强制密码与 Microsoft Entra Connect 同步

我们确实从 ADFS 迁移到密码哈希同步 (PHS)。 Microsoft Entra Connect 中的密码同步时间间隔为 2 分钟。您可能需要强制与 Microsoft Entra Connect 同步密码。在本文中，您将了解如何强制与 Microsoft Entra Connect 同步密码。

介绍

在继续操作之前，请确保已安装 Microsoft Entra Connect。如果您想要强制同步 Microsoft Entra Connect，请阅读使用 PowerShell 强制同步 Microsoft Entra Connect 中的更多信息。

获取 AD 同步连接器

登录 Microsoft Entra Connect 服务器并以管理员身份运行 Windows PowerShell。运行 Get-ADSyncConnector cmdlet 以检索 AD 同步连接器。

Get-ADSyncConnector | Select-Object Type,Name

将显示本地 AD 和 Microsoft Entra ID 连接器名称。

Type        Name
----        ----
Extensible2 exoip365.onmicrosoft.com - AAD
AD          exoip.local

在下一步中，我们将把两个连接器名称添加到脚本中。

触发所有密码的完全同步

将以下脚本复制并粘贴到 PowerShell 中。接下来，将本地 AD 和 Microsoft Entra ID 连接器名称添加到脚本中。之后，运行脚本以触发所有密码的完全同步。

# Assign the local AD and Microsoft Entra ID connectors value and remember it's case sensitive
$adConnector  = "exoip.local"
$aadConnector = "exoip365.onmicrosoft.com - AAD"

# Import Microsoft Entra Sync module
Import-Module ADSync

# Create a new ForceFullPasswordSync configuration parameter object
$c = Get-ADSyncConnector -Name $adConnector

# Update the existing connector with the following new configuration
$p = New-Object Microsoft.IdentityManagement.PowerShell.ObjectModel.ConfigurationParameter "Microsoft.Synchronize.ForceFullPasswordSync", String, ConnectorGlobal, $null, $null, $null
$p.Value = 1
$c.GlobalParameters.Remove($p.Name)
$c.GlobalParameters.Add($p)
$c = Add-ADSyncConnector -Connector $c

# Disable Microsoft Entra Connect
Set-ADSyncAADPasswordSyncConfiguration -SourceConnector $adConnector -TargetConnector $aadConnector -Enable $false

# Re-enable Microsoft Entra Connect to force a full password synchronization
Set-ADSyncAADPasswordSyncConfiguration -SourceConnector $adConnector -TargetConnector $aadConnector -Enable $true

运行上述脚本后，将出现以下输出。

True
Password Hash Sync Configuration for source "exoip.local" updated.
Password Hash Sync Configuration for source "exoip.local" updated.

密码哈希同步状态

运行 Invoke-ADSyncDiagnostics -PasswordSync 以检查密码哈希同步是否已启用并同步。

Invoke-ADSyncDiagnostics -PasswordSync

将出现以下输出。

========================================================================
=                                                                      =
=            Password Hash Synchronization General Diagnostics         =
=                                                                      =
========================================================================


AAD Tenant - exoip365.onmicrosoft.com
Password Hash Synchronization cloud configuration is enabled




False


AD Connector - exoip.local
Password Hash Synchronization is enabled
Latest Password Hash Synchronization heartbeat is detected at: 09/21/2024 15:49:36 UTC


	Directory Partitions:
	=====================
	Directory Partition - exoip.local
False
False
False
	Last successful attempt to synchronize passwords from this directory partition started at: 9/21/2024 3:55:36 PM UTC and ended at: 9/21/2024 3:55:36 PM UTC

	Only Use Preferred Domain Controllers: False
	Checking connectivity to the domain...
	Domain "exoip.local" is reachable

请等待五到十分钟，然后再登录 Microsoft 365 管理中心。检查 Microsoft Entra Connect 下的密码同步是否显示为最近同步。

就是这样！

了解更多：将 Microsoft Entra Connect 移至新租户 »

结论

您了解了如何强制与 Microsoft Entra Connect 同步密码。使用 PowerShell 脚本强制同步所有密码。之后，在 Microsoft 365 管理中心检查密码同步。另一种验证方法是通过 PowerShell。

您喜欢这篇文章吗？您可能还喜欢文章条件访问 MFA 中断 Azure AD Connect 同步。不要忘记关注我们并分享这篇文章。