更改 ADSync 服务帐户密码

如果更改 ADSync 服务帐户密码，则在放弃加密密钥并重新初始化 ADSync 服务帐户之前，同步服务不会正确启动。

Microsoft Entra Connect，同步服务使用加密密钥来存储 AD DS 连接器帐户和 ADSync 服务帐户的密码。 这些帐户在存储在数据库中之前进行加密。

使用的加密密钥使用 Windows 数据保护（DPAPI）进行保护。 DPAPI 使用 ADSync 服务帐户保护加密密钥。

如果需要更改服务帐户密码，可以使用 放弃 ADSync 服务帐户加密密钥 中的过程来完成此操作。 如果需要出于任何原因放弃加密密钥，还应使用这些过程。

更改密码时出现的问题

更改服务帐户密码时，需要执行两项操作。

首先，需要在Windows服务控制管理器下更改密码。 在解决此问题之前，会看到以下问题：

• 如果尝试在 Windows 服务控制管理器中启动同步服务，则会收到错误“Windows无法在本地计算机上启动Microsoft Entra ID同步服务”。 错误 1069：由于登录失败，服务未启动。
• 在Windows 事件查看器下，系统事件日志包含事件 ID 7038 错误，并显示消息“ADSync 服务无法以当前配置的密码登录，因为出现以下错误：用户名或密码不正确。”

其次，在特定条件下，如果密码已更新，则同步服务无法再通过 DPAPI 检索加密密钥。 如果没有加密密钥，同步服务将无法解密与本地 AD 和 Microsoft Entra ID 之间同步所需的密码。 你会看到以下错误：

• 在Windows服务控制管理器下，如果尝试启动同步服务且无法检索加密密钥，则失败并出现错误“Windows无法在本地计算机上启动Microsoft Entra ID同步。有关详细信息，请查看系统事件日志。如果这是非Microsoft服务，请联系服务提供商，并参阅特定于服务的错误代码 -21451857952。”
• 在 Windows 事件查看器 下，应用程序事件日志包含一个错误，事件 ID 为 6028，错误消息为 “无法访问服务器加密密钥。”

若要确保不会出现这些错误，请遵循更改密码时的 放弃 ADSync 服务帐户加密密钥 过程。

弃用 ADSync 服务帐户加密密钥

使用以下步骤弃用加密密钥。

如果需要弃用加密密钥，该怎么办

如果需要放弃加密密钥，请使用以下过程来完成此操作。

1. 停止同步服务

2. 放弃现有加密密钥

3. 提供 AD DS 连接器帐户的密码

4. 重新初始化 ADSync 服务帐户的密码

5. 启动同步服务

停止同步服务

首先，可以在Windows服务控制管理器中停止该服务。 尝试停止服务时，请确保该服务未运行。 如果是，请等待它完成，然后停止它。

1. 转到Windows服务控制管理器（START → Services）。
2. 选择Microsoft Entra ID同步并单击“停止”。

放弃现有加密密钥

放弃现有的加密密钥，以便可以创建新的加密密钥：

1. 以管理员身份登录到 Microsoft Entra Connect Server。

2. 启动新的 PowerShell 会话。

3. 导航到文件夹： '$env:ProgramFiles\Microsoft Azure AD Sync\bin\'

4. 运行 命令： ./miiskmu.exe /a

提供 AD DS 连接器帐户的密码

由于数据库中存储的现有密码无法再解密，因此需要向同步服务提供 AD DS 连接器帐户的密码。 同步服务使用新的加密密钥加密密码：

1. 启动 Synchronization Service Manager（“开始”→ 同步服务）。
   
2. 转到“连接器” 选项卡。
3. 选择对应于本地 AD 的 AD 连接器 。 如果有多个 AD 连接器，请为每个连接器重复以下步骤。
4. 在“操作”下，选择“属性”。
5. 在弹出对话框中，选择“连接到Active Directory林”：
6. 在 “密码”文本框中输入 AD DS 帐户的密码。 如果不知道其密码，则必须在执行此步骤之前将其设置为已知值。
7. 单击 “确定” 以保存新密码并关闭弹出对话框。

重新初始化 Entra ID 连接器帐户的密码

无法将Microsoft Entra服务帐户的密码直接提供给同步服务。 相反，需要使用 cmdlet Add-ADSyncAADServiceAccount 重新初始化Microsoft Entra服务帐户。 该 cmdlet 会重置帐户密码，并使它可供同步服务使用：

1. 登录到 Microsoft Entra Connect Sync 服务器并打开 PowerShell。

2. 若要提供Microsoft Entra全局管理员凭据，请运行$credential = Get-Credential。

3. 运行 cmdlet Add-ADSyncAADServiceAccount -AADCredential $credential。

   如果 cmdlet 成功，将显示 PowerShell 命令提示符。

该 cmdlet 重置服务帐户的密码，并在Microsoft Entra ID和同步引擎中更新密码。

启动同步服务

现在，同步服务可以访问加密密钥及其所需的所有密码，您可以在 Windows Service Control Manager 中重启该服务：

1. 转到Windows服务控制管理器（START → Services）。
2. 选择Microsoft Entra ID Sync，然后单击“重启”。

后续步骤

概述主题

• Microsoft Entra Connect 同步：理解并自定义同步

• 将您的本地身份与 Microsoft Entra ID 集成