Microsoft Entra Connect: настройка разрешений учетной записи соединителя AD DS

Модуль ADSyncConfig.psm1 PowerShell был представлен с сборкой 1.1.880.0 (выпущенной в августе 2018 г.), которая содержит коллекцию командлетов, которые помогут вам настроить правильные разрешения Active Directory для развертывания Microsoft Entra Connect.

Обзор

Следующие командлеты PowerShell можно использовать для настройки разрешений Active Directory учетной записи соединителя AD DS для каждой функции, выбранной для включения в Microsoft Entra Connect. Чтобы предотвратить любые проблемы, необходимо заранее подготовить разрешения Active Directory, когда вы хотите установить Microsoft Entra Connect с помощью учетной записи личного домена для подключения к лесу. Этот модуль ADSyncConfig также можно использовать для настройки разрешений после развертывания Microsoft Entra Connect.

Для установки Microsoft Entra Connect Express создается автоматически созданная учетная запись (MSOL_nnnnnnnnnn) в Active Directory со всеми необходимыми разрешениями. Этот модуль ADSyncConfig не требуется использовать, если у вас нет заблокированных разрешений наследования в подразделениях или определенных объектах Active Directory, которые требуется синхронизировать с идентификатором Microsoft Entra.

Сводка разрешений

Следующая таблица предоставляет сводку разрешений, необходимых для объектов AD:

Использование модуля ADSyncConfig PowerShell

Модулю ADSyncConfig необходимы средства удаленного администрирования сервера (RSAT) для AD DS, поскольку он зависит от модуля PowerShell для AD DS и средств. Чтобы установить средства удаленного администрирования сервера для AD DS, откройте окно Windows PowerShell в режиме "Запуск от имени администратора" и выполните:

Install-WindowsFeature RSAT-AD-Tools 

Чтобы приступить к использованию ADSyncConfig, необходимо загрузить модуль в окно Windows PowerShell:

Import-Module "C:\Program Files\Microsoft Azure Active Directory Connect\AdSyncConfig\AdSyncConfig.psm1" 

Для проверки всех командлетов в этом модуле введите:

Get-Command -Module AdSyncConfig  

Каждый командлет имеет те же параметры для ввода учетной записи соединителя AD DS и коммутатора AdminSDHolder. Чтобы указать учетную запись соединителя AD DS, можно предоставить имя учетной записи и домен или только различающееся имя (DN) учетной записи.

Например:

Set-ADSyncPasswordHashSyncPermissions -ADConnectorAccountName <ADAccountName> -ADConnectorAccountDomain <ADDomainName>

Или;

Set-ADSyncPasswordHashSyncPermissions -ADConnectorAccountDN <ADAccountDN>

Обязательно замените <ADAccountName>, <ADDomainName> и <ADAccountDN> соответствующими значениями для вашей среды.

Если вы хотите изменить разрешения для контейнера AdminSDHolder, используйте параметр -IncludeAdminSdHolders. Это не рекомендуется.

По умолчанию все командлеты для установки разрешений пытаются задать разрешения AD DS на корень каждого домена в лесах, то есть пользователю, выполняющему сеанс PowerShell, требуются права администратора домена на каждом домене в лесу. Из-за этого требования рекомендуется использовать администратора предприятия из корня леса. Если в развертывании Microsoft Entra Connect есть несколько соединителей AD DS, необходимо выполнить один и тот же командлет в каждом лесу с соединителем AD DS.

Можно также задать разрешения на определенном объекте подразделения или AD DS с помощью параметра -ADobjectDN, которому следует различающееся имя целевого объекта, где требуется задать разрешения. При использовании целевого ADobjectDN командлет задает разрешения только для этого объекта, а не в корневом каталоге домена или контейнере AdminSDHolder. Этот параметр может быть полезным, если у вас есть некоторые подразделения или объекты AD DS, в которых отключено наследование разрешений (см. в разделе "Размещение объектов AD DS с отключенным наследованием разрешений")

Исключениями для этих распространенных параметров являются командлет Set-ADSyncRestrictedPermissions, который используется для задания разрешений для самой учетной записи соединителя AD DS, и командлет Set-ADSyncPasswordHashSyncPermissions, так как разрешения, необходимые для синхронизации хэша паролей, задаются только в корневом каталоге домена, поэтому этот командлет не включает параметры -ObjectDN или -IncludeAdminSdHolders.

Определите свою учетную запись соединителя AD DS

Если Microsoft Entra Connect уже установлен, и вы хотите проверить, что такое учетная запись соединителя AD DS, используемая Microsoft Entra Connect, можно выполнить командлет:

Get-ADSyncADConnectorAccount 

Размещение объектов AD DS с отключенным наследованием разрешений

Если вы хотите проверить, отключен ли какой-либо объект AD DS с наследованием разрешений, можно выполнить следующее:

Get-ADSyncObjectsWithInheritanceDisabled -SearchBase '<DistinguishedName>' 

По умолчанию этот командлет ищет только организационные единицы с отключённым наследованием, но вы можете указать другие классы объектов AD DS в параметре -ObjectClass или использовать "*" для всех классов объектов следующим образом:

Get-ADSyncObjectsWithInheritanceDisabled -SearchBase '<DistinguishedName>' -ObjectClass * 

Просмотр разрешений AD DS объекта

Для просмотра списка разрешений, установленных в данный момент для объекта Active Directory, можно использовать командлет, указав его Различающееся имя:

Show-ADSyncADObjectPermissions -ADobjectDN '<DistinguishedName>' 

Настройка разрешений учетной записи соединителя AD DS

Настройка основных разрешения только для чтения

Чтобы задать базовые разрешения только для чтения для учетной записи соединителя AD DS, если не используется ни одной функции Microsoft Entra Connect, выполните следующую команду:

