PracticU

הגדרת Azure AD Connect

בלי כתוביותעם כתוביות
PracticU › קורס מנהלי רשת ושרתים - Active Directory 2025 › הגדרת Azure AD Connect
מילון מושגים:
Azure - פלטפורמת הענן של מיקרוסופט, המספקת שרתים, אחסון, מסדי נתונים ושירותים רבים לפי שימוש.
SSO - כניסה יחידה: מנגנון שמאפשר למשתמש להתחבר פעם אחת ולגשת לכמה מערכות בלי להזדהות מחדש בכל אחת.
OU - יחידה ארגונית ב-Active Directory: מכל לארגון משתמשים, קבוצות ומחשבים ולהחלת מדיניות עליהם.
Intune - שירות ענן של מיקרוסופט לניהול מכשירים ניידים ומחשבים בארגון ולאכיפת מדיניות עליהם.
Kerberos - פרוטוקול אימות המבוסס על כרטיסים (tickets), המשמש ברשתות Active Directory לאימות מאובטח של משתמשים ושירותים.
האש - פונקציה שממירה מידע לערך קצר באורך קבוע. שינוי קטן בקלט משנה את התוצאה, והיא חד-כיוונית.
DMZ - אזור רשת מבודד בין הרשת הפנימית לאינטרנט, שבו ממוקמים שירותים נגישים מבחוץ לשם אבטחה.
MFA - אימות רב-שלבי: דרישה ליותר מראיה אחת לזהות, למשל סיסמה בתוספת קוד חד-פעמי, לחיזוק האבטחה.
הגדרת Azure AD Connect
Cloud Sync קל ופשוט, אבל לא מסנכרן חשבונות מחשב, ובלי זה אין סביבה היברידית ו-SSO מלא. ההרצאה עוברת לתוכנה הישנה Azure AD Connect (Connect Sync), מסבירה את אפשרויות האימות ומגדירה סנכרון של OU אחד.
למה Connect Sync
1. Cloud Sync מול Connect Sync: Cloud Sync קליל, חדש, בלי SQL, מסנכרן כל שתי דקות, ומסנכרן גם סיסמאות. אבל הוא לא מסנכרן מחשבים. עם משתמשים בלבד ה-SSO חלקי, תלוי בדפדפן ובסשן, ולא עובד באפליקציות, וחסרים גם פיצ'רים כמו Intune.
2. SSO מלא: Connect Sync תומך ב-Single Sign On וב-Pass through authentication. הוא יוצר ב-Active Directory חשבון מחשב שמייצג את הענן, והכניסה נעשית אוטומטית בעזרת כרטיס Kerberos.
3. מגבלה: אובייקט אחד מסונכרן לענן רק על ידי תוכנה אחת. משתמש שכבר מסונכרן עם Cloud Sync (יוני) לא יסונכרן עם Connect Sync, ודוד שלא מסונכרן יסונכרן.
שיטות האימות
1. Password hash synchronization: ה-Hash של הסיסמה מסונכרן לענן, והסיסמה לא נשמרת גלויה.
2. Pass through authentication: הסיסמה לא נשמרת בענן. הענן מעביר את הבקשה לסוכן פנימי ול-DC, בלי לפתוח פורטים בחומת האש, כי הסוכן פותח חיבור החוצה. אם ה-DC לא זמין האימות נכשל. המרצה ממליץ עליו למי שלא סומך על שמירת סיסמאות בענן.
3. ADFS ו-Ping Federate: שיטות ישנות וכבדות שדורשות שרתים ב-DMZ ופתיחת פורטים. הן מתאימות למי שצריך Smart card או עומד בתקנים ישנים. המרצה ממליץ להימנע ממהן.
ההגדרה בפועל
1. בוחרים Customize ו-Password hash sync, ומסמנים Single sign on.
2. מתחברים לענן עם Global Administrator ו-MFA, ומזינים משתמש PracticU\administrator ליצירת משתמש הסנכרון.
3. האשף מזהה שהדומיין Practicu.local לא Routable. ב-Domains and Trusts, Properties, מוסיפים את הסיומת PracticU.com כ-UPN alias, ומשתמש ב-Users and Computers יכול להיכנס עם [email protected].
4. בענן: Microsoft Entra ID, Custom Domain Names, Add, ומוסיפים רשומת TXT ב-DNS (Cloudflare) כהוכחת בעלות. Verify, ואחרי כשתי דקות הדומיין Verified.
5. מסנכרנים רק את ה-OU של Sales (אפשר גם לפי קבוצה), עם הזיהוי לפי ברירת המחדל ms-DS-ConsistencyGuid.
6. מגדירים חשבון מחשב שמייצג את הענן. Staging mode לא נבחר.
7. אחרי הסנכרון דוד מופיע בענן כ-On Prem, המאפיינים אפורים כי מקורם ב-Active Directory המקומי.
אחרי ההרצאה אפשר לבחור בין Cloud Sync ל-Connect Sync ולהגדיר סנכרון היברידי.
השיעור הבא בקורס: הדגמה של SSO

