Azure AD Connect: Guía de instalación y configuración

En esta guía, aprenderá cómo instalar y configurar Azure AD Connect.

Azure AD Connect le permite sincronizar sus usuarios locales de Active Directory con Microsoft 365. Luego, sus usuarios podrán usar su identificación de usuario y contraseña locales para iniciar sesión en las computadoras de su red, así como en Microsoft 365.

NOTA: Este artículo supone que ya tiene un dominio de Active Directory local y un inquilino de Microsoft 365.

Temas de este artículo:

1. Requisitos para Azure AD Connect
2. Descargar Azure AD Connect
3. Azure AD Connect Express frente a instalación personalizada (tipo de instalación)
4. Instalar y configurar Azure AD Connect
5. Verificar el estado de sincronización de Azure AD Connect
6. Excluir usuarios de Azure AD Connect
7. Solución de problemas

Requisitos para Azure AD Connect

Existen varios requisitos para usar Azure AD Connect y los resumo a continuación.

1. Debe tener un inquilino de Azure AD y un dominio verificado.
2. Su dominio AD local debe tener un dominio enrutable o las cuentas de usuario necesitan un sufijo UPN registrado que coincida con el dominio verificado en Azure. Por ejemplo, si su dominio local es .local, entonces tiene un problema. Este no es un dominio enrutable y será diferente de su nombre de dominio de Azure registrado.
3. La versión del esquema de Active Directory y el nivel funcional del bosque deben ser Windows Server 2003 o superior.
4. El controlador de dominio utilizado por la conexión de Azure AD debe poder escribirse.
5. Azure AD Connect debe instalarse en un servidor unido a un dominio que ejecute Windows Server 2016 o posterior. Windows Server Core no es compatible.
6. Deshabilite la coincidencia suave en su inquilino. Esta opción le permite hacer coincidir los usuarios de la nube existentes en Azure con los usuarios locales. Si no lo necesita, debe desactivarlo. Le mostraré cómo verificar esto en los pasos de instalación a continuación.
7. Necesitará su cuenta de administrador global de Azure AD durante la instalación.

Consulte el documento de requisitos previos de Microsoft para obtener más detalles.

Descargar Azure AD Connect

Para descargar el cliente Azure AD Connect, vaya al siguiente enlace.

https://www.microsoft.com/en-US/download/details.aspx?id=47594

Seleccione su idioma y haga clic en el botón de descarga.

Azure AD Connect Express frente a instalación personalizada

Durante la instalación, puede elegir entre instalación rápida y personalizada; de forma predeterminada, se usa Express y es la más común. Revise las listas a continuación para ayudarlo a elegir el tipo de instalación.

Expresar

• Tiene un único bosque de Active Directory.
• Tiene menos de 100.000 objetos en su Active Directory local.
• Express habilitará la sincronización de hash de contraseñas desde el entorno local a Azure para un inicio de sesión único.

Costumbre

• Tiene más de un bosque de Active Directory.
• Tiene previsto utilizar la federación o la autenticación de paso.
• Tienes más de 100.000 objetos.
• Quiere utilizar filtrado basado en grupos.

Consulte el documento Seleccione su tipo de instalación para obtener más detalles.

Instalar y configurar Azure AD Connect

En este ejemplo, instalaré Azure AD Connect en un servidor Windows 2022 y usaré el tipo de instalación rápida.

Paso 1. Inicie la instalación de Azure AD Connect

Abra el archivo azure msi que descargó.

Acepte los términos y haga clic en continuar.

Paso 2. Elija el tipo de instalación

De forma predeterminada, será Express; si necesita utilizar la instalación personalizada, haga clic en el botón Personalizar. En este ejemplo, usaré la instalación rápida.

Paso 3. Conéctese a Azure AD

Ingrese el nombre de usuario y la contraseña del administrador global de Azure AD.

Es posible que obtenga varios errores como los que se muestran a continuación. Deberá agregar las URL a la zona del sitio confiable haciendo clic en el botón Agregar. Aparecí esta ventana emergente 3 veces para 3 URL diferentes, una vez agregada, apareció el cuadro de inicio de sesión de Microsoft.

Paso 4. Conéctese a AD DS (Active Directory local)

Ahora ingresará las credenciales de una cuenta de administrador empresarial para su Active Directory local. Estas credenciales se utilizan para crear la cuenta local de Active Directory que se utiliza para la sincronización.

