Konfigurera synkronisering mellan klientorganisationer med PowerShell eller Microsoft Graph API

Den här artikeln beskriver de viktigaste stegen för att konfigurera synkronisering mellan klientorganisationer med hjälp av Microsoft Graph PowerShell eller Microsoft Graph API. När det är konfigurerat etablerar och avreglerar Microsoft Entra-ID automatiskt B2B-användare i målklientorganisationen. Detaljerade steg med administrationscentret för Microsoft Entra finns i Konfigurera synkronisering mellan klientorganisationer.

Förutsättningar

Källklientorganisation

• Microsoft Entra ID P1- eller P2-licens. Mer information finns i Licenskrav.
• Rollen Säkerhetsadministratör för att konfigurera åtkomstinställningar mellan klientorganisationer.
• Rollen Hybrididentitetsadministratör för att konfigurera synkronisering mellan klientorganisationer.
• Rollen Molnprogramadministratör eller programadministratör för att tilldela användare till en konfiguration och ta bort en konfiguration.
• Global administratörsroll för att samtycka till nödvändiga behörigheter.

Målklientorganisation

• Microsoft Entra ID P1- eller P2-licens. Mer information finns i Licenskrav.
• Rollen Säkerhetsadministratör för att konfigurera åtkomstinställningar mellan klientorganisationer.
• Global administratörsroll för att samtycka till nödvändiga behörigheter.

Steg 1: Logga in på målklientorganisationen

Målklientorganisation

PowerShell

1. Starta PowerShell.

2. Installera Microsoft Graph PowerShell SDK om det behövs.

3. Hämta klientorganisations-ID för käll- och målklientorganisationer och initiera variabler.

   $SourceTenantId = "<SourceTenantId>"
   $TargetTenantId = "<TargetTenantId>"
   

4. Använd kommandot Connect-MgGraph för att logga in på målklientorganisationen och godkänna följande behörigheter.

   • Policy.Read.All
   • Policy.ReadWrite.CrossTenantAccess

   Connect-MgGraph -TenantId $TargetTenantId -Scopes "Policy.Read.All","Policy.ReadWrite.CrossTenantAccess"
   

Microsoft Graph

De här stegen beskriver hur du använder Microsoft Graph Explorer, men du kan också använda en annan REST API-klient.

1. Starta Microsoft Graph Explorer-verktyget.

2. Logga in på målklientorganisationen.

3. Välj din profil och välj sedan Medgivande till behörigheter.

   

4. Godkänn följande behörigheter som krävs.

   • Policy.Read.All
   • Policy.ReadWrite.CrossTenantAccess

5. Hämta klientorganisations-ID:t för käll- och målklienterna. Exempelkonfigurationen som beskrivs i den här artikeln använder följande klientorganisations-ID: er.

   • Källklient-ID: {sourceTenantId}
   • Målklient-ID: {targetTenantId}

Steg 2: Aktivera användarsynkronisering i målklientorganisationen

Målklientorganisation

PowerShell

1. I målklientorganisationen använder du kommandot New-MgPolicyCrossTenantAccessPolicyPartner för att skapa en ny partnerkonfiguration i en åtkomstprincip mellan flera klientorganisationer mellan målklientorganisationen och källklientorganisationen. Använd källklient-ID:t i begäran.

   Om du får felet New-MgPolicyCrossTenantAccessPolicyPartner_Create: Another object with the same value for property tenantId already existskanske du redan har en befintlig konfiguration. Mer information finns i Symptom – nytt MgPolicyCrossTenantAccessPolicyPartner_Create fel.

   $Params = @{
       TenantId = $SourceTenantId
   }
   New-MgPolicyCrossTenantAccessPolicyPartner -BodyParameter $Params | Format-List
   

   AutomaticUserConsentSettings : Microsoft.Graph.PowerShell.Models.MicrosoftGraphInboundOutboundPolicyConfiguration
   B2BCollaborationInbound      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   B2BCollaborationOutbound     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   B2BDirectConnectInbound      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   B2BDirectConnectOutbound     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   IdentitySynchronization      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantIdentitySyncPolicyPartner
   InboundTrust                 : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyInboundTrust
   IsServiceProvider            :
   TenantId                     : <SourceTenantId>
   TenantRestrictions           : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyTenantRestrictions
   AdditionalProperties         : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#policies/crossTenantAccessPolicy/partners/$entity],
                                  [crossCloudMeetingConfiguration,
                                  System.Collections.Generic.Dictionary`2[System.String,System.Object]], [protectedContentSharing,
                                  System.Collections.Generic.Dictionary`2[System.String,System.Object]]}
   

2. Använd kommandot Invoke-MgGraphRequest för att aktivera användarsynkronisering i målklientorganisationen.

   Om du får ett Request_MultipleObjectsWithSameKeyValue fel kanske du redan har en befintlig princip. Mer information finns i Symptom – Request_MultipleObjectsWithSameKeyValue fel.

   $Params = @{
       userSyncInbound = @{
           isSyncAllowed = $true
       }
   }
   Invoke-MgGraphRequest -Method PUT -Uri "https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/$SourceTenantId/identitySynchronization" -Body $Params
   

3. Använd kommandot Get-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization för att verifiera IsSyncAllowed att är inställt på Sant.

   (Get-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization -CrossTenantAccessPolicyConfigurationPartnerTenantId $SourceTenantId).UserSyncInbound
   

   IsSyncAllowed
   -------------
   True
   

Microsoft Graph

1. I målklientorganisationen använder du API:et Skapa crossTenantAccessPolicyConfigurationPartner för att skapa en ny partnerkonfiguration i en princip för åtkomst mellan klientorganisationer mellan målklientorganisationen och källklientorganisationen. Använd källklient-ID:t i begäran.

   Om du får ett Request_MultipleObjectsWithSameKeyValue fel kanske du redan har en befintlig konfiguration. Mer information finns i Symptom – Request_MultipleObjectsWithSameKeyValue fel.

