Microsoft Entra Cloud Sync là dịch vụ đồng bộ danh tính (Identity Synchronization) thế hệ mới của Microsoft, giúp đồng bộ User, Group và Contact từ Active Directory (AD) on-premises lên Microsoft Entra ID (trước đây là Azure AD) theo mô hình quản lý trên nền tảng đám mây
Hiện nay Microsoft Entra Cloud Sync đã hỗ trợ Device Sync, cho phép đồng bộ computer objects từ Active Directory lên Microsoft Entra ID để thiết bị có thể trở thành Microsoft Entra Hybrid Joined. Trước đây, đây là một hạn chế lớn khiến nhiều doanh nghiệp vẫn phải duy trì Entra Connect Sync.
Trước đây nếu muốn Hybrid Azure AD Join (nay là Microsoft Entra Hybrid Join), doanh nghiệp thường phải sử dụng Microsoft Entra Connect Sync. Hiện nay Cloud Sync đã hỗ trợ Device Sync, cho phép đồng bộ Computer Object từ AD DS lên Entra ID thông qua tác vụ AD2AADDeviceSync. Sau khi đồng bộ, thiết bị có thể trở thành Entra Hybrid Joined. Device Sync bị tắt mặc định và cần được bật trong cấu hình Cloud Sync.
Mô hình triển khai:
- Một máy Windows server 2022/2025 đã promote thành domain controller
- Máy client Windows 11 đã join domain
Các bước triển khai:
- Chuẩn bị môi trường triển khai
- Cài Microsoft Entra Provisioning Agent.
- Cấu hình AD to Microsoft Entra ID Cloud Sync.
- Cấu hình Service Connection Point (SCP) trong Active Directory.
- Enable Device Sync trong Cloud Sync configuration.
- Kiểm tra Device Sync
Task 1. Chuẩn bị môi trường triển khai
- Tại máy Domain controller, vào run dsa.msc tạo OU là Marketing, trong OU Marketing Tạo 2 OU Devices và Client Marketing
- Tạo 2 User AdMarketing1 và AdMarketing2 trong OU User Marketing
- Move máy Windows 11 đã join domain vào OU Devices
4. Tại máy Domain controller, Vào Server Manager, chọn Tool, chọn Active Directory Domains and Trusts
5. Của sổ Active Directory Domains and Trusts, phải chuột vào Active Directory Domains and Trusts, chọn Properties.
6. Màn hình UPN Suffixes, trong phần Alternative UPN suffixes: nhập vào locchung.click (Tên custom domain của bạn đã thêm vào Office 365), ấn Add, và OK
(Nếu domain public và domain local giống nhau thì bỏ qua bước 4 – bước 6)
7. Cũng tại máy Domain controller, Vào Start, phải chuột vào Windows PowerShell, chọn Run as administrator.
8. Tại Windows PowerShell thực hiện lệnh sau để đổi tất cả các user trong OU User Marketing từ User@locchung.local sang user@locchung.click
Get-ADUser -Filter * -SearchBase “ou=User Marketing,Ou=Marketing,dc=locchung,dc=local” -Properties SamAccountName | foreach { Set-ADUser $_ -UserPrincipalName ($_.SamAccountName + “@locchung.click” )}
9. Vào Run gõ lệnh DSA.MSC, phải chuột vào user AdMarketing1 chọn properties, chọn tab Account, kiểm tra xem đã chuyển sang @locchung.click (tên customdomain của bạn)
10. Vào Run: GPMC.MSC, cửa sổ Group policy management, chọn Forest\domain\tên domain local, phải chuột vào Default domain policy, chọn Edit
11. Cửa sổ Group policy management editor, Chọn Computer management\Policies\Windows Settings\Security Settings\Account Policies\Password Policy
12. Set Minimum Password age = 0
13. Để cấu hình Automatic Enrollment, enroll device vào Microsoft intune, bạn vào Computer management\Policies\Administrative Templates\Windows Components\MDM
14. Chọn Enable automatic MDM enrollment using default Azure AD credentials --> chọn Enable và chọn User Credential
15. Run: GpUpdate /force
Task 2. Cài Microsoft Entra Provisioning Agent.
1. Tại máy domain controller vào trình duyệt truy cập vào trang entra.microsoft.com bằng user GlobalAdmin@locchung.click (User Global admin của bạn)
2.Màn hình Microsoft Entra Admin Center vào menu trái chọn Entra ID\Entra Connect.
3.Tại màn hình Microsoft Entra Connect, menu trái chọn Get Started chọn tab Manage, trong phần Manage from the cloud: Cloud Sync, chọn Download Provisioning Agent.
