Перемістити облікові записи користувачів з Azure AD на локальну AD?


9

Моя компанія використовує Office 365 для Exchange, SharePoint, Lync тощо, включаючи вбудоване адміністрування користувачів через Azure Active Directory.

Тепер ми хочемо перейти на локальну AD на Windows Server. Він повинен синхронізувати зміни з Azure, але адміністрування політики основного користувача та групи відбувається на сервері Windows.

Як ми спочатку отримуємо облікові записи користувачів з Azure AD в локальний (windows-сервер) AD?

edit1: Хтось розглядав це за допомогою Microsoft Forefront Identity Manager? Схоже, цей інструмент постачається разом із DirSync. Відкрийте “miisclient.exe” на сервері DirSync (Розташований у “C: \ програмні файли \ Windows Azure Active Directory Sync \ SYNCBUS \ Служба синхронізації \ UIShell”). Можливо, можна налаштувати його для синхронізації іншого напрямку ... можливо.


Додати новий DC? Ось як це працює для локальної AD.
Натан C

@TheCleaner: Я раніше читав можливий дублікат, але не сказав би, що це дублікат, тому що я просто хочу перенести користувачів, а не синхронізувати їх постійно з Azure до локального приміщення. Тому я подумав, що тут можуть бути інші рішення, такі як офлайн-інструменти або щось, що не працюватиме з постійною синхронізацією.
згрішив

@NathanC, що ти маєш на увазі? Ви не можете підключити традиційний контролер домену до Azure Active Directory так само, як і місцеві контролери домену.
MDMarra

@MDMarra - Натан розгубився ... те саме, що він був і з іншого подібного питання: serverfault.com/questions/550595/…
TheCleaner

Відповіді:


8

Ви можете використовувати командлети Get-MsolUser PowerShell для експорту даних користувачів з Azure Active Directory, а потім використовувати командлети New-ADUser для отримання цих даних та створення облікових записів у локальних мережах. Однак, немає способу зробити це під ключ. Вам доведеться щось сценаріювати.


1
+1 для підходу "відтворити локально", синхронізація каталогів Azure - це одностороння вулиця
Mathias R. Jessen

Я щойно переглянув це, і з 56 атрибутів, які я можу вийти з O365, я можу зіставити 17 атрибутів на їхню попередню аналогію. В іншому я сподіваюся, що вони не такі важливі ...
згрішив

8

@MDMarra: Дякую за підказки, так що я зробив:

Користувачів з O365 можна експортувати за допомогою посібника

Get-MsolUser | Select-Object City, Country, Department, DisplayName, Fax, FirstName, LastName, MobilePhone, Office, PasswordNeverExpires, PhoneNumber, PostalCode, SignInName, State, StreetAddress, Title, UserPrincipalName | Export-Csv C:\Temp\Azure_Export_2014_12_05.csv -Encoding UTF8

Це експортує всі стовпці до CSV, де я міг знайти відображення, яке виглядало відповідним. Це не всі стовпці, але багато з них не можуть бути відображені в атрибутах AD. Інші, як-от пароль, не можна експортувати.

Щоб імпортувати користувачів до AD, запустіть у shellhell

import-csv C:\Temp\Azure_Export_2014_12_05.csv -Encoding UTF8 | foreach-object {New-ADUser -Name ($_.Firstname + "." + $_.Lastname) -SamAccountName ($_.Firstname + "." + $_.Lastname) -GivenName $_.FirstName -Surname $_.LastName -City $_.City -Department $_.Department -DisplayName $_.DisplayName -Fax $_.Fax -MobilePhone $_.MobilePhone -Office $_.Office -PasswordNeverExpires ($_.PasswordNeverExpires -eq "True") -OfficePhone $_.PhoneNumber -PostalCode $_.PostalCode -EmailAddress $_.SignInName -State $_.State -StreetAddress $_.StreetAddress -Title $_.Title -UserPrincipalName $_.UserPrincipalName -AccountPassword (ConvertTo-SecureString -string "Secret!" -AsPlainText -force) -enabled $true }

Це створює нових користувачів з ім'ям Ім'я. Ім'я. Інші атрибути, такі як SignInName, не можна використовувати, оскільки вони не є дійсним іменем облікового запису AD.

Імпортувати країну не можна, оскільки AD вимагає фактично існування країни, тоді як O365 приймає вільний текст.

Для пароля буде встановлено значення "Таємно!", Оскільки якщо не вказано пароль, обліковий запис буде створено, але вимкнено.

Можливо, буде корисно відредагувати CSV-файл у Excel або щось подібне, але я б рекомендував використовувати лише PowerShell. Excel видаляє провідні нулі з номерів телефонів або переформатує інші речі. Також майте на увазі UTF8.


Не забудьте прийняти власну відповідь (натисніть зелену галочку ліворуч)
Mathias R. Jessen

Azute AD Connect тепер доступна і вирішує проблему. azure.microsoft.com/en-gb/documentation/articles/…
Ігор

3
@Gatis Azure AD Connect не створює користувачів від Azure AD до On Premise AD
Niraj

2
Для виконання цих команд один повинен встановити Azure Модуль Active Directory для вікон харчування оболонки за цим посиланням, msdn.microsoft.com/en-IN/library/azure/hh974476.aspx
Niraj

@sinned Якщо пароль не вказано, обліковий запис не буде створено .. він створить помилку, як ... "New-ADUser: Пароль не відповідає вимогам довжини, складності чи історії домену."
Аравінда
Використовуючи наш веб-сайт, ви визнаєте, що прочитали та зрозуміли наші Політику щодо файлів cookie та Політику конфіденційності.
Licensed under cc by-sa 3.0 with attribution required.