… avagy ADFS és jelszó szinkronizáció egyszerre.
ADFS-t csak teljesen megbízható az infrastruktúrára alapozva érdemes használni Office 365-el. Ehhez 5 szerver kell ( 2 proxy a DMZ-ben, 2 ADFS szerver, ADSync ). Célszerű, hogy a szerverekből legalább kettő fizikailag különböző helyen legyen, lehetőleg nem ugyanabban az épületben és az internet kapcsolatunk is jó, ha redundáns. Valami ilyesmit kell építenünk, ha biztosra szeretnénk menni:
Manapság, már nem mindig érdemes ADFS infrastruktúrát építeni, hiszen ha csak jelszó szinkronizálásra van szükség elég az AAD Sync. Viszont ez nem igazi egyszeri bejelentkezés, csak és kizárólag arra jó, hogy a helyi AD-s jelszavakkal be tudjunk jelentkezni az Azure AD-ba. Ha szeretnénk pl. a helyi AD-hoz kapcsolt tokenes megoldást használni, rögtön ADFS-re van szükség.
Egy szónak is száz a vége, az ADFS jó bonyolult és ha nem működik, nem tud majdnem senki bejelentkezni az Office 365-be. Mivel az Office 365-től nagy rendelkezésre állást várunk el, ha ADFS-t használunk, gyakorlatilag a helyi ADFS rendelkezésre állásának a szintjére visszük le az Office 365-ét is. Pedig az geo redundáns meg minden.
Szerencsére lehet mentésünk:
Immár be tudjuk kapcsolni a jelszó szinkronizálást az AAD Sync-ben (DirSync), akkor is, ha az ADFS aktív. Ez viszonylag egyszerű.
Mit kell tennünk, ha nem megy az ADFS és gyors átmeneti megoldás kell? ( Pl. ADFS upgrade-nél )
- Nyugodjunk le J
- Ha még nem tettük meg, kapcsoljuk be a jelszó szinkronizálást és futtassunk egy szinkronizálást az AAD Sync-ben.
-
$cred = Get-Credential
Connect-MsolService –Credential $cred
Set-MsolAdfscontext -Computer <AD FS szerver>
Convert-MSOLDomainToStandard –DomainName domainnev.hu –SkipUserConversion $true
Fontos, hogy ne olyan felhasználóval jelentkezzünk be, aki a federált tartományban van. Ha nem felhős felhasználóval lépünk be, a következő hibaüzenetet fogjuk kapni:
Convert-MSOLDomainToStandard : When converting domains, please sign in using the initial company administrator credentials (user name and password).
A tartomány átállítás be fogunk tudni jelentkezni ADFS infrastruktúra nélkül az Office 365-be a hely AD jelszóval. Fontos, hogy bár amikor próbáltam nekem azonnali volt, de elképzelhető, hogy akár 2 óra is lehet az átállás. Ne alapozzon erre senki, de ha mégis baj van, jól jöhet.
Az átállítás után NE módosítsuk a következő AD attribútumokat:
UserPrincipalNames
ImmutableIds
Miután megjavítottuk az ADFS infrastruktúrát, a tartományt visszaállíthatjuk federált állapotba és minden megy tovább a régiben.