Topologie dla programu Microsoft Entra Connect

W tym artykule opisano różne topologie lokalne i microsoft Entra, które używają usługi Microsoft Entra Connect Sync jako kluczowego rozwiązania integracji. W tym artykule omówiono konfiguracje obsługiwane i nieobsługiwane.

Oto legenda obrazów w artykule:

opis	Symbol
Lokalny las usługi Active Directory
Lokalna usługa Active Directory z filtrowaną importem
Microsoft Entra Connect Sync Server
Microsoft Entra Connect Sync server "tryb przejściowy"
GALSync z programem Microsoft Identity Manager (MIM) 2016
Microsoft Entra Connect Sync Server, szczegółowe informacje
Microsoft Entra ID
Nieobsługiwany scenariusz

Ważne

Firma Microsoft nie obsługuje modyfikowania ani obsługi usługi Microsoft Entra Connect Sync poza konfiguracjami lub akcjami, które zostały formalnie udokumentowane. Każda z tych konfiguracji lub akcji może spowodować niespójny lub nieobsługiwany stan programu Microsoft Entra Connect Sync. W związku z tym firma Microsoft nie może zapewnić pomocy technicznej dla takich wdrożeń.

Pojedynczy las, pojedyncza dzierżawa firmy Microsoft Entra

Najczęstszą topologią jest jeden las lokalny z jedną lub wieloma domenami i jedną dzierżawą firmy Microsoft Entra. W przypadku uwierzytelniania w usłudze Microsoft Entra jest używana synchronizacja skrótów haseł. Instalacja ekspresowa programu Microsoft Entra Connect obsługuje tylko tę topologię.

Jeden las, wiele serwerów synchronizacji z jedną dzierżawą firmy Microsoft Entra

Posiadanie wielu serwerów Microsoft Entra Connect Sync połączonych z tą samą dzierżawą Microsoft Entra nie jest obsługiwane, z wyjątkiem serwera przejściowego . Nie jest obsługiwane, nawet jeśli te serwery są skonfigurowane do synchronizacji z wzajemnie wykluczanym zestawem obiektów. Można rozważyć tę topologię, jeśli nie możesz uzyskać dostępu do wszystkich domen w lesie z jednego serwera lub jeśli chcesz rozłożyć obciążenie między kilka serwerów. (Nie występują błędy, gdy nowy serwer synchronizacji usługi Azure AD jest skonfigurowany dla nowego lasu firmy Microsoft Entra i nowej zweryfikowanej domeny podrzędnej).

Wiele lasów, jedna dzierżawa firmy Microsoft Entra

Wiele organizacji ma środowiska z wieloma lasami lokalna usługa Active Directory. Istnieją różne przyczyny posiadania więcej niż jednego lasu lokalna usługa Active Directory. Typowe przykłady to projekty z lasami zasobów kont i wynikiem fuzji lub przejęcia.

Jeśli masz wiele lasów, wszystkie lasy muszą być dostępne przez jeden serwer microsoft Entra Connect Sync. Serwer musi być przyłączony do domeny. Jeśli jest to konieczne, aby uzyskać dostęp do wszystkich lasów, serwer można umieścić w sieci obwodowej (nazywanej również strefą DMZ, strefą zdemilitaryzowaną i podsiecią ekranowaną).

Kreator instalacji programu Microsoft Entra Connect oferuje kilka opcji konsolidowania użytkowników reprezentowanych w wielu lasach. Celem jest to, że użytkownik jest reprezentowany tylko raz w identyfikatorze Entra firmy Microsoft. Istnieje kilka typowych topologii, które można skonfigurować w niestandardowej ścieżce instalacji kreatora instalacji. Na stronie Unikatowe identyfikowanie użytkowników wybierz odpowiednią opcję reprezentującą topologię. Konsolidacja jest skonfigurowana tylko dla użytkowników. Zduplikowane grupy nie są konsolidowane przy użyciu konfiguracji domyślnej.

Typowe topologie zostały omówione w sekcjach dotyczących oddzielnych topologii, pełnej siatki i topologii zasobów konta.

