AD DS Bağlayıcı hesabı oluştur

Microsoft Azure Active Directory Connect, şirket içi nesneleri bulutla senkronize etmek için harika bir araçtır. Azure AD Connect'i yüklemek ve bir hizmet hesabı kullanmak veya Azure AD Connect'i yüklerken varsayılan oluşturulan hizmet hesabı yerine Azure AD Connect'teki hizmet hesabını değiştirmek isterseniz ne olur? Bu makalede AD DS Bağlayıcı hizmet hesabının nasıl oluşturulacağını ve sıkıştırılacağını göstereceğiz.

Azure AD Connect hesapları

Azure AD Connect, Active Directory (şirket içi) ve Azure Active Directory (bulut) arasında verileri eşitlemek için aşağıdaki 3 hesabı kullanır:

  1. AD DS Bağlayıcı hesabı: Windows Server Active Directory'ye bilgi okuma/yazma

  2. ADSync Hizmeti hesabı: Senkronizasyon hizmetini çalıştırın ve SQL veritabanına erişin

  3. Azure AD Bağlayıcı hesabı: Bilgileri Azure AD'ye yazın

Bakacağımız hesap AD DS Bağlayıcı hesabıdır.

Devamını oku: Azure AD Connect hesaplarını bulun »

Azure AD DS Bağlayıcı hesabı

Azure AD Connect kurulumunda seçilebilecek iki hesap seçeneği vardır:

  • Yeni AD hesabı oluşturun: Azure AD Connect, AD'de gerekli tüm izinlere sahip bir AD DS Bağlayıcı hesabı (MSOL_xxxxxxxxxx) oluşturacaktır.

  • Mevcut AD hesabını kullanın: Gerekli izinlere sahip mevcut bir hesap sağlayın (bu makale)

Peki ya ikinci seçeneği kullanmak istiyorsanız: Mevcut AD Hesabını Kullan? Bu nasıl işe yarayacak?

Yöneticiler genellikle AD'de bir AD DS Bağlayıcısı hizmet hesabı oluşturur ve bunu Azure AD Connect'te mevcut bir AD hesabı olarak kullanır. Ancak Azure AD Connect, yüklemeyi tamamladıktan sonra eşitleme izinleri sorunları oluşur ve eşitleme çalışmaz.

AD DS Bağlayıcısı hizmet hesabını kesinlikle gruplara eklemek istemezsiniz:

  • Kurumsal Yöneticiler

  • Etki Alanı Yöneticileri

Not: Azure AD Connect, Azure AD ile senkronizasyon çalıştırdığında sıklıkla izin sorunları görürsünüz. Bu, Azure AD hesabının sahip olması gereken izinlere sahip olmadığı anlamına gelir. Hizmet hesabını yüksek ayrıcalıklara sahip hesaba eklemek ve senkronize etmek bir çözüm değildir. Çevrenize bela ve tehlike istiyor!

Peki en az izinleri nasıl verirsiniz ve AD DS Bağlayıcı hizmet hesabının doğru şekilde ayarlandığından nasıl emin olursunuz? Cevap, Microsoft'un sağladığı PowerShell betiğini kullanmaktır.

AD DS Bağlayıcı Hesabı İzinlerini yapılandırma

İzinleri yapılandırmak ve AD DS Bağlayıcısı hizmet hesabını sıkılaştırmak için aşağıdaki adımları izleyin.

AD DS Bağlayıcısı hizmet hesabı oluşturun

Active Directory Kullanıcıları ve Bilgisayarları'nı başlatın ve bir hizmet hesabı oluşturun. Bu hesabı AD DS Bağlayıcı hesabı olarak kullanacaksınız.

Örneğimizde svc-adds hizmet hesabını oluşturacağız.

svc-adds hesabındaki Erişim Kontrol Listelerini (ACL) kontrol edelim.

