web hit counter
Come sincronizzare Active Directory On-Premises con Microsoft Azure Active Directory - Blog TechNet Italia - Site Home - TechNet Blogs

Blog TechNet Italia

Il blog italiano dedicato ai sistemisti e ai professionisti IT

Come sincronizzare Active Directory On-Premises con Microsoft Azure Active Directory

Come sincronizzare Active Directory On-Premises con Microsoft Azure Active Directory

  • Comments 6
  • Likes

Buongiorno a tutti, qualche giorno fa mi è capitato di configurare un piccolo ma molto interessante laboratorio e vorrei condividerne i risultati.

Lo scenario è il seguente: in Hyper-V di Windows 8.1 ho installato una macchina virtuale con a bordo Windows Server 2012 R2 e dopo averla aggiornata agli ultimi Windows Updates ho effettuato la dcpromo, ottenendo quindi un Domain Controller in una nuova foresta. Il mio test aveva lo scopo di sincronizzare la mia nuova AD DS con Microsoft Azure Active Directory, nella mia sottoscrizione Microsoft Azure. Ricordo che Microsoft Azure Active Directory è GRATUITA per 500.000 oggetti (utenti, gruppi, etc).

I passi sono davvero pochi e semplici e si concentrano sull’uso di un tool gratuito, Directory Sync Tool. Eccoli elencati:

  1. Da uno dei Domain Controller della vostra AD DS installare Directory Sync Tool. Una delle prime schermate del Wizard richiede un Global Administrator della vostra sottoscrizione Microsoft Azure. Se non avete avuto esigenze di crearlo già in passato, per ottenerne uno basta collegarvi alla vostra sottoscrizione, nella sezione Active Directory


    5


    Da qui fare click sul nome della vostra Active Directory. Se non ne avete creata una in passato, Microsoft Azure ne crea sempre una di default, potete usare quella.
    image Spostarsi in “Users” e usare il bottone per aggiungerne uno.
    image Nella prima schermata del Wizard lasciate il deafult, inserite un nome e scegliete la vostra Active Directory
    image Nella schermata successiva compilare i campi e scegliere “Global Administrator” come Role
    image Nella schermata successiva click su “Create”. L’utente verrà creato con una password temporanea: è molto importante che la password venga cambiata, altrimenti Directory Sync Tool non accetterà l’utente. Per modificare la password molto velocemente vi consiglio di provare a fare login alla vostra sottoscrizione di Microsoft Azure utilizzando proprio l’utente appena creato: in questa fase vi viene chiesto di modificare la password temporanea.
  2. Dopo aver inserito username e password del Global Administrator, il Wizard di Directory Sync Tool vi chiederà un Enterprise Administrator della Active Directory di cui volete effettuare la sincronizzazione
  3. Le due schermate successive sono di configurazione
    1 Abilitare uno scenario Ibrido, permette a Microsoft Azure Active Directory di scrivere in Active Directory On-Premises
    2 Abilitando la sincronizzazione delle password, queste vengono aggiornate da Active Directory On-Premises verso Microsoft Azure Active Directory. Questo scenario permette integrazione tra Microsoft Cloud Services.
    3 Attendere il termine della configurazione.
    4 Al termine, se si vuole avviare subito la sincronizzazione, fare click su Synchronize your directories now e quindi Finish.
    PRENDERE NOTA NELLA SCHERMATA SUCCESSIVA

Da questo momento comincia la sincronizzazione!

Un paio di informazioni da tenere a mente:

  1. Directory Sync tool scrive i proprio logs nel directory synchronization event log del computer locale
  2. Directory Sync tool, a seconda della versione, crea un utente nominato MSOL_AD_SYNC o AAD_xxxxxxxxxxxx (dove xxxxxxxxxxxx è una stringa alfanumerica a 12 elementi specifica per ogni installazione) nella vostra foresta Active Directory, nella OU Users nel Root Domain. La sincronizzazione utilizza tale account per leggere e sincronizzare informazioni. Fare attenzione a NON CANCELLARE QUESTO UTENTE.

A questo punto potete verificare la presenza dei vostri oggetti in Microsoft Azure Active Directory: dal portale, nella sezione Active Directory, click sul nome. In Users e Groups potrete vedere in breve tempo tutti gli oggetti sincronizzati.

 

Buon lavoro!

Comments
  • Dopo aver fatto la sincronizzazione il server domain controller originario può essere spento sostituendolo con il servizio azure?

    altra domanda: che succede se sul server onpremise c'è Exchange? È possibile fare in modo che Exchange non sia replicato visto che non è più in uso al momento?

    ultima domanda: la sincronizzazione funziona anche con server 2003? È anche bidirezionale?

  • ciao Emanuele, se il tuo scopo è solo di dare servizio di Identity la risposta è si, dopo la sincronizzazione puoi spegnere il DC. Ma sappi che Microsoft Azure Active Directory non sostituisce in tutto e per tutto un Domain Controller con tutte le sue funzioni.
    Exchange non viene replicato: gli oggetti che vengono replicati sono account, password, gruppi e membership.
    si, funziona con 2003. NO , NON è bidirezionale: per ottenere sync bidirezionale serve un ADFS.
    Buon lavoro.

  • Mi pare un ottimo servizio!
    il mio obiettivo è semplice: oggi ho un dominio in cui il DC è un vecchio server 2003.
    devo quindi sostituirlo con un nuovo server, ma volevo optare per un servizio Azure.
    il DC oggi deve solo autenticare gli utenti al momento del login sui client e concedere o meno l'accesso alle cartelle di un secondo server in base alle identità di coloro che chiedono l'accesso.

    null'altro di più per cui penso di fare un buon lavoro se sposto tutto su azure.

    domanda: che succede se la connettività verso azure non c'è per problemi vari di internet?

  • Se non c'è connettività e non c'è un DC in casa gli utenti non si possono autenticare.

  • Grazie per la risposta. E se ci fosse un DC di backup come macchina virtuale sul server esistente?

  • Per essere più precisi: in mancanza di un servizio di AD il PC si autenticherà con il profilo locale, quindi l'utente continuerà a lavorare ma nel profilo locale. nel caso di un DC, come detto prima, si autenticherà tramite il DC.

Your comment has been posted.   Close
Thank you, your comment requires moderation so it may take a while to appear.   Close
Leave a Comment