   Begär

   POST https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners
   Content-Type: application/json
   
   {
     "tenantId": "{sourceTenantId}"
   }
   

   Response

   HTTP/1.1 201 Created
   Content-Type: application/json
   
   {
     "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#policies/crossTenantAccessPolicy/partners/$entity",
     "tenantId": "{sourceTenantId}",
     "isServiceProvider": null,
     "inboundTrust": null,
     "b2bCollaborationOutbound": null,
     "b2bCollaborationInbound": null,
     "b2bDirectConnectOutbound": null,
     "b2bDirectConnectInbound": null,
     "tenantRestrictions": null,
     "crossCloudMeetingConfiguration":
     {
       "inboundAllowed": null,
       "outboundAllowed": null
     },
     "automaticUserConsentSettings":
     {
       "inboundAllowed": null,
       "outboundAllowed": null
     }
   }
   

2. Använd API:et Skapa identitetSynkronisering för att aktivera användarsynkronisering i målklientorganisationen.

   Om du får ett Request_MultipleObjectsWithSameKeyValue fel kanske du redan har en befintlig princip. Mer information finns i Symptom – Request_MultipleObjectsWithSameKeyValue fel.

   Begär

   PUT https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/{sourceTenantId}/identitySynchronization
   Content-type: application/json
   
   {
      "displayName": "Fabrikam",
      "userSyncInbound": 
       {
         "isSyncAllowed": true
       }
   }
   

   Response

   HTTP/1.1 204 No Content
   

Steg 3: Lös in inbjudningar automatiskt i målklientorganisationen

Målklientorganisation

PowerShell

1. I målklientorganisationen använder du kommandot Update-MgPolicyCrossTenantAccessPolicyPartner för att automatiskt lösa in inbjudningar och förhindra medgivandemeddelanden för inkommande åtkomst.

   $AutomaticUserConsentSettings = @{
       "InboundAllowed"="True"
   }
   Update-MgPolicyCrossTenantAccessPolicyPartner -CrossTenantAccessPolicyConfigurationPartnerTenantId $SourceTenantId -AutomaticUserConsentSettings $AutomaticUserConsentSettings
   

Microsoft Graph

1. I målklientorganisationen använder du API:et Update crossTenantAccessPolicyConfigurationPartner för att automatiskt lösa in inbjudningar och förhindra medgivandemeddelanden för inkommande åtkomst.

   Begär

   PATCH https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/{sourceTenantId}
   Content-Type: application/json
   
   {
       "inboundTrust": null,
       "automaticUserConsentSettings":
       {
           "inboundAllowed": true
       }
   }
   

   Response

   HTTP/1.1 204 No Content
   

Steg 4: Logga in på källklientorganisationen

Källklientorganisation

PowerShell

1. Starta en instans av PowerShell.

2. Hämta klientorganisations-ID för käll- och målklientorganisationer och initiera variabler.

   $SourceTenantId = "<SourceTenantId>"
   $TargetTenantId = "<TargetTenantId>"
   

3. Använd kommandot Connect-MgGraph för att logga in på källklientorganisationen och godkänna följande nödvändiga behörigheter.

   • Policy.Read.All
   • Policy.ReadWrite.CrossTenantAccess
   • Application.ReadWrite.All
   • Directory.ReadWrite.All
   • AuditLog.Read.All

   Connect-MgGraph -TenantId $SourceTenantId -Scopes "Policy.Read.All","Policy.ReadWrite.CrossTenantAccess","Application.ReadWrite.All","Directory.ReadWrite.All","AuditLog.Read.All"
   

Microsoft Graph

1. Starta en instans av Microsoft Graph Explorer-verktyget.

2. Logga in på källklientorganisationen.

3. Godkänn följande behörigheter som krävs.

   • Policy.Read.All
   • Policy.ReadWrite.CrossTenantAccess
   • Application.ReadWrite.All
   • Directory.ReadWrite.All
   • AuditLog.Read.All

   Om du ser sidan Behöver administratörsgodkännande måste du logga in med en användare som har tilldelats rollen Global administratör för medgivande.

Steg 5: Lös in inbjudningar automatiskt i källklientorganisationen

Källklientorganisation

PowerShell

1. I källklientorganisationen använder du kommandot New-MgPolicyCrossTenantAccessPolicyPartner för att skapa en ny partnerkonfiguration i en åtkomstprincip mellan klientorganisationer mellan källklientorganisationen och målklientorganisationen. Använd målklient-ID:t i begäran.

   Om du får felet New-MgPolicyCrossTenantAccessPolicyPartner_Create: Another object with the same value for property tenantId already existskanske du redan har en befintlig konfiguration. Mer information finns i Symptom – nytt MgPolicyCrossTenantAccessPolicyPartner_Create fel.

   $Params = @{
       TenantId = $TargetTenantId
   }
   New-MgPolicyCrossTenantAccessPolicyPartner -BodyParameter $Params | Format-List
   

   AutomaticUserConsentSettings : Microsoft.Graph.PowerShell.Models.MicrosoftGraphInboundOutboundPolicyConfiguration
   B2BCollaborationInbound      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   B2BCollaborationOutbound     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   B2BDirectConnectInbound      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   B2BDirectConnectOutbound     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
   IdentitySynchronization      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantIdentitySyncPolicyPartner
   InboundTrust                 : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyInboundTrust
   IsServiceProvider            :
   TenantId                     : <TargetTenantId>
   TenantRestrictions           : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyTenantRestrictions
   AdditionalProperties         : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#policies/crossTenantAccessPolicy/partners/$entity],
                                  [crossCloudMeetingConfiguration,
                                  System.Collections.Generic.Dictionary`2[System.String,System.Object]], [protectedContentSharing,
                                  System.Collections.Generic.Dictionary`2[System.String,System.Object]]}
   
   

2. Använd kommandot Update-MgPolicyCrossTenantAccessPolicyPartner för att automatiskt lösa in inbjudningar och förhindra medgivandemeddelanden för utgående åtkomst.

   $AutomaticUserConsentSettings = @{
       "OutboundAllowed"="True"
   }
   Update-MgPolicyCrossTenantAccessPolicyPartner -CrossTenantAccessPolicyConfigurationPartnerTenantId $TargetTenantId -AutomaticUserConsentSettings $AutomaticUserConsentSettings
   

Microsoft Graph

1. I källklientorganisationen använder du API:et Skapa crossTenantAccessPolicyConfigurationPartner för att skapa en ny partnerkonfiguration i en princip för åtkomst mellan klientorganisationer mellan källklientorganisationen och målklientorganisationen. Använd målklient-ID:t i begäran.

