Partilhar via

Integrar uma floresta existente e uma nova floresta num único locatário do Microsoft Entra

Este tutorial orienta você pela adição de sincronização na nuvem a um ambiente de identidade híbrida existente.

Diagrama que mostra o fluxo do Microsoft Entra Cloud Sync.

Você pode usar o ambiente criado neste tutorial para testar ou para se familiarizar com o funcionamento de uma identidade híbrida.

Nesse cenário, há uma floresta existente sincronizada através do Microsoft Entra Connect Sync com um inquilino do Microsoft Entra. E você tem uma nova floresta que deseja sincronizar com o mesmo tenant do Microsoft Entra. Você configurará a sincronização na nuvem para a nova floresta.

Pré-requisitos

No centro de administração do Microsoft Entra

  1. Crie uma conta de Administrador de Identidade Híbrida somente na nuvem em seu locatário do Microsoft Entra. Dessa forma, você pode gerenciar a configuração do seu locatário caso os serviços locais falhem ou fiquem indisponíveis. Saiba mais sobre como adicionar uma conta de Administrador de Identidade Híbrida somente na nuvem. Concluir esta etapa é fundamental para garantir que você não fique bloqueado fora do seu locatário.
  2. Adicione um ou mais nomes de domínio personalizados ao seu locatário do Microsoft Entra. Os seus utilizadores podem iniciar sessão com um destes nomes de domínio.

Em seu ambiente local

  1. Identificar um servidor host associado a um domínio que executa o Windows Server 2012 R2 ou superior com um mínimo de 4 GB de RAM e tempo de execução do .NET 4.7.1+

  2. Se existir uma firewall entre os servidores e o Microsoft Entra ID, configure os seguintes itens:

    • Certifique-se de que os agentes possam fazer solicitações de saída para o ID do Microsoft Entra pelas seguintes portas:

      Número da porta Como é utilizado
      80 Baixa as listas de revogação de certificados (CRLs) enquanto valida o certificado TLS/SSL
      443 Gere todas as comunicações de saída com o serviço
      8080 (opcional) Os agentes relatam seu status a cada 10 minutos pela porta 8080, se a porta 443 não estiver disponível. Esse status é exibido no portal.

      Se um firewall impuser regras com base nos utilizadores de origem, abra estas portas para o tráfego dos serviços Windows que são executados como um serviço de rede.

    • Se o firewall ou proxy permitir que você especifique sufixos seguros, adicione conexões a *.msappproxy.net e *.servicebus.windows.net. Caso contrário, permita o acesso aos intervalos de IP do datacenter do Azure, que são atualizados semanalmente.

    • Seus agentes precisam de acesso a login.windows.net e login.microsoftonline.com para o registro inicial. Abra também o firewall para esses URLs.

    • Para validação de certificado, desbloqueie as seguintes URLs: mscrl.microsoft.com:80, crl.microsoft.com:80, ocsp.msocsp.com:80 e www.microsoft.com:80. Como essas URLs são usadas para validação de certificado com outros produtos da Microsoft, talvez você já tenha essas URLs desbloqueadas.

Instalar o agente de provisionamento do Microsoft Entra

Se estiver a usar o tutorial do ambiente Basic AD e Azure, será DC1. Para instalar o agente, siga estes passos:

  1. Entre no centro de administração do Microsoft Entra como pelo menos um Administrador de Identidade Híbrida.

  2. No painel esquerdo, selecione Entra Connect e, em seguida, selecione Cloud Sync.

    Captura de ecrã que mostra o ecrã Introdução.

  3. No painel esquerdo, selecione Agentes.

  4. Selecione Baixar agente local e, em seguida, selecione Aceitar termos & download.

    Captura de tela que mostra o download do agente.

  5. Depois de baixar o Microsoft Entra Connect Provisioning Agent Package, execute o arquivo de instalação AADConnectProvisioningAgentSetup.exe na pasta de downloads.

  6. No ecrã que se abre, selecione a caixa de verificação Concordo com os termos e condições da licença e, em seguida, selecione Instalar.

    Captura de tela que mostra os termos de licenciamento do Microsoft Entra Provisioning Agent Package.

  7. Após a conclusão da instalação, o assistente de configuração é aberto. Selecione Avançar para iniciar a configuração.

    Captura de tela que mostra a tela de boas-vindas.

  8. Entre com uma conta com, pelo menos, a função de administrador de Identidade Híbrida . Se você tiver a segurança reforçada do Internet Explorer habilitada, ela bloqueará a entrada. Em caso afirmativo, feche a instalação, desative a segurança reforçada do Internet Explorer e reinicie a instalação do Pacote do Agente de Provisionamento do Microsoft Entra.

    Captura de ecrã que mostra o ecrã Connect Microsoft Entra ID.

