Autenticar en Microsoft Entra ID mediante la identidad de la aplicación

1. Iniciar el asistente de Microsoft Entra Connect

2. Vaya a Tareas adicionales>Configure application-based authentication to Microsoft Entra ID (Configurar la autenticación basada en aplicaciones en Microsoft Entra ID ) y siga las indicaciones.

   

Use la vista del Asistente para la configuración de autenticación actual para confirmar que Microsoft Entra Connect usa la identidad de la aplicación o use el comando de PowerShell para comprobar el método de autenticación actual.

Get-ADSyncEntraConnectorCredential

Este comando devuelve el ConnectorIdentityType valor actualmente en uso. El valor puede ser ServiceAccount o Application. Si la autenticación usa ServiceAccount, continúe con los pasos siguientes para cambiar de ServiceAccount a Application. Si la autenticación usa Application, vaya a los pasos de Cambiar el certificado de la aplicación por su propio certificado.

Cambiar de ServiceAccount a Application

1. Inicie el asistente de Microsoft Entra Connect.

2. Vaya a Tareas adicionales>Configure application-based authentication to Microsoft Entra ID (Configurar la autenticación basada en aplicaciones en Microsoft Entra ID ) y siga las indicaciones.

   

Cambie el certificado de la aplicación a su propio certificado

1. Exporte el archivo de certificado (.cer) para cargarlo en el registro de aplicaciones de Microsoft Entra mediante una de las siguientes opciones:

   Opción 1: Usar la consola mmc para exportar un certificado desde los almacenes de certificados de Windows:

   1. Ejecute el comando siguiente para abrir la consola de administración de certificados para el equipo local. Algunos métodos para ejecutar este comando se encuentran en el menú Inicio, el símbolo del sistema de Windows Ejecutar, el símbolo del sistema de PowerShell o el símbolo del sistema.

      certlm.msc
      

   2. En el árbol de consola, vaya al certificado que desea exportar.

   3. Haga clic con el botón derecho en el certificado, seleccione Todas las tareas y, a continuación, seleccione Exportar.

   4. En la pantalla, seleccione Bienvenido al Asistente para exportación de certificados, seleccione Siguiente.

   5. Si se le pide que exporte la clave privada, seleccione No, no exporte la clave privada y, a continuación, seleccione Siguiente.

   6. Para el formato de archivo, seleccione DER binario codificado X.509 (. CER) y, a continuación, seleccione Siguiente.

   7. Escriba la ruta de acceso del archivo o navegue hasta ella, y luego seleccione Siguiente.

   8. Revise el resumen y, a continuación, seleccione Finalizar.

   Opción 2: Usar PowerShell para exportar el certificado:

   $cerFile  = "C:\Temp\MyBYOC.cer"
   $cert = Get-ChildItem Cert:\LocalMachine\My | Where-Object {$_.Subject -eq 'CN=YOUR_CERTIFICATE_SUBJECT'}  
   Export-Certificate -Cert $cert -FilePath $cerFile
   

2. En el Centro de administración de Microsoft Entra, vaya a Registros de aplicaciones de Id. de Entra y seleccione la aplicación que se creó durante la instalación, configuración o actualización de Connect Sync. Para confirmar qué aplicación usa Connect Sync, puede ejecutar el Get-ADSyncEntraConnectorCredential comando para recuperar el identificador de la aplicación (cliente). El formato de nombre de usuario es {AppID}@tenantName.onmicrosoft.com. En Certificado y secretos , seleccione Cargar certificado y cargue el archivo .cer exportado y seleccione Agregar:

   

3. Obtención del hash de certificado mediante los siguientes comandos de PowerShell

   $cert = Get-ChildItem Cert:\LocalMachine\My | Where-Object {$_.Subject -eq 'CN=YOUR_CERTIFICATE_SUBJECT'}  
   
   # Get raw data from X509Certificate cert
   $certRawDataString = $cert.GetRawCertData()
   
   # Compute SHA256Hash of certificate 
   $sha256 = [System.Security.Cryptography.SHA256]::Create()
   $hashBytes = $sha256.ComputeHash($certRawDataString)
   

   Si usa PowerShell versión 7, use el siguiente comando:

   $certHash = [System.Convert]::ToHexString($hashBytes)
   

