Synchronizacja Microsoft Entra ID z lokalnym Active Directory pozwala pracownikom logować się jednym kontem zarówno do zasobów lokalnych, jak i chmurowych.

Na czym polega ta usługa

Konfiguracja obejmuje ustawienie synchronizacji tożsamości między lokalnym Active Directory a Microsoft Entra ID oraz przetestowanie poprawności logowania.

Dla kogo ma sens

Usługa jest przydatna dla firm z lokalnym Active Directory, które chcą połączyć je z tożsamością w chmurze Microsoft.

Ile to trwa

Konfiguracja synchronizacji tożsamości mieści się z reguły w standardowym czasie do 3 dni.

Warunki

Diagnoza wstępna i wycena są bezpłatne, a usługa objęta jest gwarancją do 12 miesięcy.

Architektura i warianty synchronizacji tożsamości

Integracja lokalnego środowiska domenowego z chmurą Microsoft opiera się na stworzeniu tożsamości hybrydowej (model zarządzania, w którym jedno konto użytkownika funkcjonuje w zasobach lokalnych oraz w usługach chmurowych). W zależności od skali infrastruktury, topologii sieci oraz wymagań bezpieczeństwa stosuje się różne narzędzia i metody uwierzytelniania.

Podstawowym narzędziem wdrożeniowym jest Microsoft Entra Connect Sync (aplikacja instalowana na lokalnym serwerze z systemem Windows Server, która odpowiada za cykliczne przesyłanie zmian w obiektach użytkowników, grup i kontaktów do chmury). W nowszych lub bardziej rozproszonych środowiskach wielodomenowych alternatywą jest Microsoft Entra Cloud Sync (lekki model synchronizacji wykorzystujący niewielkich agentów instalowanych lokalnie, których konfiguracja i reguły mapowania są zarządzane bezpośrednio z portalu chmurowego).

W ramach konfiguracji tożsamości hybrydowej wdraża się jeden z trzech głównych modeli uwierzytelniania:

PHS (Password Hash Synchronization, czyli synchronizacja skrótów haseł polegająca na jednokierunkowym, wielokrotnie szyfrowanym przesyłaniu matematycznego skrótu hasła z lokalnego kontrolera domeny do bazy Microsoft Entra ID). Jest to rozwiązanie najbardziej odporne na awarie łączy internetowych, ponieważ pozwala użytkownikom logować się do usług chmurowych nawet wtedy, gdy lokalny serwer jest niedostępny.
PTA (Pass-through Authentication, czyli uwierzytelnianie przekazywane, w którym hasła nigdy nie trafiają do chmury w żadnej postaci). Weryfikacja poświadczeń odbywa się w czasie rzeczywistym przez lokalnych agentów zainstalowanych wewnątrz sieci firmowej, co wymusza stałą dostępność lokalnych kontrolerów domeny.
Federacja tożsamości z wykorzystaniem AD FS (Active Directory Federation Services, czyli usługi federacyjne Active Directory realizujące logowanie za pośrednictwem dedykowanych serwerów proxy i serwerów federacyjnych). Model ten jest stosowany w organizacjach o specyficznych wymaganiach dotyczących kart inteligentnych lub niestandardowych systemów uwierzytelniania zewnętrznego.

Dla każdego z tych wariantów możliwe jest uruchomienie funkcji Seamless SSO (Single Sign-On, czyli pojedyncze logowanie bez konieczności ponownego wpisywania poświadczeń). Mechanizm ten wykorzystuje bilety protokołu Kerberos (sieciowy protokół uwierzytelniania oparty na zaufanych biletach kryptograficznych), dzięki czemu pracownik zalogowany do komputera firmowego uzyskuje automatyczny dostęp do aplikacji Microsoft 365 oraz portalu firmowego bez monitów o login i hasło.

