L’AMF à accès conditionnel interrompt la synchronisation Azure AD Connect

Le service de synchronisation Azure AD Connect ne fonctionne pas depuis plus d'une semaine. Lorsque nous exécutons la synchronisation AD manuelle avec PowerShell, des erreurs s'affichent. Pourquoi cela se produit-il et pourquoi cela s’est-il produit après la mise en œuvre d’Azure AD Multi-Factor Authentication (MFA) ? Plus important encore, quelle est la solution à l’échec de la synchronisation Azure AD Connect ?

Vérifier la synchronisation Azure AD Connect

Voyons comment vérifier qu'Azure AD Connect ne fonctionne pas.

Gestionnaire de services de synchronisation

Connectez-vous sur le serveur Azure AD Connect. Démarrez l'application Synchronization Service Manager. Regardez les heures de début et de fin.

Dans la capture d'écran ci-dessous, l'heure de début et l'heure de fin sont le 11/04/2021. Nous sommes aujourd’hui le 19/04/2021. Cela fait plus d’une semaine qu’Azure AD Connect s’est synchronisé.

Centre d'administration Microsoft 365

Connectez-vous au centre d'administration Microsoft 365. Vérifiez la fiche Gestion des utilisateurs.

Nous pouvons confirmer que l’état de la dernière synchronisation d’Azure AD Connect remonte à plus de trois jours et qu’aucune synchronisation de mot de passe récente n’a eu lieu.

Erreur de synchronisation Azure AD Connect

Exécutez Windows PowerShell en tant qu'administrateur. Exécutez une synchronisation forcée Azure AD Connect avec PowerShell. Il affichera l’erreur ci-dessous.

PS C:\> Import-Module ADSync
PS C:\> Start-ADSyncSyncCycle -PolicyType Delta
Start-ADSyncSyncCycle : System.Management.Automation.CmdletInvocationException: System.InvalidOperationException: Showing a modal dialog box or form when the application is 
not running in UserInteractive mode is not a valid operation. Specify the ServiceNotification or DefaultDesktopOnly style to display a notification from a service 
application.

Start-ADSyncSyncCycle : System.Management.Automation.CmdletInvocationException : System.InvalidOperationException : l'affichage d'une boîte de dialogue modale ou d'un formulaire lorsque l'application ne s'exécute pas en mode UserInteractive n'est pas une opération valide. Spécifiez le style ServiceNotification ou DefaultDesktopOnly pour afficher une notification provenant d'une application de service
.

L'écran ci-dessous montre à quoi il ressemble après l'exécution de la commande AD Sync.

Événements de l'application Observateur d'événements

Démarrez l'Observateur d'événements. Accédez à Journaux Windows > Application. Les événements d'erreur suivants s'affichent :

Événement 662, synchronisation d'annuaire
Événement 6900, ADSync
Événement 655, synchronisation d'annuaire
ID d'événement 906, synchronisation d'annuaire

Cliquez sur ID d'événement 906.

Événement 906, Synchronisation d'annuaire
GetSecurityToken : impossible de récupérer un jeton de sécurité pour le service Web de provisionnement (AWS). Le service ADSync n'est pas autorisé à interagir avec le bureau pour authentifier Sync_DC01-2016_588c77bd8651@exoip365.onmicrosoft.com. Cette erreur peut se produire si des stratégies d'authentification multifacteur ou d'autres stratégies d'authentification interactive sont accidentellement activées pour le compte de synchronisation.

Solution pour l’échec de la synchronisation AD Connect

La solution en cas d’interruption de la synchronisation AD Connect après la mise en œuvre d’Azure AD MFA consiste à exclure le compte de synchronisation Azure AD Connect d’Azure AD MFA.

Les comptes de service, tels que le compte Azure AD Connect Sync, sont des comptes non interactifs qui ne sont liés à aucun utilisateur particulier. Ils sont généralement utilisés par les services back-end permettant un accès programmatique aux applications, mais sont également utilisés pour se connecter aux systèmes à des fins administratives. Les comptes de service comme ceux-ci doivent être exclus car la MFA ne peut pas être réalisée par programme.

Rechercher un compte de synchronisation Azure AD

Dans l’erreur du journal des événements, que nous avons examinée à l’étape précédente, vous pouvez copier le compte que vous devez exclure d’Azure MFA.

Si vous souhaitez vérifier le compte dans le Synchronization Service Manager, cliquez sur Connecteurs. Cliquez sur le type Windows Azure Active Directory (Microsoft). Cliquez sur Propriétés.

Cliquez sur Connectivité et recherchez le Nom d'utilisateur.

Lire la suite : Rechercher des comptes Azure AD Connect »

Exclure MFA pour le compte Azure AD Connect Sync

Connectez-vous à Microsoft Azure. Ouvrez le menu et accédez à Azure Active Directory > Sécurité > Accès conditionnel. Modifiez la stratégie d'accès conditionnel qui applique l'authentification multifacteur pour les comptes d'utilisateurs.

Dans cet exemple, il s'agit de la stratégie MFA pour tous les utilisateurs.

Lire la suite : Configurer l'authentification multifacteur Azure AD »

Sous Affectations, cliquez sur Utilisateurs et groupes et sélectionnez Exclure. Cochez la case Utilisateurs et groupes. Recherchez le compte de synchronisation que vous avez copié à l'étape précédente. Assurez-vous que la politique est Activée et cliquez sur Enregistrer.

Vérifier l'état de synchronisation d'Azure AD Connect

Vous pouvez attendre un maximum de 30 minutes, ou si vous ne souhaitez pas attendre aussi longtemps, forcez la synchronisation d’Azure AD Connect avec PowerShell.

PS C:\> Import-Module ADSync
PS C:\> Start-ADSyncSyncCycle -PolicyType Delta

L'heure de début et l'heure de fin ont été modifiées au 19/04/2021.

Coches vertes pour la synchronisation Azure AD Connect dans le centre d’administration Microsoft 365.

Cela vous a-t-il aidé à réparer la synchronisation Azure AD Connect interrompue après la configuration de la MFA à accès conditionnel ?

Continuez à lire : Ajouter des utilisateurs à un groupe avec PowerShell »

Conclusion

Vous avez découvert pourquoi le service de synchronisation Azure AD Connect a arrêté la synchronisation après la mise en œuvre d'Azure AD Multi-Factor Authentication. Cela se produit car MFA est activé sur le compte Azure AD Connect Sync. Excluez le compte de synchronisation Azure AD Connect de la stratégie d’accès conditionnel Azure et la synchronisation commencera.

Une meilleure méthode consiste à créer un groupe de sécurité nommé Non-MFA et à ajouter le compte Azure AD Connect Sync en tant que membre. De cette façon, vous le garderez organisé si vous devez ajouter d'autres comptes de service à l'avenir.

Avez-vous apprécié cet article? Vous aimerez peut-être également Connectez-vous à Azure AD avec PowerShell. N’oubliez pas de nous suivre et de partager cet article.