   Om du får ett Request_MultipleObjectsWithSameKeyValue fel kanske du redan har en befintlig konfiguration. Mer information finns i Symptom – Request_MultipleObjectsWithSameKeyValue fel.

   Begär

   POST https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners
   Content-Type: application/json
   
   {
     "tenantId": "{targetTenantId}"
   }
   

   Response

   HTTP/1.1 201 Created
   Content-Type: application/json
   
   {
     "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#policies/crossTenantAccessPolicy/partners/$entity",
     "tenantId": "{targetTenantId}",
     "isServiceProvider": null,
     "inboundTrust": null,
     "b2bCollaborationOutbound": null,
     "b2bCollaborationInbound": null,
     "b2bDirectConnectOutbound": null,
     "b2bDirectConnectInbound": null,
     "tenantRestrictions": null,
     "crossCloudMeetingConfiguration":
     {
       "inboundAllowed": null,
       "outboundAllowed": null
     },
     "automaticUserConsentSettings":
     {
       "inboundAllowed": null,
       "outboundAllowed": null
     }
   }
   

2. Använd API:et Update crossTenantAccessPolicyConfigurationPartner för att automatiskt lösa in inbjudningar och förhindra medgivandemeddelanden för utgående åtkomst.

   Begär

   PATCH https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/{targetTenantId}
   Content-Type: application/json
   
   {
       "automaticUserConsentSettings":
       {
           "outboundAllowed": true
       }
   }
   

   Response

   HTTP/1.1 204 No Content
   

Steg 6: Skapa ett konfigurationsprogram i källklientorganisationen

Källklientorganisation

PowerShell

1. I källklientorganisationen använder du kommandot Invoke-MgInstantiateApplicationTemplate för att lägga till en instans av ett konfigurationsprogram från Microsoft Entra-programgalleriet i klientorganisationen.

   Invoke-MgInstantiateApplicationTemplate -ApplicationTemplateId "518e5f48-1fc8-4c48-9387-9fdf28b0dfe7" -DisplayName "Fabrikam"
   

2. Använd kommandot Get-MgServicePrincipal för att hämta tjänstens huvudnamns-ID och approll-ID.

   Get-MgServicePrincipal -Filter "DisplayName eq 'Fabrikam'" | Format-List
   

   AccountEnabled                      : True
   AddIns                              : {}
   AlternativeNames                    : {}
   AppDescription                      :
   AppDisplayName                      : Fabrikam
   AppId                               : <AppId>
   AppManagementPolicies               :
   AppOwnerOrganizationId              : <AppOwnerOrganizationId>
   AppRoleAssignedTo                   :
   AppRoleAssignmentRequired           : True
   AppRoleAssignments                  :
   AppRoles                            : {<AppRoleId>}
   ApplicationTemplateId               : 518e5f48-1fc8-4c48-9387-9fdf28b0dfe7
   ClaimsMappingPolicies               :
   CreatedObjects                      :
   CustomSecurityAttributes            : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCustomSecurityAttributeValue
   DelegatedPermissionClassifications  :
   DeletedDateTime                     :
   Description                         :
   DisabledByMicrosoftStatus           :
   DisplayName                         : Fabrikam
   Endpoints                           :
   ErrorUrl                            :
   FederatedIdentityCredentials        :
   HomeRealmDiscoveryPolicies          :
   Homepage                            : https://account.activedirectory.windowsazure.com:444/applications/default.aspx?metadata=aad2aadsync|ISV9.1|primary|z
   Id                                  : <ServicePrincipalId>
   Info                                : Microsoft.Graph.PowerShell.Models.MicrosoftGraphInformationalUrl
   KeyCredentials                      : {}
   LicenseDetails                      :
   
   ...
   

3. Initiera en variabel för tjänstens huvudnamns-ID.

   Se till att använda tjänstens huvudnamns-ID i stället för program-ID:t.

   $ServicePrincipalId = "<ServicePrincipalId>"
   

4. Initiera en variabel för approll-ID:t.

   $AppRoleId= "<AppRoleId>"
   

Microsoft Graph

1. I källklientorganisationen använder du applicationTemplate: instansiera API för att lägga till en instans av ett konfigurationsprogram från Microsoft Entra-programgalleriet i din klientorganisation.

   Begär

   POST https://graph.microsoft.com/v1.0/applicationTemplates/518e5f48-1fc8-4c48-9387-9fdf28b0dfe7/instantiate
   Content-type: application/json
   
