Nezařazené – Miroslav Šraga

Užitečné příkazy pro Azure AD Connect / Entra connect

Wed, 07 Feb 2024 09:14:49 +0000

Zjištění aktuální verze AD Connect / Entra Connect

				
					(Get-ADSyncGlobalSettingsParameter | Where-Object { $_.Name -eq 'Microsoft.Synchronize.ServerConfigurationVersion'}).Value

Ruční spuštění rozdílové synchronizace

				
					Start-ADSyncSyncCycle -PolicyType Delta

Vynucení kompletní synchronizace (full sync)

Plnou synchronizaci služby provádějte jen zřídka. Úplná synchronizace služby Entra ID (Azure AD) trvá dlouho, protože prochází všechny objekty služby Active Directory a znovu je synchronizuje. Snad jediným případem použití, kdy je třeba provést úplnou synchronizaci, je změna konfigurace služby Entra Connect (Azure AD Connect).

Nicméně v případě, že opravdu chcete spustit úplnou synchronizaci, použijte tento příkaz:

				
					Start-ADSyncSyncCycle -PolicyType Initial

Zobrazení stavu a nastavení plánovače

				
					Get-ADSyncScheduler

Kontrola integrace Entra Connect Health Agent

				
					Test-AzureADConnectHealthConnectivity -Role Sync

Test-AzureADConnectHealthConnectivity -Role ADDS

Test-AzureADConnectHealthConnectivity -Role Sync -ShowResult

Ruční registrace Microsoft Entra Connect Health agent

Pozor Tento příkaz použít pouze, pokud registrace agenta (při instalaci Microsoft Entra Connect) skončí chybou.

				
					Register-AzureADConnectHealthSyncAgent -AttributeFiltering $true -StagingMode $false

Jedná se o ruční registraci agenta Microsoft Entra Connect Health pro synchronizaci. Po úspěšné registraci agenta se spustí služby Microsoft Entra Connect Health.

AttributeFiltering: $true (výchozí), pokud Microsoft Entra Connect nesynchronizuje výchozí sadu atributů a byl přizpůsoben tak, aby používal filtrovanou sadu atributů. V opačném případě použijte $false.

StagingMode: $false (výchozí), pokud server Microsoft Entra Connect není v režimu staging. Pokud je server nakonfigurován tak, aby byl v režimu staging, použijte $true.

Dokumentace: https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/how-to-connect-health-agent-install#manually-register-microsoft-entra-connect-health-for-sync

Zapnutí / vypnutí Staging mode

				
					# Načtení parametrů nastavení
$AADSyncGlobalSettings=Get-ADSyncGlobalSettings

# zobrazit parametry
$AADSyncGlobalSettings.parameters

# vypnout Staging mode
($AADSyncGlobalSettings.parameters | ?{$_.name -eq "Microsoft.Synchronize.StagingMode"}).value="False"

# zapnout Staging mode
($AADSyncGlobalSettings.parameters | ?{$_.name -eq "Microsoft.Synchronize.StagingMode"}).value="True"

# Uložit nastavení !!!
Set-ADSyncGlobalSettings $AADSyncGlobalSettings

Změna plánu synchronizace

Výchozí nastavení synchronizace je 30 minut. Změny času synchronizace služby Entra Connect se provádějí pomocí příkazu Set-ADSyncScheduler.

