Autenticazione

Sincronizzazione delle password: Risoluzione dei problemi di sincronizzazione dell'hash delle password mediante la sincronizzazione di Azure AD Connect

La sincronizzazione dell'hash delle password tra Active Directory (AD) e Azure AD potrebbe essere ostacolata da diversi motivi. I problemi di sincronizzazione possono essere risolti e i motivi possono essere determinati utilizzando lo strumento di risoluzione dei problemi o i metodi manuali. Più in basso sono elencati alcuni problemi comuni di sincronizzazione, con le relative procedure di risoluzione.

Problema 1. Nessuna delle password è stata sincronizzata:

Questo problema può essere risolto con la seguente procedura:

1. Esegui PowerShell di Windows come amministratore sul server Azure AD Connect con l'opzione Esegui come amministratore.
2. Esegui Set-ExecutionPolicy RemoteSigned o Set-ExecutionPolicy Unrestricted.
3. Avvia la procedura guidata di Azure AD Connect.
4. Vai a Attività addizionali > Risoluzione dei problemi e fai clic su Avanti.
5. Nella pagina di Risoluzione dei problemi, fai clic su Avvia per aprire il menu di risoluzione dei problemi in PowerShell.
6. Nel menu principale, seleziona Risolvi i problemi della sincronizzazione dell'hash delle password.
7. Nel menu secondario, seleziona La sincronizzazione dell'hash delle password non funziona.

Più in basso trovi l'elenco degli errori che possono presentarsi dopo aver seguito la procedura in alto:

1. La funzionalità di sincronizzazione dell'hash delle password non è abilitata

   

   Questo errore si presenta se la sincronizzazione dell'hash delle password non è stata abilitata utilizzando la procedura guidata di Azure AD Connect.

2. La sincronizzazione dell'hash delle password non deve funzionare nella modalità di staging

   

   Questo errore si presenta se il server Azure AD Connect è in modalità di staging e, come risultato, la sincronizzazione dell'hash delle password è temporaneamente disabilitata.

3. Questo errore si presenta se il server Azure AD Connect è in modalità di staging e, come risultato, la sincronizzazione dell'hash delle password è temporaneamente disabilitata.

   

   Ogni connettore Active Directory in locale ha il proprio canale di sincronizzazione dell'hash delle password. Quando viene creato un canale di sincronizzazione dell'hash delle password e non sono presenti modifiche delle password da sincronizzare, viene generato un evento di heartbeat ogni 30 minuti nel registro degli eventi delle applicazioni Windows. Il cmdlet va alla ricerca degli eventi di heartbeat per ogni connettore AD nelle ultime tre ore e, se non viene trovato nessun evento di heartbeat, viene comunicato questo errore.

4. L'account connettore AD ha avuto un problema di autorizzazioni di sincronizzazione delle password per il dominio a:

   

   Se l'account del dominio utilizzato dal connettore AD per la sincronizzazione dell'hash delle password non dispone delle autorizzazioni necessarie, viene comunicato questo errore.

5. L'agente di sincronizzazione delle password ha avuto un problema durante la risoluzione di un controller di dominio a:

   

   Se l'account del dominio utilizzato dal connettore Active Directory per la sincronizzazione dell'hash delle password ha nome utente o password non corretti, viene comunicato questo errore.

Problema 2: Uno degli oggetti non sincronizza le password

Questo problema può essere risolto nel modo seguente:

1. Esegui PowerShell di Windows come amministratore sul server Azure AD Connect con l'opzione Esegui come amministratore.
2. Esegui Set-ExecutionPolicy RemoteSigned o Set-ExecutionPolicy Unrestricted.
3. Avvia la procedura guidata di Azure AD Connect.
4. Vai a Attività addizionali > Risoluzione dei problemi e fai clic su Avanti.
5. Nella pagina di Risoluzione dei problemi, fai clic su Avvia per aprire il menu di risoluzione dei problemi in PowerShell.
6. Nel menu principale, seleziona Risolvi i problemi della sincronizzazione dell'hash delle password.
7. Nel menu secondario, seleziona La sincronizzazione dell'hash delle password non funziona.
8. Inserisci le informazioni sull'oggetto che non viene sincronizzato come richiesto.

All'inserimento delle informazioni, può verificarsi uno dei seguenti errori.

1. L'oggetto nello spazio del connettore AAD non è ancora stato esportato. La sincronizzazione della password non è supportata. Lo spazio del connettore AAD di destinazione ha un errore di esportazione.

   

   Questo errore si verifica perché non è presente un oggetto corrispondente per questo oggetto del dominio AD nel tenant di Azure AD. Questo errore può presentarsi se l'oggetto non viene esportato, che è il motivo per cui la sincronizzazione dell'hash delle password non è riuscita per questo oggetto.

2. Opzione di impostazione della password in modo che l'utente della modificarla all’accesso successivo abilitata. La sincronizzazione della password temporanea non è prevista.

   

   Questo errore si verifica se l'opzione di impostazione della password in modo che l'utente debba modificarla all’accesso successivo è stata abilitata.

3. L'agente di sincronizzazione dell'hash delle password non possiede una cronologia di modifica delle password per l'oggetto specificato. La cronologia delle password viene ripulita una volta la settimana.

   

   Azure AD Connect memorizza i risultati dei tentativi di sincronizzazione dell'hash delle password su un oggetto per un massimo di sette giorni. Se non sono presenti risultati disponibili per l'oggetto Active Directory selezionato, viene visualizzato il seguente avviso.

La procedura in alto è solo per la risoluzione di questi problemi mediante l'attività di risoluzione dei problemi. Per la risoluzione manuale dei problemi, fai clic qui.

La configurazione della sincronizzazione dell'hash delle password di Azure AD Connect è un processo complesso. Configurazione e risoluzione dei problemi prevedono diversi passi e comandi. ADSelfService Plus, una soluzione di gestione self-service delle password di Active Directory e di Single Sign-On, offre la funzionalità di sincronizzazione delle password tra AD e Azure AD. L'abilitazione di questa funzionalità avviene tramite la breve procedura più in basso.

Prerequisiti

Prima di configurare la sincronizzazione delle password per Office 365 o Azure, devi installare il modulo Azure AD di Windows per la PowerShell di Windows nel server in cui è distribuito ADSelfService Plus.

Importante: Installa l'agente di sincronizzazione delle password per sincronizzare le modifiche e i ripristini nativi delle password.

Procedura di abilitazione della sincronizzazione delle password tra AD e Azure AD utilizzando ADSelfService Plus:

• Effettua l'accesso alla console di amministrazione di ADSelfService Plus utilizzando le credenziali di amministratore.
• Vai a Applicazioni > Aggiungi una nuova applicazione.
• Seleziona l'applicazione degli account Office 365 / Azure.
• Inserisci il Nome dell'applicazione e la Descrizione.
• Inserisci il Nome del dominio del tuo account Office 365 / Azure
• Nel campo Assegna i criteri, seleziona i criteri per cui deve essere abilitata la sincronizzazione delle password.

Nota: ADSelfService Plus ti consente di creare criteri in base a gruppi e unità organizzative per i tuoi domini AD. Per creare un criterio, vai a Configurazione > Self-service > Configurazione dei criteri > Aggiungi un nuovo criterio. La sincronizzazione delle password con Azure AD è possibile solo per gli account utente in questi criteri.

• Seleziona l'opzione Abilita la sincronizzazione delle password.
• Inserisci Nome utente e Password dell'account Office 365 / Azure
• Fai clic su Aggiungi un'applicazione.