Koşullu Erişim MFA, Azure AD Connect senkronizasyonunu bozar

Azure AD Connect senkronizasyon hizmeti bir haftadan fazla süredir çalışmıyor. PowerShell ile manuel AD senkronizasyonunu çalıştırdığımızda hatalar gösteriliyor. Bu neden oluyor ve neden Azure AD Çok Faktörlü Kimlik Doğrulaması (MFA) uygulandıktan sonra bu durum ortaya çıktı? En önemlisi, Azure AD Connect senkronizasyonunun başarısız olmasının çözümü nedir?

Azure AD Connect senkronizasyonunu kontrol edin

Azure AD Connect'in çalışmadığını nasıl doğrulayacağınıza bakalım.

Senkronizasyon Servis Yöneticisi

Azure AD Connect sunucusunda oturum açın. Senkronizasyon Hizmet Yöneticisi uygulamasını başlatın. Başlangıç ve bitiş saatlerine bakın.

Aşağıdaki ekran görüntüsünde başlangıç zamanı ve bitiş zamanı 4/11/2021'dir. Bugün 19.04.2021. Azure AD Connect'in senkronize edilmesi bir haftadan uzun sürdü.

Microsoft 365 yönetim merkezi

Microsoft 365 yönetim merkezinde oturum açın. Kullanıcı yönetimi kartını kontrol edin.

Azure AD Connect son eşitleme durumunun üç günden daha önce olduğunu ve yakın zamanda gerçekleşen bir parola eşitlemesi olmadığını doğrulayabiliriz.

Azure AD Connect senkronizasyon hatası

Windows PowerShell'i yönetici olarak çalıştırın. Azure AD Connect'i PowerShell ile zorla eşitleme çalıştırın. Aşağıdaki hatayı gösterecektir.

PS C:\> Import-Module ADSync
PS C:\> Start-ADSyncSyncCycle -PolicyType Delta
Start-ADSyncSyncCycle : System.Management.Automation.CmdletInvocationException: System.InvalidOperationException: Showing a modal dialog box or form when the application is 
not running in UserInteractive mode is not a valid operation. Specify the ServiceNotification or DefaultDesktopOnly style to display a notification from a service 
application.

Start-ADSyncSyncCycle : System.Management.Automation.CmdletIntainedException: System.InvalidOperationException: Uygulama UserInteractive modunda çalışmadığında kalıcı bir iletişim kutusu veya form göstermek geçerli bir işlem değildir. Bir hizmet
uygulamasından bir bildirim görüntülemek için ServiceNotification veya DefaultDesktopOnly stilini belirtin.

Aşağıdaki ekran AD Sync komutunu çalıştırdıktan sonra nasıl göründüğünü gösterir.

Olay Görüntüleyici uygulama olayları

Olay Görüntüleyicisi'ni başlatın. Windows Günlükleri > Uygulama'ya gidin. Aşağıdaki Hata etkinlikleri görüntülenir:

  • Olay 662, Dizin Senkronizasyonu

  • Olay 6900, ADSync

  • Olay 655, Dizin Senkronizasyonu

  • Olay Kimliği 906, Dizin Senkronizasyonu

Olay Kimliği 906'yı tıklayın.

Olay 906, Dizin Senkronizasyonu
GetSecurityToken: sağlama web hizmeti (AWS) için bir güvenlik belirteci alınamıyor. ADSync hizmetinin Sync_DC01-2016_588c77bd8651@exoip365.onmicrosoft.com kimliğini doğrulamak için masaüstüyle etkileşime girmesine izin verilmiyor. Bu hata, senkronizasyon hesabı için çok faktörlü veya diğer etkileşimli kimlik doğrulama ilkelerinin yanlışlıkla etkinleştirilmesi durumunda ortaya çıkabilir.

AD Connect senkronizasyonunun başarısız olmasına yönelik çözüm

Azure AD MFA'yı uyguladıktan sonra AD Connect senkronizasyonunun bozulmasına yönelik çözüm, Azure AD Connect Eşitleme Hesabını Azure AD MFA'dan hariç tutmaktır.