Wymagania wstępne i przygotowanie lokalnego katalogu Active Directory

Przed instalacją oprogramowania synchronizującego konieczne jest przeprowadzenie audytu i uporządkowanie lokalnej bazy Active Directory (katalogowa baza danych przechowująca informacje o kontach, grupach i uprawnieniach w sieci lokalnej). Zaniedbania w tym obszarze prowadzą do błędów synchronizacji lub powstawania zduplikowanych kont w chmurze.

Kluczowym elementem przygotowawczym jest weryfikacja prefiksów UPN (User Principal Name, czyli główna nazwa użytkownika w formacie loginu przypominającego adres poczty elektronicznej). Lokalne domeny często funkcjonują pod nieroutowalnymi nazwami z końcówkami takimi jak .local czy .lan. Usługi chmurowe wymagają, aby nazwa logowania odpowiadała zarejestrowanej i zweryfikowanej domenie publicznej firmy. Wdrożenie obejmuje dopisanie właściwego sufiksu UPN w konsoli domen i relacji zaufania oraz masową aktualizację atrybutów kont pracowników.

Do wykrywania potencjalnych problemów wykorzystuje się narzędzie Microsoft IdFix (oficjalny program skanujący bazę katalogową pod kątem niedozwolonych znaków, błędnych formatów oraz zduplikowanych wartości atrybutów). Kontroli podlegają w szczególności atrybuty mail (podstawowy adres pocztowy) oraz proxyAddresses (atrybut przechowujący wszystkie aliasy pocztowe przypisane do tożsamości).

Niezbędne jest również prawidłowe określenie kotwicy źródłowej Source Anchor (niezmienny atrybut jednoznacznie identyfikujący dany obiekt w całym cyklu jego istnienia). Standardowo stosuje się atrybut mS-DS-ConsistencyGuid (unikalny ciąg binarny zapisywany w lokalnym obiekcie), który jest tłumaczony na atrybut ImmutableID (niezmienny identyfikator tożsamości w Microsoft Entra ID). Prawidłowe powiązanie tych parametrów zapobiega rozłączeniu kont podczas migracji serwerów lub zmian organizacyjnych.

W ramach higieny środowiska ustala się reguły filtrowania zakresu synchronizacji. Zamiast przesyłać całe drzewo katalogu, synchronizację zawęża się do wybranych OU (Organizational Unit, czyli jednostka organizacyjna służąca do logicznego porządkowania obiektów w domenie). Wyklucza się w ten sposób konta techniczne, konta testowe oraz zasoby wycofane z eksploatacji.

Typowe błędy i pułapki podczas samodzielnej konfiguracji

Próby samodzielnego uruchomienia synchronizacji tożsamości bez wcześniejszego audytu często skutkują zakłóceniami w bieżącym funkcjonowaniu poczty i aplikacji biurowych. Do najczęściej spotykanych problemów należą:

Konflikty atrybutów unikalnych, gdy w chmurze istnieje już konto z takim samym adresem e-mail lub aliasem w polu proxyAddresses jak konto tworzone lokalnie. Silnik synchronizacji zatrzymuje wtedy przetwarzanie danego obiektu i generuje błąd w konsoli administracyjnej.
Błędne łączenie tożsamości podczas próby przejścia z modelu chmurowego na hybrydowy. Niewłaściwe zastosowanie mechanizmu Soft Match (dopasowanie miękkie oparte na zgodności adresu e-mail i loginu) zamiast Hard Match (dopasowanie twarde oparte na precyzyjnym powiązaniu identyfikatora ImmutableID) może doprowadzić do utworzenia kont zduplikowanych z dopiskiem losowego ciągu znaków.
Synchronizacja uprzywilejowanych kont administracyjnych, takich jak Domain Admins (członkowie grupy administratorów domeny lokalnej). Konta z najwyższymi uprawnieniami w sieci lokalnej nie powinny być synchronizowane do chmury, aby ograniczyć wektory ataków i uniknąć przejęcia tożsamości.
Brak wyodrębnionych kont awaryjnych typu break-glass (konta w chmurze z rolą Global Administrator, które nie podlegają synchronizacji i posiadają niezależne metody uwierzytelniania). W przypadku awarii serwera synchronizacji lub problemów z lokalnym kontrolerem brak takiego konta uniemożliwia zarządzanie dzierżawą chmurową.
Niepoprawna konfiguracja funkcji Password Writeback (zwrotne zapisywanie haseł pozwalające na zmianę lub reset hasła w chmurze z natychmiastową aktualizacją w lokalnym Active Directory). Funkcja ta wymaga odpowiednich uprawnień konta synchronizującego MSOL w lokalnym drzewie uprawnień oraz odpowiedniego poziomu licencjonowania.
Brak monitorowania cyklu synchronizacji, co prowadzi do sytuacji, w której usunięcie lub zablokowanie konta pracownika w biurze nie replikuje się do chmury przez wiele dni z powodu zawieszenia usługi systemowej.

