie die erforderlichen Komponenten für die Durchführung dieses Tutorials:

• Eine Testumgebung mit Version 1.4.32.0 oder höher der Microsoft Entra Connect-Synchronisierung
• Eine OE oder Gruppe, die sich im Bereich der Synchronisierung befindet und während des Pilotversuchs verwendet werden kann. Wir empfehlen, mit einer kleinen Gruppe von Objekten zu beginnen.
• Ein Server, der Windows Server 2022, Windows Server 2019 oder Windows Server 2016 ausführt, um den Bereitstellungs-Agent zu hosten.
• Als Quellanker für die Microsoft Entra Connect-Synchronisierung muss entweder objectGuid oder ms-ds-consistencyGUID verwendet werden.

Aktualisieren von Microsoft Entra Connect

Sie sollten mindestens Über Microsoft Entra Connect 1.4.32.0 verfügen. Um Microsoft Entra Connect Sync zu aktualisieren, führen Sie die Schritte in Microsoft Entra Connect aus: Upgrade auf die neueste Version.

Sichern Ihrer Microsoft Entra Connect-Konfiguration

Bevor Sie Änderungen vornehmen, sichern Sie Ihre Microsoft Entra Connect-Konfiguration. Auf diese Weise können Sie ein Rollback zu Ihrer vorherigen Konfiguration ausführen. Weitere Informationen finden Sie unter Importieren und Exportieren von Microsoft Entra Connect-Konfigurationseinstellungen.

Beenden des Schedulers

Die Microsoft Entra Connect-Synchronisierung synchronisiert Änderungen in Ihrem lokalen Verzeichnis mithilfe eines Schedulers. Um benutzerdefinierte Regeln zu ändern und hinzuzufügen, möchten Sie den Zeitplan deaktivieren, damit Synchronisierungen nicht ausgeführt werden, während Sie arbeiten und die Änderungen vornehmen. Führen Sie die folgenden Schritte aus, um den Planer zu beenden:

1. Öffnen Sie auf dem Server, auf dem Microsoft Entra Connect Sync ausgeführt wird, PowerShell mit Administratorrechten.
2. Führen Sie Stop-ADSyncSyncCycle aus. Drücken Sie die EINGABETASTE.
3. Führen Sie Set-ADSyncScheduler -SyncCycleEnabled $false aus.

Erstellen einer benutzerdefinierten benutzergebundenen Regel

Erstellen Sie im Microsoft Entra Connect Synchronization Rules Editor eine eingehende Synchronisierungsregel, die das Attribut cloudNoFlow für Benutzer in der OU oder Gruppe, die Sie für den Pilot identifiziert haben, auf True festlegt. Dieses Attribut wird später in diesem Tutorial mit der ausgehenden Regel JoinNoFlow verwendet, um zu verhindern, dass Microsoft Entra Connect Sync für diese Benutzer Objekterstellungen, Objektlöschungen und Aktualisierungen von Nichtverweisattributen exportiert. Aktualisierungen von Verweisattributen, wie member und manager, können für die Verweisauflösung weiterhin weitergeleitet werden.

1. Öffnen Sie den Synchronisierungsregeln-Editor über das Anwendungsmenü auf dem Desktop.

   

2. Wählen Sie unter Richtung in der Dropdownliste Eingehend aus. Wählen Sie dann " Neue Regel hinzufügen" aus.

   

3. Geben Sie auf der Seite Beschreibung die folgenden Werte ein, und wählen Sie Weiteraus:

   • Name: Geben Sie der Regel einen aussagekräftigen Namen.
   • Beschreibung: Fügen Sie eine aussagekräftige Beschreibung hinzu.
   • Verbundenes System: Wählen Sie den Microsoft Entra-Connector aus, für den Sie die benutzerdefinierte Synchronisierungsregel schreiben.
   • Objekttyp des verbundenen Systems: Benutzer auswählen.
   • Metaverse-Objekttyp: Person auswählen.
   • Verknüpfungstyp: Wählen Sie Join aus.
   • Vorrang: Geben Sie einen Wert an, der im System einzigartig ist.
   • Tag: Lassen Sie dieses Feld leer.

   

4. Geben Sie auf der Seite Bereichsfilter die OE- oder Sicherheitsgruppe ein, auf der Sie den Pilotversuch basieren möchten. Fügen Sie zum Filtern nach der Organisationseinheit den Teil des Distinguished Name (DN) hinzu, der für die Organisationseinheit steht. Diese Regel gilt für alle Benutzer, die sich in dieser OE befinden. Wenn also der Distinguished Name (DN) mit OU=CPUsers,DC=contoso,DC=com endet, fügen Sie diesen Filter hinzu. Wählen Sie Weiteraus.

