Microsoft Entra Connect Sync：为 Microsoft 365 资源配置首选数据位置

本文的目的是指导你了解如何在 Microsoft Entra Connect Sync 中为首选数据位置配置属性。当某人在 Microsoft 365 中使用多地理位置功能时，可以使用此属性来指定用户Microsoft 365 数据的地理位置。 （术语 区域 和 地理 互换使用。

支持的多地理位置

有关 Microsoft Entra Connect 支持的所有地理位置的列表，请参阅 Microsoft 365 多地理位置可用性

启用首选数据位置的同步

默认设置中，为用户提供的 Microsoft 365 资源与 Microsoft Entra 租户位于同一地理区域。 例如，如果 租户 位于北美，则用户的 Exchange 邮箱也位于北美。 对于跨国组织，这可能不是最佳。

通过设置属性 preferredDataLocation，可以定义用户的地理位置。 可以将用户的 Microsoft 365 资源（如邮箱和 OneDrive）放在与用户相同的地理区域，同时整个组织仍然共享一个租户。

重要

从 2023 年 6 月 1 日开始，云解决方案提供商合作伙伴将可以购买多地理位置，且至少占其客户 Microsoft 365 订阅席位总数的 5%。

拥有有效企业协议的客户也可以使用Multi-Geo服务。 有关详细信息，请联系Microsoft代表。

有关 Microsoft Entra Connect 支持的所有地理区域的列表，请参阅 Microsoft 365 多地理位置可用性。

Microsoft Entra Connect 对同步的支持

Microsoft Entra Connect 在版本 1.1.524.0 及更高版本中支持对 User 对象的 preferredDataLocation 属性进行同步。 具体说来：

• 扩展了 Microsoft Entra Connector 中对象类型 用户 的架构，以包含 preferredDataLocation 属性。 该属性的类型为单值字符串。
• metaverse 中对象类型 Person 的架构进行了扩展，以包含 preferredDataLocation 属性。 该属性的类型为单值字符串。

默认情况下，preferredDataLocation 未启用同步。 此功能适用于大型组织。 Windows Server 2019 中的 Active Directory 架构的属性“msDS-preferredDataLocation”可用于实现此目的。 如果尚未更新 Active Directory 架构，但无法执行此操作，则必须标识一个属性来保存用户的 Microsoft 365 地理位置。 对于每个组织来说，这将会有所不同。

重要

Microsoft Entra ID 允许使用 Microsoft Graph PowerShell 直接配置云 User 对象上的 preferredDataLocation 属性。 若要在 同步的用户对象上配置此属性，必须使用 Microsoft Entra Connect。

启用同步之前：

• 如果尚未将 Active Directory 架构升级到 2019，则需要决定使用哪个内部部署的 Active Directory 属性作为源属性。 它的类型应当是“单值字符串”。

• 如果您以前使用 Microsoft Graph PowerShell 在 Microsoft Entra ID 中对现有的 已同步用户对象 配置了 preferredDataLocation 属性，则必须将这些属性值回移植到本地 Active Directory 中相应的 用户 对象。

  重要

  如果未向后移植这些值，Microsoft Entra Connect 将在启用 preferredDataLocation 属性同步时删除 Microsoft Entra ID 中的现有属性值。

• 在至少几个本地 Active Directory 用户对象上配置源属性。 稍后可以使用此选项进行验证。

以下部分提供了启用 preferredDataLocation 属性同步的步骤。

注意

这些步骤是在具有单林拓扑的 Microsoft Entra 部署环境中进行描述的，无需自定义同步规则。 如果您具有多森林拓扑、自定义同步规则或暂存服务器，则应相应地调整步骤。

步骤 1：禁用同步计划程序，并验证是否没有正在进行的同步操作

若要避免将意外更改导出到 Microsoft Entra ID，请确保在更新同步规则过程中不会发生任何同步。 若要禁用内置同步计划程序，请执行以下操作：

1. 在 Microsoft Entra Connect 服务器上启动 PowerShell 会话。
2. 通过运行以下 cmdlet 来禁用计划的同步：Set-ADSyncScheduler -SyncCycleEnabled $false。
3. 转到“开始”>“同步服务”，启动 Synchronization Service Manager。
4. 选择“操作”选项卡，确认已不存在状态为“正在进行”的操作。

步骤 2：刷新 Active Directory 的架构

如果将 Active Directory 架构更新到 2019，并且已在架构扩展之前安装 Connect，则 Connect 架构缓存没有更新的架构。 然后，必须从向导中刷新架构，使其显示在 UI 中。

