Escenario: uso de extensiones de directorio con aprovisionamiento de grupos en Active Directory

Escenario: tiene cientos de grupos en Microsoft Entra ID. Desea aprovisionar algunos de estos grupos, pero no todos, de nuevo en Active Directory. Le gustaría un filtro rápido que se puede aplicar a los grupos sin tener que hacer un filtro de ámbito más complicado.

El entorno que se crea en este escenario se puede usar para realizar pruebas o para familiarizarse con la sincronización en la nube.

Supuestos

• En este escenario se supone que ya tiene un entorno de trabajo que está sincronizando los usuarios con Microsoft Entra ID.
• Tenemos 4 usuarios sincronizados. Britta Simon, Lola Jacobson, Anna Ringdahl y John Smith.
• Se han creado tres unidades organizativas en Active Directory: ventas, marketing y grupos
• Las cuentas de usuario de Britta Simon y Anna Ringdahl residen en la unidad organizativa Ventas.
• Las cuentas de usuario de Lola Jacobson y John Smith residen en la unidad organizativa Marketing.
• La unidad organizativa Grupos es donde se aprovisionan nuestros grupos de Microsoft Entra ID.

Creación de dos grupos en Microsoft Entra ID

Para empezar, cree dos grupos en Microsoft Entra ID. Un grupo es Ventas y el otro es Marketing.

Para crear dos grupos, siga estos pasos.

1. Inicie sesión en el centro de administración de Microsoft Entra al menos como Administrador de identidad híbrida.
2. Vaya a Entra ID>Grupos>Todos los grupos.
3. En la parte superior, seleccione Nuevo grupo.
4. Asegúrese de que el Tipo de grupo está establecido en seguridad.
5. En Nombre de grupo escriba Ventas
6. Para Tipo de membresía, déjelo como asignado.
7. Selecciona Crear.
8. Repita este proceso con Marketing como Nombre del grupo.

Agregar usuarios a los grupos recién creados

1. Inicie sesión en el centro de administración de Microsoft Entra al menos como Administrador de identidad híbrida.
2. Vaya a Entra ID>Grupos>Todos los grupos.
3. En la parte superior, en el cuadro de búsqueda, escriba Ventas.
4. Seleccione el nuevo grupo Ventas .
5. A la izquierda, seleccione Miembros.
6. En la parte superior, seleccione Agregar miembros.
7. En la parte superior, en el cuadro de búsqueda, escriba Britta Simon.
8. Coloque una comprobación junto a Britta Simon y Anna Ringdahl y seleccione Seleccionar.
9. Debería agregarla correctamente al grupo.
10. En el extremo izquierdo, seleccione Todos los grupos y repita este proceso con el grupo Marketing y agregue Lola Jacobson y John Smith a ese grupo.

Instalación y conexión del SDK de PowerShell de Microsoft Graph

1. Si aún no está instalado, siga la documentación de SDK de PowerShell de Microsoft Graph para instalar los módulos principales del SDK de PowerShell de Microsoft Graph: Microsoft.Graph.

2. Apertura de PowerShell con privilegios administrativos

3. Para establecer la directiva de ejecución, ejecute (presione [A] Sí en todo cuando se le solicite):

   Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser
   

4. Conéctese a su tenant (asegúrese de aceptar en nombre de la organización al iniciar sesión):

   Connect-MgGraph -Scopes "Directory.ReadWrite.All", "Application.ReadWrite.All", "User.ReadWrite.All, Group.ReadWrite.All"
   

Cree nuestra aplicación CloudSyncCustomExtensionApp y la entidad de servicio

1. Obtenga el identificador de inquilino:

   $tenantId = (Get-MgOrganization).Id
   $tenantId
   

1. Con la variable $tenantId del paso anterior, compruebe si existe CloudSyncCustomExtensionApp.

   $cloudSyncCustomExtApp = Get-MgApplication -Filter "identifierUris/any(uri:uri eq 'api://$tenantId/CloudSyncCustomExtensionsApp')"
   $cloudSyncCustomExtApp
   

2. Si existe una aplicación CloudSyncCustomExtensionApp, vaya al paso siguiente. De lo contrario, cree la nueva aplicación CloudSyncCustomExtensionApp:

   $cloudSyncCustomExtApp = New-MgApplication -DisplayName "CloudSyncCustomExtensionsApp" -IdentifierUris "api://$tenantId/CloudSyncCustomExtensionsApp"
   $cloudSyncCustomExtApp 
   

3. Comprueba si la aplicación CloudSyncCustomExtensionsApp tiene asociada una entidad de seguridad. Si acabas de crear una nueva aplicación, vaya al paso siguiente.

   Get-MgServicePrincipal -Filter "AppId eq '$($cloudSyncCustomExtApp.AppId)'"
   

4. Si acaba de crear una aplicación nueva o no se devuelve ninguna entidad de seguridad, cree una entidad de seguridad para CloudSyncCustomExtensionsApp:

   New-MgServicePrincipal -AppId $cloudSyncCustomExtApp.AppId
   

Creación de nuestro atributo de extensión personalizado

1. Obtenga el identificador de inquilino:

   $tenantId = (Get-MgOrganization).Id
   $tenantId
   

2. Obtenga la aplicación CloudSyncCustomExtensionsApp:

   $cloudSyncCustomExtApp = Get-MgApplication -Filter "identifierUris/any(uri:uri eq 'api://$tenantId/CloudSyncCustomExtensionsApp')"
   

3. Ahora, en CloudSyncCustomExtensionApp, cree el atributo de extensión personalizado denominado "WritebackEnabled" y asígnelo a objetos Group:

   New-MgApplicationExtensionProperty -ApplicationId $cloudSyncCustomExtApp.Id -Name 'WritebackEnabled' -DataType 'Boolean' -TargetObjects 'Group'
   

4. Este cmdlet crea un atributo de extensión similar a extension_<guid>_WritebackEnabled.

Creación de la configuración de sincronización en la nube

1. Inicie sesión en el centro de administración de Microsoft Entra al menos como Administrador de identidad híbrida.

2. Vaya a Entra ID>Entra Connect>Sincronización en la nube.

3. Seleccione Nueva configuración.

4. Seleccione Sincronización de Microsoft Entra ID en AD.

5. En la pantalla de configuración, seleccione el dominio y si desea habilitar la sincronización de hash de contraseñas. Seleccione Crear.

