Antes de migrar al conector de Microsoft Entra ID
Antes de comenzar, asegúrate de tener lo siguiente:
- Un entorno de producción de Entra ID.
- Un espacio aislado de Dropbox para las pruebas.
- Un espacio aislado de Microsoft Entra ID para las pruebas y la validación.
- Permisos de administrador para Dropbox y Microsoft Entra ID.
- Un listado completo de los miembros y grupos de Dropbox.
Si necesitas un espacio aislado de Dropbox, comunícate con tu gerente de éxito del cliente. También puedes usar un espacio aislado para desarrolladores de Microsoft para las pruebas.
Antes de hacer cambios, revisa las instrucciones de Microsoft para aprovisionar Dropbox con Microsoft Entra ID.
Preparar la aplicación Dropbox Enterprise en Microsoft Entra ID
Antes de cambiar de conector, configura Dropbox Enterprise en Microsoft Entra ID.
Revisa esta configuración para saber qué miembros y grupos están incluidos:
- Configuración del aprovisionamiento
- Configuración del alcance
- Asignaciones de atributos
En el caso de entornos grandes, hay varios factores que pueden afectar al rendimiento del aprovisionamiento:
- El número de miembros, grupos y suscripciones en el alcance.
- Ya sea que se sincronicen cuentas existentes de Dropbox o se creen cuentas nuevas.
- Errores de aprovisionamiento.
- El tamaño y la complejidad del grupo.
- La limitación de la tasa durante sincronizaciones de gran volumen.
Puedes usar los filtros del alcance de Microsoft Entra ID para limitar la primera ejecución de aprovisionamiento. Limitar el alcance puede facilitar la validación de los resultados.
Desactivar el Conector AD de Dropbox
Desactiva el Conector AD de Dropbox antes de activar el aprovisionamiento de Microsoft Entra ID.
- Busca las tareas programadas que ejecutan el conector AD de Dropbox.
- Comprueba si hay otras tareas programadas que puedan ejecutar el conector.
- Desactiva o elimina todas las tareas programadas que ejecutan el conector.
- Confirma que el Conector AD de Dropbox ya no puede hacer cambios.
Eliminar los Id externos de los miembros y grupos de Dropbox
Tanto el conector AD heredado como el conector de Entra ID usan información de vinculación de la identidad entre los objetos del directorio y las cuentas de Dropbox. Quita las asociaciones antiguas para que Entra ID pueda crear las nuevas.
No puedes gestionar Id. externos desde la Consola de administración de Dropbox.
Usa solo uno de los siguientes métodos:
- Un script personalizado que usa la API de Dropbox, que incluye el punto final set_profile.
- Watermint, una herramienta de línea de comandos de código abierto que puede enumerar objetos y borrar Id. externos en bloque.
Prueba el método que hayas elegido en un espacio aislado de Dropbox antes de usarlo en producción. Confirma que se hayan borrado los Id. externos de todos los miembros y grupos.
Activar el aprovisionamiento de Dropbox en Microsoft Entra ID
Antes de activar el aprovisionamiento, confirma que el Conector AD de Dropbox esté desactivado. Además debes confirmar que se han borrado todos los Id. externos de los miembros y grupos.
Para activar el aprovisionamiento:
- Establece las credenciales de administrador.
- Define el alcance del aprovisionamiento.
- Para la primera ejecución, limita el alcance a un subconjunto de miembros.
- Revisa las asignaciones de atributos.
- Inicia el aprovisionamiento.
- Supervisa el primer ciclo de sincronización y los registros de aprovisionamiento.
Validar la migración
Después de activar el aprovisionamiento de Microsoft Entra ID, confirma lo siguiente:
- Los miembros actuales de Dropbox se emparejan correctamente y no son duplicados.
- Los grupos previstos se sincronizaron.
- Las membresías de los grupos son correctas.
- No se suspendió a ningún miembro de forma inesperada.
- Las sincronizaciones correctas aparecen en Microsoft Entra ID.
- Los registros de aprovisionamiento no contienen muchos errores no resueltos.
- Las sincronizaciones incrementales continúan correctamente luego de la primera sincronización.
Gestionar grupos anidados con Microsoft Entra ID
El aprovisionamiento de Microsoft Entra ID no admite grupos anidados. Un grupo anidado es un grupo que tiene otros grupos como miembros.
Por ejemplo, la estructura de tu grupo de Microsoft Entra ID podría ser así:
- sg-dbx-all-engineering
- sg-dbx-platform
- sg-dbx-security
- sg-dbx-endpoint
Descubre cómo gestionar grupos en Microsoft Entra ID.
Con el Conector AD de Dropbox, al asignar sg-dbx-all-engineering se pueden aprovisionar a miembros a través de los grupos anidados.
Con el aprovisionamiento de Microsoft Entra ID, si solo se asigna el grupo sg-dbx-all-engineering no se aprovisionará a los miembros que pertenezcan a sus grupos anidados. Debes asignar individualmente cada grupo que desees configurar.
Sigue usando Active Directory para gestionar tus grupos y miembros. Asegúrate de que los grupos de seguridad necesarios se sincronicen con Microsoft Entra ID mediante Microsoft Entra Connect o Microsoft Entra Cloud Sync.
Después de la sincronización de los grupos:
- Abre el centro de administración de Microsoft Entra.
- Ve a Aplicaciones de Enterprise.
- Abre Dropbox Business.
- Selecciona Usuarios y grupos.
- Selecciona Agregar usuario/grupo.
- Asigna cada grupo secundario sincronizado de manera individual, como sg-dbx-platform, sg-dbx-security y sg-dbx-endpoint.
No asignes solo un grupo principal, como sg-dbx-all-engineering, si sus miembros pertenecen al grupo a través de grupos secundarios anidados.
Consulta las prácticas recomendadas de gobernanza de identidades de Microsoft.
Gestionar los grupos después de la migración
Sigue administrando los miembros de grupos en Active Directory después de la migración. Realiza los cambios necesarios cuando un miembro del equipo se incorpore a un departamento, se traslade a otro o deje la organización.
Microsoft Entra ID sincroniza los grupos actualizados. A continuación, la aplicación Dropbox Enterprise aprovisiona los cambios automáticamente. No es necesario que realices estos cambios directamente en Dropbox.
Solucionar problemas de migración
Si tienes problemas después de la migración:
- Confirma que el Conector AD de Dropbox ya no se esté ejecutando.
- Verifica que se hayan borrado los Id. externos de todos los miembros y grupos.
- Revisa los registros de aprovisionamiento de Microsoft Entra para detectar errores de coincidencia o de alcance.
- Reduce el alcance del aprovisionamiento y vuelve a intentar la migración por etapas.
La sincronización inicial de aprovisionamiento puede tardar más tiempo en el caso de asignaciones más grandes. Espera entre 0,01 y 0,08 minutos por miembro asignado, grupo o miembro del grupo.
Las sincronizaciones incrementales suelen tardar unos 30 minutos.
Los tiempos de sincronización dependen del proveedor externo de aprovisionamiento y pueden variar. Si una sincronización tarda más de lo esperado, revisa el estado y los registros en la consola de administración del proveedor.