Paso 5. Configuración de inicio de sesión de Azure AD

La pantalla le muestra los sufijos UPN que detectó en su Active Directory local. Es común tener varios sufijos UPN. Si desea utilizar el inicio de sesión único, debe tener un sufijo UPN que coincida con su dominio verificado en Microsoft 365. Por ejemplo, mi dominio es activedirectorypro.com, este dominio está verificado en el inquilino de 365.

Pero la instalación no detecta un sufijo UPN coincidente. Seleccionaré "Continuar sin hacer coincidir todos los sufijos UPN con dominios verificados" y solucionaré este problema más tarde.

La siguiente captura de pantalla muestra mi dominio verificado en el centro de administración de 365.

Paso 6. Listo para configurar

Este último paso instalará la herramienta Azure AD Connect y la configurará utilizando la configuración proporcionada.

Consejo: Si no desea sincronizar todas las unidades organizativas, desmarque "Iniciar el proceso de sincronización cuando se complete la configuración". Si mantiene esta opción marcada, sincronizará todos los objetos de su Active Directory local. Puede cambiar esto más adelante, pero se necesitarán pasos adicionales para eliminar los objetos sincronizados de Azure. Cubro esto más adelante en esta guía.

La instalación puede tardar varios minutos en completarse.

Si recibe un mensaje que dice "La Papelera de reciclaje de Active Directory no está habilitada para su bosque", le recomiendo que la habilite. Consulte mi artículo sobre cómo habilitar la papelera de reciclaje de anuncios para obtener instrucciones paso a paso.

Cómo comprobar el estado de sincronización de Azure AD Connect

Puede ver el estado de sincronización iniciando sesión en el Centro de administración de Microsoft 365 y viendo el panel de Azure AD Connect.

Puede hacer clic en el estado de sincronización para obtener más detalles.

Verifique el estado de sincronización de Azure Ad Connect mediante Powershell

Para verificar el estado de sincronización con Powershell puede usar el siguiente comando. Esto requiere que esté instalado el módulo MSOnline.

Get-MsolCompanyInformation

Verificar usuarios sincronizados en el Centro de administración de 365

También puede verificar que los usuarios se estén sincronizando en Azure haciendo clic en Usuarios -> Usuarios activos. Agregue la columna Estado de sincronización y le mostrará si el usuario está sincronizado localmente o es un usuario exclusivo de la nube.

Excluir usuarios de Azure AD Connect Sync

¿Qué sucede si tiene usuarios o grupos que no desea sincronizar con la nube de Azure?

La opción más sencilla es utilizar el dominio de conexión de Azure AD y el filtrado de unidades organizativas. Si necesita opciones más avanzadas, como excluir usuarios según un atributo, puede utilizar el editor de reglas de sincronización.

Los siguientes pasos le guiarán para excluir una unidad organizativa de la sincronización.

1. Abra Azure AD Connect.

2. Haga clic en Configurar

3. Haga clic en Personalizar opciones de sincronización y haga clic en Siguiente.

4. Ingrese sus credenciales de administrador global de Azure AD.

5. Seleccione su bosque, ya debería estar seleccionado, y haga clic en Siguiente.

6. Seleccione "Sincronizar dominios y unidades organizativas seleccionadas".

A continuación, desmarque los dominios u unidades organizativas que desee excluir de la sincronización con Azure.

En este ejemplo, desmarcaré mi dominio west.ad.activedirectorypro.com. Este dominio fue solo para pruebas y no es necesario sincronizarlo. En mi dominio ad.activedirectorypro.com voy a desmarcar mis unidades organizativas de prueba. Estas unidades organizativas son cuentas de prueba que no necesitan sincronizarse.

Cuando haya terminado, haga clic en el botón siguiente.

7. En la página de características de opciones, deje seleccionadas las opciones predeterminadas y haga clic en Siguiente.

En la pantalla listo para configurar, haga clic en configurar.

¿Qué sucede con las cuentas de Azure si ya están sincronizadas?