   {
     "displayName": "Fabrikam"
   }
   

   Response

   HTTP/1.1 201 Created
   Content-type: application/json
   
   {
       "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#microsoft.graph.applicationServicePrincipal",
       "application": {
           "id": "{id}",
           "appId": "{appId}",
           "applicationTemplateId": "518e5f48-1fc8-4c48-9387-9fdf28b0dfe7",
           "createdDateTime": "2023-07-31T23:26:24Z",
           "deletedDateTime": null,
           "displayName": "Fabrikam",
           "description": null,
           "groupMembershipClaims": null,
           "identifierUris": [],
           "isFallbackPublicClient": false,
           "signInAudience": "AzureADMyOrg",
           "tags": [],
           "tokenEncryptionKeyId": null,
           "defaultRedirectUri": null,
           "optionalClaims": null,
           "addIns": [],
           "api": {
               "acceptMappedClaims": null,
               "knownClientApplications": [],
               "requestedAccessTokenVersion": null,
               "oauth2PermissionScopes": [
                   {
                       "adminConsentDescription": "Allow the application to access Fabrikam on behalf of the signed-in user.",
                       "adminConsentDisplayName": "Access Fabrikam",
                       "id": "{id}",
                       "isEnabled": true,
                       "type": "User",
                       "userConsentDescription": "Allow the application to access Fabrikam on your behalf.",
                       "userConsentDisplayName": "Access Fabrikam",
                       "value": "user_impersonation"
                   }
               ],
               "preAuthorizedApplications": []
           },
           "appRoles": [
               {
                   "allowedMemberTypes": [
                       "User"
                   ],
                   "displayName": "msiam_access",
                   "id": "{appRoleId}",
                   "isEnabled": true,
                   "description": "msiam_access",
                   "value": null,
                   "origin": "Application"
               }
           ],
           "info": {
               "logoUrl": null,
               "marketingUrl": null,
               "privacyStatementUrl": null,
               "supportUrl": null,
               "termsOfServiceUrl": null
           },
           "keyCredentials": [],
           "parentalControlSettings": {
               "countriesBlockedForMinors": [],
               "legalAgeGroupRule": "Allow"
           },
           "passwordCredentials": [],
           "publicClient": {
               "redirectUris": []
           },
           "requiredResourceAccess": [],
           "verifiedPublisher": {
               "displayName": null,
               "verifiedPublisherId": null,
               "addedDateTime": null
           },
           "web": {
               "homePageUrl": "https://account.activedirectory.windowsazure.com:444/applications/default.aspx?metadata=aad2aadsync|ISV9.1|primary|z",
               "redirectUris": [],
               "logoutUrl": null
           }
       },
       "servicePrincipal": {
           "id": "{servicePrincipalId}",
           "deletedDateTime": null,
           "accountEnabled": true,
           "appId": "{appId}",
           "applicationTemplateId": "518e5f48-1fc8-4c48-9387-9fdf28b0dfe7",
           "appDisplayName": "Fabrikam",
           "alternativeNames": [],
           "appOwnerOrganizationId": "{appOwnerOrganizationId}",
           "displayName": "Fabrikam",
           "appRoleAssignmentRequired": true,
           "loginUrl": null,
           "logoutUrl": null,
           "homepage": "https://account.activedirectory.windowsazure.com:444/applications/default.aspx?metadata=aad2aadsync|ISV9.1|primary|z",
           "notificationEmailAddresses": [],
           "preferredSingleSignOnMode": null,
           "preferredTokenSigningKeyThumbprint": null,
           "replyUrls": [],
           "servicePrincipalNames": [
               "{appId}"
           ],
           "servicePrincipalType": "Application",
           "tags": [
               "WindowsAzureActiveDirectoryIntegratedApp"
           ],
           "tokenEncryptionKeyId": null,
           "samlSingleSignOnSettings": null,
           "addIns": [],
           "appRoles": [
               {
                   "allowedMemberTypes": [
                       "User"
                   ],
                   "displayName": "msiam_access",
                   "id": "{appRoleId}",
                   "isEnabled": true,
                   "description": "msiam_access",
                   "value": null,
                   "origin": "Application"
               }
           ],
           "info": {
               "logoUrl": null,
               "marketingUrl": null,
               "privacyStatementUrl": null,
               "supportUrl": null,
               "termsOfServiceUrl": null
           },
           "keyCredentials": [],
           "oauth2PermissionScopes": [
               {
                   "adminConsentDescription": "Allow the application to access Fabrikam on behalf of the signed-in user.",
                   "adminConsentDisplayName": "Access Fabrikam",
                   "id": "{id}",
                   "isEnabled": true,
                   "type": "User",
                   "userConsentDescription": "Allow the application to access Fabrikam on your behalf.",
                   "userConsentDisplayName": "Access Fabrikam",
                   "value": "user_impersonation"
               }
           ],
           "passwordCredentials": [],
           "verifiedPublisher": {
               "displayName": null,
               "verifiedPublisherId": null,
               "addedDateTime": null
           }
       }
   }
   

2. Spara servicePrincipalId.

   Se till att använda tjänstens huvudnamns-ID i stället för program-ID:t.

3. Spara appRoleId.

Steg 7: Testa anslutningen till målklientorganisationen

Källklientorganisation

PowerShell

1. I källklientorganisationen använder du kommandot Invoke-MgGraphRequest för att testa anslutningen till målklientorganisationen och verifiera autentiseringsuppgifterna.

   $Params = @{
       "useSavedCredentials" = $false
       "templateId" = "Azure2Azure"
       "credentials" = @(
           @{
               "key" = "CompanyId"
               "value" = $TargetTenantId
           }
           @{
               "key" = "AuthenticationType"
               "value" = "SyncPolicy"
           }
       )
   }
   Invoke-MgGraphRequest -Method POST -Uri "https://graph.microsoft.com/v1.0/servicePrincipals/$ServicePrincipalId/synchronization/jobs/validateCredentials" -Body $Params
   

Microsoft Graph

1. I källklientorganisationen använder du synkroniseringsjobbet : validateCredentials API för att testa anslutningen till målklientorganisationen och verifiera autentiseringsuppgifterna.

   Begär

   POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/validateCredentials
   Content-Type: application/json
   
   {
       "useSavedCredentials": false,
       "templateId": "Azure2Azure",
       "credentials": [
           {
               "key": "CompanyId",
               "value": "{targetTenantId}"
           },
           {
               "key": "AuthenticationType",
               "value": "SyncPolicy"
           }
       ]
   }
   

   Response

   HTTP/1.1 204 No Content
   

Steg 8: Skapa ett etableringsjobb i källklientorganisationen

Källklientorganisation

Skapa ett etableringsjobb för att aktivera etablering i källklientorganisationen.

PowerShell

1. Fastställ synkroniseringsmallen som ska användas, till exempel Azure2Azure.

   En mall har förkonfigurerade synkroniseringsinställningar.

2. I källklientorganisationen använder du kommandot New-MgServicePrincipalSynchronizationJob för att skapa ett etableringsjobb baserat på en mall.

   New-MgServicePrincipalSynchronizationJob -ServicePrincipalId $ServicePrincipalId -TemplateId "Azure2Azure" | Format-List
   

   Id                         : <JobId>
   Schedule                   : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationSchedule
   Schema                     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationSchema
   Status                     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationStatus
   SynchronizationJobSettings : {AzureIngestionAttributeOptimization, LookaheadQueryEnabled}
   TemplateId                 : Azure2Azure
   AdditionalProperties       : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('<ServicePrincipalId>')/synchro
                                nization/jobs/$entity]}
   

3. Initiera en variabel för jobb-ID:t.

   $JobId = "<JobId>"
   

Microsoft Graph

1. Fastställ synkroniseringsmallen som ska användas, till exempel Azure2Azure.

   En mall har förkonfigurerade synkroniseringsinställningar.