   Si usa versiones anteriores de PowerShell o PowerShell ISE, use el siguiente comando:

   $certHash = ($hashBytes|ForEach-Object ToString X2) -join ''
   

4. Conceda permisos de cuenta de servicio de Connect Sync (ADSync) para recuperar la clave privada del certificado:

   $rsaCert = [System.Security.Cryptography.X509Certificates.RSACertificateExtensions]::GetRSAPrivateKey($cert)
   

   Si el certificado lo emitió una entidad de certificación (CA), use la siguiente $path variable:

   $path = "$env:ALLUSERSPROFILE\Microsoft\Crypto\RSA\MachineKeys\$($rsaCert.key.UniqueName)"
   

   Si usa un certificado autofirmado , use la siguiente $path variable:

   $path = "$env:ALLUSERSPROFILE\Microsoft\Crypto\Keys\$($rsaCert.key.UniqueName)"
   

5. Ejecute los siguientes comandos para conceder el permiso:

   $permissions = Get-Acl -Path $path
   $serviceAccount = (Get-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\Services\ADSync -Name ObjectName).ObjectName
   $rule = New-Object Security.Accesscontrol.FileSystemAccessRule "$serviceAccount", "read", allow
   $permissions.AddAccessRule($rule)
   Set-Acl -Path $path -AclObject $permissions
   
   # Verify permissions
   $permissions = Get-Acl -Path $path
   $permissions.Access
   

6. Deshabilitar el programador de sincronización

   Set-ADSyncScheduler -SyncCycleEnabled $false
   

7. Importación del módulo ADSync

   Si usa powerShell versión 7, use el siguiente comando para importar el módulo ADSync:

   Import-Module -Name "C:\Program Files\Microsoft Azure AD Sync\Bin\ADSync" -UseWindowsPowerShell
   

   Si usa versiones anteriores de PowerShell o PowerShell ISE, use el siguiente comando para importar el módulo ADSync:

   Import-Module -Name "C:\Program Files\Microsoft Azure AD Sync\Bin\ADSync"
   

8. Actualización del certificado de aplicación mediante el comando de rotación de certificados

   Invoke-ADSyncApplicationCredentialRotation -CertificateSHA256Hash $certHash 
   

9. Utilice la vista del asistente para la configuración de autenticación actual para confirmar que Microsoft Entra Connect está utilizando su nuevo certificado.

10. Habilitación del programador de sincronización

    Set-ADSyncScheduler -SyncCycleEnabled $true
    

11. Quite la cuenta de sincronización de directorios (DSA) de Microsoft Entra ID (recomendado).

Creación de la aplicación mediante PowerShell

1. Conéctese a su inquilino

   Connect-MgGraph -scopes "Application.ReadWrite.All", "AppRoleAssignment.ReadWrite.All"
   

2. Creación e inicialización de la aplicación BYOA

   $BYOApp = New-MgApplication -DisplayName "My BYOA For Connect Sync serverName"
   

3. Crear e inicializar el nombre de la entidad de servicio principal BYOA

   $BYOA_ServicePrincipal = New-MgServicePrincipal -AppId $BYOApp.AppId
   

4. Inicializar las variables ConnectSyncAppId y ConnectSyncSPId:

   $ConnectSyncAppId = $BYOApp.AppId
   $ConnectSyncSPId = $BYOA_ServicePrincipal.Id
   

5. Inicialice SynchronizationServiceAppId la variable que representa el identificador de aplicación (cliente) del servicio de sincronización de Microsoft Entra AD. El valor es 6bf85cfa-ac8a-4be5-b5de-425a0d0dc016 para todas las nubes:

   $SynchronizationServiceAppId = "6bf85cfa-ac8a-4be5-b5de-425a0d0dc016"
   

6. Inicializar SynchronizationServiceSPId variable:

   $SynchronizationServiceSPId = (Get-MgServicePrincipal -Filter "appId eq '$SynchronizationServiceAppId'").Id
   

7. Inicializar SynchronizationServiceAppRoleId variable:

   $SynchronizationServiceAppRoleId =  (Get-MgServicePrincipal -Filter "appId eq '$SynchronizationServiceAppId'").AppRoles | Where-Object {$_.Value -eq "ADSynchronization.ReadWrite.All"} | Select-Object -ExpandProperty Id
   

   Nota:

   Si usa la característica escritura diferida de contraseñas , continúe con los pasos siguientes; de lo contrario, puede ir al paso 11.

