Implementación de sincronización de directorios
Actualizado: 11 de noviembre de 2015,
Actualizado: 20 de abril de 2018
En un blog anterior expliqué las diferencias entre identidades en la nube, identidades vinculadas e identidades federadas. La fuente de autoridad (es decir, donde se administran las cuentas) para las identidades en la nube es Microsoft Online y para las identidades vinculadas y federadas, la fuente de autoridad es su Active Directory local. Para obtener estas cuentas en Azure Active Directory (Office 365), debe configurar una sincronización de directorio entre Active Directory y Azure Active Directory.
Como se explicó anteriormente, prefiero usar un servidor DirSync dedicado en lugar de instalar DirSync en su controlador de dominio (lo cual es posible y compatible). Cuando utiliza un servidor DirSync dedicado, puede mantener sus controladores de dominio idénticos y trabajar en sus controladores de dominio sin afectar su servidor DirSync. Ahora construiremos una configuración como esta:
Hay dos opciones al configurar la sincronización de directorios entre su Active Directory local y Windows Azure Active Directory:
- DirSync como herramienta que se puede descargar desde el Portal en línea de Microsoft. Esta es la herramienta DirSync "original" que se puede instalar en un controlador de dominio o en un servidor DirSync dedicado. Esta herramienta será retirada de servicio en algún momento (próximo) futuro.
- Servicios de sincronización de Microsoft Azure Active Directory (WAAD), la nueva herramienta DirSync que se puede descargar desde http://www.microsoft.com/en-us/download/details.aspx?id=44225. Esta herramienta tiene la opción de sincronizar una topología de varios bosques con un inquilino en Office 365.
Nota. El 24 de junio de 2015, Microsoft lanzó Azure AD Connect & Connect Health. Azure AD Connect es la última versión de Sincronización de directorios. Este blog se basa en Azure AD Sync anterior, pero le recomiendo encarecidamente que consulte la herramienta Azure AD Connect (hay muchas similitudes) que puede descargar desde el centro de descargas.
Nota agregada el 20 de abril de 2018. Azure AD Connect es ahora la única versión compatible para implementar la sincronización de directorios. Se actualiza periódicamente y está disponible mediante la descarga de Azure AD Connect. Si realiza una instalación predeterminada, Azure AD Connect se actualizará automáticamente cuando haya una nueva versión disponible.
Todas las versiones son derivadas de Forefront Identity Manager (FIM) y cuando investigues en profundidad estas herramientas definitivamente verás similitudes con FIM como Metaverse y Management Agents.
Puede encontrar una descripción general interesante de todas las herramientas de integración de directorios con todas las funciones disponibles en https://msdn.microsoft.com/library/azure/dn757582.aspx.
La configuración de la sincronización de Active Directory consta de siete pasos:
- Prepárese para la sincronización de Active Directory
- Verificar dominios
- Activar la sincronización con Active Directory (ya no es necesario)
- Instale y ejecute la herramienta de corrección de errores IdFix DirSync
- Instalar y configurar la herramienta de sincronización de directorios
- Verificar la sincronización del directorio
- Activar usuarios sincronizados
Estos pasos se analizarán con más detalle en las siguientes secciones.
1. Prepárese para la sincronización de Active Directory
La preparación para la sincronización de Active Directory tiene que ver con requisitos previos, como la versión de Windows, el nivel de función de dominio y bosque (FFL y DFL), los límites de objetos, PowerShell y .NET Framework. La lista completa de requisitos previos y preparación se puede encontrar en el siguiente artículo de TechNet: http://technet.microsoft.com/en-us/library/jj151831.
Un requisito que me gustaría señalar es el de un nombre principal de usuario o UPN adecuado. El sufijo UPN local debe coincidir con el dominio de Office 365 y el nombre de dominio debe poder enrutarse completamente a su entorno local.
Si su dominio de Active Directory se llama contoso.local, el UPN de sus usuarios será
Otro error relacionado con esto es el
Siempre que sea posible, recomiendo utilizar la dirección de correo electrónico del usuario para que el UPN del usuario sea más fácil para los usuarios. Como profesional de TI, sabemos lo que está sucediendo y lo que esto significa, pero el usuario final promedio no lo sabe. Puede obtener más información sobre las convenciones de nomenclatura en el siguiente artículo de TechNet: http://technet.microsoft.com/en-us/library/jj151831
2. Verificar dominios
El segundo paso es verificar los dominios en tu Office 365 y comprobar si están configurados correctamente. Esto se muestra en el Portal en línea de Microsoft como se puede ver en la siguiente figura:
3. Active la sincronización con Active Directory (ya no es necesaria)
Nota. Este paso ya no es necesario porque ahora Azure AD Connect lo activa automáticamente.