2. I källklientorganisationen använder du API:et Skapa synkroniseringsjobb för att skapa ett etableringsjobb baserat på en mall.

   Begär

   POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs
   Content-type: application/json
   
   {
       "templateId": "Azure2Azure"
   }
   

   Response

   HTTP/1.1 201 Created
   Content-type: application/json
   
   {
       "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('{servicePrincipalId}')/synchronization/jobs/$entity",
       "id": "{jobId}",
       "templateId": "Azure2Azure",
       "schedule": {
           "expiration": null,
           "interval": "PT40M",
           "state": "Disabled"
       },
       "status": {
           "countSuccessiveCompleteFailures": 0,
           "escrowsPruned": false,
           "code": "Paused",
           "lastExecution": null,
           "lastSuccessfulExecution": null,
           "lastSuccessfulExecutionWithExports": null,
           "quarantine": null,
           "steadyStateFirstAchievedTime": "0001-01-01T00:00:00Z",
           "steadyStateLastAchievedTime": "0001-01-01T00:00:00Z",
           "troubleshootingUrl": null,
           "progress": [],
           "synchronizedEntryCountByType": []
       },
       "synchronizationJobSettings": [
           {
               "name": "AzureIngestionAttributeOptimization",
               "value": "False"
           },
           {
               "name": "LookaheadQueryEnabled",
               "value": "False"
           }
       ]
   }
   

3. Spara jobId.

Steg 9: Spara dina autentiseringsuppgifter

Källklientorganisation

PowerShell

1. I källklientorganisationen använder du kommandot Invoke-MgGraphRequest för att spara dina autentiseringsuppgifter.

   $Params = @{
       "value" = @(
           @{
               "key" = "AuthenticationType"
               "value" = "SyncPolicy"
           }
           @{
               "key" = "CompanyId"
               "value" = $TargetTenantId
           }
       )
   }
   Invoke-MgGraphRequest -Method PUT -Uri "https://graph.microsoft.com/v1.0/servicePrincipals/$ServicePrincipalId/synchronization/secrets" -Body $Params
   

Microsoft Graph

1. I källklientorganisationen använder du API:et Lägg till synkroniseringshemligheter för att spara dina autentiseringsuppgifter.

   Begär

   PUT https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/secrets 
   Content-Type: application/json
   
   {
       "value": [
           {
               "key": "AuthenticationType",
               "value": "SyncPolicy"
           },
           {
               "key": "CompanyId",
               "value": "{targetTenantId}"
           },
           {
               "key": "SyncNotificationSettings",
               "value": "{\"Enabled\":false,\"DeleteThresholdEnabled\":false,\"HumanResourcesLookaheadQueryEnabled\":false}"
           },
           {
               "key": "SyncAll",
               "value": "false"
           }
       ]
   }
   

   Response

   HTTP/1.1 204 No Content
   

Steg 10: Tilldela en användare till konfigurationen

Källklientorganisation

För att synkronisering mellan klientorganisationer ska fungera måste minst en intern användare tilldelas till konfigurationen.

PowerShell

1. I källklientorganisationen använder du kommandot New-MgServicePrincipalAppRoleAssignedTo för att tilldela en intern användare till konfigurationen.

   $Params = @{
       PrincipalId = "<PrincipalId>"
       ResourceId = $ServicePrincipalId
       AppRoleId = $AppRoleId
   }
   New-MgServicePrincipalAppRoleAssignedTo -ServicePrincipalId $ServicePrincipalId -BodyParameter $Params | Format-List
   

   AppRoleId            : <AppRoleId>
   CreatedDateTime      : 7/31/2023 10:27:12 PM
   DeletedDateTime      :
   Id                   : <Id>
   PrincipalDisplayName : User1
   PrincipalId          : <PrincipalId>
   PrincipalType        : User
   ResourceDisplayName  : Fabrikam
   ResourceId           : <ServicePrincipalId>
   AdditionalProperties : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#appRoleAssignments/$entity]}
   

Microsoft Graph

1. I källklientorganisationen använder du Bevilja en appRoleAssignment för ett API för tjänstens huvudnamn för att tilldela en intern användare till konfigurationen.

   Begär

   POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/appRoleAssignedTo
   Content-type: application/json
   
   {
       "appRoleId": "{appRoleId}",
       "resourceId": "{servicePrincipalId}",
       "principalId": "{principalId}"
   }
   

   Response

   HTTP/1.1 201 Created
   Content-Type: application/json
   {
       "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('{servicePrincipalId}')/appRoleAssignedTo/$entity",
       "id": "{keyId}",
       "deletedDateTime": null,
       "appRoleId": "{appRoleId}",
       "createdDateTime": "2023-07-31T22:23:48.6541804Z",
       "principalDisplayName": "User1",
       "principalId": "{principalId}",
       "principalType": "User",
       "resourceDisplayName": "Fabrikam",
       "resourceId": "{servicePrincipalId}"
   }
   

Steg 11: Testa etablering på begäran

Källklientorganisation

Nu när du har en konfiguration kan du testa etablering på begäran med en av dina användare.

PowerShell

1. I källklientorganisationen använder du kommandot Get-MgServicePrincipalSynchronizationJobSchema för att hämta schemaregel-ID:t.

   $SynchronizationSchema = Get-MgServicePrincipalSynchronizationJobSchema -ServicePrincipalId $ServicePrincipalId -SynchronizationJobId $JobId
   $SynchronizationSchema.SynchronizationRules | Format-List
   

   ContainerFilter      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphContainerFilter
   Editable             : True
   GroupFilter          : Microsoft.Graph.PowerShell.Models.MicrosoftGraphGroupFilter
   Id                   : <RuleId>
   Metadata             : {defaultSourceObjectMappings, supportsProvisionOnDemand}
   Name                 : USER_INBOUND_USER
   ObjectMappings       : {Provision Azure Active Directory Users, , , ...}
   Priority             : 1
   SourceDirectoryName  : Azure Active Directory
   TargetDirectoryName  : Azure Active Directory (target tenant)
   AdditionalProperties : {}
   

2. Initiera en variabel för regel-ID:t.

   $RuleId = "<RuleId>"
   

