Microsoft Entra Connect

Microsoft Entra Connect — это программное обеспечение для синхронизации каталогов, разработанное корпорацией Microsoft. Оно предназначено для объединения локальной инфраструктуры удостоверений на базе Active Directory (AD) с облачным сервисом Microsoft Entra ID (ранее известным как Azure Active Directory). Основная функция продукта — обеспечение единого входа (SSO) и синхронизация учётных записей, групп и паролей между локальной средой и облаком, что позволяет пользователям использовать одни и те же учётные данные для доступа к локальным и облачным ресурсам.

История

Предшественником Microsoft Entra Connect был инструмент DirSync (Directory Synchronization Tool), выпущенный в 2010 году для синхронизации данных с Azure Active Directory. В 2014 году Microsoft представила Azure AD Connect, который объединил функциональность DirSync, Azure AD Sync и компонента для синхронизации паролей. В 2023 году, в рамках ребрендинга облачных продуктов Microsoft, Azure AD был переименован в Microsoft Entra ID, а сам инструмент синхронизации получил название Microsoft Entra Connect. Текущая версия продукта (по состоянию на 2025 год) — 2.x, которая является обязательной для новых установок и требует Windows Server 2016 или более поздней версии.

Архитектура и компоненты

Microsoft Entra Connect состоит из нескольких ключевых компонентов, работающих на выделенном сервере (или виртуальной машине) под управлением Windows Server:

• Служба синхронизации (Sync Engine): Основной компонент, отвечающий за чтение данных из локального AD, их преобразование (маппинг) и запись в Microsoft Entra ID.
• Мастер установки (Installation Wizard): Графический интерфейс для настройки параметров синхронизации, выбора режимов аутентификации и управления конфигурацией.
• Компоненты для федерации: Опциональные модули, позволяющие настроить федерацию с помощью служб Active Directory Federation Services (AD FS) или сторонних поставщиков (например, PingFederate).
• Агент для синхронизации паролей: Обеспечивает синхронизацию хэшей паролей из локального AD в облако.
• Компонент обратной записи (Writeback): Позволяет записывать изменения из облака (например, сброс пароля или изменение атрибутов) обратно в локальный AD.

Режимы аутентификации

Microsoft Entra Connect поддерживает три основных режима аутентификации для пользователей:

1. Синхронизация хэша паролей (Password Hash Sync, PHS): Самый простой и распространённый режим. Хэши паролей пользователей синхронизируются с Microsoft Entra ID. При входе в облачный сервис пароль проверяется в облаке.
2. Сквозная аутентификация (Pass-through Authentication, PTA): Аутентификация выполняется напрямую в локальном AD через специальный агент на сервере. Пароль не хранится в облаке.
3. Федерация (Federation): Используется внешний поставщик удостоверений (например, AD FS). Пользователь перенаправляется на локальный сервер для аутентификации.

Функциональные возможности

Синхронизация объектов

Microsoft Entra Connect синхронизирует следующие типы объектов между локальным AD и Microsoft Entra ID:

• Пользователи (с атрибутами: имя, фамилия, email, телефон, должность и др.).
• Группы (включая группы безопасности и списки рассылки).
• Контакты (из глобального списка адресов).
• Устройства (для поддержки гибридного присоединения к домену).

Фильтрация синхронизации

Администратор может настроить фильтры для ограничения набора синхронизируемых объектов:

• По домену или OU (организационной единице): синхронизируются только объекты из выбранных контейнеров.
• По атрибуту: например, синхронизировать только пользователей с определённым значением атрибута department.
• По типу объекта: исключить контакты или устройства.

Обратная запись

Функция Writeback позволяет записывать изменения из облака в локальный AD. Поддерживаются:

• Обратная запись паролей: при сбросе пароля через Microsoft Entra ID (Self-Service Password Reset) новый пароль записывается в локальный AD.
• Обратная запись групп: позволяет управлять членством в группах из облака (например, для групп Microsoft 365).
• Обратная запись устройств: обеспечивает гибридное присоединение устройств к домену.

