Microsoft Entra ID to Active Directory Provisioning là tính năng mới của Microsoft Entra Cloud Sync cho phép tự động đồng bộ và khởi tạo User, Group từ Microsoft Entra ID (Cloud-managed User) xuống hệ thống Active Directory Domain Services (On-premises Active Directory).
Đây chính là kiến trúc hiện đại cho mô hình Cloud-managed User và On-Prem Resource Access. Nhiều doanh nghiệp hiện nay đang chuyển dịch sang mô hình quản lý danh tính ưu tiên đám mây (Cloud-first). Họ tạo tài khoản người dùng trực tiếp trên Microsoft Entra ID. Tuy nhiên, ở văn phòng, họ vẫn có những ứng dụng cũ, máy in, hay file server nội bộ bắt buộc phải xác thực qua Active Directory truyền thống. Tính năng Microsoft Entra ID to AD chính là cầu nối giải quyết khoảng trống đó.
Tính năng này hoạt động thông qua một công cụ gọn nhẹ gọi là Microsoft Entra Provisioning Agent (Cloud Sync) cài đặt trên server Windows của doanh nghiệp. Agent này đóng vai trò kết nối an toàn, nhận lệnh từ Entra ID để thực hiện các thao tác thêm/xóa/sửa tài khoản trực tiếp trên Active Directory mà không cần mở các cổng bảo mật phức tạp inbound từ internet vào mạng nội bộ.
Lưu ý: Tại thời điểm viết bài này, User được provision xuống AD không hỗ trợ Password Writeback và không thể đăng nhập Domain local bằng password Entra ID.
User được provision từ Entra sẽ truy cập SMB/File Server bằng Windows Hello for Business + Cloud Kerberos Trust mà không cần mật khẩu AD truyền thống.
Mô hình triển khai:
- Một máy Windows server 2019/2022/2025 đã promote thành domain controller
- Máy client Windows 11 đã join entra ID
- Đã cài Microsoft Entra Provisioning Agent và cấu hình AD to Microsoft Entra ID Cloud Sync. (xem bài Devices Sync với entra Cloud Sync)
- Có Microsoft Entra ID P1 hoặc cao hơn
Các bước triển khai:
- Chuẩn bị môi trường triển khai
- Cấu hình Microsoft Entra ID to AD
- Kiểm tra User Provisioning
- Triển khai Cloud Kerberos Trust
- Triển khai Windows Hello for Business
- Kiểm tra Truy cập SMB/File Server bằng Cloud User
Task 1. Chuẩn bị môi trường triển khai
- Tại máy Domain controller, vào run dsa.msc tạo OU là CloudUser, OU này sẽ chứa các cloud user từ Entra ID
2. Vào trình duyệt, login vào trang https://entra.microsoft.com/ bằng User Global Admin
3. Trong phần Entra ID, chọn Groups\New Group tạo security group với tên Sync to AD, chứa các cloud user cần provision từ Entra ID xuống AD.
Task 2. Cấu hình Microsoft Entra ID to AD
- Vào trình duyệt, login vào trang https://entra.microsoft.com/ bằng User Global Admin
- Trong phần Entra ID, chọn Entra Connect\Cloud Sync
- Màn hình Cloud Sync, Chọn New Configuration và chọn Microsoft Entra ID to AD sync
4. Màn hình New Microsoft Entra ID to AD sync configuration, chọn tên domain local ấn Create.
5. Màn hình Domain local, menu trái chọn Scoping Filers, và ấn Edit
6. Tại tab Scope Settings, trong phần User và Group chọn Enabled (provision cả user và Group) ấn Next
7. Tại tab Scope by Assignment, chọn Selected users and groups ấn Next
8. Tại tab Select users and groups, chọn Add User/Group, chọn Group Sync to AD ấn Select, ấn Next.
9. Tại tab Scope by Attribute ấn Next (không cấu hình lọc theo attribute)
10. Tại tab Configure group membership, không chọn checkbox Provision membership to on-premises users ấn Next.
11. Tại tab Configure target container, trong phần User target container ấn Edit attribute mapping.
12. Cửa sổ Edit user target container attribute mapping, nhập các thông tin sau:
- Mapping type : chọn Constant
- Constant value : OU=CloudUser,DC=locchung,dc=local
- Ấn Apply ( User từ Entra ID Provision vào OU CloudUser của AD)
13. Trở lại tab Configure target container, trong phần Group target container ấn Edit attribute mapping.
14. Cửa sổ Edit Group target container attribute mapping, nhập các thông tin sau:
- Mapping type : chọn Constant
- Constant value : OU=CloudUser,DC=locchung,dc=local
- Ấn Apply ( Group từ Entra ID Provision vào OU CloudUser của AD)
15. Trở lại tab Configure target container, ấn Next, Save
16. Cũng tại màn hình Domain local, menu trái chọn Overview, chọn Review and enable, và ấn Enable configuration
Task 3 Kiểm tra User Provisioning
- Tại máy Domain controller, vào run dsa.msc chọn OU CloudUser, kiểm tra xem User và Group đã được Provision xuống AD chưa (có thể phải chờ vài phút)
Task 4 Triển khai Cloud Kerberos Trust
Cloud Kerberos Trust là mô hình xác thực của Microsoft cho phép người dùng đăng nhập bằng Windows Hello for Business (WHfB) hoặc FIDO2 security keys nhưng vẫn truy cập được các tài nguyên on-premises sử dụng Kerberos/Active Directory mà không cần mật khẩu hoặc hạ tầng PKI phức tạp.