3. Använd kommandot New-MgServicePrincipalSynchronizationJobOnDemand för att etablera en testanvändare på begäran.

   $Params = @{
       Parameters = @(
           @{
               Subjects = @(
                   @{
                       ObjectId = "<UserObjectId>"
                       ObjectTypeName = "User"
                   }
               )
               RuleId = $RuleId
           }
       )
   }
   New-MgServicePrincipalSynchronizationJobOnDemand -ServicePrincipalId $ServicePrincipalId -SynchronizationJobId $JobId -BodyParameter $Params | Format-List
   

   Key                  : Microsoft.Identity.Health.CPP.Common.DataContracts.SyncFabric.StatusInfo
   Value                : [{"provisioningSteps":[{"name":"EntryImport","type":"Import","status":"Success","description":"Retrieved User
                          'user1@fabrikam.com' from Azure Active Directory","timestamp":"2023-07-31T22:31:15.9116590Z","details":{"objectId":
                          "<UserObjectId>","accountEnabled":"True","displayName":"User1","mailNickname":"user1","userPrincipalName":"use
                          ...
   AdditionalProperties : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#microsoft.graph.stringKeyStringValuePair]}
   

Microsoft Graph

1. I källklientorganisationen använder du API:et Get synchronizationSchema för att hämta schemaregel-ID:t.

   Begär

   GET https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/{jobId}/schema
   

   Response

   {
       "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('{servicePrincipalId}')/synchronization/jobs('{jobId}')/schema/$entity",
       "id": "{jobId}",
       "version": "v1.2",
       "synchronizationRules": [
           {
               "containerFilter": null,
               "editable": true,
               "groupFilter": null,
               "id": "{ruleId}",
               "name": "USER_INBOUND_USER",
               "priority": 1,
               "sourceDirectoryName": "Azure Active Directory",
               "targetDirectoryName": "Azure Active Directory (target tenant)",
               "metadata": [
   
               ...
   

2. I källklientorganisationen använder du synkroniseringsjobbet : provisionOnDemand API för att etablera en testanvändare på begäran.

   Begär

   POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/{jobId}/provisionOnDemand
   Content-Type: application/json
   
   {
       "parameters": [
           {
               "ruleId": "{ruleId}",
               "subjects": [
                   {
                       "objectId": "{userObjectId}",
                       "objectTypeName": "User"
                   }
               ]
           }
       ]
   }
   

   Response

   {
       "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#microsoft.graph.stringKeyStringValuePair",
       "key": "Microsoft.Identity.Health.CPP.Common.DataContracts.SyncFabric.StatusInfo",
       "value": "[{\"provisioningSteps\":[{\"name\":\"EntryImport\",\"type\":\"Import\",\"status\":\"Success\",\"description\":\"Retrieved User 'user1@fabrikam.com' from Azure Active Directory\",\"timestamp\":\"2023-07-31T00:00:16.7866324Z\",\"details\":{\"objectId\":\"{userObjectId}\",\"accountEnabled\":\"True\",\"displayName\":\"User1\",\"mailNickname\":\"user1\",\"userPrincipalName\":\"user1@fabrikam.com\",}
   
       ...
   

Steg 12: Starta etableringsjobbet

Källklientorganisation

PowerShell

1. Nu när etableringsjobbet har konfigurerats använder du kommandot Start-MgServicePrincipalSynchronizationJob i källklientorganisationen för att starta etableringsjobbet.

   Start-MgServicePrincipalSynchronizationJob -ServicePrincipalId $ServicePrincipalId -SynchronizationJobId $JobId
   

Microsoft Graph

1. Nu när etableringsjobbet har konfigurerats använder du API:et Start synchronizationJob i källklientorganisationen för att starta etableringsjobbet.

   Begär

   POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/{jobId}/start
   

   Response

   HTTP/1.1 204 No Content
   

Steg 13: Övervaka etablering

Källklientorganisation

PowerShell

1. Nu när etableringsjobbet körs använder du kommandot Get-MgServicePrincipalSynchronizationJob i källklientorganisationen för att övervaka förloppet för den aktuella etableringscykeln samt statistik hittills, till exempel antalet användare och grupper som har skapats i målsystemet.

   Get-MgServicePrincipalSynchronizationJob -ServicePrincipalId $ServicePrincipalId -SynchronizationJobId $JobId | Format-List
   

   Id                         : <JobId>
   Schedule                   : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationSchedule
   Schema                     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationSchema
   Status                     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationStatus
   SynchronizationJobSettings : {AzureIngestionAttributeOptimization, LookaheadQueryEnabled}
   TemplateId                 : Azure2Azure
   AdditionalProperties       : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('<ServicePrincipalId>')/synchro
                                nization/jobs/$entity]}
   

2. Förutom att övervaka statusen för etableringsjobbet använder du kommandot Get-MgAuditLogProvisioning för att hämta etableringsloggarna och hämta alla etableringshändelser som inträffar. Fråga till exempel efter en viss användare och ta reda på om de har etablerats.

   Get-MgAuditLogDirectoryAudit | Select -First 10 | Format-List
   

   ActivityDateTime     : 7/31/2023 12:08:17 AM
   ActivityDisplayName  : Export
   AdditionalDetails    : {Details, ErrorCode, EventName, ipaddr...}
   Category             : ProvisioningManagement
   CorrelationId        : aaaa0000-bb11-2222-33cc-444444dddddd
   Id                   : Sync_aaaa0000-bb11-2222-33cc-444444dddddd_L5BFV_161778479
   InitiatedBy          : Microsoft.Graph.PowerShell.Models.MicrosoftGraphAuditActivityInitiator1
   LoggedByService      : Account Provisioning
   OperationType        :
   Result               : success
   ResultReason         : User 'user2@fabrikam.com' was created in Azure Active Directory (target tenant)
   TargetResources      : {<ServicePrincipalId>, }
   AdditionalProperties : {}
   
   ActivityDateTime     : 7/31/2023 12:08:17 AM
   ActivityDisplayName  : Export
   AdditionalDetails    : {Details, ErrorCode, EventName, ipaddr...}
   Category             : ProvisioningManagement
   CorrelationId        : aaaa0000-bb11-2222-33cc-444444dddddd
   Id                   : Sync_aaaa0000-bb11-2222-33cc-444444dddddd_L5BFV_161778264
   InitiatedBy          : Microsoft.Graph.PowerShell.Models.MicrosoftGraphAuditActivityInitiator1
   LoggedByService      : Account Provisioning
   OperationType        :
   Result               : success
   ResultReason         : User 'user2@fabrikam.com' was updated in Azure Active Directory (target tenant)
   TargetResources      : {<ServicePrincipalId>, }
   AdditionalProperties : {}
   
