Microsoft Entra Connect: AD DS 커넥터 계정 권한 구성

ADSyncConfig.psm1이라는 이름의 PowerShell 모듈은 2018년 8월에 릴리스된 빌드 1.1.880.0에서 도입되었습니다. 이 빌드에는 Microsoft Entra Connect 배포의 올바른 Active Directory 권한을 구성하는 데 사용할 수 있는 cmdlet 컬렉션이 포함되어 있습니다.

개요

다음 PowerShell cmdlet을 사용하여 Microsoft Entra Connect에서 사용하도록 선택한 각 기능에 대해 AD DS 커넥터 계정의 Active Directory 권한을 설정할 수 있습니다. 문제를 방지하려면 사용자 지정 도메인 계정으로 Microsoft Entra Connect를 설치하여 포리스트에 연결할 때마다 Active Directory 권한을 미리 준비해야 합니다. 이 ADSyncConfig 모듈은 Microsoft Entra Connect가 배포된 후 권한을 구성하는 데도 사용할 수 있습니다.

Microsoft Entra Connect Express 설치의 경우 필요한 모든 권한이 있는 자동으로 생성된 계정(MSOL_nnnnnnnnnn)이 Active Directory에 만들어집니다. 조직 단위 또는 Microsoft Entra ID와 동기화하려는 특정 Active Directory 개체에 대한 사용 권한 상속을 차단하지 않는 한 이 ADSyncConfig 모듈을 사용할 필요가 없습니다.

사용 권한 요약

다음 표에서는 AD 개체에 필요한 권한을 요약하고 있습니다.

ADSyncConfig PowerShell 모듈 사용

ADSyncConfig 모듈에는 AD DS PowerShell 모듈과 도구에 따라 달라지므로 AD DS용 RSAT(원격 서버 관리 도구)가 필요합니다. AD DS용 RSAT를 설치하려면 '관리자 권한으로 실행'을 사용하여 Windows PowerShell 창을 열고 다음을 실행합니다.

Install-WindowsFeature RSAT-AD-Tools 

ADSyncConfig 사용을 시작하려면 Windows PowerShell 창에서 모듈을 로드해야 합니다.

Import-Module "C:\Program Files\Microsoft Azure Active Directory Connect\AdSyncConfig\AdSyncConfig.psm1" 

이 모듈에 포함된 모든 cmdlet을 확인하려면 다음을 입력할 수 있습니다.

Get-Command -Module AdSyncConfig  

각 cmdlet에는 AD DS 커넥터 계정 및 AdminSDHolder 스위치를 입력하는 동일한 매개 변수가 있습니다. AD DS 커넥터 계정을 지정하려면 계정 이름과 도메인 또는 계정 DN(고유 이름)만 제공할 수 있습니다.

예를 들어:

Set-ADSyncPasswordHashSyncPermissions -ADConnectorAccountName <ADAccountName> -ADConnectorAccountDomain <ADDomainName>

또는

Set-ADSyncPasswordHashSyncPermissions -ADConnectorAccountDN <ADAccountDN>

<ADAccountName>, <ADDomainName> 및 <ADAccountDN>을 사용자 환경에 적합한 값으로 바꿔야 합니다.

AdminSDHolder 컨테이너에 대한 권한을 수정하려면 -IncludeAdminSdHolders 스위치를 사용합니다. 권장되지 않습니다.

기본적으로 모든 설정 권한 cmdlet은 포리스트의 각 도메인 루트에 대한 AD DS 권한을 설정하려고 시도합니다. 즉, PowerShell 세션을 실행하는 사용자에게 포리스트의 각 도메인에 대한 도메인 관리자 권한이 필요합니다. 이 요구 사항에 따라 포리스트 루트에서 엔터프라이즈 관리자를 사용하는 것이 좋습니다. Microsoft Entra Connect 배포에 여러 AD DS 커넥터가 있는 경우 AD DS 커넥터가 있는 각 포리스트에서 동일한 cmdlet을 실행해야 합니다.

