Configuración de la sincronización entre inquilinos mediante PowerShell o Microsoft Graph API

En este artículo, se describen los pasos clave para configurar la sincronización entre inquilinos mediante PowerShell de Microsoft Graph o Microsoft Graph API. Cuando se configura, Microsoft Entra ID aprovisiona y desaprovisiona automáticamente usuarios B2B en el inquilino de destino. Para los obtener los pasos detallados con el centro de administración de Microsoft Entra, consulte Configuración de la sincronización entre inquilinos.

Requisitos previos

Inquilino de origen

• Una licencia de Microsoft Entra ID P1 o P2. Para obtener más información, consulte Requisitos de licencia.
• Rol de administrador de seguridad para establecer la configuración de acceso entre inquilinos.
• Rol de administrador de identidad híbrida para configurar la sincronización entre inquilinos.
• Rol de administrador de aplicaciones en la nube o administrador de aplicaciones para asignar usuarios a una configuración y eliminar una configuración.
• Rol de administrador global para dar consentimiento a los permisos necesarios.

Inquilino de destino

• Una licencia de Microsoft Entra ID P1 o P2. Para obtener más información, consulte Requisitos de licencia.
• Rol de administrador de seguridad para establecer la configuración de acceso entre inquilinos.
• Rol de administrador global para dar consentimiento a los permisos necesarios.

Paso 1: inicie sesión en el inquilino de destino

Inquilino de destino

PowerShell

1. Inicie PowerShell.

2. Si fuera necesario, instale el SDK de PowerShell de Microsoft Graph.

3. Obtenga el identificador de inquilino de los inquilinos de origen y de destino e inicialice las variables.

   $SourceTenantId = "<SourceTenantId>"
   $TargetTenantId = "<TargetTenantId>"
   

4. Use el comando Connect-MgGraph para iniciar sesión en el inquilino de destino y dar su consentimiento a los siguientes permisos necesarios.

   • Policy.Read.All
   • Policy.ReadWrite.CrossTenantAccess

   Connect-MgGraph -TenantId $TargetTenantId -Scopes "Policy.Read.All","Policy.ReadWrite.CrossTenantAccess"
   

Microsoft Graph

En estos pasos, se describe cómo usar el Explorador de Microsoft Graph, pero también puede usar otro cliente de API de REST.

1. Inicie la herramienta Explorador de Microsoft Graph.

2. Inicie sesión en el inquilino de destino.

3. Seleccione el perfil y, después, Consentimiento para permisos.

   

4. Dé su consentimiento a los siguientes permisos necesarios.

   • Policy.Read.All
   • Policy.ReadWrite.CrossTenantAccess

5. Obtenga el id. de inquilino de los inquilinos de origen y destino. La configuración de ejemplo descrita en este artículo usa los siguientes identificadores de inquilino.

   • Id. de inquilino de origen: {sourceTenantId}
   • Id. de inquilino de destino: {targetTenantId}

Paso 2: Habilitar la sincronización de usuarios en el inquilino de destino

Inquilino de destino

PowerShell

1. En el inquilino de destino, use el comando New-MgPolicyCrossTenantAccessPolicyPartner para crear una nueva configuración de asociado en una directiva de acceso entre inquilinos entre el inquilino de destino y el inquilino de origen. Use el id. de inquilino de origen en la solicitud.

   Si recibe un error New-MgPolicyCrossTenantAccessPolicyPartner_Create: Another object with the same value for property tenantId already exists, es posible que ya tenga una configuración existente. Para obtener más información, consulte el error Symptom - New-MgPolicyCrossTenantAccessPolicyPartner_Create.

   $Params = @{
       TenantId = $SourceTenantId
   }
   New-MgPolicyCrossTenantAccessPolicyPartner -BodyParameter $Params | Format-List
   

   AutomaticUserConsentSettings : Microsoft.Graph.PowerShell.Models.MicrosoftGraphInboundOutboundPolicyConfiguration
   B2BCollaborationInbound      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   B2BCollaborationOutbound     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   B2BDirectConnectInbound      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   B2BDirectConnectOutbound     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   IdentitySynchronization      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantIdentitySyncPolicyPartner
   InboundTrust                 : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyInboundTrust
   IsServiceProvider            :
   TenantId                     : <SourceTenantId>
   TenantRestrictions           : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyTenantRestrictions
   AdditionalProperties         : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#policies/crossTenantAccessPolicy/partners/$entity],
                                  [crossCloudMeetingConfiguration,
                                  System.Collections.Generic.Dictionary`2[System.String,System.Object]], [protectedContentSharing,
                                  System.Collections.Generic.Dictionary`2[System.String,System.Object]]}
   

2. Use el comando Invoke-MgGraphRequest para habilitar la sincronización de usuarios en el inquilino de destino.

   Si recibe un error Request_MultipleObjectsWithSameKeyValue, es posible que ya tenga una directiva existente. Para obtener más información, consulte Error Symptom - Request_MultipleObjectsWithSameKeyValue.

   $Params = @{
       userSyncInbound = @{
           isSyncAllowed = $true
       }
   }
   Invoke-MgGraphRequest -Method PUT -Uri "https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/$SourceTenantId/identitySynchronization" -Body $Params
   

3. Use el comando Get-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization para comprobar si IsSyncAllowed está establecido en Verdadero.

   (Get-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization -CrossTenantAccessPolicyConfigurationPartnerTenantId $SourceTenantId).UserSyncInbound
   

   IsSyncAllowed
   -------------
   True
   

Microsoft Graph

1. En el inquilino de destino, use la API Create crossTenantAccessPolicyConfigurationPartner para crear una nueva configuración de asociado en una directiva de acceso entre inquilinos entre el inquilino de destino y el inquilino de origen. Use el id. de inquilino de origen en la solicitud.

   Si recibe un error Request_MultipleObjectsWithSameKeyValue, es posible que ya tenga una configuración existente. Para obtener más información, consulte Error Symptom - Request_MultipleObjectsWithSameKeyValue.

