Desactive la sincronización de directorios con Microsoft Graph PowerShell
Desactivar la sincronización de directorios entre su directorio local y Azure Active Directory es un paso crucial para respaldar trabajos como las migraciones, adquisiciones y fusiones de inquilino a inquilino de Microsoft 365, y las modernizaciones de infraestructura.
Al hacerlo, se detendrá cualquier sincronización de identidad entre la infraestructura local y su dependencia, que se usa más comúnmente para sincronizar contraseñas y políticas de contraseñas, grupos, cuentas de recursos y objetos relacionados entre su Active Directory tradicional y Azure Active Directory.
El objetivo original era crear una experiencia de autenticación perfecta en todos los servicios para el usuario final y proporcionar un enfoque de gestión sencillo al administrador. Sin embargo, un enfoque moderno y basado en la nube para la gestión de identidades no incluye ni debería incluir directorios locales.
En este tutorial, le mostraré cómo desactivar la sincronización de directorios (Azure AD Connect) mediante Microsoft Graph PowerShell.
Ver la configuración actual de sincronización del directorio con Get-MgOrganization
Get-MgOrganisation se utiliza para ver información sobre su organización o, más específicamente, la configuración de su inquilino de Microsoft 365. En nuestro caso, podemos usar esta información para ver el valor OnPremisesSyncEnabled.
Para este paso, debe conectarse utilizando el alcance del permiso Organization.Read.All a Microsoft Graph PowerShell.
Connect-MgGraph -scopes Organization.Read.AllPara ver todas las configuraciones de su organización, use el cmdlet de lista de formatos:
Get-MgOrganization | flComo referencia, su resultado debería verse como el siguiente donde resalté la configuración OnPremiseSyncEnabled.
Si necesita ver el valor de la propiedad OnPremesisSyncEnabled, puede utilizar la instrucción Select de la siguiente manera:
Get-MgOrganization | Select OnPremisesSyncEnabledDeshabilitar la sincronización de directorios con Update-MgBetaOrganization
El cmdlet Update-MgBetaOrganization se encuentra en el módulo 'Microsoft.Graph.Beta', por lo que deberá instalar los módulos beta de Microsoft Graph PowerShell. Puede instalar todos los módulos o simplemente instalar el módulo para este propósito.
Para instalar todos los módulos beta de Microsoft Graph PowerShell:
Install-Module Microsoft.Graph.Beta -scope currentuser -forcePara instalar el módulo beta de Gestión de directorios:
Install-Module Microsoft.Graph.Beta.Identity.DirectoryManagement -scope currentuser -forceEl permiso correcto para deshabilitar la sincronización de directorios en su organización es el permiso Graph API Organization.ReadWrite.All. Comience conectándose a Microsoft Graph y definiendo este alcance de permiso.
Connect-MgGraph -scopes Organization.ReadWrite.AllUna vez que su sesión esté activa, use el siguiente código para deshabilitar la sincronización de directorios para su organización.
El script comienza almacenando el ID de la organización en la variable $OrgID. Luego, esta variable se utiliza para crear el cuerpo de la solicitud antes de que toda la información se pase al comando Update-MgOrganisation.
$OrgID = (Get-MgOrganization).id
$params = @{
onPremisesSyncEnabled = $null
}
Update-MgBetaOrganization -OrganizationId $OrgID -BodyParameter $paramsUna vez que haya ejecutado el script, vuelva a ejecutar Get-MgOrganization para verificar el estado de la sincronización del directorio en su inquilino.
Deshabilitar la sincronización de directorios con Invoke-MgGraphRequest
También puede lograr un resultado similar utilizando Invoke-MgGraphRequest si no desea depender de los cmdlets en constante cambio y sus parámetros.
El siguiente script almacenará nuevamente el ID de la organización en el parámetro $OrgID y luego usará esa información para generar el URI único para el recurso que estamos actualizando. Luego se define el cuerpo de la solicitud y se utiliza Invoke-MgGraphRequest con el método PATCH (actualización).
$OrgID = (Get-MgOrganization).id
$uri = "https://graph.microsoft.com/v1.0/organization/$orgid"
$body = @'
{
"onPremisesSyncEnabled": 'null'
}
'@
Invoke-MgGraphRequest -uri $uri -Body $body -Method PATCHUna vez que haya ejecutado el script, vuelva a ejecutar Get-MgOrganization para verificar el estado de la sincronización del directorio en su inquilino.
¿Cuánto tiempo pasará hasta que los usuarios cambien a la nube?
Cuando desactiva la sincronización de AD mediante Microsoft Graph PowerShell, el estado devuelto por el cmdlet Get-MgOrganisation se actualiza instantáneamente. Sin embargo, para el estado de sincronización de sus usuarios en el portal de administración de Microsoft 365 y el Centro de administración de Microsoft Entra, debe esperar hasta 72 horas para que se complete este cambio.
En realidad, he desactivado la sincronización de directorios muchas veces y normalmente se completa en 12 horas; sin embargo, debes planificar 72.
¿Qué les sucede a los usuarios cuando desactivas la sincronización de directorios?
Una vez que la sincronización de directorios se deshabilite exitosamente en su inquilino, sus usuarios finales no notarán cambios inmediatos. Sin embargo, usted, como administrador, primero notará que el estado de sincronización de sus usuarios en el centro de administración de Microsoft 365 se mostrará como en la nube.
Algunos otros factores a considerar son:
- Los usuarios conservarán la misma contraseña para sus cuentas de Microsoft 365 que tenían anteriormente.
- Si las contraseñas de los usuarios anteriormente cumplían con la política de contraseñas del directorio local, ahora cumplirán con la política de contraseñas de Microsoft Entra.
- Debe asegurarse de que la herramienta Active Directory Connect local (o sincronización en la nube) esté deshabilitada y desinstalada.
- Si las estaciones de trabajo de los usuarios están unidas únicamente a Azure Active Directory, una vez que Azure AD Connect esté deshabilitado, ya no podrán usar la autenticación integrada de Windows para aplicaciones que utilicen Active Directory.