   Regel	Attribut	Bediener	Wert
   Bereichsorganisationseinheit	DN	ENDSWITH	Distinguished Name der Organisationseinheit.
   Geltungsbereichsgruppe		ISMEMBEROF	Distinguished Name der Sicherheitsgruppe.

   

5. Wählen Sie auf der Seite Verknüpfungsregeln die Option Weiter aus.

6. Fügen Sie auf der Seite "Transformationen " eine Konstante Transformation hinzu: Der Quellwert "True" für das "cloudNoFlow"-Attribut. Wählen Sie Hinzufügen aus.

   

Führen Sie die gleichen Schritte für alle Objekttypen (Benutzer, Gruppe und Kontakt) aus. Wiederholen Sie die Schritte gemäß dem konfigurierten Active Directory-Connector oder der Active Directory-Gesamtstruktur.

Erstellen einer benutzerdefinierten ausgehenden Regel

Sie benötigen eine ausgehende Synchronisierungsregel mit einem Linktyp JoinNoFlow und einem Bereichsfilter, bei dem das Attribut cloudNoFlow auf True festgelegt ist. Diese Regel weist Microsoft Entra Connect Sync an, für diese Benutzer keine Objekterstellungen, Objektlöschungen oder Aktualisierungen von Nichtverweisattributen zu exportieren. Aktualisierungen von Verweisattributen, wie member und manager, können für die Verweisauflösung weiterhin weitergeleitet werden.

1. Wählen Sie unter "Richtung" die Option "Ausgehend" aus der Dropdownliste aus. Wählen Sie dann "Regel hinzufügen" aus.

   

2. Geben Sie auf der Seite Beschreibung die folgenden Werte ein, und wählen Sie Weiteraus:

   • Name: Geben Sie der Regel einen aussagekräftigen Namen.
   • Beschreibung: Fügen Sie eine aussagekräftige Beschreibung hinzu.
   • Verbundenes System: Wählen Sie den Microsoft Entra-Connector aus, für den Sie die benutzerdefinierte Synchronisierungsregel schreiben.
   • Objekttyp des verbundenen Systems: Benutzer auswählen.
   • Metaverse-Objekttyp: Person auswählen.
   • Linktyp: Wählen Sie JoinNoFlow-aus.
   • Vorrang: Geben Sie einen Wert an, der im System einzigartig ist.
   • Tag: Lassen Sie dieses Feld leer.

   

3. Wählen Sie auf der Seite Bereichsfilter für Attribut die Option cloudNoFlow aus. Wählen Sie für Wert die Option Wahr aus. Wählen Sie Weiteraus.

   

4. Wählen Sie auf der Seite Verknüpfungsregeln die Option Weiter aus.

5. Wählen Sie auf der Seite Transformationen die Option Hinzufügen aus.

Führen Sie die gleichen Schritte für alle Objekttypen (Benutzer, Gruppe und Kontakt) aus.

Installieren des Microsoft Entra Provisioning-Agents

Wenn Sie das Tutorial Grundlegende Active Directory- und Azure-Umgebung verwenden, verwenden Sie CP1. Führen Sie die folgenden Schritte aus, um den Agent zu installieren.

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens mit der Rolle Hybrididentitätsadministrator an.

2. Wählen Sie im linken Bereich Entra Connect und dann Cloud Sync aus.

   

3. Wählen Sie im linken Bereich Agents aus.

4. Wählen Sie On-Premises-Agent herunterladen aus, und wählen Sie dann Bedingungen akzeptieren und herunterladen.

   

5. Nachdem Sie das Microsoft Entra Connect-Bereitstellungs-Agent-Paket heruntergeladen haben, führen Sie die AADConnectProvisioningAgentSetup.exe Installationsdatei aus Ihrem Downloadordner aus.

6. Wählen Sie auf dem geöffneten Bildschirm die Ich stimme den Lizenzbedingungen zu-Checkbox aus, und wählen Sie dann Installieren.

   

7. Nach Abschluss der Installation wird der Konfigurations-Assistent geöffnet. Wählen Sie Weiter aus, um die Konfiguration zu starten.

   

8. Melden Sie sich mit einem Konto mit mindestens der Rolle des Hybrididentitätsadministrators an. Wenn Sie die erweiterte Sicherheit von Internet Explorer aktiviert haben, wird die Anmeldung blockiert. Wenn ja, schließen Sie die Installation, deaktivieren Sie die erweiterte Sicherheit von Internet Explorer, und starten Sie die Installation des Microsoft Entra-Bereitstellungs-Agent-Pakets neu.