   Solicitud

   POST https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners
   Content-Type: application/json
   
   {
     "tenantId": "{sourceTenantId}"
   }
   

   Respuesta

   HTTP/1.1 201 Created
   Content-Type: application/json
   
   {
     "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#policies/crossTenantAccessPolicy/partners/$entity",
     "tenantId": "{sourceTenantId}",
     "isServiceProvider": null,
     "inboundTrust": null,
     "b2bCollaborationOutbound": null,
     "b2bCollaborationInbound": null,
     "b2bDirectConnectOutbound": null,
     "b2bDirectConnectInbound": null,
     "tenantRestrictions": null,
     "crossCloudMeetingConfiguration":
     {
       "inboundAllowed": null,
       "outboundAllowed": null
     },
     "automaticUserConsentSettings":
     {
       "inboundAllowed": null,
       "outboundAllowed": null
     }
   }
   

2. Use la API Create identitySynchronization para habilitar la sincronización de usuarios en el inquilino de destino.

   Si recibe un error Request_MultipleObjectsWithSameKeyValue, es posible que ya tenga una directiva existente. Para obtener más información, consulte Error Symptom - Request_MultipleObjectsWithSameKeyValue.

   Solicitud

   PUT https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/{sourceTenantId}/identitySynchronization
   Content-type: application/json
   
   {
      "displayName": "Fabrikam",
      "userSyncInbound": 
       {
         "isSyncAllowed": true
       }
   }
   

   Respuesta

   HTTP/1.1 204 No Content
   

Paso 3: Canjear automáticamente invitaciones en el inquilino de destino

Inquilino de destino

PowerShell

1. En el inquilino de destino, use el comando Update-MgPolicyCrossTenantAccessPolicyPartner para canjear automáticamente las invitaciones y suprimir las solicitudes de consentimiento para el acceso entrante.

   $AutomaticUserConsentSettings = @{
       "InboundAllowed"="True"
   }
   Update-MgPolicyCrossTenantAccessPolicyPartner -CrossTenantAccessPolicyConfigurationPartnerTenantId $SourceTenantId -AutomaticUserConsentSettings $AutomaticUserConsentSettings
   

Microsoft Graph

1. En el inquilino de destino, use la API Update crossTenantAccessPolicyConfigurationPartner para canjear automáticamente las invitaciones y suprimir las solicitudes de consentimiento para el acceso entrante.

   Solicitud

   PATCH https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/{sourceTenantId}
   Content-Type: application/json
   
   {
       "inboundTrust": null,
       "automaticUserConsentSettings":
       {
           "inboundAllowed": true
       }
   }
   

   Respuesta

   HTTP/1.1 204 No Content
   

Paso 4: inicie sesión en el inquilino de origen

Inquilino de origen

PowerShell

1. Inicie una instancia de PowerShell.

2. Obtenga el identificador de inquilino de los inquilinos de origen y de destino e inicialice las variables.

   $SourceTenantId = "<SourceTenantId>"
   $TargetTenantId = "<TargetTenantId>"
   

3. Use el comando Connect-MgGraph para iniciar sesión en el inquilino de origen y dar su consentimiento a los siguientes permisos necesarios.

   • Policy.Read.All
   • Policy.ReadWrite.CrossTenantAccess
   • Application.ReadWrite.All
   • Directory.ReadWrite.All
   • AuditLog.Read.All

   Connect-MgGraph -TenantId $SourceTenantId -Scopes "Policy.Read.All","Policy.ReadWrite.CrossTenantAccess","Application.ReadWrite.All","Directory.ReadWrite.All","AuditLog.Read.All"
   

Microsoft Graph

1. Inicie una instancia de la herramienta Explorador de Microsoft Graph.

2. Inicie sesión en el inquilino de origen.

3. Dé su consentimiento a los siguientes permisos necesarios.

   • Policy.Read.All
   • Policy.ReadWrite.CrossTenantAccess
   • Application.ReadWrite.All
   • Directory.ReadWrite.All
   • AuditLog.Read.All

   Si ve la página Es necesaria la aprobación de un administrador, deberá iniciar sesión con un usuario al que se le ha asignado el rol administrador global para dar el consentimiento.

Paso 5: canjear automáticamente invitaciones en el inquilino de origen

Inquilino de origen

PowerShell

1. En el inquilino de origen, use el comando New-MgPolicyCrossTenantAccessPolicyPartner para crear una nueva configuración de asociado en una directiva de acceso entre inquilinos entre el inquilino de origen y el inquilino de destino. Use el id. de inquilino de destino en la solicitud.

   Si recibe un error New-MgPolicyCrossTenantAccessPolicyPartner_Create: Another object with the same value for property tenantId already exists, es posible que ya tenga una configuración existente. Para obtener más información, consulte el error Symptom - New-MgPolicyCrossTenantAccessPolicyPartner_Create.

   $Params = @{
       TenantId = $TargetTenantId
   }
   New-MgPolicyCrossTenantAccessPolicyPartner -BodyParameter $Params | Format-List
   

   AutomaticUserConsentSettings : Microsoft.Graph.PowerShell.Models.MicrosoftGraphInboundOutboundPolicyConfiguration
   B2BCollaborationInbound      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   B2BCollaborationOutbound     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   B2BDirectConnectInbound      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   B2BDirectConnectOutbound     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   IdentitySynchronization      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantIdentitySyncPolicyPartner
   InboundTrust                 : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyInboundTrust
   IsServiceProvider            :
   TenantId                     : <TargetTenantId>
   TenantRestrictions           : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyTenantRestrictions
   AdditionalProperties         : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#policies/crossTenantAccessPolicy/partners/$entity],
                                  [crossCloudMeetingConfiguration,
                                  System.Collections.Generic.Dictionary`2[System.String,System.Object]], [protectedContentSharing,
                                  System.Collections.Generic.Dictionary`2[System.String,System.Object]]}
   
   

2. Use el comando Update-MgPolicyCrossTenantAccessPolicyPartner para canjear automáticamente las invitaciones y suprimir las solicitudes de consentimiento del acceso de salida.

   $AutomaticUserConsentSettings = @{
       "OutboundAllowed"="True"
   }
   Update-MgPolicyCrossTenantAccessPolicyPartner -CrossTenantAccessPolicyConfigurationPartnerTenantId $TargetTenantId -AutomaticUserConsentSettings $AutomaticUserConsentSettings
   

Microsoft Graph

1. En el inquilino de origen, use la API Create crossTenantAccessPolicyConfigurationPartner para crear una nueva configuración de asociado en una directiva de acceso entre inquilinos entre el inquilino de origen y el inquilino de destino. Use el id. de inquilino de destino en la solicitud.

