Instalando o Entra Connect e sincronizando usuários com o tenant
O vídeo é carregado do YouTube quando você clica em reproduzir.
Instalação do Microsoft Entra Connect Sync em um servidor membro, com Password Hash Synchronization, filtro por OU e validação do primeiro login de um usuário sincronizado do Active Directory.
Pré-requisitos
- Um servidor membro do domínio para o Entra Connect (neste laboratório, o MCAIT02). A Microsoft permite instalar no controlador de domínio, mas não recomenda.
- O instalador do Microsoft Entra Connect Sync, baixado do centro de administração do Microsoft Entra.
- Uma conta do tenant com a função Administrador de Identidade Híbrida (Hybrid Identity Administrator) e uma conta Enterprise Admin do AD para a instalação.
- Um domínio personalizado verificado no tenant (aqui, o mcasecurity.com.br).
Sem sincronização, o Active Directory local e o Microsoft 365 são dois mundos separados: a mesma pessoa existe duas vezes, com duas senhas, e cada admissão ou desligamento precisa ser feito à mão nos dois lados. O Microsoft Entra Connect Sync resolve isso: ele lê os objetos do AD e mantém o Microsoft Entra ID atualizado, para que o usuário tenha uma identidade só nos dois ambientes.
Neste laboratório, o Entra Connect é instalado no MCAIT02, um servidor membro do domínio mcait.local (o controlador de domínio é o MCAIT01). A sincronização usa Password Hash Synchronization (PHS) e fica restrita a uma OU de teste.
PHS ou PTA: qual método de entrada usar
O assistente pergunta como os usuários vão fazer login na nuvem. As duas opções mais comuns são:
- Password Hash Synchronization (PHS): o Entra ID valida a senha na nuvem, usando o hash do hash da senha que vem do AD local. A senha em si nunca sai do AD.
- Pass-through Authentication (PTA): o login é repassado a agentes instalados no ambiente local e validado pelo próprio AD.
A diferença aparece quando o AD local fica indisponível. Com PHS, os usuários continuam entrando nos serviços normalmente, porque o hash já está no Entra ID. Com PTA, ninguém consegue fazer login enquanto o AD não voltar. Por isso a Microsoft recomenda o PHS, que é o método usado aqui. Escolher o método de autenticação.
Passo a passo
Adicione o sufixo UPN no AD
O domínio interno do laboratório é mcait.local, que não é roteável na internet e não pode ser verificado no tenant. Para os usuários entrarem como nome@mcasecurity.com.br, adicione esse sufixo no AD: em Domínios e Relações de Confiança do Active Directory, clique com o botão direito no item do topo, vá em Propriedades e inclua o sufixo UPN alternativo.
O domínio do AD continua sendo mcait.local. Só o nome de login dos usuários muda.
Ajuste o UPN dos usuários de teste
Na OU que será sincronizada (aqui, MCA IT › Comercial › Usuários), altere o sufixo do nome de logon dos usuários para @mcasecurity.com.br. Com vários usuários selecionados, a janela Propriedades para vários itens permite trocar o sufixo de todos de uma vez, na aba Conta.
Baixe o Entra Connect
No Centro de administração do Microsoft Entra, vá em Entra Connect › Get started › Manage e use Download Connect Sync Agent.
Escolha a instalação personalizada
Ao abrir o instalador, a primeira tela oferece as configurações expressas. O próprio assistente avisa que mcait.local não é um domínio roteável e recomenda a configuração personalizada. Clique em Customize: é ela que permite escolher o método de entrada e filtrar o que vai para a nuvem.
Na tela seguinte, Install required components, não marque nenhuma opção e clique em Install.
Selecione o Password Hash Synchronization
Em User sign-in, escolha Password Hash Synchronization. Deixe Enable single sign-on desmarcado: o Seamless SSO é um recurso à parte, para outro momento.
Conecte ao Microsoft Entra ID
Em Connect to Microsoft Entra ID, entre com a conta do tenant com a função Administrador de Identidade Híbrida (ou Administrador Global). É essa conta que o assistente usa para configurar o lado da nuvem.
Conecte o diretório local
Em Connect your directories, selecione a floresta mcait.local e clique em Add Directory. Na janela AD forest account, deixe Create new AD account e informe uma conta Enterprise Admin (aqui, MCAIT\Administrator). O assistente cria uma conta de serviço própria para o conector: a conta Enterprise Admin serve só para a instalação.
O diretório aparece em Configured directories com a marca verde.
Confira os sufixos UPN
A tela Microsoft Entra sign-in configuration compara os sufixos UPN do AD com os domínios do tenant: mcasecurity.com.br aparece como Verified e mcait.local como Not Added. Mantenha userPrincipalName como atributo de login.
Como o mcait.local nunca será verificado, marque Continue without matching all UPN suffixes to verified domains para avançar. Usuários que continuarem com o sufixo @mcait.local entrariam no tenant como @<tenant>.onmicrosoft.com.
Filtre por OU
Em Domain and OU filtering, escolha Sync selected domains and OUs, desmarque o domínio inteiro e marque só a OU de teste. Assim, só o que você escolheu vai para a nuvem.
Atenção. Tirar do escopo um objeto que já foi sincronizado faz ele ser excluído no Entra ID. Planeje o filtro antes de sincronizar um ambiente em produção.
Identificação dos usuários
Em Uniquely identifying your users, mantenha Users are represented only once across all directories: cada pessoa existe em um único AD. Deixe o Entra ID gerenciar a âncora de origem (source anchor).
Observação. Neste tenant aparece o aviso de que ele já foi sincronizado antes usando o atributo objectGUID, por isso o assistente mantém essa âncora. Em uma implantação nova, sem histórico de sincronização, o padrão é o ms-DS-ConsistencyGuid.
Em Filter users and devices, mantenha Synchronize all users and devices: o filtro por OU já define o escopo.
Recursos opcionais
Em Optional features, o Password hash synchronization já vem marcado, por causa da escolha feita no início. Não é preciso marcar mais nada neste laboratório.
Revise e instale
A tela Ready to configure resume o que será feito. Deixe marcado Start the synchronization process when configuration completes e desmarcado o staging mode: este servidor vai ser o servidor ativo. Clique em Install.
A configuração leva alguns minutos e termina em Configuration complete.
Valide a sincronização
Abra o Synchronization Service Manager. Na aba Operations, os ciclos de Full Import, Full Synchronization e Export dos dois conectores (o do AD e o do Entra ID) aparecem com status success.
Depois da primeira sincronização, o agendador roda a cada 30 minutos. Para forçar um ciclo na hora:
Start-ADSyncSyncCycle -PolicyType DeltaNo centro de administração, em Usuários, os usuários da OU aparecem com o sufixo @mcasecurity.com.br e On-premises sync enabled: Yes.
Teste o login do usuário
Em uma janela privada do navegador, entre com um usuário sincronizado e a mesma senha do AD. No primeiro acesso, o tenant pede o registro de um método de autenticação adicional (MFA), e depois o usuário chega ao Microsoft 365.
Resumindo
Com o sufixo UPN ajustado no AD, a instalação personalizada, o PHS e o filtro por OU, o Entra Connect passa a manter o Entra ID atualizado a partir do AD local, e o usuário entra no Microsoft 365 com a mesma senha da rede. O ponto que mais merece atenção é o escopo: defina com cuidado quais OUs sincronizam, porque tirar um objeto do filtro o remove da nuvem. No próximo vídeo da série, um segundo servidor entra em Staging Mode para assumir a sincronização em caso de falha.