  9. Na tela Configurar Conta de Serviço , selecione uma Conta de Serviço Gerenciado (gMSA) do grupo. Essa conta é usada para executar o serviço do agente. Se uma conta de serviço gerenciado já estiver configurada em seu domínio por outro agente e você estiver instalando um segundo agente, selecione Criar gMSA. O sistema deteta a conta existente e adiciona as permissões necessárias para que o novo agente use a conta gMSA. Quando lhe for pedido, escolha uma de duas opções:

    • Criar gMSA: Deixe o agente criar a conta de serviço gerenciado provAgentgMSA$ para você. A conta de serviço gerenciado de grupo (por exemplo, CONTOSO\provAgentgMSA$) é criada no mesmo domínio do Ative Directory em que o servidor host ingressou. Para usar essa opção, insira as credenciais de administrador de domínio do Ative Directory (recomendado).
    • Usar gMSA personalizado: forneça o nome da conta de serviço gerenciado que você criou manualmente para esta tarefa.

    Captura de tela que mostra como configurar a Conta de Serviço Gerenciado do grupo.

  10. Para continuar, selecione Avançar.

  11. No ecrã Ligar o Ative Directory , se o seu nome de domínio aparecer em Domínios configurados, avance para o passo seguinte. Caso contrário, insira o nome de domínio do Ative Directory e selecione Adicionar diretório .

    Captura de tela que mostra domínios configurados.

  12. Entre com sua conta de administrador de domínio do Ative Directory. A conta de administrador de domínio não deve ter uma senha expirada. Se a senha tiver expirado ou for alterada durante a instalação do agente, reconfigure o agente com as novas credenciais. Esta operação adiciona o seu diretório no local. Selecione OK e, em seguida, selecione Avançar para continuar.

  13. Selecione Avançar para continuar.

  14. Na tela Configuração concluída , selecione Confirmar. Esta operação regista e reinicia o/a agente.

    Captura de tela que mostra a tela de conclusão.

  15. Após a conclusão da operação, você verá uma notificação de que a configuração do agente foi verificada com êxito. Selecione Sair. Se você ainda receber a tela inicial, selecione Fechar.

Verificar a instalação do agente

A verificação do agente ocorre no portal do Azure e no servidor local que executa o agente.

Verificar o agente no portal do Azure

Para verificar se o Microsoft Entra ID registra o agente, execute estas etapas:

  1. Entre no centro de administração do Microsoft Entra como pelo menos um Administrador de Identidade Híbrida.

  2. Selecione Entra Connect e, em seguida, selecione Cloud Sync.

    Captura de ecrã que mostra o ecrã Introdução.

  3. Na página Cloud Sync , clique em Agentes para ver os agentes que você instalou. Verifique se o agente aparece e se o status está ativo.

Verifique o agente no servidor local

Para verificar se o agente está em execução, siga estas etapas:

  1. Entre no servidor com uma conta de administrador.

  2. Vá para Serviços. Você também pode usar Start/Run/Services.msc para acessá-lo.

  3. Em Serviços, verifique se o Microsoft Azure AD Connect Agent Updater e o Microsoft Azure AD Connect Provisioning Agent estão presentes e se o status é Em Execução.

    Captura de ecrã que mostra os serviços do Windows.

Verificar a versão do agente de provisionamento

Para verificar a versão do agente em execução, siga estas etapas:

  1. Vá para C:\Arquivos de Programas\Microsoft Azure AD Connect Provisioning Agent.
  2. Clique com o botão direito do mouse emAADConnectProvisioningAgent.exe e selecione Propriedades.
  3. Selecione a guia Detalhes . O número da versão aparece ao lado da versão do produto.

Configurar Microsoft Entra Cloud Sync

Use as seguintes etapas para configurar o provisionamento:

  1. Entre no centro de administração do Microsoft Entra como pelo menos um Administrador de Identidade Híbrida.

  2. Navegue até Entra ID>Entra Connect>Cloud sync.

    Captura de tela que mostra a página inicial do Microsoft Entra Connect Cloud Sync.

  1. Selecione Nova Configuração
  2. Na tela de configuração, insira um e-mail de notificação, mova o seletor para Ativar e selecione Salvar.
  3. O status da configuração deve agora ser Saudável.

Verifique se os usuários foram criados e se a sincronização está ocorrendo

Agora você verificará se os usuários que você tinha em nosso diretório local foram sincronizados e agora existem em nosso locatário do Microsoft Entra. Este processo pode levar algumas horas para ser concluído. Para verificar se os usuários estão sincronizados, faça o seguinte:

  1. Entre no centro de administração do Microsoft Entra como pelo menos um Administrador de Identidade Híbrida.
  2. Navegue até Entra ID>Utilizadores.
  3. Verifique se você vê os novos usuários em nosso locatário

Inicie sessão com um dos nossos utilizadores

  1. Navegue para https://myapps.microsoft.com

  2. Inicie sessão com uma conta de utilizador criada no nosso novo tenant. Terá de iniciar sessão utilizando o seguinte formato: (user@domain.onmicrosoft.com). Use a mesma senha que o usuário usa para entrar no local.

    Captura de ecrã que mostra o portal As minhas aplicações com utilizadores com sessão iniciada.

Agora você configurou com êxito um ambiente de identidade híbrida que pode usar para testar e se familiarizar com o que o Azure tem a oferecer.

Próximos passos

  • Last updated on