8. Inicializar PasswordResetServiceAppId variable:

   Para todas las nubes excepto Arlington.

   $PasswordResetServiceAppId = "93625bc8-bfe2-437a-97e0-3d0060024faa"
   

   Para el uso de la nube en Arlington:

   $PasswordResetServiceAppId = "2e5ecfc8-ea79-48bd-8140-c19324acb278"
   

9. Inicializar PasswordResetServiceSPId variable:

   $PasswordResetServiceSPId = (Get-MgServicePrincipal -Filter "appId eq '$PasswordResetServiceAppId'").Id
   

10. Inicializar las variables AppRoles de restablecimiento de contraseña:

    $PasswordResetServiceServiceOffboardClientAppRoleId = (Get-MgServicePrincipal -Filter "appId eq '$PasswordResetServiceAppId'").AppRoles | Where-Object {$_.Value -eq "PasswordWriteback.OffboardClient.All"} | Select-Object -ExpandProperty Id
    $PasswordResetServiceServiceRegisterClientAppRoleId = (Get-MgServicePrincipal -Filter "appId eq '$PasswordResetServiceAppId'").AppRoles | Where-Object {$_.Value -eq "PasswordWriteback.RegisterClientVersion.All"} | Select-Object -ExpandProperty Id
    $PasswordResetServiceServiceRefreshClientAppRoleId = (Get-MgServicePrincipal -Filter "appId eq '$PasswordResetServiceAppId'").AppRoles | Where-Object {$_.Value -eq "PasswordWriteback.RefreshClient.All"} | Select-Object -ExpandProperty Id
    

11. Inicialice RequiredResourceAccess la variable para configurar los permisos necesarios para el servicio de sincronización de Microsoft Entra AD y el servicio de restablecimiento de contraseña de Microsoft:

    Si no usa la escritura diferida de contraseñas, use:

    $RequiredResourceAccess = @(
        @{
            ResourceAppId = $SynchronizationServiceAppId
            ResourceAccess = @(
                @{
                    Id = $SynchronizationServiceAppRoleId
                    Type = "Role"
                }
            )
        }
    )
    

    Si usa la escritura de contraseñas en reversa, use:

    $RequiredResourceAccess = @(
        @{
            ResourceAppId = $SynchronizationServiceAppId
            ResourceAccess = @(
                @{
                    Id = $SynchronizationServiceAppRoleId
                    Type = "Role"
                }
            )
        },
        @{
            ResourceAppId = $PasswordResetServiceAppId
            ResourceAccess = @(
                @{
                    Id = $PasswordResetServiceServiceOffboardClientAppRoleId
                    Type = "Role"
                },
                @{
                    Id = $PasswordResetServiceServiceRegisterClientAppRoleId
                    Type = "Role"
                },
                @{
                    Id = $PasswordResetServiceServiceRefreshClientAppRoleId
                    Type = "Role"
                }
            )
        }
    )
    

12. Actualice la aplicación con los permisos necesarios:

    Update-MgApplication -ApplicationId $BYOApp.Id -RequiredResourceAccess $RequiredResourceAccess
    

13. Cree una asignación de roles de aplicación para Synchronization Service:

    $SyncAppRoleAssignment = New-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $BYOA_ServicePrincipal.Id -PrincipalId $BYOA_ServicePrincipal.Id -ResourceId $SynchronizationServiceSPId -AppRoleId $SynchronizationServiceAppRoleId
    

    Nota:

    Si usa la característica restablecimiento de contraseñas, continúe con los pasos siguientes, de lo contrario, puede ir al paso #15.

