Condividi tramite

Installare l'agente di provisioning di Microsoft Entra

  • Articolo

Questo articolo illustra il processo di installazione per l'agente di provisioning di Microsoft Entra e come configurarlo inizialmente nell'interfaccia di amministrazione di Microsoft Entra.

Importante

Le istruzioni di installazione seguenti presuppongono che siano stati soddisfatti tutti i prerequisiti.

Nota

Questo articolo illustra come installare l'agente di provisioning tramite la procedura guidata. Per informazioni sull'installazione dell'agente di provisioning di Microsoft Entra tramite un'interfaccia della riga di comando, vedere Installare l'agente di provisioning di Microsoft Entra usando un'interfaccia della riga di comando e PowerShell.

Per altre informazioni e un esempio, vedere il video seguente:

Account del servizio gestito di gruppo

Un account del servizio gestito del gruppo è un account di dominio gestito che fornisce la gestione automatica delle password, la gestione semplificata del nome dell'entità servizio (SPN) e la possibilità di delegare la gestione ad altri amministratori. Un account del servizio gestito del gruppo estende anche questa funzionalità su più server. Microsoft Entra Cloud Sync supporta e consiglia l'uso di un account del servizio gestito del gruppo per l'esecuzione dell'agente. Per altre informazioni, vedere Account del servizio gestito di gruppo.

Aggiornare un agente esistente per l'uso dell'account del servizio gestito del gruppo

Per aggiornare un agente esistente per usare l'account del servizio gestito del gruppo creato durante l'installazione, aggiornare il servizio agente alla versione più recente eseguendo AADConnectProvisioningAgent.msi. Eseguire di nuovo l'installazione guidata e specificare le credenziali per creare l'account quando viene richiesto di farlo.

Installare l'agente

  1. Nel portale di Azure selezionare Microsoft Entra ID.
  2. A sinistra, selezionare Microsoft Entra Connect.
  3. A sinistra, selezionare Sincronizzazione cloud.

Screenshot del nuovo schermo esperienza utente.

  1. A sinistra, selezionare Agente.
  2. Selezionare Scarica agente locale e selezionare Accetta termini e scarica.

Screenshot dell'agente di download.

  1. Dopo aver scaricato il Pacchetto dell'agente di provisioning di Microsoft Entra Connect, eseguire il file di installazione AADConnectProvisioningAgentSetup.exe dalla cartella di download.

Nota

Quando si esegue l'installazione per il cloud del governo degli Stati Uniti, usare:
AADConnectProvisioningAgentSetup.exe ENVIRONMENTNAME=AzureUSGovernment
Per altre informazioni, vedere "Installare un agente nel cloud del governo degli Stati Uniti".

  1. Nella schermata iniziale selezionare Accetto la licenza e le condizioni, quindi selezionare Installa.

Screenshot che mostra la schermata iniziale del pacchetto Agente di provisioning Microsoft Entra Connect.

  1. Al termine dell'operazione di installazione, viene avviata la configurazione guidata. Selezionare Avanti per avviare la configurazione. Screenshot della schermata iniziale.
  2. Nella schermata Seleziona estensione, selezionare provisioning basato su risorse umane (Workday e SuccessFactors) / Sincronizzazione cloud Microsoft Entra Connect e selezionare Avanti. Screenshot della schermata di selezione delle estensioni.

Nota

Se si installa l'agente di provisioning per l'uso con provisioning delle app locali quindi selezionare Provisioning di applicazioni locali (da Microsoft Entra ID all'applicazione).

  1. Accedere con un account con almeno il ruolo di amministratore dell'identità ibrida. Se è abilitata la sicurezza avanzata di Internet Explorer, blocca l'accesso. In tal caso, chiudere l'installazione, disabilitare la sicurezza avanzata di Internet Explorere riavviare l'installazione del pacchetto dell’Agente di provisioning Microsoft Entra Connect.

Screenshot della schermata Connetti Microsoft Entra ID.

