Entra Connect e hybrid join: sincronizzare gli utenti e riconoscere i PC nel cloud.

Con gli UPN a posto si può installare Microsoft Entra Connect Sync, il componente che copia utenti e gruppi da Active Directory a Entra ID e, nella stessa procedura, può attivare l'hybrid join dei PC.

Il server

• Windows Server 2022 o 2025 con interfaccia grafica è la raccomandazione attuale; Server Core non è supportato. Le versioni più vecchie sono ammesse solo se ancora in supporto esteso e, secondo la documentazione, possono richiedere un contratto di supporto a pagamento. Con un server 2016 conviene pianificare un'installazione nuova.
• Deve essere membro del dominio. Microsoft lo definisce un sistema di livello 0: dedicato, aggiornato, con pochi amministratori.
• Per un'organizzazione piccola basta SQL Server Express LocalDB, già incluso (fino a circa 100.000 oggetti).
• Servono TLS 1.2 attivo, .NET Framework recente e PowerShell 5 o successivo.
• Account necessari: un Enterprise Admin per l'installazione rapida, un utente con ruolo Hybrid Identity Administrator o Global Administrator nel tenant, assegnato direttamente.

Da sapere ora: Microsoft ha fissato l'aggiornamento obbligatorio alla versione 2.6.84.0 o successiva con autenticazione basata su applicazione entro il 7 aprile 2027; dopo quella data la sincronizzazione si ferma se non è stato fatto.

L'installazione

Scarica il programma dall'interfaccia di amministrazione di Entra e scegli le impostazioni personalizzate: con un dominio .local l'installazione rapida non è consigliata. Nelle schermate principali:

1. Metodo di accesso: sincronizzazione degli hash delle password (la più semplice e quella che regge meglio se il server di sincronizzazione si ferma). Facoltativo il Single Sign-On facilitato.
2. Filtro: seleziona solo le unità organizzative degli utenti da portare nel cloud.
3. Identificazione degli utenti: lascia userPrincipalName come attributo di accesso.
4. Alla fine non avviare subito la sincronizzazione e attiva la modalità di staging: vedi cosa verrebbe creato o modificato senza scrivere nulla nel cloud.

Utenti già esistenti: niente duplicati

Se la posta è già in Microsoft 365, gli utenti cloud esistono. Entra Connect li abbina agli utenti AD tramite lo UPN e gli indirizzi di posta (soft match). Se lo UPN o l'indirizzo non coincidono, ottieni un secondo utente. Per questo il lavoro dell'articolo precedente viene prima. In modalità staging controlla l'anteprima di esportazione: non devono comparire "creazioni" per utenti che hai già.

Quando l'anteprima è pulita, disattiva lo staging e avvia la sincronizzazione.

Hybrid join dei PC

I PC Windows 11 uniti solo al dominio non sono visibili nel cloud. Servono in hybrid join, che li registra anche in Entra ID. Con Entra Connect 1.1.819 o successivo:

1. Apri Entra Connect → Configura → Configura opzioni dispositivo.
2. Accedi con un account Hybrid Identity Administrator.
3. Scegli Configura hybrid join di Microsoft Entra.
4. Seleziona i sistemi operativi presenti nel dominio.
5. Per ogni foresta scegli il servizio di autenticazione e inserisci le credenziali Enterprise Admin: viene creato il punto di connessione di servizio (SCP).
6. Conferma e chiudi.

Controlla anche che le unità organizzative con i computer siano nel perimetro di sincronizzazione, e che i PC raggiungano enterpriseregistration.windows.net, login.microsoftonline.com e device.login.microsoftonline.com. Non fare ispezione TLS su questi indirizzi.

Verifica

Su un PC, dopo l'accesso con il dominio e qualche minuto di attesa:

dsregcmd /status

Devi leggere AzureAdJoined : YES e DomainJoined : YES. Se il PC risulta "pending", la registrazione non è ancora conclusa o un indirizzo è bloccato.

Riferimenti

• Requisiti del server di Entra Connect Sync
• Configurare l'hybrid join per domini gestiti