Scénario

Comme dans les précédents exercices, vous allez vous glisser dans la peau de Dominique Skyetson, administrateur de Adatum. Dans cet atelier, vous réaliserez les tâches nécessaires pour gérer l'hybridation de la gestion d'identités du projet pilote entre l'Active Directory existant et l'Entra ID utilisé par l'environnement Microsoft 365.
Pendant cet atelier, vous allez préparer, installer et mettre en oeuvre Entra Connect qui sera un jalon important pour Adatum dans sa décision de déplacer ses données et applications vers le cloud 365.

Objectifs

A la fin de cet exercice, vous aurez une meilleure connaissance de :

L'utilisation des UPN de l'Active Directory comme noms de connexion dans Entra Id
Le nettoyage des utilisateurs on-premises avant de les synchroniser

Tâche 1 - Modification des UPN

Dans Active Directory Domain Service (ADDS), le suffixe UPN par défaut est le nom DNS du domaine dans lequel le compte utilisateur a été créé. L'assistant d'installation Entra Connect utilise l'attribut UserPrincipalName (bien qu'il soit possible d'en sélectionner un autre) comme nom de connexion utilisateur pour Entra Id.
L'environnement de test du pilote de Adatum que vous utilisez a été créé par votre hébergeur d'ateliers et le nom de domaine de l'ADDS choisi est adatum.com. Les utilisateurs ADDS ont donc été créés dans ce domaine qui ne sera pourtant pas celui utilisé pour l'environnement Entra Id de Adatum (le nom DNS d'entreprise sera utilisé à la place).
Dans cette tâche, vous allez vous faciliter la vie en utilisant Windows Powershell pour changer le suffixe UPN de votre environnement ADDS et l'UPN de tous les utilisateurs on-premises.

Basculez sur la machine virtuelle LON-DC1 sur laquelle vous devriez encore être connecté avec le compte ADATUM\Administrator et le mot de passe Pa55w.rd.
Faites un clic-droit sur le bouton démarrer pour sélectionner Windows PowerShell (Admin).
Dans la fenêtre Administrator: Windows PowerShell, utilisez la commande suivante pour référencer votre nom DNS d'entreprise (dont vous avez pris note antérieurement) : $upnSuff = '[godeployDomain].godeploylabs.com'
Utilisez ensuite la commande suivante pour remplacer le suffixe UPN de votre forêt ADDS : Set-ADForest -identity adatum.com -UPNSuffixes @{replace = $upnSuff}
Utilisez, pour terminer, la commande suivante pour modifier l'UPN de tous les utilisateurs du domaine ADDS :
Get-ADUser -Filter * -Properties SamAccountName | ForEach-Object { Set-ADUser $_ -UserPrincipalName ($_.SamAccountName.replace(' ','') + '@' + $upnSuff )}

Tâche 2 - Préparation de comptes à problèmes

L'intégration de votre ADDS on-premises avec Entra Id rendra vos utilisateurs plus productifs tout en facilitant l'administration de leurs comptes. Cependant, des erreurs peuvent survenir car, tout au long de la vie de votre ADDS, des informations érronées ont pu être utilisées qui n'ont pas posé de problème on-premises mais ne pourraient être supportées dans le cloud.
Par exemple, plusieurs objets pourraient avoir un attribut ProxyAddresses ou UserPrincipalName identiques dans l'ADDS. De nombreuses erreurs similaires pourraient poser problème dans la mise en place de la synchronisation de votre annuaire.
Dans cette tâche, vous allez utiliser un script pour implémenter quelques erreurs sur les utilisateurs du projet pilote Adatum afin d'identifier ensuite la manière de trouver et corriger ce genre d'erreurs.

Sur LON-DC1, dans la fenêtre Administrator: WIndows Powershell, utilisez la commande suivante pour récupérer le script que vous utiliserez ensuite : Invoke-WebRequest "https://raw.githubusercontent.com/renaudwangler/ib-labs/master/resources/problemUsers.ps1" | Select-Object -ExpandProperty Content | Out-File ".\problemUsers.ps1"
Lancez ensuite ledit script dans la fenêtre Administrator: Windows PowerShell : .\problemUsers.ps1

Note : Vous devriez pouvoir exécuter ce script sans problème car vous avez déjà changé la stratégie d'exécution des scripts sur LON-DC1 dans l'atelier 2.
Attendez que le script ait terminé son exécution avant de poursuivre sur la tâche suivante.

Tâche 3 - Identification et correction des problèmes avec powerShell

Dans cette tâche vous allez appréhender l'utilisation d'un script powerShell pour identifier et corriger les problèmes sur vos objets ADDS avant de mettre en place la synchronisation de ce dernier vers Entra Id.

Vous devriez être encore connecté sur LON-DC1 à l'issue de la tâche précédente.
Dans la fenêtre Administrator: WIndows Powershell, utilisez la commande suivante pour récupérer le script que vous utiliserez ensuite : Invoke-WebRequest "https://raw.githubusercontent.com/renaudwangler/ib-labs/master/resources/ibIdFix.ps1" | Select-Object -ExpandProperty Content | Out-File ".\ibIdFix.ps1"
Lancez ensuite ledit script dans la fenêtre Administrator: Windows PowerShell : .\ibIdFix.ps1
Une foix que le script a terminé, il génère un export des problèmes en .csv et ouvre une fenêtre $Report|out-gridview vous permettant de constater les comptes posant problèmes dans l'ADDS et qu'il serait impossible de synchroniser correctement.
- La première ligne indique un problème dans la syntaxte UPN de l'utilisateur Klemen,
- Les secondes et troisièmes lignes indiquent que deux comptes ont l'attribut emailAddress dédoublé.
- Notez également que le domaine des deux derniers comptes en erreur n'est pas légitime dans l'environnement de l'atelier.
Ouvrez donc l'outil Server Manager (depuis le menu démarrer si vous l'aviez fermé) pour cliquer sur le menu Tools/Active Directory Administrative Center.
Dans l'outil Active Directory Administrative center, saisissze klemen dans le champ Search (à droite, dans l'ancadré Global Search).
Dans la fenêtre de résultat, double-cliquez sur l'utilisateur Klemen Sic pour supprimer le caractère @ après son prénom dans le champ User UPN logon.
Cliquez sur OK pour valider le changement.
Dans la fenêtre Global Search, effaçez le nom Klemen et saisissez le nom Logan avant d'appuyer sur Entrée.
Dans la fenêtre de résultat, double-cliquez sur l'utilisateur Logan Boyle pour corriger le contenu de son champ E-mail avec la valeur logan@[godeployDomain].godeploylabs.com.
Cliquez sur OK pour valider le changement.
Dans la fenêtre Global Search, effaçez le nom Logan et saisissez le nom Lara avant d'appuyer sur Entrée.
Dans la fenêtre de résultat, double-cliquez sur l'utilisateur Lara Raisic pour corriger le contenu de son champ E-mail avec la valeur lara@[godeployDomain].godeploylabs.com.
Cliquez sur OK pour valider le changement.
Fermez l'outil Active Directory Administrative Center, vous êtes prêt à mettre en place la synchronisation.

Résultat

Dans cet exercice, vous avez préparé votre environnement ADDS pour la mise en place de la synchronisation avec Entra Id.

Vous pouvez poursuivre par l'exercice 2 - Mise en oeuvre de la synchronisation d'identités