Domyślna konfiguracja w programie Microsoft Entra Connect Sync zakłada:

• Każdy użytkownik ma tylko jedno włączone konto, a las, w którym znajduje się to konto, jest używany do uwierzytelniania użytkownika. To założenie dotyczy synchronizacji skrótów haseł, uwierzytelniania przekazywanego i federacji. UserPrincipalName i sourceAnchor/immutableID pochodzą z tego lasu.
• Każdy użytkownik ma tylko jedną skrzynkę pocztową.
• Las hostujący skrzynkę pocztową użytkownika ma najlepszą jakość danych dla atrybutów widocznych na globalnej liście adresów programu Exchange (GAL). Jeśli użytkownik nie ma skrzynki pocztowej, każdy las może służyć do współtworzenia tych wartości atrybutów.
• Jeśli masz połączoną skrzynkę pocztową, istnieje również konto w innym lesie używanym do logowania.

Jeśli środowisko nie jest zgodne z tymi założeniami, zdarzają się następujące kwestie:

• Jeśli masz więcej niż jedno aktywne konto lub więcej niż jedną skrzynkę pocztową, aparat synchronizacji wybiera jedno i ignoruje drugą.
• Połączona skrzynka pocztowa bez innego aktywnego konta nie jest eksportowana do identyfikatora Entra firmy Microsoft. Konto użytkownika nie jest reprezentowane jako członek w żadnej grupie. Połączona skrzynka pocztowa w narzędziu DirSync jest zawsze reprezentowana jako normalna skrzynka pocztowa. Ta zmiana jest celowo innym zachowaniem, aby lepiej obsługiwać scenariusze z wieloma lasami.

Więcej szczegółów można znaleźć w artykule Opis konfiguracji domyślnej.

Wiele lasów, wiele serwerów synchronizacji z jedną dzierżawą firmy Microsoft Entra

Możliwość posiadania więcej niż jednego serwera Microsoft Entra Connect Sync połączonego z jedną dzierżawą Microsoft Entra nie jest obsługiwana. Wyjątkiem jest użycie serwera przejściowego.

Ta topologia różni się od tej, która wynika z tego, że wielu serwerów synchronizacji połączonych z jedną dzierżawą firmy Microsoft Entra nie jest obsługiwana. (Chociaż nie jest to obsługiwane, nadal działa).

Wiele lasów, pojedynczy serwer synchronizacji, użytkownicy są reprezentowani tylko w jednym katalogu

W tym środowisku wszystkie lasy lokalne są traktowane jako oddzielne jednostki. Żaden użytkownik nie jest obecny w żadnym innym lesie. Każdy las ma własną organizację programu Exchange i nie ma narzędzia GALSync między lasami. Ta topologia może być sytuacją po fuzji/przejęciu lub w organizacji, w której każda jednostka biznesowa działa niezależnie. Te lasy znajdują się w tej samej organizacji w usłudze Microsoft Entra ID i są wyświetlane z ujednoliconym gal. Na powyższym obrazie każdy obiekt w każdym lesie jest reprezentowany raz w metaverse i agregowany w docelowej dzierżawie firmy Microsoft Entra.

Wiele lasów: dopasowanie użytkowników

Typowe dla wszystkich tych scenariuszy jest to, że dystrybucja i grupy zabezpieczeń mogą zawierać kombinację użytkowników, kontaktów i podmiotów zabezpieczeń zagranicznych (FSPS). Dostawcy usług konfiguracji są używane w usługach domena usługi Active Directory (AD DS) do reprezentowania elementów członkowskich z innych lasów w grupie zabezpieczeń. Wszystkie dostawcy usług konfiguracji są rozpoznawane jako rzeczywisty obiekt w identyfikatorze Entra firmy Microsoft.

Wiele lasów: pełna siatka z opcjonalną funkcją GALSync

Topologia pełnej siatki umożliwia użytkownikom i zasobom lokalizację w dowolnym lesie. Często istnieją dwukierunkowe relacje zaufania między lasami.

Jeśli program Exchange znajduje się w więcej niż jednym lesie, może istnieć (opcjonalnie) lokalne rozwiązanie GALSync. Każdy użytkownik jest wtedy reprezentowany jako kontakt we wszystkich innych lasach. Program GALSync jest często implementowany za pośrednictwem programu Microsoft Identity Manager. Nie można używać programu Microsoft Entra Connect do lokalnego narzędzia GALSync.

W tym scenariuszu obiekty tożsamości są przyłączane za pośrednictwem atrybutu poczty. Użytkownik, który ma skrzynkę pocztową w jednym lesie, jest przyłączony do kontaktów w innych lasach.

Wiele lasów: las zasobów konta

W topologii lasu zasobów konta masz co najmniej jeden las konta z aktywnymi kontami użytkowników. Masz również co najmniej jeden las zasobów z wyłączonymi kontami.

