Cómo solucionar el código de error 8344 de problema de permiso de Azure AD Connect

El servicio de sincronización de Azure AD Connect no exporta los objetos de AD y muestra el error problema de permiso. Al hacer clic en el error para obtener más detalles, se muestran derechos de acceso insuficientes para realizar la operación con el código de error 8344. ¿Por qué sucede esto y cuál es la solución? En este artículo, aprenderá cómo solucionar el código de error 8344 de problema de permisos de Azure AD Connect.

Error 8344: derechos de acceso insuficientes para realizar la operación

Inicie sesión en el servidor Azure AD Connect e inicie el servicio de sincronización de Azure AD Connect.

Verá los errores de exportación: permission-issue.

Haga clic en problema de permiso para verificar la información del error.

La información del error muestra:

Error: problema de permiso
Código de error de fuente de datos conectada: 8344
Error de fuente de datos conectada: Derechos de acceso insuficientes para realizar la operación.

¿Por qué recibimos este error y cuál es la solución para los derechos de acceso insuficientes para realizar la operación con el código de error 8344 en el administrador del servicio de sincronización de Azure AD Connect?

Solución para el código de error 8344 de problema de permiso de Azure AD Connect

La cuenta del conector de Azure AD DS no tiene todos los permisos correctos establecidos y es por eso que aparece el código de error 8344, problema de permiso en Azure AD Connect al exportar los objetos de AD.

Nota: Azure AD Connect utiliza tres cuentas para sincronizar información entre Windows Server Active Directory y Azure Active Directory.

Método 1. Establecer los permisos correctos en la cuenta del conector AD DS

Siga los pasos a continuación para corregir los derechos de acceso insuficientes de Azure AD Connect para realizar la operación (código de error 8344):

Inicie Azure AD Connect.
Haga clic en Configurar.

Haga clic en Solucionar problemas.
Haga clic en Siguiente.

Haga clic en Iniciar.

Aparece la pantalla de solución de problemas de AADConnect (PowerShell).

----------------------------------------AADConnect Troubleshooting------------------------------------------


        Enter '1' - Troubleshoot Object Synchronization
        Enter '2' - Troubleshoot Password Hash Synchronization
        Enter '3' - Collect General Diagnostics
        Enter '4' - Configure AD DS Connector Account Permissions
        Enter '5' - Test Azure Active Directory Connectivity
        Enter '6' - Test Active Directory Connectivity
        Enter 'Q' - Quit


        Please make a selection:

Seleccione 4 y presione Entrar.

----------------------------------------AADConnect Troubleshooting------------------------------------------


        Enter '1' - Troubleshoot Object Synchronization
        Enter '2' - Troubleshoot Password Hash Synchronization
        Enter '3' - Collect General Diagnostics
        Enter '4' - Configure AD DS Connector Account Permissions
        Enter '5' - Test Azure Active Directory Connectivity
        Enter '6' - Test Active Directory Connectivity
        Enter 'Q' - Quit


        Please make a selection: 4

Seleccione 12 y presione Entrar.

--------------------------------------------Configure Permissions------------------------------------------


        Enter '1' - Get AD Connector account
        Enter '2' - Get objects with inheritance disabled
        Enter '3' - Set basic read permissions
        Enter '4' - Set Exchange Hybrid permissions
        Enter '5' - Set Exchange mail public folder permissions
        Enter '6' - Set MS-DS-Consistency-Guid permissions
        Enter '7' - Set password hash sync permissions
        Enter '8' - Set password writeback permissions
        Enter '9' - Set restricted permissions
        Enter '10' - Set unified group writeback permissions
        Enter '11' - Show AD object permissions
        Enter '12' - Set default AD Connector account permissions
        Enter '13' - Compare object read permissions when running in context of AD Connector account vs Admin account
        Enter 'B' - Go back to main troubleshooting menu
        Enter 'Q' - Quit


        Please make a selection: 12

Seleccione Y y presione Entrar.

This option will set permissions required for the following:
    Password Hash Sync
    Password Writeback
    Hybrid Exchange
    Exchange Mail Public Folder
    MsDsConsistencyGuid
It will then restrict permissions

Confirm
Would you like to continue with these options?
[Y] Yes  [N] No  [?] Help (default is "Y"): Y

Seleccione E y presione Entrar.