פרקי ההרצאה: הגדרת Azure AD Connect

  1. 00:00

    למה צריך Connect Sync

  2. 00:39

    יתרונות וחסרונות Cloud Sync

  3. 01:16

    סביבה היברידית ל-SSO מלא

  4. 02:15

    Pass through authentication ו-Single Sign On

  5. 02:51

    מגבלת סנכרון בתוכנה אחת בלבד

  6. 03:44

    הורדת Azure AD Connect

  7. 04:20

    הגדרות Express וסנכרון Hash

תמלול ההרצאה: הגדרת Azure AD Connect

הטקסט המלא של הדקות הראשונות בהרצאה «הגדרת Azure AD Connect» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

  1. 00:02

    שלום לכולם. בהרצאה הזאת אנחנו הולכים להשתמש ב-Connect Sync כדי לסנכרן את היוזרים מתוך Active Directory המקומי לענן. בהרצאות קודמות השתמשנו ב-Cloud Sync, אבל יש לנו פה בעיה שב-Cloud Sync הוא לא מסנכרן Computer Accounts.

  2. 00:21

    הוא לא מסנכרן חשבונות מחשב לענן. זאת אומרת בתוך Azure יש רק יוזרים, אין את החשבונות של המחשבים שלנו. זאת הסיבה שאני רוצה לעבור לתוכנה ישנה Azure AD Connect, כי היא יודעת לסנכרן גם חשבונות של המחשב.

  3. 00:39

    שימו לב כמה ש-Cloud Sync הוא קליל, הוא פשוט, הוא חדש, לא דורש SQL להתקין, מסנכרן כל שתי דקות ולא פעם בחצי שעה, יודע לסנכרן סיסמאות לענן. הכל נפלא, אבל הם לא פיתחו אותו עד הסוף.

  4. 00:58

    חסרים לו פיצ'רים. הפיצ'ר הכי חשוב שחסר לי זה סנכרון של מחשבים לענן, ובלי הסנכרון הזה אני לא יכול לקבל SSO מלא. אתם רואים ש-Full Seamless SSO זה אומר כניסה אוטומטית לכל האפליקציות ולכל הדפדפנים.

  5. 01:18

    כל הדבר הזה עובד רק בסביבה היברידית. סביבה היברידית זה אומר שגם המחשבים מסונכרנים לענן. אם יש רק יוזרים בענן, זה אומר שרק החשבונות של המשתמשים עברו סנכרון לענן.

  6. 01:33

    יהיה SSO חלקי שהוא תלוי בדפדפן והוא תלוי בסשן והוא לא תופס בכלל לאפליקציות. זה רק לאתרי אינטרנט ספציפיים. הוא לא מלא. כשמסונכרנים רק היוזרים תראו כמה פיצ'רים חסרים.

  7. 01:49

    לדוגמה, חסר פיצ'ר של Intune של ניהול מרכזי דרך הענן של ה-Device של המחשב. אז אני גם מפסיד ב-SSO הרבה וגם מפסיד המון פיצ'רים. בגלל זה אני רוצה לא רק יוזרים בענן אלא גם מחשבים כדי שתהיה לי סביבה היברידית ולכן אנחנו נשתמש ב-Connect Sync הישן.