Uzak Sunucu Yönetim Araçlarını Yükleme

Sonraki adımlarda Azure AD Connect hizmet hesabını yapılandırmak ve sıkılaştırmak için Uzak Sunucu Yönetim Araçlarını yüklemeniz gerekir.

Azure AD Connect Sunucusu üzerinde PowerShell'i yönetici olarak çalıştırın ve aşağıdaki cmdlet'i çalıştırın.

PS C:\> Install-WindowsFeature RSAT-AD-Tools

Success Restart Needed Exit Code      Feature Result
------- -------------- ---------      --------------
True    No             Success        {Remote Server Administration Tools, Activ...

PowerShell modülünü AdSyncConfig.psm1 yükleyin

AdSyncConfig.psm1 PowerShell betiği, parametre olarak sağlanan AD DS Bağlayıcı hesabına ilişkin izinleri yapılandıracak ve sıkılaştıracaktır.

Azure AD Connect zaten yüklüyse Azure AD Connect dizininde AdSyncConfig.psm1 dosyasına sahipsiniz. Azure AD Connect'iniz yoksa Azure AD Connect yükleyicisini çalıştırabilirsiniz. Azure AD Connect'i yüklemez ancak dosyaları yükler.

Windows PowerShell'i yönetici olarak çalıştırın. Import-Module'ü çalıştırın ve modülün yükleneceği yolu belirtin.

PS C:\> Import-Module "C:\Program Files\Microsoft Azure Active Directory Connect\AdSyncConfig\AdSyncConfig.psm1"

Get-Command'ı çalıştırın ve AdSyncConfig modülünü belirtin. Tüm cmdlet'lerin bu modüle dahil olup olmadığını kontrol edin.

PS C:\> Get-Command -Module AdSyncConfig

CommandType     Name                                               ModuleName
-----------     ----                                               ----------
Function        Get-ADSyncADConnectorAccount                       AdSyncConfig
Function        Get-ADSyncObjectsWithInheritanceDisabled           AdSyncConfig
Function        Set-ADSyncBasicReadPermissions                     AdSyncConfig
Function        Set-ADSyncExchangeHybridPermissions                AdSyncConfig
Function        Set-ADSyncExchangeMailPublicFolderPermissions      AdSyncConfig
Function        Set-ADSyncMsDsConsistencyGuidPermissions           AdSyncConfig
Function        Set-ADSyncPasswordHashSyncPermissions              AdSyncConfig
Function        Set-ADSyncPasswordWritebackPermissions             AdSyncConfig
Function        Set-ADSyncRestrictedPermissions                    AdSyncConfig
Function        Set-ADSyncUnifiedGroupWritebackPermissions         AdSyncConfig
Function        Show-ADSyncADObjectPermissions                     AdSyncConfig

AD DS Bağlayıcısı hizmet hesabını bulma ayırt ediciAdı

AD DS Bağlayıcısı hizmet hesabına sağ tıklayın ve Özellikler'i tıklayın. Özellik Düzenleyici sekmesine gidin. Özellikler listesinde distuingedName özelliğini bulun. Dizeyi açmak ve değeri kopyalamak için çift tıklayın. Bir sonraki bölümde buna ihtiyacınız olacak.

MS-DS-Tutarlılık-Guid İzinleri

MS-DS-Tutarlılık-GUID izinlerini yapılandırın.

PS C:\> Set-ADSyncMsDsConsistencyGuidPermissions -ADConnectorAccountDN "CN=svc-adds,OU=Service Accounts,OU=Company,DC=exoip,DC=local"

Parola Karması Senkronizasyonu İzinleri

Parola karması Senkronizasyon izinlerini yapılandırın.

PS C:\> Set-ADSyncPasswordHashSyncPermissions -ADConnectorAccountDN "CN=svc-adds,OU=Service Accounts,OU=Company,DC=exoip,DC=local"

Parola Geri Yazma İzinleri

Parola Geri Yazma izinlerini yapılandırın.