Kiedy tożsamość hybrydowa nie jest właściwym rozwiązaniem

Synchronizacja za pomocą Microsoft Entra Connect nie zawsze stanowi optymalny wybór dla każdego przedsiębiorstwa. Warto odróżnić model hybrydowy od scenariuszy alternatywnych:

W przypadku nowo powstających firm lub oddziałów pozbawionych lokalnych serwerów plików i aplikacji bazodanowych lepszym wyborem jest Microsoft Entra ID Join (dołączanie stacji roboczych bezpośrednio do chmury Microsoft). Eliminuje to konieczność zakupu, utrzymania i zabezpieczania lokalnego serwera fizycznego z systemem Windows Server.

Innym scenariuszem jest Microsoft Entra Domain Services (zarządzana usługa domenowa w chmurze dostarczająca protokoły Kerberos, NTLM oraz LDAP bez potrzeby zarządzania maszynami wirtualnymi z rolą kontrolera domeny). Sprawdza się ona w sytuacjach, gdy aplikacje przenoszone są do chmury i wymagają tradycyjnego uwierzytelniania domenowego, ale firma chce całkowicie zrezygnować z infrastruktury lokalnej.

Należy także odróżnić synchronizację samych tożsamości użytkowników od mechanizmu Hybrid Microsoft Entra ID Join (stan, w którym komputery są jednocześnie członkami domeny lokalnej oraz zarejestrowanymi urządzeniami w usłudze chmurowej). Rejestracja komputerów jest osobnym procesem technicznym wymagającym właściwych punktów SCP (Service Connection Point, czyli punkt połączenia z usługą publikowany w konfiguracji domeny lokalnej).

Mechanizmy bezpieczeństwa w środowisku hybrydowym

Uruchomienie synchronizacji tożsamości stanowi punkt wyjścia do wdrożenia zaawansowanych polityk ochrony tożsamości w całej strukturze informatycznej przedsiębiorstwa.

Ważnym elementem jest Password Protection (mechanizm ochrony haseł w Active Directory integrujący lokalne kontrolery domeny z globalną listą zablokowanych haseł Microsoft oraz niestandardową listą słów zabronionych w firmie). Agenci zainstalowani na kontrolerach domeny sprawdzają hasła w momencie ich zmiany, uniemożliwiając pracownikom ustawianie prostych, przewidywalnych kombinacji znaków.

Po zsynchronizowaniu tożsamości wdraża się zasady Conditional Access (dostęp warunkowy oparty na regułach analizujących kontekst logowania, takich jak adres IP, stan zgodności urządzenia ze standardami bezpieczeństwa czy poziom wykrytego ryzyka). W ramach tych reguł wymusza się stosowanie MFA (Multi-Factor Authentication, czyli uwierzytelnianie wieloskładnikowe wymagające potwierdzenia w aplikacji mobilnej lub za pomocą klucza sprzętowego).

