Guide / microsoft-365
windows-server-ibrido · Capitolo 4 di 6
Entra Connect: password hash sync, SSO e filtro per OU
Non è più sul Download Center, il browser interno della procedura non registra l'MFA, e il filtro per OU è l'impostazione da azzeccare al primo colpo.
È il passaggio che trasforma due directory separate in un’identità sola. Un utente creato on-premise compare nel cloud, accede a Microsoft 365 con la stessa password, e riceve una casella.
La configurazione in sé è una procedura guidata con valori predefiniti sensati. Tre cose intorno costano tempo, e due succedono prima ancora che la procedura si apra.
Prima di cominciare: due cose che ti bloccano
Entrambe si presentano come fallimenti di autenticazione. Nessuna delle due lo è.
Dove sta oggi l’installatore
Esistono due prodotti dal nome simile, e conviene scegliere con cognizione:
| Cloud Sync | Connect Sync | |
|---|---|---|
| Cos’è | Un agente leggero | Un’applicazione server completa |
| Gira su | Un qualunque membro del dominio | Un server, spesso il DC nei piccoli ambienti |
| Funzionalità | I casi comuni | Tutto, compresi filtri complessi e write-back |
| Più foreste | Gestite nativamente | Gestite, con più configurazione |
Per una foresta sola con requisiti lineari, Cloud Sync è la risposta moderna e leggera. Questo laboratorio ha usato Connect Sync perché voleva l’insieme completo delle funzioni visibile e configurabile invece che astratto.
La configurazione
Impostazioni express, con due scelte fatte esplicitamente.
Password Hash Sync. Nel cloud viene sincronizzato un hash dell’hash della password, così l’autenticazione avviene contro Entra ID senza dover raggiungere la directory on-premise. Le alternative — pass-through authentication, federazione — tengono l’autenticazione on-premise e aggiungono parti in movimento e modi di rompersi. Per un ambiente piccolo PHS è più semplice e più robusto: se il domain controller è spento, l’accesso al cloud funziona lo stesso.
Seamless SSO. Le macchine nel dominio, sulla rete aziendale, entrano senza digitare la password. Gratis, senza infrastruttura, vale la pena attivarlo.
Il filtro per OU: l’impostazione da azzeccare subito
La procedura chiede quali unità organizzative sincronizzare. Il valore predefinito è tutto.
Source anchor: lascialo gestire ad Azure. Usa ms-DS-ConsistencyGuid, che sopravvive allo spostamento di un utente fra OU o alla sua ricreazione — a differenza dell’attributo più vecchio, che non sopravviveva e che produceva account cloud duplicati quando cambiava.
Verifica
- Avvia la prima sincronizzazione e aspetta che finisca.
- Entra ID → Utenti: gli account devono esserci, marcati come sincronizzati da on-premise.
- Controlla gli UPN. Devono essere
@tuodominio, non@tenant.onmicrosoft.com— se sono i secondi, il dominio non era verificato prima della sincronizzazione, oppure il suffisso UPN non era impostato in Active Directory. - Assegna una licenza a un utente e verifica che la casella venga creata in Exchange Online.
Due cose sugli account amministrativi
PIM richiede Entra ID P2. Il Privileged Identity Management — attivare un ruolo solo quando serve, per un tempo limitato — non c’è in Business Premium, che include P1. L’assegnazione dei ruoli è quindi diretta e permanente.
Vale la pena dirlo chiaramente invece di scoprirlo dopo: un account che ha l’amministratore globale ce l’ha in continuazione, quindi quanti account così esistono e come sono protetti conta più di quanto conterebbe in un tenant con P2.