Rückschreiben von Gruppen mit Microsoft Entra Cloud Sync

Mit der Veröffentlichung des Bereitstellungs-Agents 1.1.1370.0 hat die Cloudsynchronisierung jetzt die Möglichkeit, Gruppenrückschreiben durchzuführen. Diese Funktion ermöglicht es, dass die Cloudsynchronisierung Gruppen direkt in Ihrer lokalen Active Directory-Umgebung bereitstellt. Sie können jetzt auch Identitätsgovernancefeatures verwenden, um den Zugriff auf AD-basierte Anwendungen zu steuern, z. B. indem Sie eine Gruppe in ein Berechtigungsverwaltungszugriffspaket einschließen.

Bereitstellen Microsoft Entra ID für Active Directory Domain Services – Voraussetzungen

Die folgenden Voraussetzungen sind erforderlich, um Bereitstellungsgruppen für Active Directory Domain Services (AD DS) zu implementieren.

Lizenzanforderungen

Für die Verwendung dieses Features sind Microsoft Entra ID P1-Lizenzen erforderlich. Informationen zur richtigen Lizenz für Ihre Anforderungen finden Sie unter Vergleichen Sie die allgemein verfügbaren Funktionen von Microsoft Entra ID.

Allgemeine Anforderungen

• Microsoft Entra-Konto mit mindestens der Rolle Hybrid Identity Administrator.
• Lokales AD DS-Schema mit dem msDS-ExternalDirectoryObjectId-Attribut, das in Windows Server 2016 und höher verfügbar ist.
• Bereitstellungs-Agent mit Buildversion 1.1.3730.0 oder höher.

$credential = Get-Credential  

Set-AAD DSCloudSyncPermissions -PermissionType UserGroupCreateDelete -TargetDomain "FQDN of domain" -EACredential $credential

• Der Bereitstellungs-Agent muss auf einem Server installiert sein, auf dem Windows Server 2022, Windows Server 2019 oder Windows Server 2016 ausgeführt werden.
• Der Bereitstellungs-Agent muss mit einem oder mehreren Domänencontrollern an den Ports TCP/389 (LDAP) und TCP/3268 (globaler Katalog) kommunizieren können.
  • Erforderlich für die Suche im globalen Katalog zum Herausfiltern ungültiger Mitgliedschaftsverweise
• Microsoft Entra Connect Synchronisierung mit der Buildversion 2.2.8.0
  • Erforderlich, um die lokale Benutzermitgliedschaft zu unterstützen, die mit Microsoft Entra Connect-Synchronisierung synchronisiert wurde
  • Erforderlich für die Synchronisierung AD DS:user:objectGUID mit AAD DS:user:onPremisesObjectIdentifier

Skalierungsgrenzwerte für Bereitstellungsgruppen auf Active Directory

Die Leistung der Gruppenbereitstellungsfunktion für Active Directory wird durch die Größe des Mandanten sowie die Anzahl der Gruppen und Mitgliedschaften beeinflusst, die für die Bereitstellung in Active Directory vorgesehen sind. Dieser Abschnitt enthält Anleitungen zum Ermitteln, ob GPAD Ihre Skalierungsanforderung unterstützt, und wie Sie den richtigen Gruppenbereichsdefinitionsmodus auswählen, um schnellere anfängliche und Delta-Synchronisierungszyklen zu erzielen.

Was wird nicht unterstützt?

• Gruppen, die größer als 50K-Mitglieder sind, werden nicht unterstützt.
• Die Verwendung der Bereichsdefinition "Alle Sicherheitsgruppen" ohne Anwenden der Attributbereichsfilterung wird nicht unterstützt.

Skalierungslimits

Was zu tun ist, wenn Sie Grenzwerte überschreiten

Wenn Sie die empfohlenen Grenzwerte überschreiten, wird die anfängliche und delta-Synchronisierung verlangsamt, was möglicherweise zu Synchronisierungsfehlern führt. Führen Sie in diesem Fall die folgenden Schritte aus:

Zu viele Gruppen oder Gruppenmitglieder im Bereichsdefinitionsmodus "Ausgewählte Sicherheitsgruppen":

Verringern Sie die Anzahl von In-Scope-Gruppen (Zielgruppen mit höheren Werten ), oder teilen Sie die Bereitstellung in mehrere, unterschiedliche Aufträge mit nicht zusammenhängenden Bereichen auf.

Zu viele Gruppen oder Gruppenmitglieder im Bereichsdefinitionsmodus "Alle Sicherheitsgruppen":

Verwenden Sie den Bereichsdefinitionsmodus für ausgewählte Sicherheitsgruppen wie empfohlen.

