CI007 Active Directory integration with Cloud Identity: Scenarios & tools

Transcript

1 presenta CI007 Active Directory integration with Cloud Identity: Scenarios & tools Michele Sensalari MCT, MCSE, MCSA, MCITP #wpc15it 1 Agenda Identità nel Cloud DirSync Azure AD Sync Azure AD Connect FIM/MIM ADFS info@wpc2015.it

2 Gestione delle identità nei Microsoft Cloud Services Microsoft Account Microsoft Azure Active Directory Microsoft Account Ex: Organizational Account Ex: User User Gestione delle identità in Office

3 Strumenti di sincronizzazione Il vecchio: Azure Active Directory Synchronization Tool - Dirsync (light FIM) Il giovane: Azure Active Directory Synchronization Services AAD Sync Il bambino: Azure Active Directory Connect AAD Connect Il BOSS: FIM 2010/MIM 2016 and AAD connector AD tips and tricks Active directory remediation -> IdFix tool: duplicazione dati quali UPN, mailnickname, proxy Address, samaccountname, targetaddress e sostituzione di domini non-routable (.local,.lan, etc) Forest functional level: windows server 2003 Multiple forests non supportato Altre Directory sincronizzabili (LDAPv3, SQL database tables, csv tables) 3

4 DirSync One-way synchronization tool da una organizzazione Active Directory a Microsoft Azure Active Directory DirSync con password sync DirSync con AD FS DirSync 4

5 WPC /12/2015 Consigliata installazione su un member server Un server con SQL Express supporta non più di oggetti Limitazioni Eventualmente si utilizza un server SQL Server Azure come alternativa per deployare Dirsync (ed eventualmente ADFS) Identity Manager (FIM 2010): Filtro di oggetti da sincronizzare %ProgramFiles%\Windows Azure Active Directory Sync\SYNCBUS\Synchronization Service\UIShell\miisclient.exe Filtro per Dominio Filtro per Unità Organizzativa Filtro per attributo utente 5

6 Forefront Identity Synchronization CDS= Connected data source AD, AzureAD MA = Management Agent (gestiti tramite il tool di sincronizzazione) CS = Connector Space (holograms), contengono una rappresentazione degli oggetti collegati da MA MV= Metaverse Projection: creazione degli oggetti nel Metaverse. Realizzato tramite delle Inbound Synchronization Rules Joining: connette oggetti presenti nel Connector Space ad oggetti presenti nel Metaverse Outbound Synchronization Rules: permette le modifiche dal Metaverse al Connector Space Provisioninig: permette la creazione di oggeti nel Connected Data Source info@wpc2015.it Forefront Identity Synchronization Le azioni precedenti si realizzano nell UI con dei «Run Profile» composti da differenti tipologie: Dell Import (Stage Only) Full Import (Stage Only) Delta Import and Delta Synchronization Full Import and Delta Synchronization Full Import and Full Synchronization Delta Synchronization Full Synchronization Export info@wpc2015.it

7 Vantaggi di Dirsync in Azure Implementazione e configurazione dei server più veloce e quindi servizio disponibile più velocemente per gli utenti Maggior affidabilità Minor numero di server on premise info@wpc2015.it Azure AD Sync 7

8 Azure AD Sync Ambienti AD ed Exchange multi-foresta Possibilità di selezionare gli attributi da sincronizzare in base ai servizi cloud utilizzati Possibilità di creare un utente per la sincronizzazione con il minimo numero necessario di permessi Introduzione delle «Synchronization Rules» Sistemi operativi supportato: Windows Server 2008, 2008 R2, 2012, 2012 R2 SQL Express Local DB Uno «user account» per connettersi all AD DS locale con i seguenti permessi: Replicating Directory Changes Replicating Directory Changes all Configurazione utenti Per l utenza di AD impostare una password senza scadenza: set-msoluser -UserPrincipalName syncaccount@contoso.com - PasswordNeverExpires $True Deve essere: Global Administrator A seconda delle funzionalità che si vogliono attivare diversi sono i permessi che devono essere assegnati all utente di AD 8

9 Exchange Hybrid Deployment write back Password synchronization Utente inserito nel setup richiede i seguenti permessi su AD: Reset-Password Change Password 9

10 Identificazione utenti Matching across forests permette di definire come gli utenti di AD sono rappresentati in Azure AD Matching with Azure AD attributo che di desidera utilizzare per la federazione Azure AD Connect 10

11 AAD Connect Sostituisce Dirsync e AAD Sync Un unico tool Il wizard aiuta nel configurare tutti i componenti richiesti per l integrazione di AD con Azure AD comprendendo: sincronizzazione, password sync o ADFS e il modulo di PowerShell per Azure AD AADConnect Setup info@wpc2015.it

12 Funzionalità opzionali Dalle funzionalità classiche già presenti in Dirsync quali Hybrid Deployment e Password Sync alle più recenti quali Password Writeback. Alcune funzionalità sono in preview: user, group, device and attributes writeback! Ovvero la sincronizzazione da Azure AD verso AD. info@wpc2015.it Password Write-Back Azure AD Premium Nel tenant di Azure deve essere abilitato il reset password Azure AD Connect Permessi per utente configurato: Reset Password, Change Password, Write Permissions on lockouttime, and Write Permissions on pwdlastset info@wpc2015.it

13 Azure AD Possibilità di definire per quali apps (exchange, sharepoint, intune, etc gli attributi da sincronizzare Staging Mode Anche AADConnect tramite il componente AADSync utilizza FIM synchronization service ma non ne utilizza le tecniche di recovery Installazione di 2 server AADConnect Il primo configurato per la sincronizzazione tra AD e AZURE AD Il secondo configurato indipendente dal primo in Staging Mode Nessuna esportazione in AD Nessuna esportazione in AAD Nessuna sincronizzazione di password Configurarlo con una frequenza di sincronizzazione differente dal primario di minuti Creazione dei seguenti gruppi in AD: ADSyncAdmins, ADSyncOperators, ADSyncBrowse and ADSyncPasswordSet info@wpc2015.it

14 Aggiornamento da DirSync ad AADConnect Le seguenti impostazioni verranno migrate: Domain and OU filtering Alternate ID (UPN) Password sync and Exchange hybrid settings Your forest/domain and Azure AD settings Aggiornamento sul stesso server (in-place upgrade) Consigliato per installazioni con meno di oggetti Aggiornamento con uso di un nuovo server (migration ditribuzione parallela) Consigliato per installazioni con più di oggetti Consigliato quando alcune impostazioni di Dirsync non sono migrabili Modifiche di Dirsync non supportate, attributi rimossi o customizzazione di DDL Alcuni filtri basati su attributi di utenti Sul server originale: AzureADConnect.exe /ForceExport Sul server di destinazione: AzureADConnect.exe /migrate Disinstallazione manuale del DirSync sul vecchio server Disabilitazione dello staging mode info@wpc2015.it #wpc15it 27 Forzare la sincronizzazione DirSync Prima Posizionarsi su C:\Program Files\Windows Azure Directory Sync Eseguire DirSyncConfigShell.psc1 Dopo Da PowerShell: Import-Module DirSync Eseguire start-onlinecoexistencesync [-FullSync] AADSYNC / AADCONNECT Posizionarsi su C:\Program Files\Microsoft Azure AD Sync\Bin Eseguire DirectorySyncClientCmd.exe [delta] / initial info@wpc2015.it

15 Domande e Risposte Q & A info@wpc2015.it #wpc15it 29 Contatti OverNet Education OverNet Education info@overneteducation.it Tel info@wpc2015.it #wpc15it