Set-ADSyncBasicReadPermissions -ADConnectorAccountName <String> -ADConnectorAccountDomain <String> [-IncludeAdminSdHolders] [<CommonParameters>] 

Или;

Set-ADSyncBasicReadPermissions -ADConnectorAccountDN <String> [-ADobjectDN <String>] [<CommonParameters>] 

Этот командлет задает следующие разрешения:

Настройка разрешений MS-DS-Consistency-Guid

Чтобы установить разрешения для учетной записи соединителя AD DS при использовании атрибута ms-Ds-Consistency-Guid в качестве привязки к источнику (параметр "Позволить Azure управлять привязкой к источнику от моего имени"), запустите:

Set-ADSyncMsDsConsistencyGuidPermissions -ADConnectorAccountName <String> -ADConnectorAccountDomain <String> [-IncludeAdminSdHolders] [<CommonParameters>] 

Или;

Set-ADSyncMsDsConsistencyGuidPermissions -ADConnectorAccountDN <String> [-ADobjectDN <String>] [<CommonParameters>] 

Этот командлет задает следующие разрешения:

Разрешения для синхронизации хэшей пароля

Чтобы задать разрешения для учетной записи соединителя AD DS при использовании синхронизации хэша паролей, запустите:

Set-ADSyncPasswordHashSyncPermissions -ADConnectorAccountName <String> -ADConnectorAccountDomain <String> [<CommonParameters>] 

Или;

Set-ADSyncPasswordHashSyncPermissions -ADConnectorAccountDN <String> [<CommonParameters>] 

Этот командлет задает следующие разрешения:

Разрешения для компонента обратной записи паролей

Чтобы задать разрешения для учетной записи соединителя AD DS при использовании компонента обратной записи паролей, запустите:

Set-ADSyncPasswordWritebackPermissions -ADConnectorAccountName <String> -ADConnectorAccountDomain <String> [-IncludeAdminSdHolders] [<CommonParameters>] 

Или;

Set-ADSyncPasswordWritebackPermissions -ADConnectorAccountDN <String> [-ADobjectDN <String>] [<CommonParameters>] 

Этот командлет задает следующие разрешения:

Разрешения для обратной записи групп

Чтобы задать разрешения для учетной записи соединителя AD DS при использовании записи групп, запустите:

Set-ADSyncUnifiedGroupWritebackPermissions -ADConnectorAccountName <String> -ADConnectorAccountDomain <String> [-IncludeAdminSdHolders] [<CommonParameters>] 

Или;

Set-ADSyncUnifiedGroupWritebackPermissions -ADConnectorAccountDN <String> [-ADobjectDN <String>] [<CommonParameters>]

Этот командлет задает следующие разрешения:

Разрешения для гибридного развертывания Exchange

Чтобы задать разрешения для учетной записи соединителя AD DS при использовании гибридного развертывания Exchange, запустите:

Set-ADSyncExchangeHybridPermissions -ADConnectorAccountName <String> -ADConnectorAccountDomain <String> [-IncludeAdminSdHolders] [<CommonParameters>] 

Или;

Set-ADSyncExchangeHybridPermissions -ADConnectorAccountDN <String> [-ADobjectDN <String>] [<CommonParameters>] 

Этот командлет задает следующие разрешения:

Разрешения для общедоступных папок почты Exchange

Чтобы задать разрешения для учетной записи соединителя AD DS при использовании общедоступных папок почты Exchange, запустите:

Set-ADSyncExchangeMailPublicFolderPermissions -ADConnectorAccountName <String> -ADConnectorAccountDomain <String> [-IncludeAdminSdHolders] [<CommonParameters>] 

Или;

Set-ADSyncExchangeMailPublicFolderPermissions -ADConnectorAccountDN <String> [-ADobjectDN <String>] [<CommonParameters>] 

Этот командлет задает следующие разрешения:

Ограничение разрешений учетной записи соединителя AD DS

Этот скрипт PowerShell ужесточает разрешения для учетной записи соединителя AD, предоставленной в качестве параметра. Сужение разрешения включает следующие шаги:

• Отключение наследования для указанного объекта.

• Удаление всех элементов управления доступом в конкретном объекте, за исключением элементов управления доступом, характерных для самого объекта, поскольку при работе с самим объектом нам нужно сохранить разрешения по умолчанию без изменений.

  Параметр -ADConnectorAccountDN — это учетная запись AD, для которой нужно ограничить разрешения. Обычно это учетная запись домена с именем MSOL_nnnnnnnnnnnn, настроенная в соединителе AD DS (см. в разделе "Определите свою учетную запись соединителя AD DS"). Параметр -Credential необходим для указания учетной записи администратора, которая имеет необходимые привилегии для ограничения разрешений Active Directory для целевого объекта AD (эта учетная запись должна отличаться от учетной записи ADConnectorAccountDN). Обычно это администратор предприятия или домена.

Set-ADSyncRestrictedPermissions [-ADConnectorAccountDN] <String> [-Credential] <PSCredential> [-DisableCredentialValidation] [-WhatIf] [-Confirm] [<CommonParameters>] 

Пример:

$credential = Get-Credential 
Set-ADSyncRestrictedPermissions -ADConnectorAccountDN 'CN=ADConnectorAccount,OU=Users,DC=Contoso,DC=com' -Credential $credential  

Этот командлет задает следующие разрешения:

Next Steps

• Учетные записи и разрешения для Microsoft Entra Connect
• Приступая к работе с Azure AD Connect с использованием стандартных параметров
• Выборочная установка Azure AD Connect
• Справочник по ADSyncConfig