對象
- 從 Microsoft Entra ID 定期同步使用者到 Access Control 的管理者
- 希望新增同步網域的管理者
目的
- 針對從 Microsoft Entra ID 定期同步到 Access Control 的客戶，說明如何新增或變更同步對象的網域。
注意事項
- 本文內容基於 2025 年 3 月時的產品規格製作，日後可能會在未經通知的情況下變更。
- 設定使用者同步需要 Access Control 的全域管理者權限。
- 關於管理介面的存取方法，請參考以下文章。
Access Control 管理介面的存取方法 - 使用者同步需要以網域為單位進行設定。
- 在執行使用者同步之前，必須先將必要的使用者註冊到 Microsoft Entra ID。
- 在 Microsoft Entra ID → Access Control 的使用者同步中，各使用者的密碼無法同步到 Access Control。
使用者同步完成後，必須在 Access Control 端設定初始密碼。 - 啟用定期同步後，將每小時進行一次 Access Control 與 Microsoft Entra ID 之間的使用者資訊同步。
- 如果已經從 Active Directory 同步使用者到 Microsoft Entra ID，則不需要進行此操作。
事前確認事項
- 對於計劃同步的網域，請變更非使用者對象的網域。
將非使用者對象的 UPN 變更為 onmicrosoft.com 網域
步驟
1. 從 Access Control 管理介面進入 [服務開通設定]。
2. 在 [同步來源] 選單中點擊 [確認詳情]。
3. 租戶 (Tenant) 上的網域將顯示在列表中，點擊要同步的網域的 [同步測試]。
4. 點擊 [同步測試]。
5. 顯示以下畫面時，點擊 × 按鈕或 [關閉]。
6. 對於同步對象網域，點擊 [確認同步測試紀錄]。
7. 點擊動作列的下載按鈕，確認同步測試紀錄的結果 (csv 檔案)。
同步測試紀錄的結果會在每次執行同步測試時覆蓋之前的結果。
※ 同步請求會在約 24 小時後刪除。
※ 同步測試不適用於使用者刪除容許率，因此可能會輸出超過容許率的使用者刪除測試。
請務必參考以下內容確認同步測試的結果。
如果同步結果中包含預期外的新增、刪除、更新的使用者，請按 [取消]，完成使用者資訊的編輯後再試一次。
如有疑問，請通知負責人。
※ 同步測試結果輸出時無法變更使用者列表的排序。
※ 輸出的使用者列表右側欄位會顯示每個使用者的 Imutable ID。
同步測試結果中顯示新增或刪除時
請確認新增或刪除對象的使用者是否為預期的使用者。
如果有不想作為新增或刪除對象的使用者，請點擊 [取消]，在 Access Control 或 Microsoft Entra ID 端註冊或刪除使用者資訊後再試一次。
同步測試結果中顯示更新時
請確認更新對象使用者的同步項目值是否如預期。
可以通過比較您在 Access Control 註冊的使用者資訊和 Microsoft 365 註冊的使用者資訊來確認更新內容。
如果更新內容中有預期外的使用者，請點擊 [取消]，在 Access Control 或 Microsoft Entra ID 端編輯使用者資訊後再試一次。
關於使用者同步時的同步項目詳細資訊，請參考以下文章。
Access Control 與 Microsoft 365 的使用者同步的同步項目是什麼？
8. 如果內容沒有問題，對於想作為同步對象的網域，點擊 [立即同步] 或 [啟用定期同步]。
關於立即同步
立即執行使用者資訊的同步（新增、刪除、更新）。
關於啟用定期同步
每小時一次，從同步來源服務到同步目標服務進行使用者資訊的定期同步（新增、刪除、更新）。
關於定期同步（新增、刪除、更新）
- 加入 : 當使用者僅存在於同步來源服務中，而不存在於同步目的地服務中時，將使用者加入至同步目的地服務。
- 刪除 : 當使用者不存在於同步來源服務中，而存在於同步目的地服務中時，將刪除同步目的地服務中的使用者。
- 更新 : 當同步來源和同步目的地服務中存在相同使用者，且姓名、顯示名稱等項目有差異時，將同步目的地服務的值更新為同步來源的值。
9. 變更以下設定值後，可以因應需要點擊 [同步資訊] 或 [啟用定期同步]。
・使用者刪除保護等級
當嘗試執行超過設定的 % 以上的刪除處理時，將取消處理，以防止意外大量刪除使用者。
例：使用者刪除保護等級為 65 % 的場合，若同步時刪除的使用者超過總數的 65%，將取消處理。
・UPN Mode
根據設定，Access Control 的使用者名稱設定值會有所變化。
※ Access Control 的使用者名稱無法後續變更。
【啟用 UPN Mode的情況】
將 Microsoft Entra ID 的 UserPrincipalName 屬性同步為 Access Control 的使用者名稱。
例 : 使用者的 UserPrincipalName 屬性為「user@example.com」時，使用者名稱為「user@example.com」。
【未啟用 UPN Mode的情況】
將 Microsoft Entra ID 的 UserPrincipalName 屬性中的 @ 之前的值同步為 Access Control 的使用者名稱。
例 : 使用者的 UserPrincipalName 屬性為「user@example.com」時，使用者名稱為「user」。
執行 [立即同步] 之畫面
執行 [啟用定期同步] 之畫面
10. 關於執行結果，確認同步記錄或定期同步的狀態。
執行 [同步資訊] 之畫面
以下畫面將顯示，請確認同步記錄。
同步記錄的確認方法，請參考以下文章。
檢查同步日誌（新式介面）
執行 [啟用定期同步] 之畫面
以下畫面將顯示，確認適用域的 [定期同步] 欄位為「啟用」。