Recursos do Serviço de Sincronização do Microsoft Entra Connect

O recurso de sincronização do Microsoft Entra Connect possui dois componentes:

• O componente local denominado Sincronização do Microsoft Entra Connect, também chamado de mecanismo de sincronização.
• O serviço que reside na ID do Microsoft Entra, também conhecido como Serviço de Sincronização do Microsoft Entra Connect

Este tópico explica como os seguintes recursos do Serviço de Sincronização do Microsoft Entra Connect funcionam e como é possível configurá-los usando o PowerShell.

Para ver a configuração no seu diretório do Microsoft Entra usando o PowerShell do Graph, use os seguintes comandos:

Connect-MgGraph -Scopes "OnPremDirectorySynchronization.Read.All"

Get-MgDirectoryOnPremiseSynchronization | Select-Object -ExpandProperty Features | Format-List

O resultado é semelhante a esta saída:

BlockCloudObjectTakeoverThroughHardMatchEnabled  : False
BlockSoftMatchEnabled                            : False
BypassDirSyncOverridesEnabled                    : False
CloudPasswordPolicyForPasswordSyncedUsersEnabled : False
ConcurrentCredentialUpdateEnabled                : False
ConcurrentOrgIdProvisioningEnabled               : False
DeviceWritebackEnabled                           : False
DirectoryExtensionsEnabled                       : True
FopeConflictResolutionEnabled                    : False
GroupWriteBackEnabled                            : False
PasswordSyncEnabled                              : True
PasswordWritebackEnabled                         : False
QuarantineUponProxyAddressesConflictEnabled      : False
QuarantineUponUpnConflictEnabled                 : False
SoftMatchOnUpnEnabled                            : True
SynchronizeUpnForManagedUsersEnabled             : False
UnifiedGroupWritebackEnabled                     : True
UserForcePasswordChangeOnLogonEnabled            : False
UserWritebackEnabled                             : True
AdditionalProperties                             : {}

As configurações a seguir são definidas no Microsoft Entra Connect:

Duplicar a resiliência do atributo

Em vez de falhar ao provisionar objetos com UPNs/ proxyAddresses duplicados, o atributo duplicado é “colocado em quarentena” e um valor temporário é atribuído. Quando o conflito é resolvido, o UPN temporário é alterado para o valor correto automaticamente. Para obter mais informações, consulte Sincronização de Identidades e resiliência de atributo duplicado.

Correspondência suave de UserPrincipalName

Quando este recurso é habilitado, a correspondência suave é habilitada para UPN além do endereço SMTP primário, que está sempre habilitado. A correspondência suave é usada para fazer a correspondência dos usuários na nuvem existentes na ID do Microsoft Entra com usuários locais.

Se você precisar corresponder as contas AD locais com contas existentes criadas na nuvem e você não estiver usando o Exchange Online, este recurso será útil. Nesse cenário, você normalmente não tem um motivo para definir o atributo SMTP na nuvem.

O recurso fica ativado por padrão nos diretórios recém-criados do Microsoft Entra. Você pode ver se este recurso está habilitado executando:

Connect-MgGraph -Scopes "OnPremDirectorySynchronization.Read.All"

$DirectorySync = Get-MgDirectoryOnPremiseSynchronization
$DirectorySync.Features.SoftMatchOnUpnEnabled

Se o recurso não estiver habilitado no seu diretório do Microsoft Entra, você poderá habilitá-lo executando:

Connect-MgGraph -Scopes "OnPremDirectorySynchronization.ReadWrite.All"

$SoftMatchOnUpn = @{ SoftMatchOnUpnEnabled = "true" }
Update-MgDirectoryOnPremiseSynchronization -Features $SoftMatchOnUpn `
   -OnPremisesDirectorySynchronizationId $DirectorySync.Id

BlockSoftMatch

Quando esse recurso está habilitado, ele bloqueia o recurso de correspondência flexível. Os clientes são incentivados a habilitar esse recurso e mantê-lo habilitado até que a correspondência flexível seja requerida para sua locação. Esse sinalizador deve ser habilitado novamente depois que qualquer correspondência flexível for concluída e não for mais necessária.

Exemplo – Bloqueio de correspondência reversível em seu locatário:

Connect-MgGraph -Scopes "OnPremDirectorySynchronization.ReadWrite.All"

$SoftBlock = @{ BlockSoftMatchEnabled = "true" }
Update-MgDirectoryOnPremiseSynchronization -Features $SoftBlock `
   -OnPremisesDirectorySynchronizationId $DirectorySync.Id

Sincronizar atualizações de userPrincipalName

Historicamente, atualizações do atributo UserPrincipalName usando o serviço de sincronização local são bloqueadas, a menos que essas duas condições sejam verdadeiras:

• O usuário gerenciado (não federado).
• O usuário não tem uma licença atribuída.

Habilitar o recurso permite que o mecanismo de sincronização atualize o userPrincipalName quando ele é alterado localmente e você usa a sincronização de hash da senha ou autenticação de passagem.

O recurso fica ativado por padrão nos diretórios recém-criados do Microsoft Entra. Você pode ver se este recurso está habilitado executando:

Connect-MgGraph -Scopes "OnPremDirectorySynchronization.Read.All"

$DirectorySync = Get-MgDirectoryOnPremiseSynchronization
$DirectorySync.Features.SynchronizeUpnForManagedUsersEnabled

Se o recurso não estiver habilitado no seu diretório do Microsoft Entra, você poderá habilitá-lo executando:

Connect-MgGraph -Scopes "OnPremDirectorySynchronization.ReadWrite.All"

$SyncUpnManagedUsers = @{ SynchronizeUpnForManagedUsersEnabled = "true" }
Update-MgDirectoryOnPremiseSynchronization -Features $SyncUpnManagedUsers `
   -OnPremisesDirectorySynchronizationId $DirectorySync.Id

Depois de habilitar esse recurso, os valores userPrincipalName existentes permanecem as-is. Na próxima alteração do atributo userPrincipalName no ambiente local, o processo normal de sincronização delta atualizará o UPN dos usuários. Depois que esse recurso estiver habilitado, não será possível desabilitá-lo.

Confira também

• Sincronização do Microsoft Entra Connect
• Integrar suas identidades locais com o Microsoft Entra Connect.