   

9. Wählen Sie im Bildschirm Dienstkonto konfigurieren ein gruppenverwaltetes Dienstkonto (gMSA) aus. Dieses Konto wird zum Ausführen des Agent-Diensts verwendet. Wenn ein verwaltetes Dienstkonto bereits von einem anderen Agent in Ihrer Domäne konfiguriert ist und Sie einen zweiten Agent installieren, wählen Sie "gMSA erstellen" aus. Das System erkennt das vorhandene Konto und fügt die erforderlichen Berechtigungen für den neuen Agent hinzu, um das gMSA-Konto zu verwenden. Wenn Sie dazu aufgefordert werden, wählen Sie eine von zwei Optionen aus:

   • gMSA erstellen: Lassen Sie den Agenten das verwaltete Dienstkonto provAgentgMSA$ für Sie erstellen. Das gruppenverwaltete Dienstkonto (z. B. #B0) wird in derselben Active Directory-Domäne erstellt, in der der Hostserver mitglied ist. Um diese Option zu verwenden, geben Sie die Anmeldeinformationen des Active Directory-Domänenadministratorkontos ein (empfohlen).
   • Verwenden Sie benutzerdefinierte gMSA: Geben Sie den Namen des verwalteten Dienstkontos an, das Sie für diese Aufgabe manuell erstellt haben.

   

10. Wählen Sie zum Fortsetzen des Vorgangs Weiter aus.

11. Wenn Ihr Domänenname im Bildschirm Active Directory verbinden unter Konfigurierte Domänen angezeigt wird, fahren Sie mit dem nächsten Schritt fort. Geben Sie andernfalls Ihren Active Directory-Domänennamen ein, und wählen Sie Verzeichnis hinzufügen aus.

    

12. Melden Sie sich mit Ihrem Active Directory-Domänenadministratorkonto an. Das Kennwort des Domänenadministratorkontos darf nicht abgelaufen sein. Wenn das Kennwort während der Agentinstallation abgelaufen ist oder sich ändert, konfigurieren Sie den Agent mit den neuen Anmeldeinformationen neu. Mit diesem Vorgang wird Ihr lokales Verzeichnis hinzugefügt. Wählen Sie OK aus, und wählen Sie dann Weiter aus, um fortzufahren.

13. Klicken Sie auf Weiter, um fortzufahren.

14. Wählen Sie auf dem Bildschirm Konfiguration abgeschlossen die Option Bestätigen aus. Damit wird der Agent registriert und neu gestartet.

    

15. Nach Abschluss des Vorgangs wird eine Benachrichtigung angezeigt, dass die Agentkonfiguration erfolgreich überprüft wurde. Wählen Sie Beenden aus. Wenn der Startbildschirm weiterhin angezeigt wird, wählen Sie Schließen aus.

Überprüfen der Agentinstallation

Die Agentüberprüfung erfolgt im Azure-Portal und auf dem lokalen Server, auf dem der Agent ausgeführt wird.

Überprüfen des Agents im Azure-Portal

Führen Sie die folgenden Schritte aus, um zu überprüfen, ob die Microsoft Entra-ID den Agent registriert:

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens mit der Rolle Hybrididentitätsadministrator an.

2. Wählen Sie Entra Connect und dann Cloud Sync aus.

   

3. Klicken Sie auf der Seite "CloudSynchronisierung" auf "Agents", um die agents anzuzeigen, die Sie installiert haben. Überprüfen Sie, ob der Agent angezeigt wird und der Status aktiv ist.

Überprüfen des Agents auf dem lokalen Server

Führen Sie die folgenden Schritte aus, um zu überprüfen, ob der Agent ausgeführt wird:

1. Melden Sie sich beim Server mit einem Administratorkonto an.

2. Gehen Sie zu Services. Sie können auch Start/Run/Services.msc verwenden, um darauf zuzugreifen.

3. Stellen Sie unter "Dienste" sicher, dass microsoft Azure AD Connect Agent Updater und Microsoft Azure AD Connect Provisioning Agent vorhanden sind und dass der Status "Ausgeführt" ist.

   

Überprüfen Sie die Version des Bereitstellungs-Agenten

Führen Sie die folgenden Schritte aus, um die Version des ausgeführten Agents zu überprüfen:

1. Wechseln Sie zu C:\Program Files\Microsoft Azure AD Connect Provisioning Agent.
2. Klicken Sie mit der rechten Maustaste auf AADConnectProvisioningAgent.exe , und wählen Sie "Eigenschaften" aus.
3. Wählen Sie die Registerkarte Details aus. Die Versionsnummer wird neben der Produktversion angezeigt.

Konfigurieren der Microsoft Entra-Cloudsynchronisierung

Führen Sie die folgenden Schritte aus, um die Bereitstellung zu konfigurieren:

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens mit der Rolle Hybrididentitätsadministrator an.

