可能導致問題的典型問題包括:
。安裝錯誤, 例如使用不正確的本機憑證或 Azure AD憑證
。無意中在 Azure入口網站或透過 Windows PowerShell停用目錄同步
。ADDS中的意外修改影響 OU範圍或屬性篩選
。損壞的 ADDS需要目錄還原
2019年9月6日 星期五
監控目錄同步的工具
監控目錄同步的工具:
。Operations Manager: 使用 System Center Management Pack for Azure
。Azure入口網站
。Windows PowerShell
。同步處理服務管理員(Synchronization Service Manager)
。事件日誌
修改目錄同步
在 Azure AD Connect同步中可以隨時啟用篩選, 如果已部署目錄同步的預設設定並啟用篩選, 則篩選出的物件將不再同步到 Azure AD, Azure AD中任何先前已同步但隨後被篩選的物件都會在 Azure AD中刪除, 如果由於篩選錯誤而意外刪除物件, 可以透過刪除篩選設定在 Azure AD中重新建立這些物件然後再次同步目錄, 篩選應用於 Azure AD Connect的設定類型包括:
。網域: 能夠選擇允許哪些 ADDS網域同步到 Azure AD
。OU: 能夠選擇允許 ADDS 中的哪些 OU同步到 Azure AD
。屬性: 能夠根據物件屬性的條件, 控制 ADDS中的哪些物件應同步到 Azure AD
使用目錄同步管理群組
。群組回寫的功能將群組從 Azure AD寫回本機的 ADDS
。指令 Initialize-ADSyncGroupWriteBack為群組回寫自動準備 ADDS
。$groupOU是雲端群組儲存在本機 ADDS中的組織單位
。源自 Azure AD的群組在本機 ADDS中表現為發佈型群組
。如果在沒有 Exchange伺服器混合回寫功能下啟用群組回寫, 則需要 Azure AD Premium授權
使用目錄同步管理用戶
成功部署 Azure AD Connect並啟用計畫同步後, 需要執行幾項管理任務以確保使用者有效率地同步:
。使用者回寫
。密碼回寫
。設備回寫
。主要 SMTP位址管理
。從意外刪除中復原
。從未同步的刪除中復原
。意外刪除帳戶
。大量啟用新帳戶
身分識別同步選項比較
| 僅目錄同步 | 目錄同步與密碼同步 | 使用SSO進行目錄同步 | |
|---|---|---|---|
| 與Azure同步使用者、群組和聯絡人 | O | O | O |
| 與Azure同步增量更新 | O | O | O |
| 啟用混合Microsoft Office 365方案 | O, 部分支援 | O, 部分支援 | O, 完全支援 |
| 使用者可以使用本機憑證登入 | X | O | O |
| 降低密碼管理成本 | X | O | O |
| 從本機目錄控制密碼原則 | X | O | O |
| 啟用基於雲端的多重身份驗證(MFA) | O | O | O |
| 啟用本地MFA | X | X | O |
| 根據本機目錄進行身份驗證 | X | X | O |
| 使用組織憑證實施SSO | X | X | O |
| 自訂登入頁面 | X | X | O |
| 根據位置或用戶端類型限制對服務的存取 | X | X | O |
2019年9月5日 星期四
Azure AD特權身分管理
Azure AD特權身分管理(Privileged Identity Management, PIM):
。探索哪些使用者是 Azure AD管理員
。依需求啟用對目錄資源存取的即時系統管理存取權限
。取得有關系統管理員存取記錄與系統管理員指派變更的報告
。取得有關特權角色存取的警示
。僅可在 Azure AD的 Premium P2版本中啟動使用
2019年9月4日 星期三
Azure AD Connect自訂設定
選擇 Azure AD Connect自訂設定的時機
。當有多個樹系
。需要自訂登入選項時, 例如 ADFS同盟身份驗證或使用非微軟的身份識別提供者
。需要自訂同步處理功能時, 例如篩選和回寫
Azure AD Connect的快速設定
使用 Azure AD Connect快速設定的時機
。只有一個 ADDS樹系
。藉由使用密碼同步處理讓使用者以相同的密碼登入
使用快速設定安裝 Azure AD Connect會有以下動作
。安裝同步處理引擎
。設定 Azure AD Connect
。設定本地 ADDS Connect
。啟用密碼同步
。設定同步服務
。為 Exchange混合部署設定同步服務(可選)
。啟用 Azure AD Connect自動更新
2019年9月3日 星期二
Azure AD Connect
Azure AD Connect工具是 Microsoft支援的目錄同步工具, 是為了允許本機 Active
Directory環境與基於雲端的服務(例如 Office 365或 Microsoft Intune)共存, 使用
Azure AD Connect進行目錄同步時會有下列情況:
。在內部部署的 ADDS中新增使用者、群組或連絡人物件, 也將被新增到 Azure AD中
。修改內部部署的 ADDS中現有的使用者、群組或連絡人物件的屬性, 也將在 Azure
AD中被修改
。刪除內部部署的 ADDS中現有的使用者、群組或連絡人物件, 也將在 Azure
AD中被刪除
。將內部部署的使用者物件停用, 它也將在 Azure AD中被停用
ADDS與Azure AD的目錄同步
將本機目錄與 Azure AD整合, 可以提供通用身分識別來存取雲端和本地資源, 從而提高使用者的工作效率, 其優點如下:
。組織可以透過利用 ADDS然後連接到 Azure AD , 為使用者提供跨本地或基於雲端的服務的通用混合身分, 包括一致的群組成員身分
。管理員可以使用透過 ADDS設定的原則, 根據應用程式資源、設備和使用者身分、網路位置和多重身分驗證提供條件存取, 而無需在雲端中執行其他任務
。使用者可以透過 Azure AD中的帳戶利用其通用身分存取 Office 365 、Microsoft Intune、SaaS應用程式和非 Microsoft應用程式w-studio.idv.tw
。減少管理人員因為使用者密碼問題而造成的處理成本
。安全性可以更加確保使用者身分和資訊受到保護, 因為 SSO中使用的所有伺服器和服務都在本地 掌握和控制
。當安全人員可以選擇使用更好的身分驗證(或稱為雙重認證)時, 他們可以對雲端服務更有信心
。開發人員可以建立使用通用身分模型的應用程式
2019年9月2日 星期一
Azure AD作為驗證系統
Azure AD和 ADDS的區別如下:
。Azure AD是專為使用 HTTP(port 80)和 HTTPS(port 443)通訊的網際網路為基礎的應用程式所設計
。在 Azure AD中沒有 OU或 GPO
。Azure AD不能透過 LDAP進行查詢
。Azure AD不使用 Kerberos身份驗證
。Azure AD包含同盟服務(ADFS)
使用 Azure AD時的身份驗證選項分為以下三個主要類別:
。僅限雲端
。可選擇密碼同步的目錄同步
。使用 ADFS的 SSO
2019年9月1日 星期日
ADDS與Azure AD整合
關於 ADDS與 Azure AD整合的這一章節, 可能無法作操作示範, 原因之一當初上課時用的免費點數已經用掉(放到現在也過期), 雖然說再刷一次卡就能使用, 不過只為了操作一點 Azure AD的東西有點浪費, 再來是距離上次使用 Azure的東西也過了一年多, 看到網上有人作的教學很多東西也變得跟我上課時不一樣, 所以只好先照著原先教材的資料來記錄 (注意的是 Azure的東西變化很快, 有可能我這裡作的記錄跟新的東西會不一樣)
2018年12月2日 星期日
在Azure中部署ADDS
在 Azure上部署 ADDS的主要原因是, 支援 Windows AD依賴的應用程式(Windows驗證、檔案共享等), 提供混合式身份驗證, 確保本地 AD和 Azure VM共享相同身份管理機制, 允許 Azure VM使用 GPO來統一管理安全性與設定, 提升高可用性與災難復原能力, 確保當地端 AD故障時 Azure仍能提供驗證服務
在 Azure中部署 ADDS時則需考慮幾點:
。網路拓撲: 建立與雲端連線的 VPN或 ExpressRoute網路
。站台拓撲: 使用 AD站台與服務最佳化驗證流量, 確保複寫效率
。自動回復: 設置多個 DC高可用性, 並使用 Azure Recovery設定自我修復
。IP位址: DC使用固定 IP, 避免變更影響服務
。DNS設定: 因 Azure內建的 DNS不提供動態 DNS與 SRV記錄, 將 Azure虛擬網路設定至本機 DNS伺服器
。磁碟: 獨立磁碟存放 NTDS資料庫, 將 NTDS.dit與 SYSVOL存放到不同的磁碟下, 避免不必要的寫入快取導致資料遺失風險及 ADDS故障
2018年3月12日 星期一
2018年3月3日 星期六
2018年2月9日 星期五
試用 Microsoft Azure
Microsoft Azure 是微軟的公用雲端服務 (Public Cloud Service) 平台, 是微軟線上服務 (Microsoft Online Services) 的一部份, 自 2008 年開始發展, 2010年2月份正式推出, 簡單來說就是雲端的虛擬化服務
記得半年前第一次用 Azure 時, 它還是放在 Office365 之下, 之後微軟一直改版, 當初要申請及設定感覺還很複雜, 現在整合出來只要有任何 Email 帳號直接在 Azure 網站上申請及設定感覺方便不少, 而且能先試用30天, 之後如果不想使用也不會自動扣款
Azure網站: https://azure.microsoft.com/zh-tw/
Google了一下發現以前還有個 Azure Girl 形象人物及線上遊戲... 😆
1. Azure網站說明, 免費試用30天 NT$6100 (記得之前還有NT$6300, 漲價了?)
