Перед переходом на соединитель Microsoft Entra ID
Прежде чем начать, убедитесь в наличии следующих учетных данных.
- Производственная среда Entra ID.
- Изолированная среда Dropbox для тестирования.
- Изолированная среда Microsoft Entra ID для тестирования и проверки.
- Разрешения администратора для Dropbox и Microsoft Entra ID.
- Полный список участников и подгрупп Dropbox.
Если вам нужна изолированная среда Dropbox, обратитесь к менеджеру по работе с клиентами. Вы также можете использовать для тестирования изолированную среду разработчика Microsoft.
Прежде чем вносить изменения, ознакомьтесь с инструкциями Microsoft по добавлению пользователей Dropbox с помощью Microsoft Entra ID.
Как настроить корпоративное приложение Dropbox в Microsoft Entra ID
Перед переключением соединителей настройте корпоративное приложение Dropbox в Microsoft Entra ID.
Просмотрите эти настройки, чтобы понять, какие участники и подгруппы включены:
- настройки добавления пользователей;
- настройки области действия;
- сопоставления атрибутов.
В крупных средах на скорость добавления пользователей могут влиять следующие факторы.
- Количество участников и подгрупп, а также состав подгрупп в области действия.
- Сопоставляются ли существующие аккаунты Dropbox или создаются новые.
- Ошибки добавления пользователей.
- Размер и сложность подгрупп.
- Ограничение скорости при масштабной синхронизации.
Чтобы ограничить первый запуск добавления пользователей, можно использовать фильтры области Microsoft Entra ID. Ограничение области действия может упростить проверку результатов.
Как отключить соединитель AD Dropbox
Перед включением добавления пользователей в Microsoft Entra ID отключите соединитель AD Dropbox.
- Найдите запланированные задачи, которые запускают соединитель AD Dropbox.
- Проверьте наличие других запланированных задач, которые могут запускать соединитель.
- Отключите или удалите все запланированные задачи, которые запускают соединитель.
- Убедитесь, что соединитель AD Dropbox больше не может вносить изменения.
Как удалить внешние идентификаторы участников и подгрупп Dropbox
Устаревший соединитель AD и соединитель Microsoft Entra ID используют данные, связывающие объекты каталога с аккаунтами Dropbox. Удалите устаревшие связи, чтобы служба Entra ID могла создать правильные новые связи.
Невозможно управлять внешними идентификаторами с помощью консоли администрирования Dropbox.
Используйте один из следующих способов.
- Пользовательский сценарий с использованием API Dropbox, включая конечную точку set_profile.
- Watermint — инструмент с открытым исходным кодом для работы в командной строке, который позволяет получать список объектов и выполнять групповое удаление внешних идентификаторов.
Протестируйте выбранный способ в изолированной среде Dropbox, прежде чем использовать его в производственной среде. Убедитесь, что внешние идентификаторы для всех участников и подгрупп удалены.
Как включить добавление пользователей Dropbox в Microsoft Entra ID
Перед включением добавления пользователей убедитесь, что соединитель AD Dropbox отключен. Также убедитесь, что внешние идентификаторы всех участников и подгрупп удалены.
Чтобы включить добавление пользователей, выполните следующие действия.
- Укажите учетные данные администратора.
- Определите область действия добавления пользователей.
- При первом запуске ограничьте ее частью участников.
- Проверьте сопоставления атрибутов.
- Запустите добавление пользователей.
- Отслеживайте первый цикл синхронизации и журналы добавления пользователей.
Как проверить результаты перехода
После включения добавления пользователей в Microsoft Entra ID убедитесь в соблюдении следующих условий.
- Существующие участники Dropbox сопоставлены правильно и не дублируются.
- Нужные подгруппы синхронизированы.
- Состав подгрупп указан правильно.
- Действие аккаунта какого-либо участника не было неожиданно приостановлено.
- Сведения об успешно выполненных синхронизациях отображаются в Microsoft Entra ID.
- Журналы добавления пользователей не содержат большого количества неустраненных ошибок.
- После первой синхронизации последующие инкрементные синхронизации выполняются успешно.
Как управлять вложенными подгруппами с помощью Microsoft Entra ID
Процесс добавления пользователей в Microsoft Entra ID не поддерживает вложенные подгруппы. Вложенная подгруппа — это подгруппа, в состав которой входят другие подгруппы.
Например, структура подгрупп в Microsoft Entra ID может выглядеть следующим образом:
- sg-dbx-all-engineering
- sg-dbx-platform
- sg-dbx-security
- sg-dbx-endpoint
Узнайте, как управлять подгруппами в Microsoft Entra ID.
При использовании соединителя AD Dropbox назначение подгруппы sg-dbx-all-engineering позволяет добавлять участников с помощью вложенных подгрупп.
При использовании механизма добавления участников Microsoft Entra ID назначение только подгруппы sg-dbx-all-engineering не приведет к добавлению участников, входящих в ее вложенные подгруппы. Необходимо отдельно назначить каждую подгруппу, участников которой вы хотите добавить.
Продолжайте использовать Active Directory для управления подгруппами и участниками. Убедитесь, что необходимые подгруппы безопасности синхронизируются с Microsoft Entra ID с помощью Microsoft Entra Connect или Microsoft Entra Cloud Sync.
После синхронизации подгрупп выполните следующие действия.
- Откройте центр администрирования Microsoft Entra.
- Перейдите в раздел Корпоративные приложения.
- Откройте Dropbox Business.
- Выберите Пользователи и группы.
- Выберите Добавить пользователя/группу.
- Назначьте каждую синхронизированную дочернюю подгруппу по отдельности, например sg-dbx-platform, sg-dbx-security и sg-dbx-endpoint.
Не назначайте только родительскую подгруппу, например sg-dbx-all-engineering, если ее участники входят в нее через дочерние вложенные подгруппы.
Ознакомьтесь с рекомендациями Microsoft по управлению удостоверениями.
Как управлять подгруппами после перехода
После перехода продолжайте управлять составом подгрупп в Active Directory. Вносите там изменения, когда участник рабочей группы присоединяется к отделу, переходит в другой отдел или покидает организацию.
Microsoft Entra ID будет синхронизировать обновленные подгруппы. Затем корпоративное приложение Dropbox автоматически внесет эти изменения. Вносить их непосредственно в Dropbox не требуется.
Устранение проблем с переходом
Если после перехода возникли проблемы, выполните следующее.
- Убедитесь, что соединитель AD Dropbox больше не работает.
- Убедитесь, что внешние идентификаторы удалены для всех участников и подгрупп.
- Проверьте журналы добавления пользователей в Microsoft Entra на наличие ошибок сопоставления или области действия.
- Уменьшите область действия добавления пользователей и повторите переход поэтапно.
Первоначальная синхронизация добавления пользователей может занять больше времени при большом количестве назначений. Ориентировочное время составляет от 0,01 до 0,08 минуты на каждого назначенного участника, подгруппу или участника подгруппы.
Последующие инкрементные синхронизации обычно выполняются в течение 30 минут.
Время синхронизации зависит от стороннего поставщика услуг добавления пользователей и может отличаться. Если синхронизация занимает больше времени, чем ожидалось, проверьте ее статус и журналы в консоли администрирования поставщика.