Azure AD Connect Eşitleme Hesabı gibi hizmet hesapları, belirli bir kullanıcıya bağlı olmayan, etkileşimli olmayan hesaplardır. Genellikle uygulamalara programlı erişime izin veren arka uç hizmetler tarafından kullanılırlar, ancak aynı zamanda yönetim amacıyla sistemlerde oturum açmak için de kullanılırlar. MFA programlı olarak tamamlanamadığından bunun gibi hizmet hesapları hariç tutulmalıdır.

Azure AD senkronizasyon hesabını bulun

Bir önceki adımda incelediğimiz event log hatasında Azure MFA’dan hariç tutmanız gereken hesabı kopyalayabilirsiniz.

Hesabı Senkronizasyon Hizmet Yöneticisi'nde kontrol etmek istiyorsanız Bağlayıcılar'ı tıklayın. Windows Azure Active Directory (Microsoft) türüne tıklayın. Özellikler'i tıklayın.

Bağlantı'yı tıklayın ve KullanıcıAdı'nı bulun.

Devamını oku: Azure AD Connect hesaplarını bulun »

Azure AD Connect Eşitleme Hesabı için MFA'yı hariç tutun

Microsoft Azure'da oturum açın. Menüyü açın ve Azure Active Directory > Güvenlik > Koşullu Erişim'e göz atın. Kullanıcı hesapları için MFA'yı zorunlu kılan Koşullu Erişim politikasını düzenleyin.

Bu örnekte, Tüm kullanıcılar MFA politikasıdır.

Devamını oku: Azure AD Çok Faktörlü Kimlik Doğrulamasını Yapılandırma »

Atamalar'ın altında, Kullanıcılar ve gruplar'ı tıklayın ve Hariç tut'u seçin. Kullanıcılar ve gruplar onay kutusunu işaretleyin. Önceki adımda kopyaladığınız senkronizasyon hesabını bulun. Politikanın Açık olduğundan emin olun ve Kaydet'i tıklayın.

Azure AD Connect senkronizasyon durumunu doğrulayın

En fazla 30 dakika bekleyebilirsiniz veya bu kadar uzun süre beklemek istemiyorsanız Azure AD Connect'i PowerShell ile eşitlemeye zorlayın.

PS C:\> Import-Module ADSync
PS C:\> Start-ADSyncSyncCycle -PolicyType Delta

Başlangıç zamanı ve bitiş zamanı 19.04.2021 olarak değiştirildi.

Yeşil, Microsoft 365 yönetim merkezinde Azure AD Connect senkronizasyonunu kontrol eder.

Bu, Koşullu Erişim MFA'sını yapılandırdıktan sonra bozulan Azure AD Connect senkronizasyonunu düzeltmenize yardımcı oldu mu?

Okumaya devam edin: PowerShell ile kullanıcıları gruba ekleyin »

Çözüm

Azure AD Multi-Factor Authentication'ı uyguladıktan sonra Azure AD Connect senkronizasyon hizmetinin senkronizasyonu neden durdurduğunu öğrendiniz. Bunun nedeni, Azure AD Connect Eşitleme Hesabında MFA'nın etkinleştirilmesidir. Azure AD Connect Eşitleme Hesabını Azure Koşullu Erişim ilkesinden hariç tuttuğunuzda eşitlemeye başlayacaktır.

Daha iyi bir yol, MFA Dışı adlı bir güvenlik grubu oluşturmak ve Azure AD Connect Eşitleme Hesabını üye olarak eklemektir. Bu şekilde, gelecekte başka hizmet hesapları eklemeniz gerekirse, onu düzenli tutabilirsiniz.

Bu makaleyi beğendiniz mi? Ayrıca PowerShell ile Azure AD'ye bağlanmayı da beğenebilirsiniz. Bizi takip etmeyi ve bu yazımızı paylaşmayı unutmayın.

İlgili makaleler