Staging Mode no Entra Connect: trocando de servidor sem parar a sincronização
O vídeo é carregado do YouTube quando você clica em reproduzir.
Como preparar um segundo servidor do Microsoft Entra Connect Sync em Staging Mode, validar o que ele processa e fazer a troca do servidor ativo sem deixar dois servidores gravando no Entra ID.
Pré-requisitos
- Um servidor Microsoft Entra Connect Sync ativo (neste laboratório, o MCAIT02, instalado no artigo anterior da série).
- Um segundo servidor membro do domínio para assumir a função (aqui, o MCAIT03), sem nenhuma instalação anterior do Entra Connect.
- O instalador atual do Microsoft Entra Connect Sync, baixado do centro de administração do Microsoft Entra.
- Uma conta do tenant com a função Administrador de Identidade Híbrida e uma conta Enterprise Admin do AD: a configuração exportada não leva as credenciais.
Um único servidor do Entra Connect é um ponto único de falha. Se ele parar, nenhuma alteração do Active Directory chega ao Microsoft Entra ID: usuário novo não aparece na nuvem, desligamento não é replicado e senha alterada não sincroniza. O Staging Mode resolve isso com um segundo servidor já configurado, acompanhando tudo, pronto para assumir.
Neste laboratório, o MCAIT02 é o servidor ativo e o MCAIT03 entra em Staging Mode, é validado e assume a sincronização. No fim, o MCAIT02 fica de reserva, também em Staging Mode.
O que é o Staging Mode
Um servidor em Staging Mode faz quase tudo o que o servidor ativo faz: importa os objetos do AD e do Entra ID e processa as regras de sincronização. A diferença é que ele não exporta, ou seja, não grava nada no Entra ID. A sincronização de hash de senha e o writeback de senha também ficam pausados nesse servidor. Servidor em Staging Mode.
| Servidor ativo | Servidor em Staging Mode | |
|---|---|---|
| Import e Sync | Sim | Sim |
| Export para o Entra ID | Sim | Não |
| Hash de senha e writeback | Sim | Pausados |
Esse servidor de reserva é útil em quatro situações:
- Contingência: se o servidor ativo falhar, o de reserva assume em minutos.
- Troca de servidor: levar o Entra Connect para um Windows Server novo, que é o que este laboratório faz.
- Atualização de versão: instalar a versão nova em outro servidor, validar e só então trocar.
- Teste de mudanças: alterar um filtro ou uma regra e ver o resultado antes de gravar no Entra ID.
Atenção. A troca não é automática. Se o servidor ativo cair, o servidor em Staging Mode não assume sozinho: quem decide a hora de ativá-lo é o administrador.
Passo a passo
Exporte a configuração do servidor atual
No MCAIT02, abra o Microsoft Entra Connect, clique em Configure e escolha View or export current configuration.
A tela Review Your Solution mostra a configuração atual do servidor. Clique em Export Settings.
Salve o arquivo JSON e copie para o servidor novo. Neste laboratório, o arquivo foi salvo em uma pasta do disco local e copiado para o MCAIT03.
O JSON leva o método de entrada, os filtros e as demais opções da instalação. Ele não leva as credenciais nem a base de sincronização, e a Microsoft orienta não editar esse arquivo à mão. Importar e exportar a configuração.
Instale o Entra Connect no novo servidor importando a configuração
No MCAIT03, execute o instalador e escolha a instalação personalizada (Customize). Na tela Install required components, marque Import synchronization settings, aponte para o JSON exportado e clique em Install.
As telas seguintes já vêm preenchidas com o que estava no MCAIT02. Em User sign-in, por exemplo, o Password Hash Synchronization já aparece selecionado.
As credenciais precisam ser informadas de novo: a conta com a função Administrador de Identidade Híbrida em Connect to Microsoft Entra ID e a conta Enterprise Admin do AD em Connect your directories.
Dica. Se o assistente recusar a credencial do AD, informe o usuário no formato
DOMÍNIO\usuário(por exemplo,MCAIT\Administrator).
Deixe o novo servidor em Staging Mode
Na tela Ready to configure, deixe marcado Start the synchronization process when configuration completes e marque Enable staging mode. O próprio assistente mostra quando aconteceu a última sincronização e alerta para não ter mais de um servidor ativo.
Ao concluir, a tela Configuration complete confirma que as configurações foram importadas do arquivo exportado.
Valide o servidor em Staging Mode
Abra o Synchronization Service Manager no MCAIT03. Na aba Operations, aparecem Full Import e Full Synchronization com status success, e nenhum Export.
No PowerShell, confira o modo do servidor:
Get-ADSyncSchedulerO campo StagingModeEnabled deve mostrar True.
Importante. Em produção, antes de ativar o servidor novo, revise também o que ele exportaria, principalmente exclusões inesperadas. Validação antes da troca.
Coloque o servidor antigo em Staging Mode
Agora é a vez do MCAIT02. Abra o Microsoft Entra Connect, clique em Configure e escolha Configure staging mode. Entre com a conta do tenant, marque Enable staging mode e conclua.
A ordem importa: primeiro o servidor antigo vai para Staging Mode, depois o novo é ativado. Assim nunca existem dois servidores gravando no Entra ID ao mesmo tempo. Por alguns minutos, os dois ficam em Staging Mode e ninguém exporta. Isso é esperado: as alterações feitas no AD nesse intervalo vão para o Entra ID no primeiro ciclo do servidor novo.
Atenção. Só parar o serviço de sincronização do servidor antigo não basta: ele volta a funcionar depois de uma reinicialização. Coloque o servidor em Staging Mode ou, se ele estiver com defeito, mantenha-o desligado.
Ative o novo servidor
No MCAIT03, abra o assistente, escolha Configure staging mode e desmarque Enable staging mode. O próprio assistente avisa para garantir que nenhum outro servidor esteja ativo.
A tela Ready to configure mostra o que vai acontecer: desabilitar o Staging Mode e habilitar a sincronização de hash de senha.
De volta ao Synchronization Service Manager do MCAIT03, agora aparece o Export com sucesso: o MCAIT03 passou a ser o servidor ativo.
Teste com um usuário novo
A prova de que a troca funcionou é um usuário criado depois da troca chegar ao Entra ID: só o MCAIT03 pode gravar esse usuário.
No AD, crie um usuário na OU sincronizada (aqui, MCA IT › Comercial › Usuários) com o sufixo @mcasecurity.com.br.
No MCAIT03, force um ciclo de sincronização:
Start-ADSyncSyncCycle -PolicyType Delta
O retorno Success só confirma que o ciclo foi iniciado. Acompanhe a conclusão no Synchronization Service Manager e confira no portal: em Usuários, o usuário novo aparece com On-premises sync enabled: Yes.
Resumindo
A troca de servidor tem três fases: preparar (exportar a configuração e instalar o servidor novo em Staging Mode), validar (conferir que ele importa e sincroniza sem exportar) e trocar (colocar o antigo em Staging Mode e só então ativar o novo). No fim deste laboratório, o MCAIT03 é o servidor ativo e o MCAIT02 ficou de reserva, pronto para assumir se for preciso. Daqui para frente, toda mudança feita no servidor ativo deve ser repetida no servidor em Staging Mode, senão ele deixa de ser uma reserva confiável. No próximo vídeo da série, uma segunda floresta passa a sincronizar com o mesmo tenant.