   Si recibe un error Request_MultipleObjectsWithSameKeyValue, es posible que ya tenga una configuración existente. Para obtener más información, consulte Error Symptom - Request_MultipleObjectsWithSameKeyValue.

   Solicitud

   POST https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners
   Content-Type: application/json
   
   {
     "tenantId": "{targetTenantId}"
   }
   

   Respuesta

   HTTP/1.1 201 Created
   Content-Type: application/json
   
   {
     "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#policies/crossTenantAccessPolicy/partners/$entity",
     "tenantId": "{targetTenantId}",
     "isServiceProvider": null,
     "inboundTrust": null,
     "b2bCollaborationOutbound": null,
     "b2bCollaborationInbound": null,
     "b2bDirectConnectOutbound": null,
     "b2bDirectConnectInbound": null,
     "tenantRestrictions": null,
     "crossCloudMeetingConfiguration":
     {
       "inboundAllowed": null,
       "outboundAllowed": null
     },
     "automaticUserConsentSettings":
     {
       "inboundAllowed": null,
       "outboundAllowed": null
     }
   }
   

2. Use la API Update crossTenantAccessPolicyConfigurationPartner para canjear automáticamente las invitaciones y suprimir las solicitudes de consentimiento para el acceso de salida.

   Solicitud

   PATCH https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/{targetTenantId}
   Content-Type: application/json
   
   {
       "automaticUserConsentSettings":
       {
           "outboundAllowed": true
       }
   }
   

   Respuesta

   HTTP/1.1 204 No Content
   

Paso 6: crear una aplicación de configuración en el inquilino de origen

Inquilino de origen

PowerShell

1. En el inquilino de origen, use el comando Invoke-MgInstantiateApplicationTemplate para agregar una instancia de una aplicación de configuración desde la galería de aplicaciones de Microsoft Entra al inquilino.

   Invoke-MgInstantiateApplicationTemplate -ApplicationTemplateId "518e5f48-1fc8-4c48-9387-9fdf28b0dfe7" -DisplayName "Fabrikam"
   

2. Use el comando Get-MgServicePrincipal para obtener el id. de entidad de servicio y el id. de rol de aplicación.

   Get-MgServicePrincipal -Filter "DisplayName eq 'Fabrikam'" | Format-List
   

   AccountEnabled                      : True
   AddIns                              : {}
   AlternativeNames                    : {}
   AppDescription                      :
   AppDisplayName                      : Fabrikam
   AppId                               : <AppId>
   AppManagementPolicies               :
   AppOwnerOrganizationId              : <AppOwnerOrganizationId>
   AppRoleAssignedTo                   :
   AppRoleAssignmentRequired           : True
   AppRoleAssignments                  :
   AppRoles                            : {<AppRoleId>}
   ApplicationTemplateId               : 518e5f48-1fc8-4c48-9387-9fdf28b0dfe7
   ClaimsMappingPolicies               :
   CreatedObjects                      :
   CustomSecurityAttributes            : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCustomSecurityAttributeValue
   DelegatedPermissionClassifications  :
   DeletedDateTime                     :
   Description                         :
   DisabledByMicrosoftStatus           :
   DisplayName                         : Fabrikam
   Endpoints                           :
   ErrorUrl                            :
   FederatedIdentityCredentials        :
   HomeRealmDiscoveryPolicies          :
   Homepage                            : https://account.activedirectory.windowsazure.com:444/applications/default.aspx?metadata=aad2aadsync|ISV9.1|primary|z
   Id                                  : <ServicePrincipalId>
   Info                                : Microsoft.Graph.PowerShell.Models.MicrosoftGraphInformationalUrl
   KeyCredentials                      : {}
   LicenseDetails                      :
   
   ...
   

3. Inicializar una variable para el id. de entidad de servicio.

   Asegúrese de usar el identificador de la entidad de servicio en lugar del identificador de aplicación.

   $ServicePrincipalId = "<ServicePrincipalId>"
   

4. Inicializar una variable para el id. de rol de la aplicación.

   $AppRoleId= "<AppRoleId>"
   

Microsoft Graph

1. En el inquilino de origen, use la API applicationTemplate: instantiate para agregar una instancia de una aplicación de configuración desde la galería de aplicaciones de Microsoft Entra al inquilino.

   Solicitud

   POST https://graph.microsoft.com/v1.0/applicationTemplates/518e5f48-1fc8-4c48-9387-9fdf28b0dfe7/instantiate
   Content-type: application/json
   
