AAD Connect mit Export und Re-Import der Konfiguration wiederherstellen

Beim Thema Ausfall­sicherheit von AAD Connect ist es wichtig zu wissen, dass es nur einen aktiven Server geben darf, welcher die Verzeichnisse synchronisiert. Der in dieser Anleitung eingerichtete Ersatz-Server muss daher im Staging-Modus betrieben werden.

Daten exportieren

Jedes Mal, wenn man über den Assistenten von AAD Connect Änderungen vornimmt, dann wird eine JSON-Datei mit einem Zeitstempel in das Programm­verzeichnis des Servers geschrieben.

Diese Dateien enthalten jedoch keine Einstellungen, welche man per PowerShell, Rules Editor oder im Synchroni­sations­editor konfiguriert hat. Diese müssen daher per Hand exportiert werden.

Regeln und Konnektoren exportieren

Beim Editor für die Sync-Regeln markiert man dazu die gewünschten Einträge und startet dann die Export­funktion über den Export-Button am unter Abschnitt des Fensters.

Im Synchronization Service Manager verhält es sich ähnlich, dort führt man den Exportbefehl aus dem Kontextmenü der betreffenden Connectors aus.

Anstelle dieser getrennten Aktionen wären ein globaler Export und später ein globaler Import natürlich schöner.

Daten in neuen AAD Connect Server übernehmen

Für den Import muss man bei der Installation auf der Willkommens­seite den Modus Anpassung wählen. Anschließend hakt man bei Erforderliche Komponenten installieren die Option Synchronisierungs­einstellungen importieren an und teilt dem Assistenten den Speicherort der exportierten Einstellungen mit.

Gleich nach dem Start der Installation fordert der Wizard einige Daten an, beispielsweise welches Verfahren man für die Benutzeranmeldung einsetzen möchte.

Unter Verzeichnis verbinden möchte AAD Connect nun neue Konten anlegen. Hier würde es sich anbieten, die bereits zuvor erstellten Accounts zu nehmen, anstatt wieder neue erstellen zu lassen. Besser wäre es, wenn der Importvorgang die vorhandenen Daten und Konten der alten Konfiguration übernehmen könnte.

Hinweis: Beim Eingeben der Anmeldeinformationen der Domain nullpe.com fiel mir auf, dass die Anmeldung mit dem User in der Form "Domäne\Benutzername" nicht klappte, bei der Domäne smartsocke.com dagegen schon. Hier hilft dann meist die Anmeldung mit dem UPN, also zum Beispiel administrator@nullpe.com.

Zum Abschluss der Konfiguration wird nun auch nach dem Staging-Modus gefragt.

Wie bereits eingangs erwähnt, darf immer nur eine Instanz von AAD Connect die Objekte zwischen den Verzeichnissen abgleichen, so dass der neue Server nur als Standby fungieren kann und wir daher den Staging-Modus aktivieren.