4.Ấn Accept Terms & Download, chờ download file AADConnectProvisioningAgentSetup.exe xong
5. Thực thi file AADConnectProvisioningAgentSetup.exe trên máy domain controller.
6. Màn hình Microsoft Entra Provisioning Agent package , chấp nhận licensing, ấn Install.
7. Màn hình Welcome to the Microsoft Entra Provisioning Agent Configuration Wizard , ấn Next.
8. Màn hình Connect Microsost Entra ID nhập user name và password của Hybrid Identity Admin (AdminHybrid@locchung.click)
9. Màn hình Configure Service Account, chọn option Create gMSA và nhập:
- Domain Admin Username: têndomainlocal\administrator
- Password: Password của domain local
- ấn OK, ấn next
10. Màn hình Connect Active Directory ấn next.
11.Màn hình Agent Configuration, ấn Confirm, chờ cấu hình Agent xong, ấn Exit
Task 3. Cấu Hình AD to Microsoft Entra ID Cloud Sync
- Vào trình duyệt, login vào trang https://entra.microsoft.com/ bằng User Global Admin
- Trong phần Entra ID, chọn Entra Connect\Cloud Sync
- Màn hình Cloud Sync, Chọn New Configuration và chọn AD to Microsoft Entra ID sync
4. Màn hình New cloud sync configuration, chọn tên domain local ấn Create.
18. Màn hình Domain local, menu trái chọn Scoping Filers, chọn option Selected Organizational Units và nhập vào Distinguished name of object như sau và ấn Add, và ấn Save:
OU=Marketing,DC=locchung,dc=local
19. Cũng tại màn hình Domain local, menu trái chọn Overview, chọn Review and enable, và ấn Enable configuration
20. Màn hình Microsoft Entra Admin Center vào menu trái chọn Users\All Users, Kiểm tra user đã sync với Entra ID.
21. Gán license cho user vừa Sync lên Entra ID
Task 4. Cấu hình Service Connection Point (SCP) trong Active Directory.
Service Connection Point (SCP) là gì?
SCP là một đối tượng trong Active Directory chứa thông tin về Tenant Microsoft Entra ID. Khi máy tính domain-joined khởi động, nó sẽ đọc SCP để biết phải đăng ký Hybrid Join với tenant nào. Device Sync bằng Cloud Sync yêu cầu SCP được cấu hình trong mỗi forest chứa các máy tính domain-joined.
- Tải Script SCP và lưu thành file ConfigureSCP.ps1 lưu vào C:\SCP trên máy domain controller. (Tôi nghĩ sau này Microsoft sẽ tích hợp SCP vào Microsoft Entra Provisioning Agent)
- Tại máy domain controller, Run as Administrator Powershell thực thi lệnh sau: (thay locchung.click bằng domain public của bạn)
Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -force
.\ConfigureSCP.ps1 -domain locchung.click -tenantid <tenantID của bạn>
(Nếu bị lỗi thì thực thi lệnh: Unblock-File C:\SCP\ConfigureSCP.ps1 sau đó thực hiện lại lệnh trên )
3. Thực thi lệnh sau đễ kiểm tra SCP (thay DC=locchung,DC=local bằng domain local của bạn)
Get-ADObject -Identity “CN=62a0ff2e-97b9-4513-943f-0d221bd30080,CN=Device Registration Configuration,CN=Services,CN=Configuration,DC=locchung,DC=local” -Properties keywords
Task 5 Enable Device Sync trong Cloud Sync configuration
- Trở lại Microsoft Entra Admin Center, Trong phần Entra ID, chọn Entra Connect\Cloud Sync.
- Chọn cấu hình AD to Microsoft Entra ID mà bạn đã tạo trước đó
- Menu trái chọn Overview, chọn tab Properties, chọn edit (icon bút chì)
- Chọn Enable device sync ấn Apply.
(Lưu ý: Các Device đã được move vào OU khai báo trong Scoping filters)
Task 6 Kiểm tra Device Sync
- Tại Microsoft Entra Admin Center, Trong phần Entra ID, chọn Devices\All Devices, quan sát thấy Windows 11 join domain local đã được sync lên Entra ID thành Microsoft Entra hybrid joined
2. Logon vào máy Windows 11 bằng domain local user đã sync entra ID và có license.
3. Vào Run: CMD, và thực thi lệnh DsRegCmd /status quan sát các giá trị:
- AzureAdJoined: YES
- DomainJoined: YES
Máy đã Hybrid Microsoft Entra Joined chờ vài phút để device enroll vào intune
4. Truy cập vào https://intune.microsoft.com/, Chọn Devices\All Devices kiểm tra thiết bị đã đăng ký vào Intune.
Bạn đã dùng Entra Cloud Sync đồng bộ computer objects từ Active Directory lên Microsoft Entra ID và thiết bị đã trở thành Microsoft Entra Hybrid Joined. Thành công.
Lab Microsoft 365 Endpoint Module 03