Назад | Перейти на главную страницу

Как сопоставить пользователя Active Directory с существующими администраторами Azure AD в Azure AD Connect?

У меня уже много лет работает следующий сценарий.

Несмотря на то, что локальный пользователь AD концептуально соответствовал пользователю Office 365, между ними не было конкретной связи, поэтому локальный домен и клиент Office 365 были изолированными репозиториями.

Теперь я решил развернуть и настроить Azure AD Connect для синхронизации моего локального домена и Azure AD, поэтому я сделал следующее:

  1. Добавлено something.com UPN в локальный активный каталог (local.whatever.com)
  2. Установите адрес электронной почты на МЕСТНЫЙ \ john.doe к john.doe@whatever.com
  3. Установлен и настроен Azure AD Connect.
  4. Провел первую полную синхронизацию

Результат был:

Это имеет смысл, потому что у меня никогда не было возможности проинструктировать Azure AD Connect сопоставить локального пользователя AD с пользователем Office 365.

Итак, я нашел эту статью: Azure AD Connect: если у вас есть существующий клиент

После прочтения предыдущей статьи мне кажется, что я должен настроить сопоставление между обоими пользователями, чтобы оно работало. Тем не мение:

  1. Я не понимаю, что нужно сделать, чтобы это сопоставление произошло
  2. Удаление существующего пользователя в Azure AD невозможно из-за того, что несинхронизированный пользователь является единственным глобальным администратором в клиенте Office 365.

Кроме того, в документации Microsoft я обнаружил следующее предупреждение:

Microsoft настоятельно не рекомендует синхронизировать локальные учетные записи с уже существующими административными учетными записями в Azure Active Directory.

Любое известное исправление или обходной путь?

Я не понимаю, что нужно сделать, чтобы это сопоставление произошло.

В статье, которую вы связали, это довольно кратко изложено здесь:

https://docs.microsoft.com/en-us/azure/active-directory/hybrid/how-to-connect-install-existing-tenant#admin-role-considerations

Итак, чтобы разъяснить это,

Azure AD Connect не будет сопоставлять существующую локальную учетную запись пользователя с учетной записью Office 365, которая является глобальным администратором в Office 365. Вот почему в Office 365 был создан новый пользователь. Чтобы исправить это, вы должны сделать следующее:

  1. Создайте нового глобального администратора в Office 365.

  2. Войдите в Office 365 как новый глобальный администратор.

  3. Удалите пользователя john.doe1234@whatevercom.onmicrosoft.com.

  4. Удалите пользователя john.doe1234@whatevercom.onmicrosoft.com из Удаленных пользователей в Office 365 (https://practical365.com/exchange-server/permanently-remove-deleted-users-office-365/).

  5. Удалите роль глобального администратора у пользователя john.doe@whatever.com в Office 365.

  6. Запустите цикл синхронизации Azure Ad Connect (https://docs.microsoft.com/en-us/azure/active-directory/hybrid/how-to-connect-sync-feature-scheduler#full-sync-cycle).

  7. Убедитесь, что локальная учетная запись пользователя теперь соответствует существующему пользователю john.doe@whatever.com в Office 365.

  8. Добавьте роль глобального администратора обратно пользователю john.doe@whatever.com в Office 365.

Удаление существующего пользователя в Azure AD невозможно из-за того, что несинхронизированный пользователь является единственным глобальным администратором в клиенте Office 365.

Вы знаете, что в Office 365 можно создавать дополнительных глобальных администраторов, верно? Если вы вошли в систему как глобальный администратор, вы можете создать дополнительных глобальных администраторов или предоставить эту роль другим существующим пользователям Office 365. Кроме того, Microsoft рекомендует, чтобы при использовании Azure Ad Connect для синхронизации локального AD с Office 365 у вас был хотя бы один глобальный администратор «только для облака» в Office 365, то есть у вас должен быть глобальный администратор в Office 365, который не синхронизируется из вашего локального каталога.