또한 권한을 설정하려는 대상 개체의 DN 뒤에 -ADobjectDN 매개 변수를 사용하여 특정 OU 또는 AD DS 개체에 대한 권한을 설정할 수도 있습니다. 대상 ADobjectDN을 사용하는 경우 cmdlet은 도메인 루트 또는 AdminSDHolder 컨테이너가 아닌 이 개체에 대한 권한만 설정합니다. 이 매개 변수는 권한 상속을 사용하지 않도록 설정된 특정 OU 또는 AD DS 개체가 있는 경우 유용할 수 있습니다('권한 상속을 사용하지 않도록 설정된 AD DS 개체 찾기' 참조)

이러한 일반적인 매개 변수에 대한 예외는 AD DS 커넥터 계정 자체에 대한 사용 권한을 설정하는 데 사용되는 Set-ADSyncRestrictedPermissions cmdlet이며 암호 해시 동기화에 필요한 권한은 도메인 루트에서만 설정되므로 Set-ADSyncPasswordHashSyncPermissions cmdlet은 -ObjectDN 또는 -IncludeAdminSdHolders 매개 변수를 포함하지 않습니다.

AD DS 커넥터 계정 확인

Microsoft Entra Connect가 이미 설치되어 있고 Microsoft Entra Connect에서 현재 사용하고 있는 AD DS 커넥터 계정을 확인하려면 다음 cmdlet을 실행할 수 있습니다.

Get-ADSyncADConnectorAccount 

권한 상속을 사용하지 않도록 설정된 AD DS 개체 찾기

사용 권한 상속을 사용하지 않도록 설정된 AD DS 개체가 있는지 확인하려는 경우 다음을 실행할 수 있습니다.

Get-ADSyncObjectsWithInheritanceDisabled -SearchBase '<DistinguishedName>' 

기본적으로 이 cmdlet은 상속이 비활성화된 OU만 찾지만 다음과 같이 -ObjectClass 매개 변수에서 다른 AD DS 개체 클래스를 지정하거나 모든 개체 클래스에 '*'를 사용할 수 있습니다.

Get-ADSyncObjectsWithInheritanceDisabled -SearchBase '<DistinguishedName>' -ObjectClass * 

개체의 AD DS 권한 보기

다음 cmdlet을 사용하여 해당 DistinguishedName을 제공하여 Active Directory 개체에 현재 설정된 사용 권한 목록을 볼 수 있습니다.

Show-ADSyncADObjectPermissions -ADobjectDN '<DistinguishedName>' 

AD DS 커넥터 계정 권한 구성

기본 읽기 전용 권한 구성

Microsoft Entra Connect 기능을 사용하지 않는 경우 AD DS 커넥터 계정에 대한 기본 읽기 전용 권한을 설정하려면 다음을 실행합니다.

Set-ADSyncBasicReadPermissions -ADConnectorAccountName <String> -ADConnectorAccountDomain <String> [-IncludeAdminSdHolders] [<CommonParameters>] 

또는

Set-ADSyncBasicReadPermissions -ADConnectorAccountDN <String> [-ADobjectDN <String>] [<CommonParameters>] 

이 cmdlet은 다음 권한을 설정합니다.

MS-DS-Consistency-Guid 권한 구성

ms-Ds-Consistency-Guid 특성을 원본 앵커로 사용하는 경우 AD DS 커넥터 계정에 대한 권한을 설정하려면(즉, "Azure가 내 원본 앵커를 관리하도록 합니다." 옵션) 다음을 실행합니다.

Set-ADSyncMsDsConsistencyGuidPermissions -ADConnectorAccountName <String> -ADConnectorAccountDomain <String> [-IncludeAdminSdHolders] [<CommonParameters>] 

또는

Set-ADSyncMsDsConsistencyGuidPermissions -ADConnectorAccountDN <String> [-ADobjectDN <String>] [<CommonParameters>] 

이 cmdlet은 다음 권한을 설정합니다.

암호 해시 동기화에 대한 권한

암호 해시 동기화를 사용하는 경우 AD DS 커넥터 계정에 대한 권한을 설정하려면 다음을 실행합니다.

Set-ADSyncPasswordHashSyncPermissions -ADConnectorAccountName <String> -ADConnectorAccountDomain <String> [<CommonParameters>] 

또는

Set-ADSyncPasswordHashSyncPermissions -ADConnectorAccountDN <String> [<CommonParameters>] 

이 cmdlet은 다음 권한을 설정합니다.

