En el mes de Azure Active Directory vamos a seguir hablando del tema, y hoy vamos a hablar de la sincronizacion de nuestro directorio con los directorios locales, y como se hace. Dicho esto comenzamos:

Si nuestra organización utiliza un servicio de directorio local, podemos sincronizarlo con nuestro Azure AD para simplificar las tareas administrativas basadas en la nube e incluso proporcionarle a nuestros usuarios una mejor experiencia de inicio de sesión.

En términos generales, el aprovisionamiento de identidad y la sincronización es un espacio complejo. Esto ha generado en el pasado una cierta carga para que las organizaciones mantengan en sincronización todos sus silos de las identidades que resultan del deployment de varias soluciones de la línea de negocio (LOB).

La sincronización de directorios es la primera capacidad de integración que ofrece Azure AD con nuestras instalaciones. Como una oferta de IdMaaS, Azure AD proporciona, como cualquiera puede imaginar, muchas opciones, para soportar configuraciones de clientes -desde las más sencillas hasta las más complejas-. Azure AD habilita de hecho el soporte de ambientes mono y multi-forest de Windows Server Active Directory (WSAD) on-premises, así como entornos de directorios que no son de Active Directory. Por lo tanto, disponemos de múltiples opciones técnicas para acomodar mejor los entornos locales existentes y para mantener adecuadamente el posterior aprovisionamiento y sincronización de identidad:

• Herramienta de sincronización de directorios (DirSync)
• Herramienta Azure de sincronización de Active Directory (Azure AD Sync)
• Motor de sincronización de Microsoft Forefront Identity Manager (FIM) (hotfix 4.1.3493.0 o posterior) con el Azure AD Connector (obsoleto)
• Módulo Azure Active Directory para Windows PowerShell (consulte anteriormente en este documento)
• API de gráfico de Azure AD

El Azure Active Connect Connect (Azure AD Connect), nos proporciona un asistente único y unificado que agiliza y automatiza el proceso de integración global para la sincronización de directorios con entornos locales mono-forestal y multi-forestal de AD (incluida la contraseña Hash)) y el inicio de sesión único si lo deseamos.

El aprovisionamiento de directorios se refiere a la creación y gestión de entradas de directorio. En el contexto de Azure AD, el aprovisionamiento de directorios es diferente de la sincronización de directorios, ya que los objetos que se aprovisionan se dominan en el AD de Azure y se pueden editar en línea. El aprovisionamiento de directorios puede realizarse a través de las interfaces de administración o programación de Azure AD, como el portal de administración de Azure, la carga masiva mediante archivos .csv, los cmdlets Azure AD Module para Windows PowerShell o Azure AD Graph API.

Aunque se puede implementar alguna forma de sincronización de directorios utilizando estas interfaces, esto sigue siendo diferente de la sincronización de directorio de Azure AD donde los objetos se dominan localmente y el objeto en línea es una copia del objeto local y no se puede editar en línea.

Sincronizar nuestro directorio con Active Directory on-premises

Herramienta DirSync
Es la forma mas sencilla de hacerlo, Azure AD (y Office 365) llegaron inicialmente con un motor de sincronización de identidad pre-empaquetado llamado DirSync, basado en el producto FIM y personalizado para un único escenario que permite la sincronización con un directorio activo Entorno mono-forestal: era y puede ser utilizado para replicar cuentas de usuario WSAD (y otros objetos de Active Directory).

A diferencia de las cuentas creadas manualmente, las cuentas creadas por la herramienta DirSync se llenan completamente con información de cuentas de usuario de Active Directory. Esto permite a los administradores de servicio mantener actualizados los objetos AD de Azure con los cambios realizados en el WSAD local.

Además, a partir de la versión 1.0.6385.0012 de DirSync, se puede proporcionar una sincronización de contraseña (hash of hash). La sincronización de directorios no es algo nuevo para Azure AD. La herramienta DirSync está construida sobre la FIM. La configuración de la sincronización de directorios se ha simplificado para el entorno Azure AD. No hay ninguna configuración manual que tengamos que realizar, todo se hace mediante asistentes y son todos bastante simples.

Algunos clientes pueden tener en este contexto un requisito para determinar qué objetos se sincronizan desde el Active Directory local a Azure AD directory, como ser:

• La capacidad de excluir un dominio de Active Directory del ámbito,
• La capacidad de excluir una unidad organizativa (OU) del ámbito de aplicación,
• La capacidad de excluir objetos específicos del ámbito, basados ​​en el filtrado a nivel de atributo.

El scope de sincronización de directorios través de la herramienta DirSync en los siguientes niveles:

• Dominio. para administrar las propiedades del agente de administración de AD de origen (conector) en la herramienta DirSync. Este tipo nos permite seleccionar qué dominios pueden sincronizarse con la nube.
• Unidad de organización: para administrar las propiedades del agente de administración de AD de origen (conector) en la herramienta DirSync. Este tipo de filtrado nos permite seleccionar qué OUs pueden sincronizar con la nube.
• Atributos de Usuario: para especificar filtros basados ​​en atributos para objetos de usuario (y sólo para objetos de usuario). Esto nos permite controlar qué objetos no deben sincronizarse con la nube.

Mañana estaremos viendo como utilizar la herramienta:  Azure AD Connect tool.

Espero les sea de interes y utilidad. Saludos a todos. Roberto Di Lello