14. Creación de una asignación de roles de aplicación para la función de retroescritura de contraseñas:

     $OffboardAppRoleAssignment = New-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $BYOA_ServicePrincipal.Id -PrincipalId $BYOA_ServicePrincipal.Id -ResourceId $PasswordResetServiceSPId -AppRoleId $PasswordResetServiceServiceOffboardClientAppRoleId
    
     $RegisterAppRoleAssignment = New-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $BYOA_ServicePrincipal.Id -PrincipalId $BYOA_ServicePrincipal.Id -ResourceId $PasswordResetServiceSPId -AppRoleId $PasswordResetServiceServiceRegisterClientAppRoleId
    
     $RefreshAppRoleAssignment = New-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $BYOA_ServicePrincipal.Id -PrincipalId $BYOA_ServicePrincipal.Id -ResourceId $PasswordResetServiceSPId -AppRoleId $PasswordResetServiceServiceRefreshClientAppRoleId
    

15. Exporte el archivo de certificado (.cer) para cargarlo en el registro de aplicaciones de Microsoft Entra mediante una de las siguientes opciones:

    Opción 1: Usar la consola mmc para exportar un certificado desde los almacenes de certificados de Windows:

    1. Ejecute el comando siguiente para abrir la consola de administración de certificados para el equipo local. Algunos métodos para ejecutar este comando se encuentran en el menú Inicio, el símbolo del sistema de Windows Ejecutar, el símbolo del sistema de PowerShell o el símbolo del sistema.

       certlm.msc
       

    2. En el árbol de consola, vaya al certificado que desea exportar.

    3. Haga clic con el botón derecho en el certificado, seleccione Todas las tareas y, a continuación, seleccione Exportar.

    4. En la pantalla Bienvenido al asistente para exportación de certificados, seleccione Siguiente.

    5. Si se le pide que exporte la clave privada, seleccione No, no exporte la clave privada y, a continuación, seleccione Siguiente.

    6. Para el formato de archivo, seleccione DER binario codificado X.509 (. CER) y, a continuación, seleccione Siguiente.

    7. Escriba la ruta de acceso del archivo o navegue hasta ella, y luego seleccione Siguiente.

    8. Revise el resumen y, a continuación, seleccione Finalizar.

    Opción 2: Usar PowerShell para exportar el certificado:

    $cerFile  = "C:\Temp\MyBYOC.cer"
    $cert = Get-ChildItem Cert:\LocalMachine\My | Where-Object {$_.Subject -eq 'CN=YOUR_CERTIFICATE_SUBJECT'}  
    Export-Certificate -Cert $cert -FilePath $cerFile
    

16. En el Centro de administración de Microsoft Entra, navegue a Entra ID, >, y seleccione la aplicación que se creó en el paso 2. En Certificado y secretos, seleccione Cargar certificado y cargue el archivo .cer exportado y seleccione Agregar:

    

17. Obtenga el hash de certificado mediante los siguientes comandos de PowerShell:

    $cert = Get-ChildItem Cert:\LocalMachine\My | Where-Object {$_.Subject -eq 'CN=YOUR_CERTIFICATE_SUBJECT'}  
    
    # Get raw data from X509Certificate cert
    $certRawDataString = $cert.GetRawCertData()
    
    # Compute SHA256Hash of certificate 
    $sha256 = [System.Security.Cryptography.SHA256]::Create()
    $hashBytes = $sha256.ComputeHash($certRawDataString)
    

    Si usa PowerShell versión 7, use el siguiente comando:

    $certHash = [System.Convert]::ToHexString($hashBytes)
    

    Si usa versiones anteriores de PowerShell o PowerShell ISE, use el siguiente comando:

    $certHash = ($hashBytes|ForEach-Object ToString X2) -join ''
    

18. Conceda permisos de cuenta de servicio de Connect Sync (ADSync) para recuperar la clave privada del certificado:

    $rsaCert = [System.Security.Cryptography.X509Certificates.RSACertificateExtensions]::GetRSAPrivateKey($cert)
    

    Si el certificado lo emitió una entidad de certificación (CA), use la siguiente $path variable:

    $path = "$env:ALLUSERSPROFILE\Microsoft\Crypto\RSA\MachineKeys\$($rsaCert.key.UniqueName)"
    

    Si usa un certificado autofirmado , use la siguiente $path variable:

    $path = "$env:ALLUSERSPROFILE\Microsoft\Crypto\Keys\$($rsaCert.key.UniqueName)"
    

19. Ejecute los siguientes comandos para conceder el permiso:

    $permissions = Get-Acl -Path $path
    $serviceAccount = (Get-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\Services\ADSync -Name ObjectName).ObjectName
    $rule = New-Object Security.Accesscontrol.FileSystemAccessRule "$serviceAccount", "read", allow
    $permissions.AddAccessRule($rule)
    Set-Acl -Path $path -AclObject $permissions
    