   {
     "displayName": "Fabrikam"
   }
   

   Respuesta

   HTTP/1.1 201 Created
   Content-type: application/json
   
   {
       "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#microsoft.graph.applicationServicePrincipal",
       "application": {
           "id": "{id}",
           "appId": "{appId}",
           "applicationTemplateId": "518e5f48-1fc8-4c48-9387-9fdf28b0dfe7",
           "createdDateTime": "2023-07-31T23:26:24Z",
           "deletedDateTime": null,
           "displayName": "Fabrikam",
           "description": null,
           "groupMembershipClaims": null,
           "identifierUris": [],
           "isFallbackPublicClient": false,
           "signInAudience": "AzureADMyOrg",
           "tags": [],
           "tokenEncryptionKeyId": null,
           "defaultRedirectUri": null,
           "optionalClaims": null,
           "addIns": [],
           "api": {
               "acceptMappedClaims": null,
               "knownClientApplications": [],
               "requestedAccessTokenVersion": null,
               "oauth2PermissionScopes": [
                   {
                       "adminConsentDescription": "Allow the application to access Fabrikam on behalf of the signed-in user.",
                       "adminConsentDisplayName": "Access Fabrikam",
                       "id": "{id}",
                       "isEnabled": true,
                       "type": "User",
                       "userConsentDescription": "Allow the application to access Fabrikam on your behalf.",
                       "userConsentDisplayName": "Access Fabrikam",
                       "value": "user_impersonation"
                   }
               ],
               "preAuthorizedApplications": []
           },
           "appRoles": [
               {
                   "allowedMemberTypes": [
                       "User"
                   ],
                   "displayName": "msiam_access",
                   "id": "{appRoleId}",
                   "isEnabled": true,
                   "description": "msiam_access",
                   "value": null,
                   "origin": "Application"
               }
           ],
           "info": {
               "logoUrl": null,
               "marketingUrl": null,
               "privacyStatementUrl": null,
               "supportUrl": null,
               "termsOfServiceUrl": null
           },
           "keyCredentials": [],
           "parentalControlSettings": {
               "countriesBlockedForMinors": [],
               "legalAgeGroupRule": "Allow"
           },
           "passwordCredentials": [],
           "publicClient": {
               "redirectUris": []
           },
           "requiredResourceAccess": [],
           "verifiedPublisher": {
               "displayName": null,
               "verifiedPublisherId": null,
               "addedDateTime": null
           },
           "web": {
               "homePageUrl": "https://account.activedirectory.windowsazure.com:444/applications/default.aspx?metadata=aad2aadsync|ISV9.1|primary|z",
               "redirectUris": [],
               "logoutUrl": null
           }
       },
       "servicePrincipal": {
           "id": "{servicePrincipalId}",
           "deletedDateTime": null,
           "accountEnabled": true,
           "appId": "{appId}",
           "applicationTemplateId": "518e5f48-1fc8-4c48-9387-9fdf28b0dfe7",
           "appDisplayName": "Fabrikam",
           "alternativeNames": [],
           "appOwnerOrganizationId": "{appOwnerOrganizationId}",
           "displayName": "Fabrikam",
           "appRoleAssignmentRequired": true,
           "loginUrl": null,
           "logoutUrl": null,
           "homepage": "https://account.activedirectory.windowsazure.com:444/applications/default.aspx?metadata=aad2aadsync|ISV9.1|primary|z",
           "notificationEmailAddresses": [],
           "preferredSingleSignOnMode": null,
           "preferredTokenSigningKeyThumbprint": null,
           "replyUrls": [],
           "servicePrincipalNames": [
               "{appId}"
           ],
           "servicePrincipalType": "Application",
           "tags": [
               "WindowsAzureActiveDirectoryIntegratedApp"
           ],
           "tokenEncryptionKeyId": null,
           "samlSingleSignOnSettings": null,
           "addIns": [],
           "appRoles": [
               {
                   "allowedMemberTypes": [
                       "User"
                   ],
                   "displayName": "msiam_access",
                   "id": "{appRoleId}",
                   "isEnabled": true,
                   "description": "msiam_access",
                   "value": null,
                   "origin": "Application"
               }
           ],
           "info": {
               "logoUrl": null,
               "marketingUrl": null,
               "privacyStatementUrl": null,
               "supportUrl": null,
               "termsOfServiceUrl": null
           },
           "keyCredentials": [],
           "oauth2PermissionScopes": [
               {
                   "adminConsentDescription": "Allow the application to access Fabrikam on behalf of the signed-in user.",
                   "adminConsentDisplayName": "Access Fabrikam",
                   "id": "{id}",
                   "isEnabled": true,
                   "type": "User",
                   "userConsentDescription": "Allow the application to access Fabrikam on your behalf.",
                   "userConsentDisplayName": "Access Fabrikam",
                   "value": "user_impersonation"
               }
           ],
           "passwordCredentials": [],
           "verifiedPublisher": {
               "displayName": null,
               "verifiedPublisherId": null,
               "addedDateTime": null
           }
       }
   }
   

2. Guardar el servicePrincipalId.

   Asegúrese de usar el identificador de la entidad de servicio en lugar del identificador de aplicación.

3. Guardar el appRoleId.

Paso 7: probar la conexión al inquilino de destino

Inquilino de origen

PowerShell

1. En el inquilino de origen, use el comando Invoke-MgGraphRequest para probar la conexión al inquilino de destino y validar las credenciales.

   $Params = @{
       "useSavedCredentials" = $false
       "templateId" = "Azure2Azure"
       "credentials" = @(
           @{
               "key" = "CompanyId"
               "value" = $TargetTenantId
           }
           @{
               "key" = "AuthenticationType"
               "value" = "SyncPolicy"
           }
       )
   }
   Invoke-MgGraphRequest -Method POST -Uri "https://graph.microsoft.com/v1.0/servicePrincipals/$ServicePrincipalId/synchronization/jobs/validateCredentials" -Body $Params
   

Microsoft Graph

1. En el inquilino de origen, use la API synchronizationJob: validateCredentials para probar la conexión al inquilino de destino y validar las credenciales.

   Solicitud

   POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/validateCredentials
   Content-Type: application/json
   
   {
       "useSavedCredentials": false,
       "templateId": "Azure2Azure",
       "credentials": [
           {
               "key": "CompanyId",
               "value": "{targetTenantId}"
           },
           {
               "key": "AuthenticationType",
               "value": "SyncPolicy"
           }
       ]
   }
   

   Respuesta

   HTTP/1.1 204 No Content
   

Paso 8: Crear un trabajo de aprovisionamiento en el inquilino de origen

Inquilino de origen

En el inquilino de origen, para habilitar el aprovisionamiento, cree un trabajo de aprovisionamiento.

PowerShell

1. Determine la plantilla de sincronización que se va a usar, por ejemplo, Azure2Azure.

   Una plantilla tiene opciones de sincronización preconfiguradas.

2. En el inquilino de origen, use el comando New-MgServicePrincipalSynchronizationJob para crear un trabajo de aprovisionamiento basado en una plantilla.

   New-MgServicePrincipalSynchronizationJob -ServicePrincipalId $ServicePrincipalId -TemplateId "Azure2Azure" | Format-List
   

   Id                         : <JobId>
   Schedule                   : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationSchedule
   Schema                     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationSchema
   Status                     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationStatus
   SynchronizationJobSettings : {AzureIngestionAttributeOptimization, LookaheadQueryEnabled}
   TemplateId                 : Azure2Azure
   AdditionalProperties       : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('<ServicePrincipalId>')/synchro
                                nization/jobs/$entity]}
   

3. Inicializar una variable para el id. de trabajo.

   $JobId = "<JobId>"
   

Microsoft Graph

1. Determine la plantilla de sincronización que se va a usar, por ejemplo, Azure2Azure.

   Una plantilla tiene opciones de sincronización preconfiguradas.

2. En el inquilino de origen, use la API Create synchronizationJob para crear un trabajo de aprovisionamiento basado en una plantilla.

