Office 365 DirSync – конфликт дублирования UserPrincipalName

У меня проблема, где произошли следующие события (и была проверена во второй раз с тестовой учетной записью, а O365 тенант в примере – mydomain.onmicrosoft.com):

1. Электронная почта была создана в Office 365 с адресом электронной почты [email protected]
2. Локальная учетная запись AD была создана с локальным UPN @corp.mydomain.com (по ошибке, мы также добавили mydomain.com в UPN, но была выбрана неправильная учетная запись).
3. Синхронизация AD прошла, и мы могли видеть пользователя [email protected] в списке (показано Синхронизировано с Active Directory в списке администраторов Office 365)
4. Затем мы изменили UPN учетной записи AD на @mydomain.com
5. Мы получили ошибку для состояния Dir Sync: Мы обнаружили конфликт дублирования UserPrincipalName по значению [email protected]. Все значения атрибутов должны быть уникальными для объектов. Чтобы решить этот конфликт, сначала определите, какой объект должен использовать конфликтующее значение. Затем обновите или удалите конфликтующее значение из других объектов. Эта ошибка была обнаружена 7/9/17 12:32 PM.

Списки:

UserPrincipalName: [email protected]
Статус: Без лицензии
Последнее время DirSync:
Исходный якорь:
Источник полномочий: Облако
Создано: 7/9/17 3:49 PM

UserPrincipalName: [email protected] (Изменено автоматически)
Статус: Без лицензии
Последнее время DirSync: 7/9/17 4:32 PM
Исходный якорь: +fWWJ+utoUS9xeB2ofeKew==
Источник полномочий: Локальный Active Directory
Создано: 7/9/17 4:02 PM
Прокси-адреса:

Согласно https://support.microsoft.com/en-us/help/2641663/how-to-use-smtp-matching-to-match-on-premises-user-accounts-to-office

Я следовал деталям здесь и установил адрес электронной почты локальной учетной записи AD в профиле пользователя на [email protected], установил UPN на mydomain.com и также добавил прокси-адрес SMTP:[email protected] на вкладке атрибутов пользователя, но все равно получаю ту же ошибку.

Есть ли идеи, как я могу связать указанный [email protected] (учетная запись AD) с [email protected] (почтовый ящик Office 365)?

Эти проблемы могут возникнуть из-за того, что вы не добавили свой домен в Office 365.

Во-первых, мы знаем, что Office 365 использует облачный сервис аутентификации пользователей Azure Active Directory для управления пользователями. Каждый каталог Azure AD имеет первоначальное доменное имя в формате domainname.onmicrosoft.com. Первоначальное доменное имя нельзя изменить или удалить, но вы также можете добавить свое корпоративное доменное имя в Azure AD.

Например, ваша организация, вероятно, имеет другие доменные имена, которые используются для ведения бизнеса, и пользователи, которые входят в систему, используя ваше корпоративное доменное имя. Добавление пользовательских доменных имен в Azure AD позволяет вам назначать имена пользователей в каталоге, которые знакомы вашим пользователям, такие как ‘[email protected].’ вместо ‘[email protected]‘. Процесс прост:

1. Добавьте пользовательское доменное имя в ваш каталог
2. Добавьте DNS-запись для доменного имени у регистратора доменных имен
3. Подтвердите пользовательское доменное имя в Azure AD

Вы можете добавить свой домен в портале Office 365 прямо здесь:

Если вы планируете объединить свой локальный Active Directory на базе Windows Server с Azure AD, то вам нужно выбрать Я планирую настроить этот домен для единого входа с моим локальным Active Directory при запуске инструмента Azure AD Connect для синхронизации ваших каталогов. Вам также необходимо зарегистрировать то же доменное имя, которое вы выбираете для федерации с вашим локальным каталогом, на шаге Azure AD Domain в мастер-настройке. Вы можете увидеть, как выглядит этот шаг в мастере в этих инструкциях. Если у вас нет инструмента Azure AD Connect, вы можете скачать его здесь.

Больше о том, как добавить домен и пользователей в Office 365, смотрите в этом официальном документе.

С технической точки зрения, если Azure AD Connect настроен правильно, он не должен синхронизировать пользователя с недействительным (corp.mydomain.com) UPN. Вам придется как-то объяснить мне, как вы заставили это произойти. Вы также авторизовали corp.mydomain.com в Office 365?

Тем не менее, теперь локальный пользователь связан с облачным пользователем через Anchor/ImmutableID.

• Если все в порядке, удалите локальную учетную запись пользователя и выполните синхронизацию. Это должно удалить учетную запись пользователя в облаке.
• Восстановите удаленную учетную запись пользователя в облаке. Теперь это “Только облако”
• Измените учетную запись пользователя Office 365 на новый логин/UPN/Основной SMTP и так далее.
• Удалите ImmutableID облачного пользователя из Office 365 PowerShell: Set-MsolUser -UserPrincipalName <clouduserUPN> -ImmutableID $null
• Создайте новую учетную запись пользователя AD с правильным UPN и ProxyAddresses, который теперь соответствует UPN/входу облачного пользователя.
• Теперь выполните синхронизацию. Azure AD Connect сопоставит локального пользователя с облачным пользователем и выполнит синхронизацию.

Если вы не можете удалить локальную учетную запись AD на шаге 1, отфильтруйте локального пользователя в Azure AD Connect и синхронизируйте. Это также удалит учетную запись пользователя в Office 365, чтобы вы могли выполнить шаг 2. Затем уберите фильтр перед окончательной синхронизацией.