  1. Nella schermata Configura account del servizio, selezionare un account del servizio gestito del gruppo. Questo account viene usato per eseguire il servizio agente. Se un account del servizio gestito è già configurato nel dominio da un altro agente e si sta installando un secondo agente, selezionare Crea account del servizio gestito del gruppo perché il sistema rileva l'account esistente e aggiunge le autorizzazioni necessarie per il nuovo agente per l'uso dell'account del servizio gestito del gruppo. Quando richiesto, scegliere una delle seguenti opzioni:
  • Crea gMSA che consente all'agente di creare automaticamente l'account del servizio gestito provAgentgMSA$. L'account del servizio gestito del gruppo, ad esempio CONTOSO\provAgentgMSA$, verrà creato nello stesso dominio di Active Directory in cui il server host è stato aggiunto. Per usare questa opzione, immettere le credenziali di amministratore di dominio di Active Directory (scelta consigliata).
  • Usare un account del servizio gestito del gruppo personalizzato e specificare il nome dell'account del servizio gestito creato manualmente per questa attività.

Per continuare, selezionare Avanti.

Screenshot della schermata Configura account del servizio.

  1. Nella schermata Connetti active Directory, se il nome di dominio viene visualizzato in Domini configurati, passare al passaggio successivo. In caso contrario, digitare il nome di dominio di Active Directory e selezionare Aggiungi directory.

  2. Accedere con l'account amministratore di dominio di Active Directory. L'account amministratore di dominio non deve avere una password scaduta. Se la password è scaduta o cambia durante l'installazione dell'agente, è necessario riconfigurare l'agente con le nuove credenziali. Questa operazione aggiungerà la directory locale. Selezionare OK, quindi selezionare Avanti per continuare.

Screenshot che mostra come immettere le credenziali di amministratore del dominio.

  1. Lo screenshot seguente mostra un esempio di dominio configurato contoso.com. Selezionare Avanti per continuare.

Screenshot della schermata per la connessione di Active Directory.

  1. Nella schermata Configurazione completata selezionare Conferma. Questa operazione registra e riavvia l'agente.

  2. Al termine dell'operazione, si dovrebbe ricevere una notifica che La configurazione dell'agente è stata verificata correttamente. È possibile selezionare Esci.

Screenshot che mostra la schermata di fine.

  1. Se si ottiene ancora la schermata iniziale, selezionare Chiudi.

Verificare l'installazione dell'agente

La verifica dell'agente si esegue nel portale di Azure e nel server locale che esegue l'agente.

Verifica dell'agente nel portale di Azure

Per verificare che l'agente sia registrato da Microsoft Entra ID, seguire questa procedura:

  1. Accedere al portale di Azure.
  2. Selezionare Microsoft Entra ID.
  3. Selezionare Microsoft Entra Connect e poi selezionare sincronizzare Cloud. Screenshot del nuovo schermo esperienza utente.
  4. Nella pagina di sincronizzazione cloud verranno visualizzati gli agenti installati. Verificare che l'agente sia visualizzato e che lo stato sia integro.

Nel server locale

Per verificare se l'agente è in esecuzione, seguire questa procedura:

  1. Accedere al server con un account amministratore.
  2. Aprire Servizi spostandosi all'opzione relativa oppure selezionando Start/Run/Services.msc.
  3. In Servizi assicurarsi che siano presenti i servizi Microsoft Entra Connect Agent Updater e Microsoft Entra Connect Provisioning Agent e che il relativo stato sia In esecuzione. Screenshot che mostra i servizi di Windows.

Verificare la versione dell'agente di provisioning

Per verificare la versione dell'agente in esecuzione, seguire questa procedura:

  1. Spostarsi a 'C:\Program Files\Microsoft Azure AD Connect Provisioning Agent'
  2. Fare clic con il pulsante destro del mouse su "AADConnectProvisioningAgent.exe" e selezionare proprietà.
  3. Fare clic sulla scheda dei dettagli e il numero di versione verrà visualizzato accanto a Versione prodotto.