2. Navigieren Sie zur Entra ID>Entra Connect>Cloud-Synchronisierung.

   

3. Wählen Sie Neue Konfiguration aus.

   

4. Wählen Sie auf dem Konfigurationsbildschirm Ihre Domäne aus, und wählen Sie aus, ob die Kennworthashsynchronisierung aktiviert werden soll. Wählen Sie dann "Erstellen" aus.

   

5. Wählen Sie auf dem Bildschirm " Erste Schritte " die Option " Bereichsfilter hinzufügen " neben dem Symbol " Bereichsfilter hinzufügen " aus. Oder wählen Sie im linken Bereich unter Verwalten die Option Bereichsfilter aus.

   

6. Wählen Sie den Geltungsbereichsfilter aus. Wählen Sie für dieses Lernprogramm "Ausgewählte Organisationseinheiten" aus. Dieser Filter beschreibt die Konfiguration, die auf bestimmte Organisationseinheiten angewendet werden soll.

7. Geben Sie in das Feld OU=CPUsers,DC=contoso,DC=com ein.

   

8. Wählen Sie aus. Fügen Sie>hinzu. Speichern Sie.

Starten des Schedulers

Microsoft Entra Connect Sync synchronisiert Änderungen, die in Ihrem lokalen Verzeichnis mithilfe eines Schedulers auftreten. Nachdem Sie die Regeln geändert haben, können Sie den Scheduler neu starten.

1. Öffnen Sie auf dem Server, auf dem Microsoft Entra Connect Sync ausgeführt wird, PowerShell mit Administratorrechten.
2. Führen Sie Set-ADSyncScheduler -SyncCycleEnabled $true aus.
3. Führen Sie Start-ADSyncSyncCycle aus. Wählen Sie dann Eingeben aus.

Nachdem der Scheduler aktiviert wurde, beendet Microsoft Entra Connect Sync das Exportieren von Objekterstellungen, Objektlöschungen und Aktualisierungen von Nichtverweisattributen für Objekte, bei denen cloudNoFlow=true im Metaverse verwendet wird und die ausgehende Regel JoinNoFlow verwendet. Referenzattribute werden unterschiedlich behandelt. Aktualisierungen von Referenzattributen wie member und manager können weiterhin zur Auflösung von Verweisen exportiert werden.

Wenn ein Objekt aus Microsoft Entra Connect Sync-Bereich entfernt wird, werden dessen Verbinderbereich und metaverse Objekte entfernt. Alle Verweise auf dieses Objekt oder von diesem Objekt können im Microsoft Entra-Connectorbereich gelöscht und als Verweislöschungen exportiert werden. Dieses Verhalten kann dazu führen, dass Gruppenmitgliedschaften entfernt oder andere Änderungen an Verweisen in Microsoft Entra ID vorgenommen werden.

Problembehandlung

Wenn das Pilotprojekt nicht wie erwartet funktioniert, kehren Sie zum Microsoft Entra Connect Sync-Setup zurück.

1. Deaktivieren Sie die Bereitstellungskonfiguration im Portal.
2. Verwenden Sie das Tool für den Synchronisierungsregel-Editor, um alle benutzerdefinierten Synchronisierungsregeln zu deaktivieren, die Sie für die Cloudbereitstellung erstellt haben. Durch das Deaktivieren wird eine vollständige Synchronisierung für alle Connectors verursacht.

Entfernte Gruppenmitgliedschaften oder Managerverweise

Dieses Problem kann auftreten, wenn Objekte aus dem Microsoft Entra Connect-Synchronisierungsbereich entfernt werden, während sich zugehörige Gruppen, Benutzer, Kontakte oder andere referenzierte Objekte noch im Koexistenzmodus befinden. Wenn Objekte aus dem Bereich entfernt werden, entfernt Microsoft Entra Connect Sync den entsprechenden Verbinderbereich und metaverse Objekte. Durch diese Löschung können Verweise im Connector-Bereich von Microsoft Entra entfernt und Verweislöschungen nach Microsoft Entra ID exportiert werden.

Zur Wiederherstellung fügen Sie die betroffenen Objekte erneut dem Synchronisierungsbereich von Microsoft Entra Connect hinzu und führen eine vollständige Synchronisierung aus, um den Connector-Bereich und die Metaverse-Verweise neu aufzubauen. Bevor Sie versuchen, den Bereich erneut zu entfernen, stellen Sie sicher, dass Microsoft Entra Cloud Sync alle betroffenen Objekte bereitstellen und dass Verweise, z. B. Gruppenmitgliedschaften und Managerbeziehungen, nach einem Cloud Sync-Bereitstellungszyklus intakt bleiben.

Verwandte Inhalte

• Was ist Provisionierung?
• Was ist die Microsoft Entra-Cloudsynchronisierung?