Duas florestas no Entra Connect: sincronizando dois ADs com o mesmo tenant
O vídeo é carregado do YouTube quando você clica em reproduzir.
Como adicionar a floresta de uma empresa adquirida ao Microsoft Entra Connect que já está em produção, com o mesmo domínio de login, filtro por OU e sem precisar de relação de confiança entre os ADs.
Pré-requisitos
- Um servidor Microsoft Entra Connect Sync ativo (neste laboratório, o MCAIT03, configurado nos artigos anteriores da série).
- A floresta da empresa adquirida (aqui, o mcacloud.local, no DC MCACLOUD01), acessível pela rede a partir do servidor do Entra Connect.
- Uma conta Enterprise Admin da floresta adquirida e uma conta do tenant com a função Administrador de Identidade Híbrida.
- O domínio de login (aqui, mcasecurity.com.br) já verificado no tenant.
Numa aquisição, a empresa comprada chega com o próprio Active Directory, os próprios usuários e a própria rede. Migrar ou fundir os ADs é um projeto grande, e muitas empresas começam pelo mais rápido: colocar todo mundo no mesmo tenant do Microsoft 365, com o mesmo domínio de login, e deixar a fusão dos ADs para depois.
Neste laboratório, a matriz é o mcait.local e a empresa adquirida é o mcacloud.local. O mesmo Entra Connect, que já sincroniza a matriz, passa a sincronizar também a floresta da adquirida, para o mesmo tenant.
Como montei a rede. As duas empresas estão em redes separadas que se enxergam por um roteador. O passo a passo está em Laboratório: duas redes separadas no Hyper-V com um roteador Windows Server.
Um Entra Connect, duas florestas
Não é preciso instalar um segundo Entra Connect. Um único servidor pode sincronizar várias florestas para o mesmo tenant: ele cria um conector para cada floresta e junta tudo no mesmo ciclo de sincronização. Topologias do Microsoft Entra Connect.
Para funcionar, quatro coisas precisam estar prontas:
| O que precisa | Por quê |
|---|---|
| Enxergar o DC da outra floresta | O servidor do Entra Connect precisa chegar no DC da adquirida pela rede e encontrar o domínio pelo nome. |
| Uma conta na outra floresta | No assistente, um Enterprise Admin da adquirida é usado para criar a conta que o Entra Connect vai usar para ler os usuários. |
| O mesmo domínio de login | Os usuários da adquirida precisam do sufixo UPN @mcasecurity.com.br para entrar como os da matriz. |
| Sem usuário repetido | Cada pessoa existe em um AD só. O mesmo login não pode aparecer nas duas florestas. |
E a relação de confiança? Não é necessária para sincronizar. O Entra Connect fala com cada floresta separadamente, usando a conta de cada uma. Numa aquisição, a relação de confiança costuma ser criada depois, para o acesso a recursos entre as empresas.
Passo a passo
Adicione o sufixo UPN na empresa adquirida
No MCACLOUD01, abra Domínios e Relações de Confiança do Active Directory, clique com o botão direito na raiz › Propriedades e adicione o sufixo mcasecurity.com.br em Sufixos UPN alternativos.
Crie uma OU e um usuário de teste
Ainda no MCACLOUD01, em Usuários e Computadores do Active Directory, crie o usuário de teste numa OU que vai ser sincronizada (aqui, MCA CLOUD › Comercial › Usuários). Em Nome de logon do usuário, escolha o sufixo @mcasecurity.com.br: por padrão, o assistente sugere o sufixo do domínio local. Neste laboratório, a usuária é a Camila Silva, que não existe na matriz.
Confira que as redes se enxergam
Do MCACLOUD01 para o servidor do Entra Connect (192.168.68.70), e do servidor do Entra Connect para o DC da adquirida (10.20.20.10), o ping precisa responder. O ipconfig mostra que o MCACLOUD01 está em outra rede, a 10.20.20.0.
Dica. Além do IP, o servidor do Entra Connect precisa encontrar o domínio mcacloud.local pelo nome. Confira com
nslookup mcacloud.locale, nos testes com nome, use sempre o nome completo do DC (mcacloud01.mcacloud.local).
Adicione a floresta no Entra Connect
No MCAIT03, abra o Microsoft Entra Connect, clique em Configure e escolha Customize synchronization options. Entre com a conta do tenant com a função Administrador de Identidade Híbrida.
Em Connect your directories, digite mcacloud.local no campo da floresta e clique em Add Directory. Na janela AD forest account, deixe Create new AD account e informe um Enterprise Admin do mcacloud.local. O Entra Connect usa essa conta só para criar, na floresta adquirida, a conta de serviço que vai ler os objetos.
As duas florestas aparecem em Configured directories.
Filtre a OU da adquirida
Em Domain and OU filtering, escolha o diretório mcacloud.local no campo Directory e marque só a OU que vai ser sincronizada (aqui, Comercial › Usuários). O mcait.local continua com o filtro que já tinha: com várias florestas, é nesse campo que você escolhe qual diretório está filtrando.
Em Ready to configure, deixe marcado o início da sincronização e clique em Configure.
Acompanhe a sincronização
Ao terminar, abra o Synchronization Service Manager do MCAIT03. Na aba Operations aparecem as operações do conector novo, o mcacloud.local, ao lado do mcait.local e do conector do Entra ID. No Export para o Entra ID, a usuária nova aparece em Adds.
Confira no Entra ID
No centro de administração do Microsoft Entra, em Usuários, a usuária da adquirida aparece com o login @mcasecurity.com.br e On-premises sync enabled: Yes, ao lado dos usuários da matriz.
Atenção. O servidor em Staging Mode (aqui, o MCAIT02) precisa receber a mesma configuração, com a floresta nova e o mesmo filtro. Senão ele deixa de ser uma reserva confiável.
Resumindo
Com o sufixo UPN certo, a rede liberada e uma conta da floresta adquirida, o mesmo Entra Connect sincroniza as duas empresas para o mesmo tenant, sem relação de confiança entre os ADs. Os usuários da adquirida entram com o mesmo domínio da matriz, e cada AD continua no seu lugar até a empresa decidir se e quando vai fundir as florestas. No próximo vídeo da série, a relação de confiança entre as duas florestas, para o acesso a recursos entre as empresas.