  8. 02:12

    Connect Sync תומך באופציות מתקדמות יותר, כבדות יותר כמו Pass through authentication ויש פה גם Single Sign On. Single Sign On זה בדיוק מה שרציתי להראות לכם שיוזר מתוך Active Directory נכנס לענן והוא מזהה אותו אוטומט כי לענן יש נציג ב-Active Directory המקומי.

  9. 02:32

    יהיה פה חשבון מחשב שמייצג את Azure. כאילו כל הענן זה מחשב רגיל שיושב עליו איזשהו שירות. לכל מחשב צריך להיות פה חשבון והכניסה בתוך הדומיין היא אוטומט בעזרת קרברוס.

  10. 02:45

    אז אותו דבר יהיה כאן. כל ה-Azure, כל השירותי ענן יהיו פה מיוצגים על ידי החשבון מחשב. בקיצור, התוכנה הזאת יש לה יותר יכולות מ-Cloud Sync, אבל היא כבדה יותר.

  11. 02:56

    היא מיועדת למקרים קשים יותר ובכל מקרה יש מגבלה ברמת Active Directory שרק תוכנה אחת יכולה לסנכרן user ספציפי. זה אומר שאם יוזר יוני מסונכרן על ידי Cloud Sync אי אפשר יהיה לסנכרן אותו עם ה-Connect Sync.

  12. 03:14

    דוד לא מסונכרן על ידי Cloud Sync אז Connect Sync יכול לסנכרן אותו. זה אומר על כל אובייקט ב-Active Directory רק תוכנה אחת מסנכרנת אותו לענן. אז היתרון של Connect Sync שיש לו את ה-Single Sign On ויש לו Pass through authentication ויש עוד כמה דברים שהוא יכול לעשות, אבל יש מגבלה.

  13. 03:34

    אסור להפעיל כמה תוכנות כאלו במקביל. האחד הזה יכול לאסוף מידע מכמה דומיינים. אין שום בעיה, אבל רק תוכנה אחת פועלת מול הענן. טוב, איך מתחילים?

  14. 03:46

    קודם כל אנחנו צריכים להוריד אותה וההורדה שלה נמצאת ב-Get Started ב-Manage ויש פה הורדה של Cloud Sync ואנחנו צריכים Connect Sync. טוב, בואו נוריד את זה.

  15. 03:57

    רק שוב תזכרו שאסור אותו אובייקט לסנכרן עם שתי תוכנות. אנחנו נסנכרן את דוד עם ה-Connect Sync ואת יוני כבר סנכרנו עם Cloud Sync. הנה, ירד לנו Azure AD Connect.

  16. 04:10

    נעשה דבל קליק, נפעיל אותו. זה קצת מבלבל שיש שתי תוכנות סנכרון, רק אחת קלילה ונוחה והשנייה כבדה, אבל יש לה הרבה יותר אפשרויות. צריך להסכים פה לרישיון.

  17. 04:22

    נעשה Continue. יש פה הגדרות Express. הגדרות זריזות שהן טובות. אם יש לנו Forest אחד אז הוא מסנכרן את כל השדות באופן אוטומטי ומעביר לענן את כל הסיסמאות.

  18. 04:37

    כמובן שהכל בצורת Hash, כי גם ה-DC עצמו לא יודע את הסיסמה שלי. הוא שומר רק את ה-Hash של הסיסמה ורק את הסיסמה אחרי הערבול. אז פה הוא כותב שאם יש לי Single Forest,

לקורס המלא: קורס מנהלי רשת ושרתים אונליין

ההרצאה הקודמת: הגדרות Cloud Sync - Azure

ההרצאה הבאה: הדגמה של SSO

הרצאות קשורות מקורסים אחרים

  • AZURE SSH
  • יתרונות של Azure
  • הוספת דומיין חדש - ל-AZURE
  • שרת קפיצה - Azure Bastion

קורסים נוספים במסלול

  • קורס טכנאי מחשבים ורשתות - Windows 10/11 - בדגש על תמיכה טכנית בארגונים - Help Desk
  • קורס מנהלי רשת ושרתים - Active Directory 2022
  • קורס מנהלי רשת - ב-3 דקות
  • ראיון עבודה - מנהל רשת - תמיכה טכנית