Si las cuentas se han sincronizado con Azure y luego las excluye, se eliminarán de Azure. En esta guía, inicialmente sincronicé todo mi dominio (más de 8000 cuentas) con Azure. Luego excluí varias unidades organizativas que tenían alrededor de 5000 cuentas. Cuando excluyo estas unidades organizativas y cuentas de usuario, se eliminarán de Azure. De forma predeterminada, existe un umbral de 500 eliminaciones accidentales. Consulte los pasos a continuación para obtener más detalles.

Después de excluir a más de 5000 usuarios de Azure AD Connect, recibí la siguiente alerta por correo electrónico.

Si desea continuar con la eliminación de cuentas, siga estos pasos.

1. Deshabilite el umbral de eliminación de sincronización de Azure AD Connect con el siguiente comando.

Disable-ADSyncExportDeletionThreshold

2. Forzar el inicio de Azure AD Connect Sync

Utilice el siguiente comando para iniciar el proceso de sincronización.

Start-ADSyncSyncCycle -PolicyType Initial

3. Verifique el estado del servicio de sincronización.

Abra la herramienta del servicio de sincronización.

Busque exportar en el nombre del perfil. Haga clic en él y vea las estadísticas y el estado de la exportación. El mío se muestra en progreso con 1320 eliminaciones.

El proceso de eliminación puede tardar un poco si tienes muchas cuentas. También puede recibir una notificación por correo electrónico informándole que se ha resuelto el umbral de eliminación.

4. Cuando termine de eliminar las cuentas, establezca el umbral nuevamente en 500 objetos.

Enable-ADSyncExportDeletionThreshold -DeletionThreshold 50

Para obtener más detalles, consulte el artículo Azure AD Connect Sync: evitar eliminaciones accidentales.

Solución de problemas

Cuando se trata de sincronizar sus usuarios locales con Azure, puede haber todo tipo de problemas diferentes. A continuación se muestran algunas opciones que le ayudarán a solucionar problemas y obtener más detalles sobre los problemas que pueda tener.

1. Estado de conexión de Azure Active Directory

En Azure, puede comprobar si hay errores de sincronización mediante la herramienta Azure Health Connect.

2. Solución de problemas de Azure AD Connect

El asistente de solución de problemas puede ayudar con lo siguiente:

• Detecte una discrepancia en el nombre principal de usuario (UPN) si el objeto está sincronizado con Azure AD.
• Compruebe si el objeto está filtrado debido al filtrado de dominio.
• Compruebe si el objeto está filtrado debido al filtrado de unidades organizativas (OU).
• Compruebe si la sincronización de objetos está bloqueada debido a un buzón vinculado.
• Compruebe si el objeto está en un grupo de distribución dinámico que no está destinado a sincronizarse.

https://learn.microsoft.com/en-us/azure/active-directory/hybrid/connect/tshoot-connect-objectsync#troubleshooting-task

Se le indicarán los pasos de solución de problemas que desea realizar.

Consulte el artículo de Microsoft Solucionar problemas de sincronización de objetos con la sincronización de Azure AD Connect para obtener más detalles.

3. Problemas de conectividad de Azure AD Connect

Muchos problemas de sincronización pueden estar relacionados con un problema de conexión de red. Los siguientes son los dos problemas de conexión más comunes.

• Conexión a Active Directory local (controladores de dominio): el servidor que ejecuta Azure AD Connect necesita conectividad total con sus controladores de dominio. Asegúrese de que los siguientes puertos de Active Directory Firewall estén abiertos entre los servidores.

  • 53 (TCP/UDP)
  • 88 (TCP/UDP)
  • 135 (TCP/UDP)
  • 389 (TCP)
  • 445 (TCP)
  • 49152 - 65535 TCP/UDP
• Conexión a Azure AD: el servidor que ejecuta Azure AD Connect necesita acceso a Internet a varias URL de Azure y Microsoft. Consulte el documento Direcciones URL y rangos de direcciones IP de Office 365 para obtener una lista completa.

Conclusión

Si tiene algo de experiencia con Active Directory local y Azure, trabajar con Azure AD Connect es bastante sencillo. Si es nuevo en estas tecnologías, puede resultar un desafío. Esperamos que esta guía le haya ayudado con la instalación y configuración de Azure AD Connect y con la sincronización de sus cuentas locales con Azure.

Artículos relacionados

• Cómo forzar la sincronización de Azure AD Connect mediante PowerShell