Установка агента подготовки Microsoft Entra

В этой статье описывается процесс установки агента подготовки Microsoft Entra и его первоначальная настройка в Центре администрирования Microsoft Entra.

Внимание

В следующих инструкциях по установке предполагается, что выполнены все предварительные требования.

Примечание.

Эта статья посвящена установке агента настройки с помощью мастера установки. Сведения об установке агента подготовки Microsoft Entra с помощью интерфейса командной строки см. в статье "Установка агента подготовки Microsoft Entra с помощью интерфейса командной строки и PowerShell".

Дополнительные сведения и пример см. в следующем видео:

Групповые управляемые учетные записи служб

Групповая управляемая учетная запись службы (gMSA) представляет собой управляемую доменную учетную запись, которая обеспечивает автоматическое управление паролями, упрощенное управление именами основных участников службы (SPN) и возможность делегировать управление другим администраторам. GMSA также расширяет эту функцию на нескольких серверах. Microsoft Entra Cloud Sync поддерживает и рекомендует использовать gMSA для запуска агента. Дополнительные сведения см. в разделе Групповые управляемые учетные записи служб.

Обновление существующего агента для использования gMSA

Чтобы обновить существующий агент для использования учетной записи управляемой службы группы, созданной во время установки, обновите службу агента до последней версии, выполнив AADConnectProvisioningAgent.msi. Теперь снова запустите мастер установки и укажите учетные данные для создания учетной записи при появлении запроса на это.

Установка агента

1. В портал Azure выберите идентификатор Microsoft Entra.
2. Слева выберите Microsoft Entra Connect.
3. Слева выберите "Облачная синхронизация".

4. Слева выберите агент.
5. Выберите "Скачать локальный агент" и выберите "Принять условия" и "Скачать".

6. После скачивания пакета агента подготовки Microsoft Entra Connect запустите файл установки AADConnectProvisioningAgentSetup.exe из папки загрузки.

Примечание.

При установке для облака Правительства США используйте:
AADConnectProvisioningAgentSetup.exe ENVIRONMENTNAME=AzureUSGovernment
Дополнительные сведения см. в разделе "Установка агента в облаке для государственных организаций США".

7. На экране-заставку выберите "Я согласен с лицензией и условиями", а затем нажмите кнопку "Установить".

8. После завершения операции установки мастер конфигурации запускается. Выберите Далее, чтобы запустить конфигурацию.
9. На экране "Выбор расширения" выберите подготовку на основе HR (Workday и SuccessFactors) / облачную синхронизацию Microsoft Entra Connect и выберите Далее.

Примечание.

Если вы устанавливаете агент подготовки для использования с локальной подготовкой приложений Microsoft Entra, выберите локальную подготовку приложений (Идентификатор Microsoft Entra в приложение).

10. Войдите в учетную запись с ролью как минимум администратора гибридного удостоверения. Если у вас включена расширенная безопасность Internet Explorer, он блокирует вход. Если это так, закройте установку, отключите улучшенную безопасность Internet Explorer и перезапустите установку пакета агента подготовки Microsoft Entra Connect.

11. На экране "Настройка учетной записи службы" выберите группу управляемой учетной записи службы (gMSA). Эта учетная запись используется для запуска службы агента. Если управляемая учетная запись службы уже настроена в домене другим агентом и вы устанавливаете второй агент, выберите "Создать gMSA ", так как система обнаруживает существующую учетную запись и добавляет необходимые разрешения для нового агента для использования учетной записи gMSA. При появлении запроса выберите один из следующих вариантов:

• Создайте gMSA , которая позволяет агенту создать учетную запись управляемой службы provAgentgMSA$ для вас. Учетная запись групповой управляемой службы (например, CONTOSO\provAgentgMSA$) будет создана в том же домене Active Directory, где присоединен главный сервер. Чтобы использовать этот параметр, введите учетные данные администратора домена Active Directory (рекомендуется).
• Используйте настраиваемую gMSA и укажите имя управляемой учетной записи службы, созданной вручную для этой задачи.

Чтобы продолжить работу, щелкните Далее.

12. На экране Connect Active Directory, если имя домена отображается в разделе "Настроенные домены", перейдите к следующему шагу. В противном случае введите доменное имя Active Directory и нажмите кнопку "Добавить каталог".

13. Войдите с помощью учетной записи администратора домена Active Directory. Учетная запись администратора домена не должна иметь пароль с истекшим сроком действия. Если срок действия пароля истек или изменяется во время установки агента, необходимо перенастроить агент с новыми учетными данными. Эта операция добавляет ваш локальный каталог. Нажмите кнопку "ОК", а затем нажмите кнопку "Далее ".

14. На следующем снимке экрана показан пример настроенного домена contoso.com. Выберите Далее для продолжения.

15. На странице Конфигурация завершена щелкните Подтвердить. Эта операция регистрирует и перезапускает агент.

16. После завершения этой операции вы должны получить уведомление о том, что конфигурация агента успешно проверена. Вы можете выбрать Выйти.

17. Если вы по-прежнему получаете начальный экран-заставку, нажмите кнопку "Закрыть".