   Solicitud

   POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs
   Content-type: application/json
   
   {
       "templateId": "Azure2Azure"
   }
   

   Respuesta

   HTTP/1.1 201 Created
   Content-type: application/json
   
   {
       "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('{servicePrincipalId}')/synchronization/jobs/$entity",
       "id": "{jobId}",
       "templateId": "Azure2Azure",
       "schedule": {
           "expiration": null,
           "interval": "PT40M",
           "state": "Disabled"
       },
       "status": {
           "countSuccessiveCompleteFailures": 0,
           "escrowsPruned": false,
           "code": "Paused",
           "lastExecution": null,
           "lastSuccessfulExecution": null,
           "lastSuccessfulExecutionWithExports": null,
           "quarantine": null,
           "steadyStateFirstAchievedTime": "0001-01-01T00:00:00Z",
           "steadyStateLastAchievedTime": "0001-01-01T00:00:00Z",
           "troubleshootingUrl": null,
           "progress": [],
           "synchronizedEntryCountByType": []
       },
       "synchronizationJobSettings": [
           {
               "name": "AzureIngestionAttributeOptimization",
               "value": "False"
           },
           {
               "name": "LookaheadQueryEnabled",
               "value": "False"
           }
       ]
   }
   

3. Guardar el jobId.

Paso 9: Guardar las credenciales

Inquilino de origen

PowerShell

1. En el inquilino de origen, use el comando Invoke-MgGraphRequest para guardar sus credenciales.

   $Params = @{
       "value" = @(
           @{
               "key" = "AuthenticationType"
               "value" = "SyncPolicy"
           }
           @{
               "key" = "CompanyId"
               "value" = $TargetTenantId
           }
       )
   }
   Invoke-MgGraphRequest -Method PUT -Uri "https://graph.microsoft.com/v1.0/servicePrincipals/$ServicePrincipalId/synchronization/secrets" -Body $Params
   

Microsoft Graph

1. En el inquilino de origen, use la API Add synchronization: secrets para guardar las credenciales.

   Solicitud

   PUT https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/secrets 
   Content-Type: application/json
   
   {
       "value": [
           {
               "key": "AuthenticationType",
               "value": "SyncPolicy"
           },
           {
               "key": "CompanyId",
               "value": "{targetTenantId}"
           },
           {
               "key": "SyncNotificationSettings",
               "value": "{\"Enabled\":false,\"DeleteThresholdEnabled\":false,\"HumanResourcesLookaheadQueryEnabled\":false}"
           },
           {
               "key": "SyncAll",
               "value": "false"
           }
       ]
   }
   

   Respuesta

   HTTP/1.1 204 No Content
   

Paso 10: asignar un usuario a la configuración

Inquilino de origen

Para que la sincronización entre inquilinos funcione, se debe asignar al menos un usuario interno a la configuración.

PowerShell

1. En el inquilino de origen, use el comando New-MgServicePrincipalAppRoleAssignedTo para asignar un usuario interno a la configuración.

   $Params = @{
       PrincipalId = "<PrincipalId>"
       ResourceId = $ServicePrincipalId
       AppRoleId = $AppRoleId
   }
   New-MgServicePrincipalAppRoleAssignedTo -ServicePrincipalId $ServicePrincipalId -BodyParameter $Params | Format-List
   

   AppRoleId            : <AppRoleId>
   CreatedDateTime      : 7/31/2023 10:27:12 PM
   DeletedDateTime      :
   Id                   : <Id>
   PrincipalDisplayName : User1
   PrincipalId          : <PrincipalId>
   PrincipalType        : User
   ResourceDisplayName  : Fabrikam
   ResourceId           : <ServicePrincipalId>
   AdditionalProperties : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#appRoleAssignments/$entity]}
   

Microsoft Graph

1. En el inquilino de origen, use la API Grant an appRoleAssignment for a service principal para asignar un usuario interno a la configuración.

   Solicitud

   POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/appRoleAssignedTo
   Content-type: application/json
   
   {
       "appRoleId": "{appRoleId}",
       "resourceId": "{servicePrincipalId}",
       "principalId": "{principalId}"
   }
   

   Respuesta

   HTTP/1.1 201 Created
   Content-Type: application/json
   {
       "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('{servicePrincipalId}')/appRoleAssignedTo/$entity",
       "id": "{keyId}",
       "deletedDateTime": null,
       "appRoleId": "{appRoleId}",
       "createdDateTime": "2023-07-31T22:23:48.6541804Z",
       "principalDisplayName": "User1",
       "principalId": "{principalId}",
       "principalType": "User",
       "resourceDisplayName": "Fabrikam",
       "resourceId": "{servicePrincipalId}"
   }
   

Paso 11: Probar el aprovisionamiento a petición

Inquilino de origen

Ahora que tiene una configuración, puede probar el aprovisionamiento a petición con uno de los usuarios.

PowerShell

1. En el inquilino de origen, use el comando Get-MgServicePrincipalSynchronizationJobSchema para obtener el id. de la regla de esquema.

   $SynchronizationSchema = Get-MgServicePrincipalSynchronizationJobSchema -ServicePrincipalId $ServicePrincipalId -SynchronizationJobId $JobId
   $SynchronizationSchema.SynchronizationRules | Format-List
   

   ContainerFilter      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphContainerFilter
   Editable             : True
   GroupFilter          : Microsoft.Graph.PowerShell.Models.MicrosoftGraphGroupFilter
   Id                   : <RuleId>
   Metadata             : {defaultSourceObjectMappings, supportsProvisionOnDemand}
   Name                 : USER_INBOUND_USER
   ObjectMappings       : {Provision Azure Active Directory Users, , , ...}
   Priority             : 1
   SourceDirectoryName  : Azure Active Directory
   TargetDirectoryName  : Azure Active Directory (target tenant)
   AdditionalProperties : {}
   

2. Inicializar una variable para el id. de regla.

   $RuleId = "<RuleId>"
   

3. Use el comando New-MgServicePrincipalSynchronizationJobOnDemand para aprovisionar un usuario de prueba a petición.

   $Params = @{
       Parameters = @(
           @{
               Subjects = @(
                   @{
                       ObjectId = "<UserObjectId>"
                       ObjectTypeName = "User"
                   }
               )
               RuleId = $RuleId
           }
       )
   }
   New-MgServicePrincipalSynchronizationJobOnDemand -ServicePrincipalId $ServicePrincipalId -SynchronizationJobId $JobId -BodyParameter $Params | Format-List
   