    # Verify permissions
    $permissions = Get-Acl -Path $path
    $permissions.Access
    

20. Deshabilitar el programador de sincronización

    Set-ADSyncScheduler -SyncCycleEnabled $false
    

21. Importación del módulo ADSync:

    Si usa powerShell versión 7, use el siguiente comando para importar el módulo ADSync:

    Import-Module -Name "C:\Program Files\Microsoft Azure AD Sync\Bin\ADSync" -UseWindowsPowerShell
    

22. Cambie al uso de la nueva aplicación para la autenticación.

    Add-ADSyncApplicationRegistration -CertificateSHA256Hash $certHash –ApplicationAppId $ConnectSyncAppId 
    

23. Use la vista del Asistente para la configuración de autenticación actual para confirmar que Microsoft Entra Connect usa la identidad de la aplicación o use el comando de PowerShell para comprobar el método de autenticación actual.

    Get-ADSyncEntraConnectorCredential
    

24. Habilitación del programador de sincronización

    Set-ADSyncScheduler -SyncCycleEnabled $true
    

25. Quite la cuenta de sincronización de directorios (DSA) de Microsoft Entra ID (recomendado).

1. Iniciar el asistente de configuración de Microsoft Entra Connect
2. Vaya a Tareas adicionales>Rotar certificado de aplicación y, a continuación, siga las indicaciones.

Al obtener una advertencia de Microsoft Entra Connect Sync, se recomienda generar una nueva clave y un certificado y rotar el certificado que usa Microsoft Entra Connect Sync.

1. Exporte el archivo de certificado (.cer) para cargarlo en el registro de aplicaciones de Microsoft Entra mediante una de las siguientes opciones:

   Opción 1: Usar la consola mmc para exportar un certificado desde los almacenes de certificados de Windows:

   1. Ejecute el comando siguiente para abrir la consola de administración de certificados para el equipo local. Algunos métodos para ejecutar este comando se encuentran en el menú Inicio, el símbolo del sistema de Windows Ejecutar, el símbolo del sistema de PowerShell o el símbolo del sistema.

      certlm.msc
      

   2. En el árbol de consola, vaya al certificado que desea exportar.

   3. Haga clic con el botón derecho en el certificado, seleccione Todas las tareas y, a continuación, seleccione Exportar.

   4. En la pantalla Bienvenido al Asistente para exportación de certificados, seleccione Siguiente.

   5. Si se le pide que exporte la clave privada, seleccione No, no exporte la clave privada y, a continuación, seleccione Siguiente.

   6. Para el formato de archivo, seleccione DER binario codificado X.509 (. CER) y, a continuación, seleccione Siguiente.

   7. Escriba la ruta de acceso del archivo o navegue hasta ella, y luego seleccione Siguiente.

   8. Revise el resumen y, a continuación, seleccione Finalizar.

      Opción 2: Usar PowerShell para exportar el certificado:

      $cerFile  = "C:\Temp\MyBYOC.cer"
      $cert = Get-ChildItem Cert:\LocalMachine\My | Where-Object {$_.Subject -eq 'CN=YOUR_CERTIFICATE_SUBJECT'}  
      Export-Certificate -Cert $cert -FilePath $cerFile
      

2. En el Centro de administración de Microsoft Entra , vaya a Registro de aplicaciones y seleccione la aplicación que se creó durante la instalación, la configuración o la actualización de Connect Sync. Para confirmar qué aplicación usa Connect Sync, puede ejecutar el Get-ADSyncEntraConnectorCredential comando para recuperar el identificador de la aplicación (cliente). El formato de nombre de usuario es {AppID}@tenantName.onmicrosoft.com. En Certificado y secretos, seleccione Cargar certificado y cargue el archivo .cer exportado y seleccione Agregar:

   

3. Obtención del hash de certificado mediante los siguientes comandos de PowerShell

   $cert = Get-ChildItem Cert:\LocalMachine\My | Where-Object {$_.Subject -eq 'CN=YOUR_CERTIFICATE_SUBJECT'}  
   
