Дополнительный атрибут AD синхронизирован с атрибутом расширения AAD, который не отображается в объекте пользователя AAD

Question

Может кто-нибудь помочь мне со следующим, спасибо заранее

Я устанавливаю AD Connect в LAB, и мои пользователи LAB Active Directory синхронизируются OK с моей LAB Azure AD

I тогдаво второй раз прошел мастер установки Azure AD Connect для синхронизации «пользовательских параметров синхронизации», выбрал «Синхронизация атрибутов расширений каталога» и решил синхронизировать два дополнительных атрибута (для тестирования), я выбрал атрибуты Active Directory «adminCount» и «carLicense». «У меня есть пользователь-администратор домена по имени Крейг, у которого его атрибут adminCount установлен в 1, и я добавил значение для carLicense

Когда я проверяю Get-ADSyncGlobalSettings

, я могусм. в разделе Microsoft.OptionalFeature.DirectoryExtensionAttributes перечисленные carLicense и adminCount (среди прочих атрибутов), поэтому похоже, что AD Connect должен синхронизировать эти два атрибута из AD в Azure AD, верно?

Однако даже после перезапускаAD Connect и делать дельта-синхронизацию, я до сих пор не вижу этиатрибутов в моем пользователе Azure AD, когда я выполняю Get-AzureADUser -SearchString Graig |выберите -ExpandProperty extensionproperty

Нет признаков атрибутов adminCount или carLicense или их значений в выводе

Пожалуйста, сообщите, где я ошибаюсь?

Нужна ли мне лицензия Azure AD P2 или что-то для синхронизации дополнительных встроенных атрибутов активного каталога?

Я также настроил отдельное пользовательское правило для синхронизации атрибута AD с расширением 13 пользовательского класса AAD.

Вышеуказанное появляется в метавселенной под AD Connect OK (с заполненными правильными значениями)

Однако в объекте AAD User их нет, как указано выше,

Спасибо ваванс

CXMelga

Answer 1

Я также настроил отдельное пользовательское правило для синхронизации атрибута AD с расширением 13 пользовательского класса AAD.

Если вы синхронизируете атрибут расширения с extensionAttribute13, выне удалось получить это через Azure AD powershell Get-AzureADUser.

extensionAttribute13 принадлежит onPremisesExtensionAttributes, который является свойством только для объекта User в Microsoft Graph, ноAzureAD вызовы powershell API Azure AD Graph , свойство onPremisesExtensionAttributes не является свойством User в AAD Graph.

Так что если вы хотитечтобы получить атрибут, вот два решения, к которым вы можете обратиться.

1 . Используйте Microsoft Graph - Get a user, чтобы сделать это, используйте запрос какниже в Microsoft Graph Explorer . Или, если вы хотите использовать powershell для этого, вы можете вызвать MS Graph в powershell с Invoke-RestMethod, образец здесь .

GET https://graph.microsoft.com/v1.0/users/<object-id of the user>?$select=onPremisesExtensionAttributes

2 . При использовании Azure AD Connect для синхронизации измените правило исходящей синхронизации, как показано ниже. В вашем случае это должно быть как extension_3e2cd06ca3494546888b069a891b4bb6_adminCount. См. Эту ссылку для получения более подробной информации.

Затем вы сможете получить атрибут расширения с помощью команды, как показано ниже (Я рекомендую не использовать параметр -SearchString, иногда он ничего не возвращает.)

Get-AzureADUserExtension -ObjectId <object-id of the user>

Или

Get-AzureADUser -ObjectId <object-id of the user> | select -ExpandProperty extensionproperty