   Key                  : Microsoft.Identity.Health.CPP.Common.DataContracts.SyncFabric.StatusInfo
   Value                : [{"provisioningSteps":[{"name":"EntryImport","type":"Import","status":"Success","description":"Retrieved User
                          'user1@fabrikam.com' from Azure Active Directory","timestamp":"2023-07-31T22:31:15.9116590Z","details":{"objectId":
                          "<UserObjectId>","accountEnabled":"True","displayName":"User1","mailNickname":"user1","userPrincipalName":"use
                          ...
   AdditionalProperties : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#microsoft.graph.stringKeyStringValuePair]}
   

Microsoft Graph

1. En el inquilino de origen, use la API Get synchronizationSchema para obtener el id. de la regla de esquema.

   Solicitud

   GET https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/{jobId}/schema
   

   Respuesta

   {
       "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('{servicePrincipalId}')/synchronization/jobs('{jobId}')/schema/$entity",
       "id": "{jobId}",
       "version": "v1.2",
       "synchronizationRules": [
           {
               "containerFilter": null,
               "editable": true,
               "groupFilter": null,
               "id": "{ruleId}",
               "name": "USER_INBOUND_USER",
               "priority": 1,
               "sourceDirectoryName": "Azure Active Directory",
               "targetDirectoryName": "Azure Active Directory (target tenant)",
               "metadata": [
   
               ...
   

2. En el inquilino de origen, use la API synchronizationJob: provisionOnDemand para aprovisionar un usuario de prueba a petición.

   Solicitud

   POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/{jobId}/provisionOnDemand
   Content-Type: application/json
   
   {
       "parameters": [
           {
               "ruleId": "{ruleId}",
               "subjects": [
                   {
                       "objectId": "{userObjectId}",
                       "objectTypeName": "User"
                   }
               ]
           }
       ]
   }
   

   Respuesta

   {
       "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#microsoft.graph.stringKeyStringValuePair",
       "key": "Microsoft.Identity.Health.CPP.Common.DataContracts.SyncFabric.StatusInfo",
       "value": "[{\"provisioningSteps\":[{\"name\":\"EntryImport\",\"type\":\"Import\",\"status\":\"Success\",\"description\":\"Retrieved User 'user1@fabrikam.com' from Azure Active Directory\",\"timestamp\":\"2023-07-31T00:00:16.7866324Z\",\"details\":{\"objectId\":\"{userObjectId}\",\"accountEnabled\":\"True\",\"displayName\":\"User1\",\"mailNickname\":\"user1\",\"userPrincipalName\":\"user1@fabrikam.com\",}
   
       ...
   

Paso 12: Iniciar el trabajo de aprovisionamiento

Inquilino de origen

PowerShell

1. Ahora que el trabajo de aprovisionamiento está configurado, en el inquilino de origen, use el comando Start-MgServicePrincipalSynchronizationJob para iniciar el trabajo de aprovisionamiento.

   Start-MgServicePrincipalSynchronizationJob -ServicePrincipalId $ServicePrincipalId -SynchronizationJobId $JobId
   

Microsoft Graph

1. Ahora que el trabajo de aprovisionamiento está configurado, en el inquilino de origen, use la API Start synchronizationJob para iniciar el trabajo de aprovisionamiento.

   Solicitud

   POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/{jobId}/start
   

   Respuesta

   HTTP/1.1 204 No Content
   

Paso 13: Supervisar el aprovisionamiento

Inquilino de origen

PowerShell

1. Ahora que el trabajo de aprovisionamiento está en ejecución, en el inquilino de origen use el comando Get-MgServicePrincipalSynchronizationJob para supervisar el progreso del ciclo de aprovisionamiento actual, así como las estadísticas hasta la fecha, como el número de usuarios y grupos que se han creado en el sistema de destino.

   Get-MgServicePrincipalSynchronizationJob -ServicePrincipalId $ServicePrincipalId -SynchronizationJobId $JobId | Format-List
   

   Id                         : <JobId>
   Schedule                   : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationSchedule
   Schema                     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationSchema
   Status                     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationStatus
   SynchronizationJobSettings : {AzureIngestionAttributeOptimization, LookaheadQueryEnabled}
   TemplateId                 : Azure2Azure
   AdditionalProperties       : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('<ServicePrincipalId>')/synchro
                                nization/jobs/$entity]}
   

2. Además de supervisar el estado del trabajo de aprovisionamiento, use el comando Get-MgAuditLogProvisioning para recuperar los registros de aprovisionamiento y obtener todos los eventos de aprovisionamiento que se hayan producido. Por ejemplo, consulte un usuario determinado y determine si se aprovisionó correctamente.

   Get-MgAuditLogDirectoryAudit | Select -First 10 | Format-List
   

   ActivityDateTime     : 7/31/2023 12:08:17 AM
   ActivityDisplayName  : Export
   AdditionalDetails    : {Details, ErrorCode, EventName, ipaddr...}
   Category             : ProvisioningManagement
   CorrelationId        : aaaa0000-bb11-2222-33cc-444444dddddd
   Id                   : Sync_aaaa0000-bb11-2222-33cc-444444dddddd_L5BFV_161778479
   InitiatedBy          : Microsoft.Graph.PowerShell.Models.MicrosoftGraphAuditActivityInitiator1
   LoggedByService      : Account Provisioning
   OperationType        :
   Result               : success
   ResultReason         : User 'user2@fabrikam.com' was created in Azure Active Directory (target tenant)
   TargetResources      : {<ServicePrincipalId>, }
   AdditionalProperties : {}
   
   ActivityDateTime     : 7/31/2023 12:08:17 AM
   ActivityDisplayName  : Export
   AdditionalDetails    : {Details, ErrorCode, EventName, ipaddr...}
   Category             : ProvisioningManagement
   CorrelationId        : aaaa0000-bb11-2222-33cc-444444dddddd
   Id                   : Sync_aaaa0000-bb11-2222-33cc-444444dddddd_L5BFV_161778264
   InitiatedBy          : Microsoft.Graph.PowerShell.Models.MicrosoftGraphAuditActivityInitiator1
   LoggedByService      : Account Provisioning
   OperationType        :
   Result               : success
   ResultReason         : User 'user2@fabrikam.com' was updated in Azure Active Directory (target tenant)
   TargetResources      : {<ServicePrincipalId>, }
   AdditionalProperties : {}
   