1. 从桌面启动 Microsoft Entra Connect 向导。
2. 选择选项 刷新目录架构，然后选择 下一步。
3. 输入 Microsoft Entra 凭据，然后选择“下一步”。
4. 在“刷新目录架构”页上，确保选择所有林，并选择“下一步”。
5. 完成后关闭向导。

步骤 3：将源属性添加到本地 Active Directory 连接器架构

仅当运行 Connect 版本 1.3.21 或更高版本时，才需要此步骤。 如果使用的是 1.4.18 或更高版本，请跳到步骤 5。
并非所有Microsoft Entra 属性都导入到本地 Active Directory 连接器空间中。 如果选择使用默认情况下未同步的属性，则需要导入它。 若要将源属性添加到导入的属性列表，

1. 在同步服务管理器中选择 连接器 选项卡。
2. 右键单击本地 Active Directory 连接器，然后选择 属性。
3. 在弹出对话框中，转到“选择属性”选项卡。
4. 请确保您选择使用的源属性在属性列表中被选中。 如果未看到该属性，请选择“全部显示”复选框。
5. 若要保存，请选择“确定”。

步骤 4：将 preferredDataLocation 添加到 Microsoft Entra 连接器架构

仅当运行 Connect 版本 1.3.21 或更高版本时，才需要此步骤。 如果使用的是 1.4.18 或更高版本，请跳到步骤 5。
默认情况下，preferredDataLocation 属性不会导入到 Microsoft Entra Connector 空间中。 若要将其添加到导入的属性列表，请执行以下操作：

1. 在同步服务管理器中选择 连接器 选项卡。
2. 右键选择 Microsoft Entra 连接器并选择“属性”。
3. 在弹出对话框中，转到“选择属性”选项卡。
4. 在列表中选择 preferredDataLocation 属性。
5. 若要保存，请选择“确定”。

步骤 5：创建入站同步规则

入站同步规则允许属性值从本地 Active Directory 中的源属性流向 Metaverse。

1. 转到“开始”>“同步规则编辑器”，启动“同步规则编辑器”。

2. 将搜索筛选器的“方向”设置为“入站”。

3. 若要创建新的入站规则，请选择“添加新规则”。

4. 在“说明”选项卡下面提供以下配置：

   属性	值	详情
   名字	请提供一个名称	例如“In from AD – User preferredDataLocation”
   描述	提供自定义说明
   连接的系统	选择本地 Active Directory 连接器
   连接的系统对象类型	用户
   Metaverse 对象类型	人员
   链接类型	联接
   优先级	选择介于 1-99 之间的数字	为自定义同步规则保留 1～99。 不要选取另一个同步规则使用的值。

5. 保留 范围筛选器 为空，以包括所有对象。 可能需要根据 Microsoft Entra Connect 部署调整范围筛选器。

6. 转到 转换选项卡，并实现以下转换规则：

   流类型	目标属性	源	应用一次	合并类型
   直接	首选数据位置	选取源属性	未选中	更新

7. 若要创建入站规则，请选择“添加”。

屏幕截图

步骤 6：创建出站同步规则

出站同步规则允许属性值从 metaverse 流到 Microsoft Entra ID 中的 preferredDataLocation 属性：

1. 转到“同步规则编辑器”。

2. 将搜索筛选器的“方向”设置为“出站”。

3. 选择“添加新规则”。

4. 在“说明”选项卡下面提供以下配置：

   属性	值	详情
   名字	提供名称	例如，“Out to Microsoft Entra ID – User preferredDataLocation”
   描述	提供说明
   互联系统	选择 Microsoft Entra 连接器
   连接的系统对象类型	用户
   Metaverse 对象类型	人员
   链接类型	联接
   优先顺序	选择介于 1-99 之间的数字	保留 1 到 99 作为自定义同步规则的编号。 不要选取另一个同步规则使用的值。

5. 转到“范围筛选器”选项卡，并添加包含两个子句的单个范围筛选器组：

   属性	操作员	值
   源对象类型	EQUAL	用户
   cloudMastered	NOTEQUAL	True

   范围筛选器确定将此出站同步规则应用到哪些Microsoft Entra 对象。 在本示例中，我们将使用与“Out to Microsoft Entra ID – User Identity”OOB（现成）同步规则中相同的范围筛选器。 它阻止将同步规则应用于 用户 对象，这些对象未从本地 Active Directory 同步。 可能需要根据 Microsoft Entra Connect 部署调整范围筛选器。