   # Get raw data from X509Certificate cert
   $certRawDataString = $cert.GetRawCertData()
   
   # Compute SHA256Hash of certificate 
   $sha256 = [System.Security.Cryptography.SHA256]::Create()
   $hashBytes = $sha256.ComputeHash($certRawDataString)
   

   Si usa PowerShell versión 7, use el siguiente comando:

   $certHash = [System.Convert]::ToHexString($hashBytes)
   

   Si usa versiones anteriores de PowerShell o PowerShell ISE, use el siguiente comando:

   $certHash = ($hashBytes|ForEach-Object ToString X2) -join ''
   

4. Conceda permisos de cuenta de servicio de Connect Sync (ADSync) para recuperar la clave privada del certificado:

   $rsaCert = [System.Security.Cryptography.X509Certificates.RSACertificateExtensions]::GetRSAPrivateKey($cert)
   

   Si el certificado lo emitió una entidad de certificación (CA), use la siguiente $path variable:

   $path = "$env:ALLUSERSPROFILE\Microsoft\Crypto\RSA\MachineKeys\$($rsaCert.key.UniqueName)"
   

   Si usa un certificado autofirmado , use la siguiente $path variable:

   $path = "$env:ALLUSERSPROFILE\Microsoft\Crypto\Keys\$($rsaCert.key.UniqueName)"
   

5. Ejecute los siguientes comandos para conceder el permiso:

   $permissions = Get-Acl -Path $path
   $serviceAccount = (Get-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\Services\ADSync -Name ObjectName).ObjectName
   $rule = New-Object Security.Accesscontrol.FileSystemAccessRule "$serviceAccount", "read", allow
   $permissions.AddAccessRule($rule)
   Set-Acl -Path $path -AclObject $permissions
   
   # Verify permissions
   $permissions = Get-Acl -Path $path
   $permissions.Access
   

6. Deshabilitar el programador de sincronización

   Set-ADSyncScheduler -SyncCycleEnabled $false
   

7. Importación del módulo ADSync:

   Si usa PowerShell versión 7, use el siguiente comando para importar el módulo ADSync:

   Import-Module -Name "C:\Program Files\Microsoft Azure AD Sync\Bin\ADSync" -UseWindowsPowerShell
   

   Si usa versiones anteriores de PowerShell o PowerShell ISE, use el siguiente comando para importar el módulo ADSync:

   Import-Module -Name "C:\Program Files\Microsoft Azure AD Sync\Bin\ADSync"
   

8. Actualización del certificado de aplicación mediante el comando de rotación de certificados

   Invoke-ADSyncApplicationCredentialRotation -CertificateSHA256Hash $certHash 
   

9. Utilice la vista del asistente para la configuración de autenticación actual para confirmar que Microsoft Entra Connect está utilizando su nuevo certificado.

10. Habilitación del programador de sincronización

    Set-ADSyncScheduler -SyncCycleEnabled $true
    

11. Retire el certificado antiguo del almacén de LOCAL_MACHINE.

Al obtener una advertencia de Microsoft Entra Connect Sync, se recomienda generar una nueva clave y un certificado y rotar el certificado que usa Microsoft Entra Connect Sync.

1. Exporte el archivo de certificado (.cer) para cargarlo en el registro de aplicaciones de Microsoft Entra mediante una de las siguientes opciones:

   Opción 1: Usar la consola mmc para exportar un certificado desde los almacenes de certificados de Windows:

   1. Ejecute el comando siguiente para abrir la consola de administración de certificados para el equipo local. Algunos métodos para ejecutar este comando se encuentran en el menú Inicio, el símbolo del sistema de Windows Ejecutar, el símbolo del sistema de PowerShell o el símbolo del sistema.

      certlm.msc
      

   2. En el árbol de consola, vaya al certificado que desea exportar.

   3. Haga clic con el botón derecho en el certificado, seleccione Todas las tareas y, a continuación, seleccione Exportar.

   4. En la pantalla Bienvenido al Asistente para exportación de certificados, seleccione Siguiente.

   5. Si se le pide que exporte la clave privada, seleccione No, no exporte la clave privada y, a continuación, seleccione Siguiente.