Importante

Dopo aver installato l'agente, è necessario configurarlo e abilitarlo prima di avviare la sincronizzazione degli utenti. Per configurare un nuovo agente, vedere Creare una nuova configurazione per Microsoft Entra Cloud Sync.

Abilitare il writeback delle password nella sincronizzazione cloud

È possibile abilitare il writeback delle password nella reimpostazione della password direttamente nel portale o tramite PowerShell.

Abilitare il writeback delle password nel portale

Per usare il writeback delle password e abilitare il servizio di reimpostazione della password self-service per rilevare l'agente di sincronizzazione cloud tramite il portale, completare la procedura seguente:

  1. Accedere all'Interfaccia di amministrazione di Microsoft Entra almeno come Amministratore delle identità ibride.
  2. A sinistra selezionare Protezione, selezionare Reimpostazione password, quindi scegliere Integrazione locale.
  3. Selezionare l'opzione Abilitare il writeback delle password per gli utenti sincronizzati.
  4. (facoltativo) Se vengono rilevati agenti di provisioning di Microsoft Entra Connect, è anche possibile controllare l'opzione Writeback password con Microsoft Entra Cloud Sync.
  5. Impostare l'opzione Consentire agli utenti di sbloccare gli account senza reimpostare la password? su Sì.
  6. Al termine, selezionare Salva.

Con PowerShell

Per usare il writeback delle password e abilitare il servizio di reimpostazione password self-service per rilevare l'agente di sincronizzazione cloud, usare il Set-AADCloudSyncPasswordWritebackConfiguration cmdlet e le credenziali di amministratore globale del tenant:

 Import-Module "C:\\Program Files\\Microsoft Azure AD Connect Provisioning Agent\\Microsoft.CloudSync.Powershell.dll" 
 Set-AADCloudSyncPasswordWritebackConfiguration -Enable $true -Credential $(Get-Credential)

Per altre informazioni sull'uso del writeback delle password con Microsoft Entra Cloud Sync, vedere Esercitazione: Abilitare il writeback della reimpostazione della password self-service per la sincronizzazione cloud in un ambiente locale.

Installare un agente nel cloud del governo degli Stati Uniti

Per impostazione predefinita, l'agente di provisioning Di Microsoft Entra viene installato nell'ambiente Azure predefinito. Se si installa l'agente per l'uso del governo degli Stati Uniti, apportare questa modifica nel passaggio 7 della procedura di installazione precedente:

  • Invece di selezionare Apri file, selezionare Avvia>esecuzione e quindi passare al file AADConnectProvisioningAgentSetup.exe. Nella casella Esegui immettere ENVIRONMENTNAME=AzureUSGovernment dopo l'eseguibile e quindi selezionare OK.

    Screenshot che mostra come installare un agente nel cloud us government.

Sincronizzazione dell'hash delle password e FIPS con sincronizzazione cloud

Se il server è stato bloccato in base allo standard FIPS (Federal Information Processing Standard), MD5 (algoritmo message-digest 5) è disabilitato.

Per abilitare MD5 per la sincronizzazione dell'hash delle password, eseguire le operazioni seguenti:

  1. Passare a %programfiles%\Microsoft Azure AD Connect Provisioning Agent.
  2. Aprire AADConnectProvisioningAgent.exe.config.
  3. Passare al nodo di configurazione/runtime nella parte superiore del file.
  4. Aggiungere il <enforceFIPSPolicy enabled="false"/> nodo.
  5. Salva le modifiche.

Per riferimento, il codice dovrebbe essere simile al frammento di codice seguente:

<configuration>
   <runtime>
      <enforceFIPSPolicy enabled="false"/>
   </runtime>
</configuration>

Per informazioni sulla sicurezza e su FIPS, vedere Microsoft Entra password hash sync, encryption, and FIPS compliance (Sincronizzazione password, crittografia e conformità FIPS di Azure AD).

Passaggi successivi