6. 转到 转换 选项卡，并实现以下转换规则：

   流类型	目标属性	源	应用一次	合并类型
   直接	首选数据位置	首选数据位置	未选中	更新

7. 关闭“添加”创建出站规则。

的屏幕截图

步骤 7：运行完全同步周期

一般情况下，完全同步周期是必需的。 这是因为向 Active Directory 和 Microsoft Entra Connector 架构添加了新属性，并引入了自定义同步规则。 在将更改导出到 Microsoft Entra ID 之前，请验证更改。 可以使用以下步骤来验证更改，同时手动运行构成完整同步周期的步骤。

1. 在本地 Active Directory 连接器上运行完全导入：

   1. 转到同步服务管理器中的 连接器 选项卡。

   2. 右键选择“本地 Active Directory 连接器”，并选择“运行”。

   3. 在对话框中，选择“完全导入”，然后选择“确定”。

   4. 等待操作完成。

      注意

      如果源属性已包含在导入的属性列表中，则可以跳过本地 Active Directory 连接器的完整导入。 换句话说，在本文前面的步骤 2 中，无需进行任何更改。

2. 在 Microsoft Entra 连接器上运行“完全导入”：

   1. 右键选择 Microsoft Entra 连接器并选择“运行”。
   2. 在对话框中，选择 完全导入，然后选择 确定。
   3. 等待操作完成。

3. 验证现有 用户 对象的同步规则更改。

   本地 Active Directory 中的源属性和 Microsoft Entra ID 中的 preferredDataLocation 导入到每个相应的连接器空间。 在继续执行完整同步步骤之前，请在本地 Active Directory 连接器空间中对现有 用户 对象执行预览。 选择的对象应具有填充的源属性。 能够成功预览 Metaverse 中填充的 preferredDataLocation 是一个很好的指标，表明正确配置了同步规则。 有关如何执行预览的信息，请参阅验证更改部分。

4. 在本地 Active Directory 连接器上运行 全面同步：

   1. 右键选择“本地 Active Directory 连接器”，并选择“运行”。
   2. 在对话框中，选择“完全同步”，然后选择“确定”。
   3. 等待操作完成。

5. 向 Microsoft Entra ID 验证“挂起的导出”：

   1. 右键选择“Microsoft Entra 连接器”，并选择“搜索连接器空间”。

   2. 在“搜索连接器空间”对话框中：

      a. 将“范围”设置为“挂起的导出”。
      b. 选中所有三个复选框，包括 添加、修改和删除。
      c. 若要查看要导出的更改的对象列表，请选择 搜索。 若要检查给定对象的更改，请双击该对象。
      d. 请确认更改是否符合预期。

6. 在 Microsoft Entra 连接器上运行“导入”

   1. 右键选择 Microsoft Entra 连接器并选择“运行”。
   2. 在 运行连接器 对话框中，选择 导出，然后选择 确定。
   3. 等待操作完成。

注意

你可能会注意到，这些步骤不包括 Microsoft Entra Connector 上的完全同步步骤，或 Active Directory 连接器上的导出步骤。 由于属性值仅从本地 Active Directory 流向 Microsoft Entra，因此不需要执行这些步骤。

步骤 8：重新启用同步计划程序

重新启用内置同步计划程序：

1. 启动 PowerShell 会话。
2. 通过运行此 cmdlet 重新启用计划同步：Set-ADSyncScheduler -SyncCycleEnabled $true

步骤 9：验证结果

现在可以验证配置并为用户启用它了。

1. 将地理数据添加到用户的所选属性中。 可以在此表中找到可用地域的列表。
   的 AD 属性的屏幕截图
2. 等待该属性同步到 Microsoft Entra ID。
3. 使用 Exchange Online PowerShell 验证邮箱区域是否已正确设置。
   屏幕截图
   假设租户被标记为使用此功能，则邮箱会移到正确的地区。 可以通过查看邮箱所在的服务器名称来验证这一点。

后续步骤

详细了解 Microsoft 365 中的多地理位置：

• Ignite 上的多地域会话
• OneDrive 中的多地域
• SharePoint Online 中的多地域

详细了解同步引擎中的配置模型：

• 在“了解声明性预配”中了解有关配置模型的详细信息。
• 在“了解声明性预配表达式”中了解有关表达式语言的详细信息。

概述主题：

• Microsoft Entra Connect Sync：理解和自定义同步
• 将本地标识与 Microsoft Entra ID 集成