비밀번호 쓰기 저장에 대한 권한

비밀번호 쓰기 저장을 사용하는 경우 AD DS 커넥터 계정에 대한 권한을 설정하려면 다음을 실행합니다.

Set-ADSyncPasswordWritebackPermissions -ADConnectorAccountName <String> -ADConnectorAccountDomain <String> [-IncludeAdminSdHolders] [<CommonParameters>] 

또는

Set-ADSyncPasswordWritebackPermissions -ADConnectorAccountDN <String> [-ADobjectDN <String>] [<CommonParameters>] 

이 cmdlet은 다음 권한을 설정합니다.

그룹 쓰기 저장에 대한 권한

그룹 쓰기 저장을 사용하는 경우 AD DS 커넥터 계정에 대한 권한을 설정하려면 다음을 실행합니다.

Set-ADSyncUnifiedGroupWritebackPermissions -ADConnectorAccountName <String> -ADConnectorAccountDomain <String> [-IncludeAdminSdHolders] [<CommonParameters>] 

또는

Set-ADSyncUnifiedGroupWritebackPermissions -ADConnectorAccountDN <String> [-ADobjectDN <String>] [<CommonParameters>]

이 cmdlet은 다음 권한을 설정합니다.

Exchange 하이브리드 배포에 대한 권한

Exchange 하이브리드 배포를 사용하는 경우 AD DS 커넥터 계정에 대한 권한을 설정하려면 다음을 실행합니다.

Set-ADSyncExchangeHybridPermissions -ADConnectorAccountName <String> -ADConnectorAccountDomain <String> [-IncludeAdminSdHolders] [<CommonParameters>] 

또는

Set-ADSyncExchangeHybridPermissions -ADConnectorAccountDN <String> [-ADobjectDN <String>] [<CommonParameters>] 

이 cmdlet은 다음 권한을 설정합니다.

Exchange 메일 공용 폴더에 대한 권한

Exchange 메일 공용 폴더 기능을 사용하는 경우 AD DS 커넥터 계정에 대한 권한을 설정하려면 다음을 실행합니다.

Set-ADSyncExchangeMailPublicFolderPermissions -ADConnectorAccountName <String> -ADConnectorAccountDomain <String> [-IncludeAdminSdHolders] [<CommonParameters>] 

또는

Set-ADSyncExchangeMailPublicFolderPermissions -ADConnectorAccountDN <String> [-ADobjectDN <String>] [<CommonParameters>] 

이 cmdlet은 다음 권한을 설정합니다.

AD DS 커넥터 계정에 대한 권한 제한

이 PowerShell 스크립트는 매개 변수로 제공된 AD 커넥터 계정에 대한 권한을 강화합니다. 권한 강화에 포함되는 단계는 다음과 같습니다.

• 지정된 개체에서 상속을 사용하지 않도록 설정합니다.

• SELF와 관련된 기본 권한을 그대로 유지하려면 SELF와 관련된 ACE를 제외하고는 특정 개체의 ACE를 모두 제거합니다.

  -ADConnectorAccountDN 매개 변수는 권한을 강화해야 하는 AD 계정입니다. 이는 일반적으로 AD DS 커넥터에서 구성된 MSOL_nnnnnnnnnnnn 도메인 계정입니다('AD DS 커넥터 계정 확인' 참조). -Credential 매개 변수는 대상 AD 개체에 대한 Active Directory 권한을 제한하는 데 필요한 권한이 있는 관리자 계정을 지정하는 데 필요합니다(이 계정은 ADConnectorAccountDN 계정과 달라야 함). 이는 일반적으로 엔터프라이즈 또는 도메인 관리자입니다.

Set-ADSyncRestrictedPermissions [-ADConnectorAccountDN] <String> [-Credential] <PSCredential> [-DisableCredentialValidation] [-WhatIf] [-Confirm] [<CommonParameters>] 

예를 들면 다음과 같습니다.

$credential = Get-Credential 
Set-ADSyncRestrictedPermissions -ADConnectorAccountDN 'CN=ADConnectorAccount,OU=Users,DC=Contoso,DC=com' -Credential $credential  

이 cmdlet은 다음 권한을 설정합니다.

다음 단계

• Microsoft Entra Connect: 계정 및 사용 권한
• 기본 설치
• 사용자 지정 설치
• ADSyncConfig 참조