Account to Configure
Would you like to configure an existing connector account or a custom account?
[E] Existing Connector Account  [C] Custom Account  [?] Help (default is "E"): E

El resultado muestra la cuenta del conector AD DS y más información.

Configured connectors and their related accounts:

ADConnectorName ADConnectorForest ADConnectorAccountName ADConnectorAccountDomain
--------------- ----------------- ---------------------- ------------------------
exoip.local     exoip.local       svc-adds               EXOIP.LOCAL

Complete el nombre de ADConnector (exoip.local) y presione Entrar.

Name of the connector who's account to configure: exoip.local

Aparece la solicitud de credencial de Windows PowerShell.
Complete las credenciales del administrador local y haga clic en Aceptar.

Nota: Se le preguntará 7 veces si está seguro de configurar el permiso en la cuenta del conector AD DS. Presione A cada vez y Entrar.

Conceder permisos de sincronización de hash de contraseña.

Confirm
Are you sure you want to perform this action?
Performing the operation "Grant Password Hash Synchronization permissions" on target "exoip.local".
[Y] Yes  [A] Yes to All  [N] No  [L] No to All  [S] Suspend  [?] Help (default is "Y"): A

Conceder permisos de reescritura de contraseña.

Confirm
Are you sure you want to perform this action?
Performing the operation "Grant Password Writeback permissions" on target "exoip.local".
[Y] Yes  [A] Yes to All  [N] No  [L] No to All  [S] Suspend  [?] Help (default is "Y"): A

Otorgar permiso de reescritura de contraseña para el derecho extendido de contraseña no vencida.

Confirm
Are you sure you want to perform this action?
Performing the operation "Grant Password Writeback permission for Unexpire Password extended right" on target
"exoip.local".
[Y] Yes  [A] Yes to All  [N] No  [L] No to All  [S] Suspend  [?] Help (default is "Y"): A

Conceder permisos híbridos de Exchange.

Confirm
Are you sure you want to perform this action?
Performing the operation "Grant Exchange Hybrid permissions" on target "exoip.local".
[Y] Yes  [A] Yes to All  [N] No  [L] No to All  [S] Suspend  [?] Help (default is "Y"): A

Conceder permisos de carpeta pública de correo de Exchange.

Confirm
Are you sure you want to perform this action?
Performing the operation "Grant Exchange Mail Public Folder permissions" on target "exoip.local".
[Y] Yes  [A] Yes to All  [N] No  [L] No to All  [S] Suspend  [?] Help (default is "Y"): A

Conceda permisos de mS-DS-ConsistencyGuid.

Confirm
Are you sure you want to perform this action?
Performing the operation "Grant mS-DS-ConsistencyGuid permissions" on target "exoip.local".
[Y] Yes  [A] Yes to All  [N] No  [L] No to All  [S] Suspend  [?] Help (default is "Y"): A

Establecer permisos restringidos.

Confirm
Are you sure you want to perform this action?
Performing the operation "Set restricted permissions" on target "CN=svc-adds,OU=Service
Accounts,OU=Company,DC=exoip,DC=local".
[Y] Yes  [A] Yes to All  [N] No  [L] No to All  [S] Suspend  [?] Help (default is "Y"): A

Todos los permisos están configurados correctamente para la cuenta de AD DS Connector.
Cierre el PowerShell de solución de problemas de AADConnect y la ventana de Azure AD Connect.
Inicie Windows PowerShell y ejecute una sincronización completa de Microsoft Entra Connect.

Start-ADSyncSyncCycle -PolicyType Initial

Espere unos minutos y verifique que todos los objetos AD estén sincronizados, que no haya más errores de permisos 8344 y que las estadísticas de exportación muestren valores.

En nuestro ejemplo, actualizó a los 5 usuarios.

¡Eso es todo!

Método 2. Crear una cuenta del conector AD DS

Cree la cuenta del conector de AD DS con los permisos correctos y cambie el conector de AD DS en la sincronización de Azure AD Connect para corregir el código de error de problema de permisos 8344:

Crear cuenta del conector AD DS
Cambiar cuenta de conector AD DS

¿Qué método elegiste?

Leer más: Error de exportación de sincronización de Azure AD Connect dn-attributes-failure »

Conclusión

Aprendió cómo solucionar el código de error 8344 de problema de permisos de Azure AD Connect. Es esencial configurar los permisos correctos en la cuenta del conector AD DS. Una vez configurado, no verá derechos de acceso insuficientes para realizar el error de operación y la sincronización funcionará.