6. Se abre la pantalla Introducción. Desde aquí, puede seguir configurando la sincronización en la nube

7. A la izquierda, seleccione Filtros de ámbito y, a continuación, seleccione Ámbito de grupo>Todos los grupos.

8. Seleccione Editar asignación de atributos y cambie el contenedor de destino a OU=Groups,DC=Contoso,DC=com. Seleccione Guardar.

9. Seleccione Agregar filtro de ámbito de atributos.

10. Escriba un nombre para el filtro de ámbito: Filter groups with Writeback Enabled

11. En Atributo de destino seleccione el atributo recién creado que tiene el aspecto extension_<guid>_WritebackEnabled.

13. En Operador , seleccione IS TRUE.
14. Seleccione Guardar y, a continuación, seleccione Guardar.
15. Deje la configuración deshabilitada y vuelva a ella.

Agregar una nueva propiedad de extensión a uno de nuestros grupos

Para esta parte, vamos a agregar un valor en nuestra propiedad recién creada a uno de nuestros grupos existentes, Marketing.

Establecimiento del valor de la propiedad de extensión mediante el SDK de PowerShell de Microsoft Graph

1. Obtenga el identificador de inquilino:

   $tenantId = (Get-MgOrganization).Id
   $tenantId
   

2. Obtenga la aplicación CloudSyncCustomExtensionsApp:

   $cloudSyncCustomExtApp = Get-MgApplication -Filter "identifierUris/any(uri:uri eq 'api://$tenantId/CloudSyncCustomExtensionsApp')"
   

3. Obtenga nuestra propiedad de extensión:

   $gwbEnabledExtAttrib = Get-MgApplicationExtensionProperty -ApplicationId $cloudSyncCustomExtApp.Id | 
       Where-Object {$_.Name -Like '*WritebackEnabled'} | Select-Object -First 1
   $gwbEnabledExtAttrib 
   $gwbEnabledExtName = $gwbEnabledExtAttrib.Name
   

4. Ahora, obtenga el grupo Marketing:

   $marketingGrp = Get-MgGroup -ConsistencyLevel eventual -Filter "DisplayName eq 'Marketing'"
   $marketingGrp 
   

5. A continuación, con la variable $gwbEnabledExtName que contiene extension_<guid>_WritebackEnabled, establezca el valor True para el grupo Marketing:

   Update-MgGroup -GroupId $marketingGrp.Id -AdditionalProperties @{$gwbEnabledExtName = $true}
   

6. Para confirmarlo, puede leer el valor de la propiedad extension_<guid>_WritebackEnabled con:

   $marketingGrp = Get-MgGroup -ConsistencyLevel eventual -Filter "DisplayName eq 'Marketing'" -Property Id,$gwbEnabledExtName
   $marketingGrp.AdditionalProperties.$gwbEnabledExtName
   

Establezca el valor de la propiedad de extensión con Microsoft Graph Explorer

Debes asegurarte de haber dado tu consentimiento a Group.ReadWrite.All. Para ello, selecciona Modificar permisos.

1. Ve al Explorador de Microsoft Graph

2. Inicie sesión con su cuenta de administrador de inquilinos. Se usó una cuenta de administrador de identidad híbrida para crear este escenario y podría ser suficiente.

3. En la parte superior, cambia el GET a PATCH

4. En la barra de direcciones, escribe: https://graph.microsoft.com/v1.0/groups/<Group Id>

5. En el cuerpo de la solicitud, escribe:

   {
     "extension_<guid>_WritebackEnabled": true
   }
   

6. Seleccione Ejecutar consulta.

7. Si se ha realizado correctamente, verás [].

8. Ahora, en la parte superior, cambia PATCH por GET y examina las propiedades del grupo de marketing.

9. Seleccione Ejecutar consulta. Deberías ver el atributo recién creado.

Probar nuestra configuración

1. Inicie sesión en el centro de administración de Microsoft Entra al menos como Administrador de identidad híbrida.

2. Vaya a Entra ID>Entra Connect>Sincronización en la nube.

   

3. En Configuración, selecciona tu configuración.
4. A la izquierda, selecciona Aprovisionar a petición.
5. Escribe Marketing en el cuadro de Grupo seleccionado
6. En la sección Usuarios seleccionados, selecciona algunos usuarios para probar. Selecciona Lola Jacobson y John Smith.
7. Seleccione Aprovisionar. Debe aprovisionar correctamente.
8. Ahora prueba con el grupo Ventas y agrega Britta Simon y Anna Ringdahl. Esto no debería aprovisionarse.
9. En Active Directory, deberías ver el grupo Marketing recién creado.
10. Ahora puede ir a la página De información general de entra ID>Entra Connect>Cloud Sync > para revisar y habilitar nuestra configuración para iniciar la sincronización.

Pasos siguientes

• Uso de la reescritura de grupos con Microsoft Entra Cloud Sync

• Controlar aplicaciones locales basadas en Active Directory (Kerberos) mediante la gobernanza de Microsoft Entra ID

• Migrar la reescritura de grupos de Microsoft Entra Connect Sync V2 a Microsoft Entra Cloud Sync