W tym scenariuszu co najmniej jeden las zasobów ufa wszystkim lasom kont. Las zasobów zwykle ma rozszerzony schemat usługi Active Directory z programem Exchange i lync. Wszystkie usługi programu Exchange i Lync, wraz z innymi usługami udostępnionymi, znajdują się w tym lesie. Użytkownicy mają wyłączone konto użytkownika w tym lesie, a skrzynka pocztowa jest połączona z lasem konta.

Zagadnienia dotyczące platformy Microsoft 365 i topologii

Niektóre obciążenia platformy Microsoft 365 mają pewne ograniczenia dotyczące obsługiwanych topologii:

Obciążenie	Ograniczenia
Exchange Online	Aby uzyskać więcej informacji na temat topologii hybrydowych obsługiwanych przez usługę Exchange Online, zobacz Wdrożenia hybrydowe z wieloma lasami usługi Active Directory.
Skype dla firm	W przypadku korzystania z wielu lasów lokalnych obsługiwana jest tylko topologia lasu zasobów konta. Aby uzyskać więcej informacji, zobacz Wymagania dotyczące środowiska dla Skype dla firm Server 2015.

Jeśli jesteś większą organizacją, rozważ użycie funkcji PreferredDataLocation platformy Microsoft 365. Umożliwia zdefiniowanie regionu centrum danych, w którym znajdują się zasoby użytkownika.

Serwer przejściowy

Program Microsoft Entra Connect obsługuje instalowanie drugiego serwera w trybie przejściowym. Serwer w tym trybie odczytuje dane ze wszystkich połączonych katalogów, ale nie zapisuje niczego w połączonych katalogach. Używa normalnego cyklu synchronizacji i dlatego ma zaktualizowaną kopię danych tożsamości.

W przypadku awarii, w której serwer podstawowy ulegnie awarii, można przejść w tryb failover na serwer przejściowy. Można to zrobić w kreatorze Microsoft Entra Connect. Ten drugi serwer może znajdować się w innym centrum danych, ponieważ żadna infrastruktura nie jest współużytkowany z serwerem podstawowym. Należy ręcznie skopiować wszelkie zmiany konfiguracji wprowadzone na serwerze podstawowym na drugi serwer.

Możesz użyć serwera przejściowego, aby przetestować nową konfigurację niestandardową i wpływ na dane. Możesz wyświetlić podgląd zmian i dostosować konfigurację. Jeśli nowa konfiguracja jest szczęśliwa, możesz ustawić serwer przejściowy na aktywny serwer i ustawić stary aktywny serwer na tryb przejściowy.

Można również użyć tej metody, aby zastąpić aktywny serwer synchronizacji. Przygotuj nowy serwer i ustaw go na tryb przejściowy. Upewnij się, że jest w dobrym stanie, wyłącz tryb przejściowy (co czyni go aktywnym) i zamknij aktualnie aktywny serwer.

Istnieje możliwość posiadania więcej niż jednego serwera przejściowego, jeśli chcesz mieć wiele kopii zapasowych w różnych centrach danych.

Wiele dzierżaw firmy Microsoft Entra

Zalecamy posiadanie jednej dzierżawy w usłudze Microsoft Entra ID dla organizacji. Zanim planujesz używać wielu dzierżaw firmy Microsoft Entra, zobacz artykuł Zarządzanie jednostkami administracyjnymi w usłudze Microsoft Entra ID. Obejmuje ona typowe scenariusze, w których można użyć jednej dzierżawy.

Synchronizowanie obiektów usługi AD z wieloma dzierżawami usługi Microsoft Entra

Ta topologia implementuje następujące przypadki użycia:

• Program Microsoft Entra Connect może synchronizować użytkowników, grupy i kontakty z jednej usługi Active Directory do wielu dzierżaw firmy Microsoft Entra. Te dzierżawy mogą znajdować się w różnych środowiskach platformy Azure, takich jak platforma Microsoft Azure obsługiwana przez środowisko 21Vianet lub środowisko platformy Azure Dla instytucji rządowych, ale mogą również znajdować się w tym samym środowisku platformy Azure, takich jak dwie dzierżawy, które znajdują się zarówno w środowisku komercyjnym platformy Azure. Aby uzyskać więcej informacji na temat opcji, zobacz Planowanie tożsamości dla aplikacji platformy Azure Government.
• Tej samej kotwicy źródłowej można używać dla pojedynczego obiektu w osobnych dzierżawach (ale nie dla wielu obiektów w tej samej dzierżawie). (Zweryfikowana domena nie może być taka sama w dwóch dzierżawach. Aby włączyć ten sam obiekt, należy uzyskać więcej szczegółów, aby mieć dwie nazwy UPN).
• Musisz wdrożyć serwer Microsoft Entra Connect dla każdej dzierżawy firmy Microsoft Entra, z którą chcesz przeprowadzić synchronizację — jeden serwer Microsoft Entra Connect nie może zsynchronizować się z więcej niż jedną dzierżawą firmy Microsoft Entra.
• Można mieć różne zakresy synchronizacji i różne reguły synchronizacji dla różnych najemców.
• Dla tego samego obiektu można skonfigurować tylko jedną synchronizację dzierżawy entra firmy Microsoft. Obejmuje to zapisywanie zwrotne urządzeń i grup wraz z konfiguracjami hybrydowego programu Exchange — te funkcje można skonfigurować tylko w jednej dzierżawie. Jedynym wyjątkiem jest zapisywanie zwrotne haseł — zobacz poniżej.
• Obsługiwana jest konfiguracja synchronizacji skrótów haseł z Active Directory do wielu dzierżaw Microsoft Entra dla tego samego obiektu użytkownika. Jeśli synchronizacja skrótów haseł jest włączona dla dzierżawy, funkcja zapisywania zwrotnego haseł może być również włączona i można to zrobić w wielu dzierżawach: jeśli hasło zostanie zmienione w jednej dzierżawie, zapisywanie zwrotne haseł zaktualizuje je w usłudze Active Directory, a synchronizacja skrótów haseł zaktualizuje hasło w innych dzierżawach.
• Nie jest obsługiwane dodawanie i weryfikowanie tej samej niestandardowej nazwy domeny w więcej niż jednej dzierżawie firmy Microsoft Entra, nawet jeśli te dzierżawy znajdują się w różnych środowiskach platformy Azure.
• Nie jest obsługiwane konfigurowanie środowisk hybrydowych, które wykorzystują konfigurację na poziomie lasu w usłudze AD, takich jak Seamless SSO i przyłączanie hybrydowe Microsoft Entra (podejście nietargetowane), dla więcej niż jednej dzierżawy. Spowoduje to zastąpienie konfiguracji innej dzierżawy, dzięki czemu nie będzie już można jej używać. Dodatkowe informacje można znaleźć w temacie Planowanie wdrożenia dołączania hybrydowego firmy Microsoft Entra.
• Obiekty urządzeń można synchronizować z więcej niż jedną dzierżawą, ale urządzenie może być przyłączone hybrydą firmy Microsoft Entra tylko do jednej dzierżawy.
• Każde wystąpienie programu Microsoft Entra Connect powinno być uruchomione na maszynie przyłączonej do domeny.

Uwaga

Globalna synchronizacja list adresowych (GalSync) nie jest wykonywana automatycznie w tej topologii i wymaga dodatkowej niestandardowej implementacji MIM, aby zapewnić, że każda dzierżawa posiada pełną Globalną listę adresową (GAL) w usługach Exchange Online i Skype dla Firm Online.

GALSync przy użyciu zapisywania zwrotnego

GALSync z lokalnym serwerem synchronizacji

Lokalnego programu Microsoft Identity Manager można używać do synchronizowania użytkowników (za pośrednictwem programu GALSync) między dwiema organizacjami programu Exchange. Użytkownicy w jednej organizacji są wyświetlani jako zagraniczni użytkownicy/kontakty w innej organizacji. Te różne wystąpienia lokalna usługa Active Directory można następnie synchronizować z własnymi dzierżawami firmy Microsoft Entra.

Uzyskiwanie dostępu do zaplecza programu Microsoft Entra Connect przy użyciu nieautoryzowanych klientów

Serwer Microsoft Entra Connect komunikuje się z firmą Microsoft Entra ID za pośrednictwem zaplecza microsoft Entra Connect. Jedynym oprogramowaniem, które może służyć do komunikowania się z tym zapleczem, jest Microsoft Entra Connect. Nie jest obsługiwane komunikowanie się z zapleczem Microsoft Entra Connect za pomocą jakiegokolwiek innego oprogramowania lub metody.

Następne kroki

Aby dowiedzieć się, jak zainstalować program Microsoft Entra Connect dla tych scenariuszy, zobacz Instalacja niestandardowa programu Microsoft Entra Connect.

Dowiedz się więcej o konfiguracji programu Microsoft Entra Connect Sync .

Dowiedz się więcej na temat integrowania tożsamości lokalnych z identyfikatorem Entra firmy Microsoft.