Dodatkowo konfiguruje się usługę SSPR (Self-Service Password Reset, czyli funkcja samodzielnego resetowania haseł przez pracowników). W połączeniu z funkcją Password Writeback pozwala to pracownikom na bezpieczną zmianę zapomnianego hasła z poziomu przeglądarki internetowej bez angażowania personelu technicznego, przy zachowaniu pełnej spójności z lokalnym kontrolerem domeny.

Do stałego nadzoru nad procesem wymiany danych wykorzystuje się Microsoft Entra Connect Health (narzędzie chmurowe monitorujące stan techniczny agentów synchronizacji, kontrolerów domeny oraz serwerów federacyjnych, wysyłające powiadomienia o anomaliach i przestojach).

Najczęściej zadawane pytania dotyczące synchronizacji

Czy zmiana hasła na komputerze w biurze natychmiast zmienia hasło w usługach Microsoft 365?

W przypadku konfiguracji z Password Hash Synchronization (PHS) zmiana hasła w lokalnym systemie Windows jest wykrywana przez agenta i przesyłana do chmury w ciągu kilkunastu do kilkudziesięciu sekund. W przypadku Pass-through Authentication (PTA) zmiana jest widoczna natychmiast, ponieważ weryfikacja logowania w chmurze zawsze odpytuje bezpośrednio lokalny kontroler domeny.

Co się stanie z dostępem do poczty i chmury w razie awarii lokalnego serwera lub łącza internetowego?

Jeśli wdrożono model PHS (synchronizacja skrótów haseł), pracownicy zachowują pełny dostęp do poczty elektronicznej, dysków chmurowych i aplikacji webowych, ponieważ kopie skrótów haseł znajdują się w bezpiecznej infrastrukturze Microsoft. W przypadku modelu PTA brak łączności z lokalnym serwerem zablokuje możliwość logowania do zasobów chmurowych do czasu przywrócenia połączenia lub przełączenia trybu uwierzytelniania.

Czy synchronizacja tożsamości wymaga dedykowanego serwera fizycznego?

Nie ma konieczności instalowania oprogramowania na osobnym serwerze fizycznym. Narzędzie synchronizujące może działać na maszynie wirtualnej z systemem Windows Server lub na istniejącym serwerze członkowskim w domenie. W mniejszych środowiskach dopuszcza się instalację na kontrolerze domeny, choć w większych sieciach zaleca się odseparowanie tej roli na osobną instancję systemu.

Czym różni się konto zsynchronizowane od konta utworzonego bezpośrednio w chmurze?

Konto zsynchronizowane posiada swój nadrzędny punkt zarządzania (Authority of Source) w lokalnym Active Directory. Oznacza to, że edycja danych osobowych, przynależności do grup czy zmiana loginu musi być wykonywana w lokalnej konsoli administracyjnej, po czym zmiany są replikowane do chmury. W przypadku konta czysto chmurowego wszelkie modyfikacje wykonuje się bezpośrednio w portalu Microsoft Entra ID.

Czy synchronizacja usuwa pliki lub profile użytkowników na stacjach roboczych?

Proces konfiguracji synchronizacji tożsamości ingeruje wyłącznie w mechanizmy uwierzytelniania i atrybuty w bazach katalogowych. Nie modyfikuje on lokalnych plików na dyskach twardych, nie usuwa dokumentów ani nie niszczy istniejących profili użytkowników w systemie Windows na stacjach roboczych.

Prawidłowe zaplanowanie i wdrożenie tożsamości hybrydowej

Wdrożenie integracji między lokalnym katalogiem Active Directory a Microsoft Entra ID wymaga rzetelnego przygotowania bazy tożsamości, dopasowania mechanizmów uwierzytelniania do profilu działalności firmy oraz zabezpieczenia kont administracyjnych. Wszystkie prace konfiguracyjne, audyt parametrów domenowych oraz wdrożenie bezpiecznych zasad dostępu realizujemy bezpośrednio w infrastrukturze klienta, zapewniając dojazd na terenie Warszawy oraz okolicznych powiatów.

22 378 48 09

Microsoft Entra ID — konfiguracja i synchronizacja z lokalnym Active Directory