将 Active Directory 预配到 Microsoft Entra ID - 配置

2025-04-30

以下文档将指导你配置 Microsoft Entra Cloud Sync，以便从 Active Directory 预配到 Microsoft Entra ID。如果要查找有关从 Microsoft Entra ID 预配到 AD 的信息，请参阅 “配置 - 使用 Microsoft Entra Cloud Sync 将 Active Directory 预配到 Microsoft Entra ID

以下文档演示了 Microsoft Entra Cloud Sync 的新引导用户体验。

有关配置云同步的其他信息和示例，请参阅以下视频。

配置预配

若要配置预配，请执行以下步骤。

至少以混合身份管理员的身份登录到Microsoft Entra 管理中心。
浏览到 Entra ID>Entra Connect>云同步。

选择“新配置”。
选择 将 AD 同步到 Microsoft Entra ID。
在“配置”屏幕上，选择你的域以及是否启用密码哈希同步。单击“创建”。

此时将打开“开始”屏幕。在此处，可以继续配置云同步。

配置拆分为以下 5 个部分。

部分	DESCRIPTION
1.添加范围筛选器	使用此部分定义Microsoft Entra ID 中显示的对象
2. 映射属性	使用此部分可以映射具有 Microsoft Entra 对象的本地用户/组之间的属性
3. 测试	在部署配置之前对其进行测试
4.查看默认属性	在启用默认设置之前查看默认设置，并在适当情况下进行更改
5.启用你的配置	准备就绪后，启用配置和用户/组将开始同步

注释

在配置过程中，将创建同步服务帐户的格式 为 ADToAADSyncServiceAccount@[TenantID].onmicrosoft.com ，如果为同步服务帐户启用了多重身份验证，或者意外为同步帐户启用其他交互式身份验证策略，可能会出错。删除同步服务帐户的多重身份验证或任何交互式身份验证策略应解决此错误，并且你可以顺利完成配置。

将预配范围限定为特定用户和组

默认情况下，预配代理将从 Active Directory 同步一部分用户和组。可以使用本地 Active Directory 组或组织单位进一步限定代理范围，以同步特定用户和组。

可以在配置中配置组和组织单位。

注释

不能使用具有组范围的嵌套组。在使用安全组限定范围时，将不包括第一级以外的嵌套对象。仅对试点方案使用组范围筛选，因为同步大型组存在限制。

在“开始”配置屏幕上。单击“添加范围筛选器”图标旁边的“添加范围筛选器”，或单击左侧“管理”下的“范围筛选器”。

选择范围筛选器。筛选器可以是下列筛选器之一：
- 所有用户：限定要应用于正在同步的所有用户的配置。
- 所选安全组：限定要应用于特定安全组的配置范围。
- 所选组织单位：限定要应用于特定 OU 的配置范围。
对于安全组和组织单位，请提供相应的可分辨名称，然后单击“ 添加”。
配置范围筛选器后，单击“ 保存”。
保存后，应会看到一条消息，告知你仍需执行哪些作来配置云同步。可以单击链接以继续。
更改范围后，应重启预配以启动更改的即时同步。