PS C:\> Set-ADSyncPasswordWritebackPermissions -ADConnectorAccountDN "CN=svc-adds,OU=Service Accounts,OU=Company,DC=exoip,DC=local"

Grup Geri Yazma İzinleri

Grup Geri Yazma izinlerini yapılandırın.

PS C:\> Set-ADSyncUnifiedGroupWritebackPermissions -ADConnectorAccountDN "CN=svc-adds,OU=Service Accounts,OU=Company,DC=exoip,DC=local"

Exchange Karma Dağıtım İzinleri

Exchange Karma Dağıtım izinlerini yapılandırın.

PS C:\> Set-ADSyncExchangeHybridPermissions -ADConnectorAccountDN "CN=svc-adds,OU=Service Accounts,OU=Company,DC=exoip,DC=local"

Exchange Posta Ortak Klasörlerine İlişkin İzinler

Exchange Mail Ortak klasör izinlerini yapılandırın.

PS C:\> Set-ADSyncExchangeMailPublicFolderPermissions -ADConnectorAccountDN "CN=svc-adds,OU=Service Accounts,OU=Company,DC=exoip,DC=local"

AD DS Bağlayıcı Hesabında izin kısıtlaması

Bir kimlik bilgisi nesnesi alın ve onu $credential değişkenine kaydedin.

PS C:\> $credential = Get-Credential

Bir bilgi istemi görüntülenir. Kimlik bilgilerini yönetici haklarıyla doldurun. Tamam'ı tıklayın.

AD DS Bağlayıcı Hesabının izinlerini sıkılaştırın.

PS C:\> Set-ADSyncRestrictedPermissions -ADConnectorAccountDN "CN=svc-adds,OU=Service Accounts,OU=Company,DC=exoip,DC=local" -Credential $credential

Artık svc-adds hesap izinleri yapılandırıldığına ve sağlamlaştırıldığına göre, bir sonraki adıma bakalım.

AD DS Bağlayıcı hesabını karşılaştırın

AD DS Bağlayıcısı hesap izinlerini karşılaştıralım:

  • MSOL_xxxxxxxxxx: AD DS Bağlayıcı hesabı (Azure AD Connect yüklemesi tarafından oluşturulmuştur)

  • svc-adds: Özel AD DS Bağlayıcı hesabı

MSOL_xxxxxxxxxx hesabının ACL'si şu şekilde görünür:

Devamını oku: PowerShell ile AD ACL izinlerini dışa aktarma »

Üyesi yalnızca Alan Adı Kullanıcılarını gösterir.

Özel svc-adds hesabının ACL'si şu şekilde görünür:

Üyesi yalnızca Alan Adı Kullanıcılarını gösterir.

Her ikisi de AD DS Bağlayıcı hesabı için doğru olan aynı izinlere sahiptir.

Azure AD Connect kurulumunda Mevcut AD hesabını kullan'ı seçmeye ve svc-adds hesap kimlik bilgilerini sağlamaya hazırsınız.

Azure AD Connect'i zaten yüklediniz ve yapılandırdınız mı? AD DS Bağlayıcı hesabının nasıl değiştirileceğine bakın.

Çözüm

AD DS Bağlayıcı hesabının nasıl oluşturulacağını öğrendiniz. Bu adımların üzerinden geçmek ve AD DS Bağlayıcısı hizmet hesabını sıkılaştırmak önemlidir.

Özel bir AD DS Bağlayıcısı hizmet hesabıyla zaten yüklenmiş Azure AD Connect'iniz varsa doğru izinlerin ayarlandığından emin olun. Bu, hizmet hesabının Enterprise Admin, Domain Admin veya diğer yüksek ayrıcalıklı gruplara eklenmediği anlamına gelir.

Bu makaleyi beğendiniz mi? Azure AD Connect'i Yükseltme konusunu da beğenebilirsiniz. Bizi takip etmeyi ve bu yazımızı paylaşmayı unutmayın.

İlgili makaleler