Microsoft Entra Connect 同步服务功能

Microsoft Entra Connect 的同步功能有两个组件：

• 名为 Microsoft Entra Connect 同步的本地组件，也称为同步引擎。
• 驻留在 Microsoft Entra ID 中的服务也称为 Microsoft Entra Connect Sync 服务

本主题说明 Microsoft Entra Connect 同步服务的以下功能的工作原理，以及如何使用 PowerShell 来配置这些功能。

若要使用 Graph PowerShell 查看 Microsoft Entra 目录中的配置，请使用以下命令：

Connect-MgGraph -Environment China -ClientId 'YOUR_CLIENT_ID' -TenantId 'YOUR_TENANT_ID' -Scopes "OnPremDirectorySynchronization.Read.All"

Get-MgDirectoryOnPremiseSynchronization | Select-Object -ExpandProperty Features | Format-List

结果可能类似以下输出：

BlockCloudObjectTakeoverThroughHardMatchEnabled  : False
BlockSoftMatchEnabled                            : False
BypassDirSyncOverridesEnabled                    : False
CloudPasswordPolicyForPasswordSyncedUsersEnabled : False
ConcurrentCredentialUpdateEnabled                : False
ConcurrentOrgIdProvisioningEnabled               : False
DeviceWritebackEnabled                           : False
DirectoryExtensionsEnabled                       : True
FopeConflictResolutionEnabled                    : False
GroupWriteBackEnabled                            : False
PasswordSyncEnabled                              : True
PasswordWritebackEnabled                         : False
QuarantineUponProxyAddressesConflictEnabled      : False
QuarantineUponUpnConflictEnabled                 : False
SoftMatchOnUpnEnabled                            : True
SynchronizeUpnForManagedUsersEnabled             : False
UnifiedGroupWritebackEnabled                     : True
UserForcePasswordChangeOnLogonEnabled            : False
UserWritebackEnabled                             : True
AdditionalProperties                             : {}

Microsoft Entra Connect 中配置了以下设置：

将重复的属性“隔离”并分配临时值，而不是使预配包含重复 UPNs/proxyAddresses 的对象失败。 解决冲突时，自动将临时 UPN 更改为适当的值。 有关详细信息，请参阅标识同步和重复属性复原。

启用此功能后，除了始终启用的主 SMTP 地址，将为 UPN 启用软匹配。 软匹配功能用于将 Microsoft Entra ID 中的现有云用户与本地用户进行匹配。

如果需要将本地 AD 帐户与云中创建的现有帐户进行匹配，但未使用 Exchange Online，则此功能非常有用。 在此情况下，通常没有必要在云中设置 SMTP 属性。

在新建的 Microsoft Entra 目录中，默认已打开此功能。 可以运行以下命令查看是否已启用此功能：

Connect-MgGraph -Environment China -ClientId 'YOUR_CLIENT_ID' -TenantId 'YOUR_TENANT_ID' -Scopes "OnPremDirectorySynchronization.Read.All"

$DirectorySync = Get-MgDirectoryOnPremiseSynchronization
$DirectorySync.Features.SoftMatchOnUpnEnabled

如果未为 Microsoft Entra 目录启用此功能，你可以运行以下命令来启用：

Connect-MgGraph -Environment China -ClientId 'YOUR_CLIENT_ID' -TenantId 'YOUR_TENANT_ID' -Scopes "OnPremDirectorySynchronization.ReadWrite.All"

$SoftMatchOnUpn = @{ SoftMatchOnUpnEnabled = "true" }
Update-MgDirectoryOnPremiseSynchronization -Features $SoftMatchOnUpn `
   -OnPremisesDirectorySynchronizationId $DirectorySync.Id

启用此功能后，它将阻止软匹配功能。 建议客户启用此功能，并将其保持启用状态，直到租户再次需要软匹配。 在任何软匹配已完成且不再需要后，应再次启用此标志。

示例 - 阻止租户中的软匹配：

Connect-MgGraph -Environment China -ClientId 'YOUR_CLIENT_ID' -TenantId 'YOUR_TENANT_ID' -Scopes "OnPremDirectorySynchronization.ReadWrite.All"

$SoftBlock = @{ BlockSoftMatchEnabled = "true" }
Update-MgDirectoryOnPremiseSynchronization -Features $SoftBlock `
   -OnPremisesDirectorySynchronizationId $DirectorySync.Id

在过去，除非以下两个条件都成立，否则会阻止在本地使用同步服务对 UserPrincipalName 属性进行更新：

• 用户托管（未联合）。
• 用户没有分配到许可证。

如果 userPrincipalName 在本地发生更改并且你使用密码哈希同步，则启用此功能后，同步引擎可将其更新。

在新建的 Microsoft Entra 目录中，默认已打开此功能。 可以运行以下命令查看是否已启用此功能：

Connect-MgGraph -Environment China -ClientId 'YOUR_CLIENT_ID' -TenantId 'YOUR_TENANT_ID' -Scopes "OnPremDirectorySynchronization.Read.All"

$DirectorySync = Get-MgDirectoryOnPremiseSynchronization
$DirectorySync.Features.SynchronizeUpnForManagedUsersEnabled

如果未为 Microsoft Entra 目录启用此功能，你可以运行以下命令来启用：

Connect-MgGraph -Environment China -ClientId 'YOUR_CLIENT_ID' -TenantId 'YOUR_TENANT_ID' -Scopes "OnPremDirectorySynchronization.ReadWrite.All"

$SyncUpnManagedUsers = @{ SynchronizeUpnForManagedUsersEnabled = "true" }
Update-MgDirectoryOnPremiseSynchronization -Features $SyncUpnManagedUsers `
   -OnPremisesDirectorySynchronizationId $DirectorySync.Id

启用此功能后，现有的 userPrincipalName 值保持不变。 下一次在本地更改 userPrincipalName 属性时，对用户进行正常的增量同步会更新 UPN。 启用此功能后，将无法禁用此功能。

• Microsoft Entra Connect 同步
• 将本地标识与 Microsoft Entra ID 集成。