Einige Gruppen überschreiten 50K-Mitglieder:

Teilen Sie die Mitgliedschaft über mehrere Gruppen hinweg, oder übernehmen Sie mehrstufige Gruppen (z. B. nach Region oder Geschäftseinheit), um jede Gruppe unter der Obergrenze zu halten.

Erweiterte Gruppenauswahl über API

Wenn Sie mehr als 999 Gruppen auswählen müssen, müssen Sie das Grant an appRoleAssignment für einen Dienstprinzipal-API-Aufruf verwenden.

Ein Beispiel für die API-Aufrufe lautet wie folgt:

POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalID}/appRoleAssignedTo
Content-Type: application/json

{
  "principalId": "",
  "resourceId": "",
  "appRoleId": ""
}

wo:

• principalId: Gruppenobjekt-ID.
• resourceId: Dienstprinzipal-ID des Auftrags.
• appRoleId: Bezeichner der App-Rolle, die vom Ressourcendienstprinzipal verfügbar gemacht wird.

Die folgende Tabelle enthält eine Liste der App-Rollen-IDs für Clouds:

Mehr Informationen

Hier sind weitere Punkte zu berücksichtigen, wenn Sie Gruppen für AD DS bereitstellen.

• Gruppen, die mit Cloud Sync für AD DS bereitgestellt werden, können nur lokale synchronisierte Benutzer oder andere in der Cloud erstellte Sicherheitsgruppen enthalten.
• Diese Benutzer müssen das onPremisesObjectIdentifier-Attribut für ihr Konto festgelegt haben.
• Der onPremisesObjectIdentifier muss mit einer entsprechenden ObjectGUID in der AD DS-Zielumgebung übereinstimmen.
• Ein lokales BenutzerobjektGUID-Attribut kann mithilfe eines Synchronisierungsclients mit einem Cloudbenutzer-onPremisesObjectIdentifier-Attribut synchronisiert werden.
• Nur globale Microsoft Entra ID-Mandanten können von Microsoft Entra ID zu AD DS provisionieren. Mandanten wie B2C werden nicht unterstützt.
• Für den Gruppenbereitstellungsauftrag ist eine Ausführung alle 20 Minuten geplant.

Unterstützte Szenarien für Gruppenrückschreiben mit Microsoft Entra Cloud Sync

In den folgenden Abschnitten werden die unterstützten Szenarien für das Gruppenrückschreiben mit Microsoft Entra Cloud Sync beschrieben.

• Migrieren Sie Microsoft Entra Connect Sync Group Writeback V2 zu Microsoft Entra Cloud Sync
• Verwalten Sie lokale Active-Directory-basierte Apps (Kerberos) mit Microsoft Entra ID Governance

Migrieren Microsoft Entra Connect Sync Group Writeback V2 zu Microsoft Entra Cloud Sync

Scenario: Migrieren des Gruppenrückschreibens mithilfe von Microsoft Entra Connect Sync (ehemals Azure AD Connect) zum Microsoft Entra Cloud Sync. Dieses Szenario ist only für Kunden, die derzeit Microsoft Entra Connect-Gruppenrückschreiben v2 verwenden. Der in diesem Artikel beschriebene Prozess bezieht sich lediglich auf in der Cloud erstellte Sicherheitsgruppen, die mit dem Bereich „Universell“ zurückgeschrieben werden. E-Mail-aktivierte Gruppen und DLs, die mithilfe des Microsoft Entra Connect-Gruppenrückschreibens V1 oder V2 zurückgeschrieben werden, werden nicht unterstützt.

Weitere Informationen finden Sie unter Migrate Microsoft Entra Connect Sync group writeback V2 to Microsoft Entra Cloud Sync.

Steuern on-premises Active Directory basierte Anwendungen (Kerberos) mithilfe von Microsoft Entra ID Governance

Scenario: Verwalten lokaler Anwendungen mit Active Directory Gruppen, die aus der Cloud bereitgestellt und verwaltet werden. Microsoft Entra Cloud Sync ermöglicht es Ihnen, Anwendungszuweisungen in AD vollständig zu steuern und gleichzeitig Microsoft Entra ID Governance Features zu nutzen, um alle zugriffsbezogenen Anforderungen zu steuern und zu beheben.

Weitere Informationen finden Sie unter Verwalten von lokalen Active Directory-basierten Apps (Kerberos) mithilfe von Microsoft Entra ID Governance.

Nächste Schritte

• Gruppen in Active Directory bereitstellen unter Verwendung von Microsoft Entra Cloud Sync
• Verwalten Sie On-Premises-Apps, die auf Active Directory (Kerberos) basieren, mit Microsoft Entra ID Governance
• Migrieren Sie Microsoft Entra Connect Sync Group Writeback V2 zu Microsoft Entra Cloud Sync
• Eingrenzungsfilter und Attributzuordnung - Microsoft Entra ID zu Active Directory