   ActivityDateTime     : 7/31/2023 12:08:14 AM
   ActivityDisplayName  : Synchronization rule action
   AdditionalDetails    : {Details, ErrorCode, EventName, ipaddr...}
   Category             : ProvisioningManagement
   CorrelationId        : aaaa0000-bb11-2222-33cc-444444dddddd
   Id                   : Sync_aaaa0000-bb11-2222-33cc-444444dddddd_L5BFV_161778395
   InitiatedBy          : Microsoft.Graph.PowerShell.Models.MicrosoftGraphAuditActivityInitiator1
   LoggedByService      : Account Provisioning
   OperationType        :
   Result               : success
   ResultReason         : User 'user2@fabrikam.com' will be created in Azure Active Directory (target tenant) (User is active and assigned
                          in Azure Active Directory, but no matching User was found in Azure Active Directory (target tenant))
   TargetResources      : {<ServicePrincipalId>, }
   AdditionalProperties : {}
   

Microsoft Graph

1. Nu när etableringsjobbet körs använder du API:et Get synchronizationJob i källklientorganisationen för att övervaka förloppet för den aktuella etableringscykeln samt statistik hittills, till exempel antalet användare och grupper som har skapats i målsystemet.

   Begär

   GET https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/{jobId}
   

   Response

   HTTP/1.1 200 OK
   Content-type: application/json
   
   {
       "id": "{jobId}",
       "templateId": "Azure2Azure",
       "schedule": {
           "expiration": null,
           "interval": "PT40M",
           "state": "Active"
       },
       "status": {
           "countSuccessiveCompleteFailures": 0,
           "escrowsPruned": false,
           "code": "NotRun",
           "lastSuccessfulExecution": null,
           "lastSuccessfulExecutionWithExports": null,
           "quarantine": null,
           "steadyStateFirstAchievedTime": "0001-01-01T00:00:00Z",
           "steadyStateLastAchievedTime": "0001-01-01T00:00:00Z",
           "troubleshootingUrl": "",
           "lastExecution": {
               "activityIdentifier": null,
               "countEntitled": 0,
               "countEntitledForProvisioning": 0,
               "countEscrowed": 0,
               "countEscrowedRaw": 0,
               "countExported": 0,
               "countExports": 0,
               "countImported": 0,
               "countImportedDeltas": 0,
               "countImportedReferenceDeltas": 0,
               "state": "Failed",
               "timeBegan": "0001-01-01T00:00:00Z",
               "timeEnded": "0001-01-01T00:00:00Z",
               "error": {
                   "code": "None",
                   "message": "",
                   "tenantActionable": false
               }
           },
           "progress": [],
           "synchronizedEntryCountByType": []
       },
       "synchronizationJobSettings": [
           {
               "name": "AzureIngestionAttributeOptimization",
               "value": "False"
           },
           {
               "name": "LookaheadQueryEnabled",
               "value": "False"
           }
       ]
   }
   

2. Förutom att övervaka status för etableringsjobbet använder du API:et List provisioningObjectSummary för att hämta etableringsloggarna och hämta alla etableringshändelser som inträffar. Fråga till exempel efter en viss användare och ta reda på om de har etablerats.

   Begär

   GET https://graph.microsoft.com/v1.0/auditLogs/provisioning?$filter=((contains(tolower(servicePrincipal/id), '{servicePrincipalId}') or contains(tolower(servicePrincipal/displayName), '{servicePrincipalId}')) and activityDateTime gt 2023-07-30 and activityDateTime lt 2023-07-31)&$top=500&$orderby=activityDateTime desc
   

   Response

   Svarsobjektet som visas här har förkortats för läsbarhet.

   HTTP/1.1 200 OK
   Content-type: application/json
   
   {
       "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#auditLogs/provisioning",
       "value": [
           {
               "id": "{id}",
               "activityDateTime": "2023-07-31T00:40:37Z",
               "tenantId": "{targetTenantId}",
               "jobId": "{jobId}",
               "cycleId": "{cycleId}",
               "changeId": "{changeId}",
               "provisioningAction": "create",
               "durationInMilliseconds": 4375,
               "servicePrincipal": {
                   "id": "{servicePrincipalId}",
                   "displayName": "Fabrikam"
               },
               "sourceSystem": {
                   "id": "{id}",
                   "displayName": "Azure Active Directory",
                   "details": {}
               },
               "targetSystem": {
                   "id": "{id}",
                   "displayName": "Azure Active Directory (target tenant)",
                   "details": {
                       "ApplicationId": "{applicationId}",
                       "ServicePrincipalId": "{servicePrincipalId}",
                       "ServicePrincipalDisplayName": "Fabrikam"
                   }
               },
               "initiatedBy": {
                   "id": "",
                   "displayName": "Azure AD Provisioning Service",
                   "initiatorType": "system"
               },
               "sourceIdentity": {
                   "id": "{sourceUserObjectId}",
                   "displayName": "User4",
                   "identityType": "User",
                   "details": {
                       "id": "{sourceUserObjectId}",
                       "odatatype": "User",
                       "DisplayName": "User4",
                       "UserPrincipalName": "user4@fabrikam.com"
                   }
               },
               "targetIdentity": {
                   "id": "{targetUserObjectId}",
                   "displayName": "",
                   "identityType": "User",
                   "details": {}
               },
               "provisioningStatusInfo": {
                   "status": "success",
                   "errorInformation": null
               },
           "provisioningSteps": [
               {
                   "name": "EntryImportAdd",
                   "provisioningStepType": "import",
                   "status": "success",
                   "description": "Received User 'user4@fabrikam.com' change of type (Add) from Azure Active Directory",
                   "details": {
                       "objectId": "{sourceUserObjectId}",
                       "accountEnabled": "True",
                       "department": "Marketing",
                       "displayName": "User4",
                       "mailNickname": "user4",
                       "userPrincipalName": "user4@fabrikam.com",
                       "netId": "{netId}",
                       "showInAddressList": "",
                       "alternativeSecurityIds": "None",
                       "IsSoftDeleted": "False",
                       "appRoleAssignments": "msiam_access"
                   }
               },
               {
                   "name": "EntrySynchronizationScoping",
                   "provisioningStepType": "scoping",
                   "status": "success",
                   "description": "Determine if User in scope by evaluating against each scoping filter",
                   "details": {
                       "Active in the source system": "True",
                       "Assigned to the application": "True",
                       "User has the required role": "True",
                       "Scoping filter evaluation passed": "True",
                       "ScopeEvaluationResult": "{\"Marketing department filter.department EQUALS 'Marketing'\":true}"
                   }
               },
   
               ...
   