Единый вход (Seamless SSO)

Microsoft Entra Connect поддерживает функцию Seamless SSO, которая позволяет пользователям автоматически входить в облачные сервисы (например, Office 365) без ввода пароля, если они уже вошли в локальный домен на своём компьютере. Для этого используется Kerberos-аутентификация.

Установка и настройка

Системные требования

• Операционная система: Windows Server 2016, 2019, 2022 (рекомендуется 2022).
• .NET Framework 4.7.2 или выше.
• SQL Server 2012 или выше (или встроенная база данных SQL Server Express, которая устанавливается вместе с Entra Connect).
• Учётная запись с правами администратора домена (Enterprise Admin) для первоначальной настройки.

Процесс установки

1. Загрузка дистрибутива с портала Microsoft (Microsoft Download Center).
2. Запуск мастера установки, который последовательно запрашивает:

• Выбор режима аутентификации (PHS, PTA или федерация).
• Указание локального леса AD и учётных данных для подключения.
• Ввод учётных данных глобального администратора Microsoft Entra ID.
• Выбор OU и доменов для синхронизации.
• Настройка дополнительных опций (Writeback, Seamless SSO).

1. Завершение установки и запуск первой полной синхронизации.

Обновление

Microsoft рекомендует регулярно обновлять Microsoft Entra Connect до последней версии. Обновление выполняется через тот же мастер установки (запуск файла AzureADConnect.msi). Важно: после обновления до версии 2.x обратный переход на версию 1.x не поддерживается.

Управление и мониторинг

Интерфейс управления

Для управления конфигурацией используется Synchronization Service Manager (запускается из меню «Пуск»). Он позволяет:

• Просматривать текущие операции синхронизации (импорт, экспорт, дельта-синхронизация).
• Отслеживать ошибки синхронизации (например, конфликты атрибутов или проблемы с подключением).
• Запускать полную или дельта-синхронизацию вручную.

Мониторинг с помощью PowerShell

Администраторы могут использовать модуль ADSync для автоматизации задач: ``powershell Import-Module ADSync Get-ADSyncScheduler Start-ADSyncSyncCycle -PolicyType Delta ``

Логирование

Журналы событий синхронизации записываются в Event Viewer (раздел Applications and Services Logs / Microsoft / Entra Connect). Ошибки и предупреждения также могут быть отправлены в Microsoft Entra ID для анализа через портал.

Ограничения и подводные камни

• Производительность: При синхронизации больших каталогов (более 100 000 объектов) может потребоваться настройка производительности (например, увеличение пула потоков или использование SQL Server вместо встроенной базы).
• Конфликты атрибутов: Если в локальном AD несколько объектов имеют одинаковые значения атрибутов, используемых для сопоставления (например, userPrincipalName), возникает конфликт, который требует ручного разрешения.
• Зависимость от сети: Для работы PTA и федерации требуется стабильное сетевое соединение между сервером синхронизации и облаком.
• Безопасность: Учётная запись, используемая для синхронизации, должна иметь минимально необходимые права. Рекомендуется использовать отдельную сервисную учётную запись (gMSA).

Альтернативы

Для организаций, которые не могут установить локальный сервер, Microsoft предлагает Microsoft Entra Cloud Sync — облегчённый агент, работающий по принципу «агент на сервере» и не требующий установки полноценного Entra Connect. Cloud Sync поддерживает только синхронизацию хэша паролей и не включает функции федерации или обратной записи.

Источники

1. Microsoft Learn: «What is Microsoft Entra Connect?» (документация Microsoft).
2. Microsoft Learn: «Install Microsoft Entra Connect» (руководство по установке).
3. Microsoft Tech Community: «Azure AD Connect: Best practices and troubleshooting» (статья сообщества).
4. Книга: «Microsoft Identity and Access Administrator Exam Ref SC-300» (Yuri Diogenes, 2023).