   ActivityDateTime     : 7/31/2023 12:08:14 AM
   ActivityDisplayName  : Synchronization rule action
   AdditionalDetails    : {Details, ErrorCode, EventName, ipaddr...}
   Category             : ProvisioningManagement
   CorrelationId        : aaaa0000-bb11-2222-33cc-444444dddddd
   Id                   : Sync_aaaa0000-bb11-2222-33cc-444444dddddd_L5BFV_161778395
   InitiatedBy          : Microsoft.Graph.PowerShell.Models.MicrosoftGraphAuditActivityInitiator1
   LoggedByService      : Account Provisioning
   OperationType        :
   Result               : success
   ResultReason         : User 'user2@fabrikam.com' will be created in Azure Active Directory (target tenant) (User is active and assigned
                          in Azure Active Directory, but no matching User was found in Azure Active Directory (target tenant))
   TargetResources      : {<ServicePrincipalId>, }
   AdditionalProperties : {}
   

Microsoft Graph

1. Ahora que el trabajo de aprovisionamiento está en ejecución, en el inquilino de origen, use la API Get synchronizationJob para supervisar el progreso del ciclo de aprovisionamiento actual, así como las estadísticas hasta la fecha, como el número de usuarios y grupos que se han creado en el sistema de destino.

   Solicitud

   GET https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/{jobId}
   

   Respuesta

   HTTP/1.1 200 OK
   Content-type: application/json
   
   {
       "id": "{jobId}",
       "templateId": "Azure2Azure",
       "schedule": {
           "expiration": null,
           "interval": "PT40M",
           "state": "Active"
       },
       "status": {
           "countSuccessiveCompleteFailures": 0,
           "escrowsPruned": false,
           "code": "NotRun",
           "lastSuccessfulExecution": null,
           "lastSuccessfulExecutionWithExports": null,
           "quarantine": null,
           "steadyStateFirstAchievedTime": "0001-01-01T00:00:00Z",
           "steadyStateLastAchievedTime": "0001-01-01T00:00:00Z",
           "troubleshootingUrl": "",
           "lastExecution": {
               "activityIdentifier": null,
               "countEntitled": 0,
               "countEntitledForProvisioning": 0,
               "countEscrowed": 0,
               "countEscrowedRaw": 0,
               "countExported": 0,
               "countExports": 0,
               "countImported": 0,
               "countImportedDeltas": 0,
               "countImportedReferenceDeltas": 0,
               "state": "Failed",
               "timeBegan": "0001-01-01T00:00:00Z",
               "timeEnded": "0001-01-01T00:00:00Z",
               "error": {
                   "code": "None",
                   "message": "",
                   "tenantActionable": false
               }
           },
           "progress": [],
           "synchronizedEntryCountByType": []
       },
       "synchronizationJobSettings": [
           {
               "name": "AzureIngestionAttributeOptimization",
               "value": "False"
           },
           {
               "name": "LookaheadQueryEnabled",
               "value": "False"
           }
       ]
   }
   

2. Además de supervisar el estado del trabajo de aprovisionamiento, use la API List provisioningObjectSummary para recuperar los registros de aprovisionamiento y obtener todos los eventos de aprovisionamiento que se hayan producido. Por ejemplo, consulte un usuario determinado y determine si se aprovisionó correctamente.

   Solicitud

   GET https://graph.microsoft.com/v1.0/auditLogs/provisioning?$filter=((contains(tolower(servicePrincipal/id), '{servicePrincipalId}') or contains(tolower(servicePrincipal/displayName), '{servicePrincipalId}')) and activityDateTime gt 2023-07-30 and activityDateTime lt 2023-07-31)&$top=500&$orderby=activityDateTime desc
   

   Respuesta

   El objeto de respuesta que se muestra aquí se ha acortado para mejorar la legibilidad.

   HTTP/1.1 200 OK
   Content-type: application/json
   
   {
       "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#auditLogs/provisioning",
       "value": [
           {
               "id": "{id}",
               "activityDateTime": "2023-07-31T00:40:37Z",
               "tenantId": "{targetTenantId}",
               "jobId": "{jobId}",
               "cycleId": "{cycleId}",
               "changeId": "{changeId}",
               "provisioningAction": "create",
               "durationInMilliseconds": 4375,
               "servicePrincipal": {
                   "id": "{servicePrincipalId}",
                   "displayName": "Fabrikam"
               },
               "sourceSystem": {
                   "id": "{id}",
                   "displayName": "Azure Active Directory",
                   "details": {}
               },
               "targetSystem": {
                   "id": "{id}",
                   "displayName": "Azure Active Directory (target tenant)",
                   "details": {
                       "ApplicationId": "{applicationId}",
                       "ServicePrincipalId": "{servicePrincipalId}",
                       "ServicePrincipalDisplayName": "Fabrikam"
                   }
               },
               "initiatedBy": {
                   "id": "",
                   "displayName": "Azure AD Provisioning Service",
                   "initiatorType": "system"
               },
               "sourceIdentity": {
                   "id": "{sourceUserObjectId}",
                   "displayName": "User4",
                   "identityType": "User",
                   "details": {
                       "id": "{sourceUserObjectId}",
                       "odatatype": "User",
                       "DisplayName": "User4",
                       "UserPrincipalName": "user4@fabrikam.com"
                   }
               },
               "targetIdentity": {
                   "id": "{targetUserObjectId}",
                   "displayName": "",
                   "identityType": "User",
                   "details": {}
               },
               "provisioningStatusInfo": {
                   "status": "success",
                   "errorInformation": null
               },
           "provisioningSteps": [
               {
                   "name": "EntryImportAdd",
                   "provisioningStepType": "import",
                   "status": "success",
                   "description": "Received User 'user4@fabrikam.com' change of type (Add) from Azure Active Directory",
                   "details": {
                       "objectId": "{sourceUserObjectId}",
                       "accountEnabled": "True",
                       "department": "Marketing",
                       "displayName": "User4",
                       "mailNickname": "user4",
                       "userPrincipalName": "user4@fabrikam.com",
                       "netId": "{netId}",
                       "showInAddressList": "",
                       "alternativeSecurityIds": "None",
                       "IsSoftDeleted": "False",
                       "appRoleAssignments": "msiam_access"
                   }
               },
               {
                   "name": "EntrySynchronizationScoping",
                   "provisioningStepType": "scoping",
                   "status": "success",
                   "description": "Determine if User in scope by evaluating against each scoping filter",
                   "details": {
                       "Active in the source system": "True",
                       "Assigned to the application": "True",
                       "User has the required role": "True",
                       "Scoping filter evaluation passed": "True",
                       "ScopeEvaluationResult": "{\"Marketing department filter.department EQUALS 'Marketing'\":true}"
                   }
               },
   
               ...
   