           }
       ]
   }
   

Felsökningstips

PowerShell

Symptom – Otillräckligt behörighetsfel

När du försöker utföra en åtgärd får du ett felmeddelande som liknar följande:

code: Authorization_RequestDenied
message: Insufficient privileges to complete the operation.

Orsak

Antingen har den inloggade användaren inte tillräcklig behörighet eller så måste du samtycka till någon av de behörigheter som krävs.

Lösning

1. Kontrollera att du har tilldelats de roller som krävs. Se Krav tidigare i den här artikeln.

2. När du loggar in med Connect-MgGraph kontrollerar du att du anger de nödvändiga omfången. Se Steg 1: Logga in på målklientorganisationen och steg 4: Logga in på källklientorganisationen tidigare i den här artikeln.

Symptom – Nytt MgPolicyCrossTenantAccessPolicyPartner_Create fel

När du försöker skapa en ny partnerkonfiguration får du ett felmeddelande som liknar följande:

New-MgPolicyCrossTenantAccessPolicyPartner_Create: Another object with the same value for property tenantId already exists.

Orsak

Du försöker förmodligen skapa en konfiguration eller ett objekt som redan finns, eventuellt från en tidigare konfiguration.

Lösning

1. Kontrollera din syntax och att du använder rätt klientorganisations-ID.

2. Använd kommandot Get-MgPolicyCrossTenantAccessPolicyPartner för att visa en lista över det befintliga objektet.

3. Om du har ett befintligt objekt kan du behöva göra en uppdatering med Update-MgPolicyCrossTenantAccessPolicyPartner

Symptom – Request_MultipleObjectsWithSameKeyValue fel

När du försöker aktivera användarsynkronisering får du ett felmeddelande som liknar följande:

Invoke-MgGraphRequest: PUT https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/<SourceTenantId>/identitySynchronization
HTTP/1.1 409 Conflict
...
{"error":{"code":"Request_MultipleObjectsWithSameKeyValue","message":"A conflicting object with one or more of the specified property values is present in the directory.","details":[{"code":"ConflictingObjects","message":"A conflicting object with one or more of the specified property values is present in the directory.", ... }}}

Orsak

Du försöker förmodligen skapa en princip som redan finns, eventuellt från en tidigare konfiguration.

Lösning

1. Kontrollera din syntax och att du använder rätt klientorganisations-ID.

2. Använd kommandot Get-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization för att visa en lista över inställningenIsSyncAllowed.

   (Get-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization -CrossTenantAccessPolicyConfigurationPartnerTenantId $SourceTenantId).UserSyncInbound
   

3. Om du har en befintlig princip kan du behöva göra en uppdatering med hjälp av kommandot Set-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization för att aktivera användarsynkronisering.

   $Params = @{
       userSyncInbound = @{
           isSyncAllowed = $true
       }
   }
   Set-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization -CrossTenantAccessPolicyConfigurationPartnerTenantId $SourceTenantId -BodyParameter $Params
   

Microsoft Graph

Symptom – Otillräckligt behörighetsfel

När du försöker utföra en åtgärd får du ett felmeddelande som liknar följande:

code: Authorization_RequestDenied
message: Insufficient privileges to complete the operation.

Orsak

Antingen har den inloggade användaren inte tillräcklig behörighet eller så måste du samtycka till någon av de behörigheter som krävs.

Lösning

1. Kontrollera att du har tilldelats de roller som krävs. Se Krav tidigare i den här artikeln.

2. I Microsoft Graph Explorer-verktyget ser du till att du godkänner de behörigheter som krävs. Se Steg 1: Logga in på målklientorganisationen och steg 4: Logga in på källklientorganisationen tidigare i den här artikeln.

Symptom – Request_MultipleObjectsWithSameKeyValue fel

När du försöker göra ett Microsoft Graph API-anrop får du ett felmeddelande som liknar följande:

code: Request_MultipleObjectsWithSameKeyValue
message: Another object with the same value for property tenantId already exists.
message: A conflicting object with one or more of the specified property values is present in the directory.

Orsak

Du försöker förmodligen skapa en konfiguration eller ett objekt som redan finns, eventuellt från en tidigare konfiguration.

Lösning

1. Kontrollera din begärandesyntax och att du använder rätt klientorganisations-ID.

2. Gör en GET begäran om att lista det befintliga objektet.

3. Om du har ett befintligt objekt, i stället för att skapa en begäran med eller POST PUT, kan du behöva göra en uppdateringsbegäran med , PATCHtill exempel:

   • Uppdatera crossTenantAccessPolicyConfigurationPartner
   • Uppdatera crossTenantIdentitySyncPolicyPartner

Symptom – Directory_ObjectNotFound fel

När du försöker göra ett Microsoft Graph API-anrop får du ett felmeddelande som liknar följande:

code: Directory_ObjectNotFound
message: Unable to read the company information from the directory.

Orsak

Du försöker förmodligen uppdatera ett objekt som inte finns med hjälp av PATCH.

Lösning

1. Kontrollera din begärandesyntax och att du använder rätt klientorganisations-ID.

2. Gör en GET begäran om att kontrollera att objektet inte finns.

3. Om objektet inte finns i stället för att göra en uppdateringsbegäran med kan PATCHdu behöva skapa en begäran med eller POST PUT, till exempel:

   • Skapa identitySynchronization

Nästa steg

• Översikt över API för Microsoft Entra-synkronisering
• Självstudie: Utveckla och planera etablering för en SCIM-slutpunkt i Microsoft Entra-ID