Je však důležité si uvědomit, že pro plán synchronizace existují horní a dolní limity. Například plán synchronizace musí být spuštěn alespoň jednou za 7 dní. Kromě toho se synchronizační cyklus spouští pouze jednou za 30 minut. Nyní, s ohledem na tato omezení, použijme rutinu Set-ADSyncScheduler ke změně plánu na cyklus např. jednou za 2 hodiny:

				
					# Spusteni kazde 3 hodiny
Set-ADSyncScheduler -CustomizedSyncCycleInterval 03:00:00

# Spusteni 1x denne
Set-ADSyncScheduler -CustomizedSyncCycleInterval 1.0:0:0

#Syntaxe: Set-ADSyncScheduler -CustomizedSyncCycleInterval d.HH:mm:ss
#d - dny, HH - hodiny, mm - minuty, ss - sekundy

Vypnutí a zapnutí synchronizace

				
					# Vypnuti synchronizace
Set-ADSyncScheduler -SyncCycleEnabled $false

# Zapnuti synchronizace
Set-ADSyncScheduler -SyncCycleEnabled $true

Deletion trehsold exceeded

Pokud při synchronizaci narazíte na problém, že se nemažou z Entra ID staré objekty, které se již nemjí synchronizovat, podívejte se do Synchronization Service Manager, zda-li náhodou neuvidíte ve sloupci Status informaci „stopped-deletion-treshold-exceeded„. Tato chyba značí, že se synchronizační proces szaží z Entra ID odebrat větší množství objektů, než je jeho limit. Toto lze vyřešit pomocí těchto příkazů:

				
					# Zjisteni aktualniho limitu
Get-ADSyncExportDeletionThreshold


# Vypnuti limitu
Disable-ADSyncExportDeletionThreshold

# Opetovne zapnuti limitu
Enable-ADSyncExportDeletionThreshold -ThresholdCount 500

Vzdálená správa Hyper-V serveru v pracovní skupině

Miroslav Šraga — Tue, 25 Apr 2023 10:53:11 +0000

Cílem tohoto příspěvku je popsat kroky, které je třeba provést v nedoménovém prostředí, aby bylo možné ustanovit připojení na Hyper-V Server 2016, 2019 nebo 2022 a vzdáleně jej spravovat pomocí nástroje Hyper-V Manager z počítače se systémem Windows 10/11. Tento článek rozdělím do tří částí

Kroky, které je potřeba provést na co je třeba udělat na Hyper-V Serveru (hypervisoru)
Kroky, které je potřeba provést na klientském počítači se systémem Windows 10/11
Nejčastějčí řešení problémů.

Pokud nepoužíváte Hyper-V Server v doméně, ve které máte zavedeny a nastaveny Group Policy (zásady skupiny), které se starají o automatickou konfiguraci systémů pro bezproblémovou vzdálenou správu, je třeba provést poměrně dost kroků jak na Hyper-V Serveru (hostiteli), tak na klientském počítači se systémem Windows 10/11, ze kterého budete virtuální prostředí spravovat.

Hypervisor Hyper-V server 2016, 2019, 2022

V tomto příspěvku se nebudu v detailu věnovat instalaci samotného hypervisoru, jen shrnu výchozí stav, do kterého byste měli vaše prostředí dostat, než budete pokračovat dál:

Ověřte, že je zapnutý Remote management (pokud jste připojeni k Windows Server Core, jedná se o volbu 4)
Povolte přístup pomocí vzdálené plochy
Supusťte Windows Update a nainstalujte poslední aktualizace
Povolte PSRemoting – spusťe následující PowerShell příkaz

 Enable-PSRemoting

5. Povolte vzdálený přístup ve veřejných zónách a povolte Firewall pravidla pro CredSSP a WinRM pomocí následující příkazu. Příkaz spusťte s oprávněním Adminstrátora a na dotaz, zda-li chcete CredSSP povolit, zvolte volbu „Y„

 Enable-WSManCredSSP -Role server

Klientské zařízení s Windows 10/11

Nainstalujte Hyper-V Management Tools

Spusťte PowerShell se oprávněním administrátora (Run as Administrator)
Zadejte následující příkaz a na dotaz, zda-li chcete provést restart, zvolte volbu „Y„

 Enable-WindowsOptionalFeature -Online -FeatureName Microsoft-Hyper-V-Tools-All -All

Nastavte síťový profil na Privátní

Nastavení lze provést pomocí následujících příkazů:

# Vypise seznam sitovych profilu
Get-NetConnectionProfile

# Nastavi Privatni profil pomoci nazvu sitoveho adapteru
Set-NetConnectionProfile -InterfaceAlias Ethernet -NetworkCategory Private

# nebo

# Nastavi Privatni profil pomoci ID sitoveho profilu, kde XX reprezentuje -InterfaceIndex z predchoziho prikazu
Set-NetConnectionProfile -InterfaceIndex XX -NetworkCategory Private

Pokud nemáte zařízení v doméně, pravděpodobně nepoužíváte ani interní DNS. Pro správné fungování je potřeba, aby Hyper-V server byl zaveden v DNS a správně fungoval resolving.

Pokud tedy není možné zavést server do interního DNS, přidejte jej do hosts souboru pomocí příkazu níže.

192.168.1.100 je IP adresa Hyper-V serveru – zadejte vlastní hodnotu
SRVHYPERV1 je název serveru – zadejte vlastní hodnotu
n – nový řádek
t – tabulátor

 Add-Content -Path C:\Windows\System32\drivers\etc\hosts -Value "`n192.168.1.100`tSRVHYPERV1"

Nastavení služby vzdálené správy (Remote Management Service)

Zadejte následující příkaz a potvrďte jej „Y„

 winrm quickconfig

Přidejte Hyper-V server mezi důvěryhodné hostitele

Na pracovní stanici, ze které budete virtualizaci spravovat, zadejte následující příkaz:

 # SRVHYPERV1 nahradte vlastni hodnotou
 Set-Item WSMan:\localhost\Client\TrustedHosts -Value "SRVHYPERV1"

Povolte delegování pověření počítače Win10 na server Hyper-V:

 # SRVHYPERV1 nahradte vlastni hodnotou
 Enable-WSManCredSSP -Role client -DelegateComputer "SRVHYPERV1"

Povolte delegování pověření „Fresh credentials with NTLM-only“

New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\" -Name 'CredentialsDelegation'
New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\CredentialsDelegation\" -Name 'AllowFreshCredentialsWhenNTLMOnly' -PropertyType DWord -Value "00000001"
New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\CredentialsDelegation\" -Name 'ConcatenateDefaults_AllowFreshNTLMOnly' -PropertyType DWord -Value "00000001"
New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\CredentialsDelegation\" -Name 'AllowFreshCredentialsWhenNTLMOnly'

# SRVHYPERV1 nahradte vlastni hodnotou
New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\CredentialsDelegation\AllowFreshCredentialsWhenNTLMOnly\" -Name '1' -Value "wsman/SRVHYPERV1"

Otevřete Správce Hyper-V (Hyper-V Management Console:

Klikněte pravým tlačítkem myši na položku „Hyper-V Manager“ a vyberte možnost „Připojit se k serveru…“.
Vyberte možnost „Jiný počítač“ a zadejte název Hyper-V serveru (SRVHYPERV1).
Zaškrtněte políčko „Připojit jako jiný uživatel“ a použijte místní (lokální) účet správce Hyper-V ve tvaru:
SRVHYPERV1\Administrator
Zaškrtněte políčko „Zapamatovat si mě“.
Klikněte na tlačítko OK

Výborně. Nyní byste měli být připojeni z klientského počítače k Hyper-V serveru pomocí Hyper-V Management Console.

Nejčastější problémy

Chyba oprávnění

Pokud se Vám nedaří spojit z klientské stanice na Hypet-V server, ujistěte se, že zadáváte přihlašovací jmné správce ve správném formátu, tedy: SRVHYPERV1\Administrator

An error occurred while attempting to connect to server SRVHYPERV1. Check that the Virtual Machine Management service is running and that you are authorized to connect to the server.

The operation is not supported.

Proveďte aktualizaci všech systémů, tedy serveru i klienta a restartuje oba systémy.