Este paso es donde se habilita la sincronización de Active Directory en su inquilino. En el tercer paso, Activar sincronización de directorio activo haga clic en Activar. Se muestra una ventana emergente de advertencia y, si realmente desea activar la sincronización con Active Directory, haga clic en Activar nuevamente.
Cuando tiene éxito, se muestra en el portal y se puede ver en la siguiente figura:
4. Instale y ejecute la herramienta de corrección de errores IdFix DirSync
La herramienta IdFix es una herramienta que encontrará problemas en su Active Directory local que podrían causar problemas con la replicación o con las identidades vinculadas después de iniciar la replicación de Active Directory. La herramienta encontrará problemas y los mostrará en pantalla. Cuando sea necesario, puede almacenar los resultados en un archivo CSV o TXT. Haga clic en Descargar y almacene el archivo en su disco duro local, desde allí ejecute la aplicación usando la opción Ejecutar como administrador. No es necesario instalar la herramienta, simplemente extráigala a un directorio y ejecútela. Al hacer clic en Consulta se muestran los resultados:
Como puede ver en la captura de pantalla anterior, hay algunos problemas con el dominio de nivel superior que es .local en mi entorno de prueba. Una vez que haya solucionado estos problemas o se asegure de replicar solo cuentas que estén configuradas correctamente, podrá continuar con el siguiente paso.
También puede continuar sin arreglar nada, pero no debería sorprenderse cuando ocurran problemas inesperados en su inquilino de Office 365 con respecto a las cuentas de usuario. Volveré sobre estos temas en una futura publicación de blog.
5. Instale y configure la herramienta de sincronización de directorios.
Nota. Los servicios de sincronización de Windows Azure Active Directory (qué nombre) ya no son compatibles y reemplazados por Azure AD Connect. Hay una superposición entre los dos, por lo que he decidido dejar esto aquí. Para ver blogs más recientes sobre Azure AD Connect en mi sitio, puede seguir la etiqueta de Azure AD Connect aquí...
Como se explicó al principio de este artículo, debe utilizar los servicios de sincronización de Windows Azure Active Directory en lugar de DirSync. Puede descargar los servicios de sincronización WAAD aquí: http://www.microsoft.com/en-us/download/details.aspx?id=44225
Tenga en cuenta que necesita instalar .NET Framework 3.5. SP1 y .NET Framework 4.5 (instalado de forma predeterminada en Windows 2012 R2) antes de continuar con la instalación. Si no puede instalar esto, verá el siguiente mensaje de error.
Descargue la herramienta (MicrosoftAzureADConnectionTool.exe) e iníciela con privilegios elevados. Verá aparecer un icono en el escritorio del servidor DirSync y después de unos segundos aparecerá el asistente. Seleccione una ruta de instalación, marque la casilla de verificación Acepto los términos de la licencia y haga clic en Instalar para continuar.
SQL Express se instalará automáticamente. Aquí es donde se almacenan los datos del metaverso.
En un momento, debe ingresar las credenciales que se utilizan para conectarse a Windows Azure Active Directory. Este puede ser el administrador de inquilinos predeterminado, pero también puede crear una cuenta dedicada para ello. Esta cuenta debe ser miembro del Administrador global y asegurarse de que la contraseña de esta cuenta nunca caduque.
Para configurar la contraseña para que nunca caduque para esta cuenta de servicio, debe iniciar sesión en Azure Active Directory usando PowerShell e ingresar el siguiente comando:
Set-MsolUser -UserPrincipalName SA_DirSync@contoso.com -PasswordNeverExpires $trueTambién debe conectarse al Active Directory local. Las credenciales de administrador solo son necesarias al instalar la herramienta; estas credenciales se eliminan después de la configuración. Durante la instalación, se crea y configura una cuenta de usuario local (en el servidor DirSync) para ejecutar el servicio WAADSync, pero también se crea una cuenta de usuario de dominio (MSOL_
Ingrese el nombre del bosque, el nombre de usuario y la contraseña y haga clic en Agregar bosque.
Haga clic en Siguiente para continuar.