Проверка установки агента

Проверка агента выполняется на портале Azure и на локальном сервере, где выполняется агент.

Проверка агента на портале Azure

Чтобы убедиться, что агент зарегистрирован идентификатором Microsoft Entra, выполните следующие действия:

1. Войдите на портал Azure.
2. Выберите Microsoft Entra ID.
3. Выберите Microsoft Entra Connect и выберите "Облачная синхронизация".
4. На странице облачной синхронизации вы увидите установленные агенты. Убедитесь, что агент отображается и состояние обозначено как исправно.

На локальном сервере

Чтобы убедиться, что агент работает, сделайте следующее.

1. Войдите на сервер, используя учетную запись администратора.
2. Откройте службы , перейдя к нему или перейдя в раздел Start/Run/Services.msc.
3. В разделе "Службы" убедитесь, что Microsoft Entra Connect Agent Updater и Microsoft Entra Connect Provisioning Agent присутствуют, а их состояние — Выполняется.

Проверка версии агента подготовки

Чтобы проверить версию запущенного агента, выполните следующие действия.

1. Перейдите к разделу "C:\Program Files\Microsoft Azure AD Connect Provisioning Agent"
2. Щелкните правой кнопкой мыши "AADConnectProvisioningAgent.exe" и выберите свойства.
3. Щелкните вкладку сведений и номер версии будет отображаться рядом с версией продукта.

Внимание

После установки агента необходимо настроить и включить его перед началом синхронизации пользователей. Сведения о настройке нового агента см. в статье "Создание новой конфигурации для Microsoft Entra Cloud Sync".

Включение обратной записи паролей в облачной синхронизации

Вы можете включить обратную запись паролей в SSPR непосредственно на портале или с помощью PowerShell.

Включение обратной записи паролей на портале

Чтобы использовать обратную запись паролей и включить службу самостоятельного сброса пароля (SSPR) для обнаружения агента облачной синхронизации с помощью портала, выполните следующие действия:

1. Войдите в центр администрирования Microsoft Entra как минимум в качестве администратора гибридных удостоверений.
2. Слева выберите "Защита", выберите "Сброс пароля", а затем выберите локальную интеграцию.
3. Проверьте параметр включения обратной записи паролей для синхронизированных пользователей .
4. (необязательно) Если обнаружены агенты предоставления Microsoft Entra Connect, можно также отметить параметр обратной записи паролей с помощью Microsoft Entra Cloud Sync.
5. Укажите для параметра Разрешить пользователям разблокировать учетные записи без сброса пароля значение Да.
6. Когда все будет готово, щелкните Сохранить.

Использование PowerShell

Чтобы использовать обратную синхронизацию паролей и включить службу самостоятельного сброса пароля (SSPR) для обнаружения агента облачной синхронизации, используйте Set-AADCloudSyncPasswordWritebackConfiguration командлет и учетные данные глобального администратора арендатора:

 Import-Module "C:\\Program Files\\Microsoft Azure AD Connect Provisioning Agent\\Microsoft.CloudSync.Powershell.dll" 
 Set-AADCloudSyncPasswordWritebackConfiguration -Enable $true -Credential $(Get-Credential)

Для получения дополнительной информации об использовании обратной записи паролей с Microsoft Entra Cloud Sync см. руководство: Включение обратной записи самостоятельного сброса пароля облачной синхронизации в локальную среду.

Установите агента в государственном облаке США

По умолчанию агент подготовки Microsoft Entra устанавливается в Azure-среде по умолчанию. Если вы устанавливаете агент для государственных организаций США, внесите это изменение в шаге 7 предыдущей процедуры установки:

• Вместо выбора открытого файла нажмите кнопку "Запустить>, а затем перейдите к файлу AADConnectProvisioningAgentSetup.exe. В поле "Запуск" после исполняемого файла введите ENVIRONMENTNAME=AzureUSGovernment и нажмите кнопку "ОК".

  

Синхронизация хэша паролей и FIPS в облаке

Если сервер заблокирован в соответствии со стандартом FIPS, MD5 (алгоритм дайджеста сообщений 5) отключен.

Чтобы включить md5 для синхронизации хэша паролей, сделайте следующее:

1. Перейдите к %programfiles%\Microsoft Azure AD Connect Provisioning Agent.
2. Откройте файл AADConnectProvisioningAgent.exe.config.
3. Перейдите к узлу configuration/runtime в начале файла.
4. Добавьте узел <enforceFIPSPolicy enabled="false"/>.
5. Сохраните ваши изменения.

Для справки код должен выглядеть следующим фрагментом кода:

<configuration>
   <runtime>
      <enforceFIPSPolicy enabled="false"/>
   </runtime>
</configuration>

Сведения о безопасности и FIPS см. в разделе синхронизация хэша паролей Microsoft Entra, шифрование и соответствие стандартам FIPS.

Следующие шаги

• Что такое обеспечение?
• Что такое облачная синхронизация Microsoft Entra?
• Создайте новую конфигурацию для Microsoft Entra Cloud Sync.