Dominio .local e Microsoft 365: sistemare gli UPN prima di sincronizzare.
Un dominio .local non si può verificare in Entra ID. Come aggiungere un suffisso UPN pubblico, correggere gli utenti in blocco e non sbagliare il primo passaggio.
Il primo ostacolo di una sincronizzazione tra Active Directory e Microsoft 365 non è tecnico, è di nomi. Entra ID identifica ogni utente con lo UPN (utente@dominio) e Entra Connect sincronizza solo verso un dominio verificato. Un dominio come azienda.local non è instradabile su Internet, quindi non si può verificare.
Cosa succede se ci si prova lo stesso: l'utente finisce con un indirizzo @tenant.onmicrosoft.com. Funziona, ma è brutto, e soprattutto non coincide con l'indirizzo di posta. Per questo si sistema prima.
1. Controlla che il dominio pubblico sia già verificato
Se la posta è già su Microsoft 365 con azienda.it, il dominio è quasi certamente già verificato. Controlla in Microsoft 365 admin center → Impostazioni → Domini. Se non lo è, aggiungilo e crea il record TXT che ti viene indicato nel DNS pubblico.
2. Aggiungi il suffisso UPN alla foresta
Da un domain controller, in PowerShell:
Get-ADForest | Set-ADForest -UPNSuffixes @{add="azienda.it"}
In alternativa: Domini e trust di Active Directory → tasto destro sul nodo radice → Proprietà → Suffissi UPN alternativi.
3. Cambia lo UPN degli utenti
La scelta sensata è che lo UPN coincida con l'indirizzo di posta principale. Questo è anche ciò che permette l'abbinamento automatico con gli utenti già presenti nel cloud. Prima una prova senza modificare nulla:
Get-ADUser -SearchBase "OU=Utenti,DC=azienda,DC=local" -Filter {mail -like "*@azienda.it"} |
ForEach-Object {
Set-ADUser $_ -UserPrincipalName $_.mail -WhatIf
}
Se l'elenco ti convince, togli -WhatIf. Gli utenti senza attributo mail restano fuori: sono quelli da guardare a mano.
Effetto collaterale da dire agli utenti: cambia il nome con cui si può accedere in formato email. L'accesso con AZIENDA\nomeutente a Windows continua a funzionare.
4. Pulisci prima di sincronizzare
Prima di avviare Entra Connect, cerca i problemi che bloccano la sincronizzazione o creano duplicati:
- indirizzi di posta duplicati tra due utenti AD;
- caratteri non ammessi o spazi in
userPrincipalNameeproxyAddresses; - utenti con la stessa email in AD e nel cloud ma con nomi diversi;
- account di servizio e vecchi dipendenti che non devono finire nel cloud.
Microsoft ha uno strumento apposta, IdFix, che legge la directory e segnala gli attributi da correggere. Eseguilo prima, non dopo.
5. Decidi cosa sincronizzare
Non serve portare nel cloud tutta la directory. Sposta gli utenti che devono accedere a Microsoft 365 in una o più unità organizzative dedicate (o usa un gruppo) e filtra la sincronizzazione su quelle. Nel prossimo articolo si seleziona nella procedura guidata.