Si tiene un entorno complejo, existen varias opciones para hacer coincidir las identidades de nube (existentes) y las cuentas de Active Directory, pero para un entorno típico puede usar la configuración predeterminada:
Los servicios AADSync tienen varias funciones opcionales que se pueden configurar, por ejemplo, para una implementación híbrida de Exchange o una sincronización de contraseñas. La función Reescritura de contraseña es una función Azure Active Directory Premium (volveré sobre esto en una publicación de blog posterior). En esta publicación de blog solo seleccionaremos las dos primeras opciones:
Para obtener una descripción general completa de las funciones opcionales, puede visitar el siguiente artículo: https://msdn.microsoft.com/en-us/library/azure/dn757602.aspx#BKMK_OptionalFeatures
Cuando hace clic en Siguiente, el asistente casi finaliza y se muestra una descripción general:
Haga clic en Configurar para comenzar a configurar la sincronización de directorios. Una vez terminado, asegúrese de desmarcar la opción Sincronizar ahora antes de hacer clic en Finalizar.
En este punto, debe cerrar sesión y volver a iniciar sesión debido a cambios en la membresía del grupo. Estos se aplican sólo después de iniciar sesión….
De forma predeterminada, la herramienta DirSync desea sincronizar todo Active Directory con Azure Active Directory. Lo último que desea en Azure Active Directory es toda su cuenta de servicio de Active Directory, cuentas para buzones de correo del sistema Exchange, etc. Es posible sincronizar solo unidades organizativas seleccionadas en su Active Directory local. Para lograr esto, debe iniciar el Administrador de servicios de sincronización que se puede encontrar en C:\Program Files\Microsoft Azure AD Sync\UIShell\MIISClient.exe. Cuando comience, seleccione la pestaña Conectores.
Haga clic derecho en Conector de Active Directory, seleccione propiedades y seleccione Configurar particiones de Directory:
Haga clic en Contenedores e ingrese las credenciales de la cuenta del servicio DirSync (o un administrador de dominio):
Esto NO es lo que desea, todas las unidades organizativas de Active Directory se seleccionan para la replicación:
Desmarque el dominio y todos los contenedores quedarán desmarcados. Marque la unidad organizativa que desea sincronizar:
Haga clic en Aceptar dos veces para finalizar la configuración y almacenarla. Puede esperar tres horas o iniciar la replicación manualmente. Para hacer esto, abra un símbolo del sistema con privilegios elevados e inicie la herramienta DirectorySyncClientCmd desde C:\Program Files\Microsoft Azure AD Sync\Bin:
Nota. La herramienta DirectorySyncClientCmd ya no está disponible. Los comandos de sincronización de directorios ahora están disponibles a través de PowerShell, como se explica en mi blog Force Directory Synchronization.
Cuando inicia sesión en el Portal en línea de Microsoft y selecciona Usuarios activos, verá las cuentas que se replican desde su Active Directory local.
Nota. Al comienzo de esta publicación de blog, expliqué que debes configurar correctamente el sufijo UPN de las cuentas de usuario en Active Directory. Si no lo hace e inicia la sincronización de directorios, verá algo similar a esto:
Las cuentas de usuario se replican en Azure Active Directory, pero como AAD no sabe cómo manejar un TLD .local, el nombre de usuario se establece automáticamente en el nombre de dominio del inquilino.
6. Verificar la sincronización del directorio
Para verificar la sincronización de Active Directory, puede consultar el Portal en línea de Microsoft como se muestra en la sección anterior. La herramienta Directory Sync también escribe entradas en el registro de eventos del servidor. Cuando se completa el ciclo de sincronización, se registra una serie de ID de evento 904 (DirectorySyncClientCmd) en el registro de eventos de la aplicación, cada uno de los cuales dice Completado, Finalizado o algo así, según la parte del ciclo que se complete.
7. Activar usuarios sincronizados
La última parte es activar usuarios sincronizados. La herramienta DirSync solo se encarga de la sincronización de la cuenta de usuario, pero no asigna ninguna licencia, por lo que debe encargarse de esto manualmente, ya sea a través del Portal en línea de Microsoft o mediante PowerShell.
Resumen
Puede utilizar la herramienta Azure Active Directory Sync Services para configurar la sincronización de directorios entre su Active Directory local y Office 365. Antes de implementar la sincronización de directorios, debe asegurarse de cumplir todos los requisitos previos correctamente, especialmente el sufijo UPN y el nombre de usuario.
Instalar la herramienta es relativamente fácil y simple y una vez que se ejecuta, puede mantenerla funcionando sin demasiada interacción del administrador del sistema, básicamente una configuración de "configurar y olvidar".
Actualizado: 27 de junio de 2015 y 20 de abril de 2018