Cloud Kerberos Trust hiện được Microsoft khuyến nghị cho các triển khai Windows Hello for Business trong môi trường hybrid vì đơn giản hơn và hỗ trợ tốt chiến lược passwordless.
Sau đây là các bước triển khai Cloud Kerberos Trust:
- Tại máy domain controller vào PowerShell (Run as Administrator) thực thi lệnh sau để cài module, ấn Y khi có yêu cầu:
- Install-Module AzureADHybridAuthenticationManagement -Force
- Import-Module AzureADHybridAuthenticationManagement
- Get-Command *Kerberos*
2. Tiếp tục thực thi các lệnh sau để tạo Azure AD Kerberos Server Object:
- $domain = $env:USERDNSDOMAIN
- $cloudCred = Get-Credential -Message ‘An Active Directory user who is a member of the Hybrid Identity Administrators group for Microsoft Entra ID.’ (Cung cấp user và password của Hybrid Identity Administrator)
- $domainCred = Get-Credential -Message ‘An Active Directory user who is a member of the Domain Admins group and an Enterprise Admin for the forest.’ (Cung cấp user và password của Enterprise Administrator domain local)
- Set-AzureADKerberosServer -Domain $domain -CloudCredential $cloudCred -DomainCredential $domainCred
3. Tại máy domain controller vào Run: DSA.MSC, chọn Domain Controller, kiểm tra thấy có AzureADKerberos
4. Hay có thể trở lại powerShell thực thi lệnh sau để kiểm tra
Get-ADObject -LDAPFilter “(cn=AzureADKerberos*)”
Task 5 Triển khai Windows Hello for Business
Windows Hello for Business (WHfB) là giải pháp xác thực mạnh của Microsoft cho phép người dùng đăng nhập Windows bằng:
- PIN
- Vân tay
- Nhận diện khuôn mặt
- Security Key (FIDO2)
thay vì sử dụng mật khẩu truyền thống.
Điểm quan trọng là PIN của Windows Hello không phải mật khẩu được lưu cục bộ. PIN chỉ mở khóa cặp khóa mật mã (cryptographic key pair (public/private key)) được tạo trên thiết bị, giúp giảm đáng kể nguy cơ lộ mật khẩu hoặc tấn công phishing.
Sau đây là các bước triển khai Windows Hello for Business:
- Truy cập vào https://intune.microsoft.com/, bằng quyền Global admin, Chọn Devices\ Enrollment \Windows Hello for Business, trong phần Configure Windows Hello for Business chọn Enable. (Các giá trị còn lại để mặc định)
2. Tại Intune, chọn Devices\Configuration chọn Create\New Policy, Cửa sổ Create a profile, trong phần Platform chọn Windows 10 and later, trong phần Profile type chọn Settings catalog, ấn Create.
3. Cửa sổ Create profile, trong phần Name: nhập vào User cloud to AD Profile ấn Next.
4. Tại tab Configuration settings, ấn Add Settings, tìm và chọn Windows Hello For Business, check chọn Use Cloud Trust For On Prem Auth.
5. Trong phần Use Cloud Trust For On Prem Auth chọn Enable, ấn Next
6. Tại tab Scope tags, ấn Next, tại tab Assignments, trong phần Included groups, chọn Add Group, chọn Group Sync to AD (Group chứa User Provision to AD), ấn Next, ấn Create.
Task 6 Kiểm tra Truy cập SMB/File Server bằng Cloud User
- Tại máy Domain controller, tạo folder DATA share cho Group Sync to AD.
- Tại máy Win11 đã join Entra ID, login user đã Provision to AD, sử dụng password Entra ID, thực hiện thiết lập mã PIN.
- Sau khi thiết lập mã PIN và login thành công, Logout và Login lại dùng mã PIN.
- Vào Run: \\lab-DC01.locchung.local, truy cập vào folder Data thành công.
User provision từ Entra xuống AD không thể đăng nhập AD và truy cập File Server bằng mật khẩu Entra do Password Writeback không được hỗ trợ cho cloud-managed users. Do đó phải sử dụng Windows Hello for Business và Cloud Kerberos Trust.