           }
       ]
   }
   

Sugerencias de solución de problemas

PowerShell

Síntoma: error de privilegios insuficientes

Al intentar realizar una acción, recibe un mensaje de error similar al siguiente:

code: Authorization_RequestDenied
message: Insufficient privileges to complete the operation.

Causa

El usuario que ha iniciado sesión no tiene privilegios suficientes o debe dar su consentimiento a uno de los permisos necesarios.

Solución

1. Asegúrese de que tiene asignados los roles necesarios. Consulte la sección Requisitos previos de este artículo.

2. Al iniciar sesión con Connect-MgGraph, asegúrese de especificar los ámbitos necesarios. Consulte Paso 1: iniciar sesión en el inquilino de destino y Paso 4: iniciar sesión en el inquilino de origen anteriormente en este artículo.

Síntoma: error New-MgPolicyCrossTenantAccessPolicyPartner_Create

Al intentar crear una nueva configuración de asociado, recibirá un mensaje de error similar al siguiente:

New-MgPolicyCrossTenantAccessPolicyPartner_Create: Another object with the same value for property tenantId already exists.

Causa

Es probable que esté intentando crear una configuración o un objeto que ya existe, posiblemente a partir de una configuración anterior.

Solución

1. Compruebe la sintaxis y que esté usando el identificador de inquilino correcto.

2. Use el comando Get-MgPolicyCrossTenantAccessPolicyPartner para enumerar el objeto existente.

3. Si tiene un objeto existente, es posible que deba realizar una actualización mediante Update-MgPolicyCrossTenantAccessPolicyPartner

Error Symptom - Request_MultipleObjectsWithSameKeyValue

Al intentar habilitar la sincronización de usuarios, recibirá un mensaje de error similar al siguiente:

Invoke-MgGraphRequest: PUT https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/<SourceTenantId>/identitySynchronization
HTTP/1.1 409 Conflict
...
{"error":{"code":"Request_MultipleObjectsWithSameKeyValue","message":"A conflicting object with one or more of the specified property values is present in the directory.","details":[{"code":"ConflictingObjects","message":"A conflicting object with one or more of the specified property values is present in the directory.", ... }}}

Causa

Es probable que esté intentando crear una directiva que ya existe, posiblemente a partir de una configuración anterior.

Solución

1. Compruebe la sintaxis y que esté usando el identificador de inquilino correcto.

2. Use el comando Get-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization para enumerar la configuración IsSyncAllowed.

   (Get-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization -CrossTenantAccessPolicyConfigurationPartnerTenantId $SourceTenantId).UserSyncInbound
   

3. Si tiene una directiva existente, es posible que tenga que actualizar mediante el comando Set-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization para habilitar la sincronización de usuarios.

   $Params = @{
       userSyncInbound = @{
           isSyncAllowed = $true
       }
   }
   Set-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization -CrossTenantAccessPolicyConfigurationPartnerTenantId $SourceTenantId -BodyParameter $Params
   

Microsoft Graph

Síntoma: error de privilegios insuficientes

Al intentar realizar una acción, recibe un mensaje de error similar al siguiente:

code: Authorization_RequestDenied
message: Insufficient privileges to complete the operation.

Causa

El usuario que ha iniciado sesión no tiene privilegios suficientes o debe dar su consentimiento a uno de los permisos necesarios.

Solución

1. Asegúrese de que tiene asignados los roles necesarios. Consulte la sección Requisitos previos de este artículo.

2. En la herramienta Explorador de Microsoft Graph, asegúrese de dar su consentimiento a los permisos necesarios. Consulte Paso 1: iniciar sesión en el inquilino de destino y Paso 4: iniciar sesión en el inquilino de origen anteriormente en este artículo.

Error Symptom - Request_MultipleObjectsWithSameKeyValue

Al intentar realizar una llamada Microsoft Graph API, recibe un mensaje de error similar al siguiente:

code: Request_MultipleObjectsWithSameKeyValue
message: Another object with the same value for property tenantId already exists.
message: A conflicting object with one or more of the specified property values is present in the directory.

Causa

Es probable que esté intentando crear una configuración o un objeto que ya existe, posiblemente a partir de una configuración anterior.

Solución

1. Compruebe la sintaxis de la solicitud y que esté usando el identificador de inquilino correcto.

2. Realice una solicitud GET para enumerar el objeto existente.

3. Si tiene un objeto existente, en lugar de realizar una solicitud de creación mediante POST o PUT, es posible que tenga que realizar una solicitud de actualización mediante PATCH, como:

   • Update crossTenantAccessPolicyConfigurationPartner
   • Update crossTenantIdentitySyncPolicyPartner

Error Symptom - Directory_ObjectNotFound

Al intentar realizar una llamada Microsoft Graph API, recibe un mensaje de error similar al siguiente:

code: Directory_ObjectNotFound
message: Unable to read the company information from the directory.

Causa

Es probable que esté intentando actualizar un objeto que no existe mediante PATCH.

Solución

1. Compruebe la sintaxis de la solicitud y que esté usando el identificador de inquilino correcto.

2. Realice una solicitud GET para comprobar que el objeto no existe.

3. Si el objeto no existe, en lugar de realizar una solicitud de actualización mediante PATCH, es posible que tenga que realizar una solicitud de creación mediante POST o PUT, como:

   • Create identitySynchronization

Pasos siguientes

• Introducción a la API de sincronización de Microsoft Entra
• Tutorial: aprovisionamiento del plan y desarrollo de un punto de conexión de SCIM en Microsoft Entra ID