Group Writeback möjliggör synkronisering av Microsoft 365-grupper med din lokala AD genom Microsoft Entra Connect Sync. Det är en utmärkt funktion för att hantera grupper i molnet samtidigt som du kontrollerar åtkomsten till lokala applikationer och resurser. I den här artikeln kommer du att lära dig hur du aktiverar gruppåterskrivning i Microsoft Entra Connect Sync.
Förutsättningar för gruppåterskrivning
Följande är förutsättningar för gruppåterskrivning:
- Azure AD Premium 1- eller Azure AD Premium 2-licens
- Azure AD Connect version 2.0.89.0 eller senare
Du måste ha åtminstoneAzure AD Connect version 2.0.89.0eller högre installerad för att aktivera gruppåterskrivning i Azure AD Connect.
- Logga in på Microsoft Entra Connect-servern
- Kör PowerShell som administratör
- Kör kommandona nedan för att hämta Azure AD Connect-versionen
I vårt exempel är Azure AD Connect 2.1.20.0 installerat.
Import-Module ADSync
(Get-ADSyncGlobalSettingsParameter | Where-Object { $_.Name -eq 'Microsoft.Synchronize.ServerConfigurationVersion'}).ValueDet rekommenderas att hålla Azure AD Connect uppdaterad. Följ artikeln Uppgradera Microsoft Entra Connect.
För att aktivera och konfigurera gruppåterskrivning i Microsoft Entra Connect Sync, följ stegen nedan:
Steg 1. Skapa organisationsenheter i AD
StartActive Directory-användare och datoreroch skapa två separataOE:
- DU:Azure Active Directory
- AD:Active Directory
Om du redan har olika organisationsenheter för grupperna behöver du inte skapa enADOU och flytta in alla grupperna i den. Skapa bara en ny OU som heterAAD.
DeAADOU är tom eftersom gruppåterskrivningen inte är konfigurerad ännu. Detta är OU där alla grupper kommer att skrivas tillbaka till från molnet.
DeADOU har redan tre grupper.
Steg 2. Få gruppåterskrivningsstatus
KörGet-ADSyncAADCompanyFeaturePowerShell-cmdlet för att kontrollera gruppens återskrivningsstatus.
Rekommenderad läsning:Hur man aktiverar Microsoft Entra lösenordsskrivning
Get-ADSyncAADCompanyFeaturePowerShell-utgången visar detUnifiedGroupWritebackär inaktiverat eftersom värdet ärFalsk.
Notera:UnifiedGroupWriteback hänvisar till den ursprungliga versionen, som kommer att fortsätta att fungera. GroupWritebackV2 hänvisar till den nya versionen som kommer att upphöra i juni 2024.
Get-ADSyncAADCompanyFeature
PasswordHashSync : True
ForcePasswordChangeOnLogOn : False
UserWriteback : False
DeviceWriteback : False
UnifiedGroupWriteback : False
GroupWritebackV2 : False- Öppna din Microsoft Entra Connect-serverAzure AD Connect.
- VäljaKonfigurera.
- VäljaAnpassa synkroniseringsalternativ, och välj sedanNästa.
- På sidan Anslut till Azure AD,ange dina referenser. VäljaNästa.
- På sidan Anslut dina kataloger kontrollerar du attkonfigurerade katalogervisas korrekt och klicka påNästa.
- På sidan för domän- och OU-filtrering, se till att du harvalda grupper(som du skapade i föregående steg) och klicka påNästa.
- På sidan Valfria funktioner väljer duGruppåterskrivning, och välj sedanNästa.
Notera:Anta att du inte har aktiverat återskrivning av lösenord, läs artikeln Enable Self-Service Password Reset (SSPR).
- På sidan Gruppåterskrivning väljer duAADorganisationsenhet (OU) för att lagra objekt som är synkroniserade från Microsoft 365/Azure till din lokala organisation och väljWriteback Group Distinguished Name med molnvisningsnamnoch väljNästa.
- På sidan Gruppåterskrivningsbehörigheter fyller du iFöretagsadministratörsuppgifteroch klickaNästa.
- På sidan Redo att konfigurera väljer duStarta synkroniseringsprocessen när konfigurationen är klaroch klickaKonfigurera.
- På sidan Konfiguration komplett, väljUtgång.
Steg 4. Kontrollera att Microsoft 365-grupper visas i lokal AD
Logga in påMicrosoft Entra administratörscenter.Klicka påIdentitet > Grupper > Alla grupper. Filtrera grupptypen påMicrosoft 365och kontrollera Microsoft 365-grupperna i listan.
I vårt exempel har vi tre Microsoft 365-grupper.
Notera:Endast Microsoft 365-grupper kommer att skriva tillbaka till din lokala AD. Säkerhetsgrupperna kommer inte att skriva tillbaka.
ÖppnaActive Directory-användare och datorer, öppna AAD OU och kontrollera att Microsoft 365-grupperna skrivs tillbaka till lokal AD.
Vi har tre användare i Microsoft 365-gruppen Group1_Cloud.
Dock visas bara två användare i den synkroniserade gruppen i AD. Det beror på att CloudOnly-användaren skapas i Azure AD och inte i lokal AD.
Anta att du redigerar AAD-gruppen i lokal AD. Nästa synkronisering kommer att ångra ändringarna.
I det här exemplet lade vi till användaren Richard Grant till AAD-gruppen från lokal AD.
Synkroniseringen tog bort användaren Richard Grant från gruppen eftersom gruppen måste ändras i Azure AD och inte från lokal AD.
Notera:Auktoriteten för AAD-grupperna är i Azure AD och inte lokal AD. Det är inte en tvåvägssynkronisering och bara en envägssynkronisering från Azure AD till lokal AD. Uppdatera alltid gruppen i Azure AD, så kommer ändringarna att återspeglas i den lokala AD.
Det är det!
Du lyckades konfigurera gruppåterskrivning i Azure AD.
Slutsats
Du lärde dig hur du aktiverar gruppåterskrivning i Microsoft Entra Connect Sync. Aktivera först gruppåterskrivning genom Azure AD Connect-guiden. Kontrollera sedan att Microsoft 365-grupperna har skrivits tillbaka framgångsrikt.
Gillade du den här artikeln? Du kanske också gillar Skapa Microsoft Entra ID-användare från CSV med PowerShell. Glöm inte att följa oss och dela den här artikeln.