   6. Para el formato de archivo, seleccione DER binario codificado X.509 (. CER) y, a continuación, seleccione Siguiente.

   7. Escriba la ruta de acceso del archivo o navegue hasta ella, y luego seleccione Siguiente.

   8. Revise el resumen y, a continuación, seleccione Finalizar.

   Opción 2: Usar PowerShell para exportar el certificado:

   $cerFile  = "C:\Temp\MyBYOC.cer"
   $cert = Get-ChildItem Cert:\LocalMachine\My | Where-Object {$_.Subject -eq 'CN=YOUR_CERTIFICATE_SUBJECT'}  
   Export-Certificate -Cert $cert -FilePath $cerFile
   

2. En el Centro de administración de Microsoft Entra, vaya a Registro de aplicaciones y seleccione la aplicación que se creó durante la instalación, la configuración o la actualización de Connect Sync. Para confirmar qué aplicación usa Connect Sync, puede ejecutar el Get-ADSyncEntraConnectorCredential comando para recuperar el identificador de la aplicación (cliente). El formato de nombre de usuario es {AppID}@tenantName.onmicrosoft.com. En Certificado y secretos, seleccione Cargar certificado y cargue el archivo .cer exportado y seleccione Agregar:

   

3. Obtención del hash de certificado mediante los siguientes comandos de PowerShell

   $cert = Get-ChildItem Cert:\LocalMachine\My | Where-Object {$_.Subject -eq 'CN=YOUR_CERTIFICATE_SUBJECT'}  
   
   # Get raw data from X509Certificate cert
   $certRawDataString = $cert.GetRawCertData()
   
   # Compute SHA256Hash of certificate 
   $sha256 = [System.Security.Cryptography.SHA256]::Create()
   $hashBytes = $sha256.ComputeHash($certRawDataString)
   

   Si usa PowerShell versión 7, use el siguiente comando:

   $certHash = [System.Convert]::ToHexString($hashBytes)
   

   Si usa versiones anteriores de PowerShell o PowerShell ISE, use el siguiente comando:

   $certHash = ($hashBytes|ForEach-Object ToString X2) -join ''
   

4. Conceda permisos de cuenta de servicio de Connect Sync (ADSync) para recuperar la clave privada del certificado:

   $rsaCert = [System.Security.Cryptography.X509Certificates.RSACertificateExtensions]::GetRSAPrivateKey($cert)
   

   Si el certificado lo emitió una entidad de certificación (CA), use la siguiente $path variable:

   $path = "$env:ALLUSERSPROFILE\Microsoft\Crypto\RSA\MachineKeys\$($rsaCert.key.UniqueName)"
   

   Si usa un certificado autofirmado , use la siguiente $path variable:

   $path = "$env:ALLUSERSPROFILE\Microsoft\Crypto\Keys\$($rsaCert.key.UniqueName)"
   

5. Ejecute los siguientes comandos para conceder el permiso:

   $permissions = Get-Acl -Path $path
   $serviceAccount = (Get-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\Services\ADSync -Name ObjectName).ObjectName
   $rule = New-Object Security.Accesscontrol.FileSystemAccessRule "$serviceAccount", "read", allow
   $permissions.AddAccessRule($rule)
   Set-Acl -Path $path -AclObject $permissions
   
   # Verify permissions
   $permissions = Get-Acl -Path $path
   $permissions.Access
   

6. Deshabilitar el programador de sincronización

   Set-ADSyncScheduler -SyncCycleEnabled $false
   

7. Importación del módulo ADSync:

   Si usa powerShell versión 7, use el siguiente comando para importar el módulo ADSync:

   Import-Module -Name "C:\Program Files\Microsoft Azure AD Sync\Bin\ADSync" -UseWindowsPowerShell
   

   Si usa versiones anteriores de PowerShell o PowerShell ISE, use el siguiente comando para importar el módulo ADSync:

   Import-Module -Name "C:\Program Files\Microsoft Azure AD Sync\Bin\ADSync"
   

8. Actualización del certificado de aplicación mediante el comando de rotación de certificados

   Invoke-ADSyncApplicationCredentialRotation -CertificateSHA256Hash $certHash 
   

9. Utilice la vista del asistente para la configuración de autenticación actual para confirmar que Microsoft Entra Connect está utilizando su nuevo certificado.

10. Habilitación del programador de sincronización

    Set-ADSyncScheduler -SyncCycleEnabled $true
    

11. Retire el certificado antiguo del almacén de LOCAL_MACHINE.