跳至主內容
English (United States) 日本語 简体中文

[Access Control] 使用者同步設定（Microsoft Entra ID → Access Control）

概要

  • 本說明將介紹 Access Control 管理員如何從 Microsoft Entra ID 手動或定期同步使用者資訊至 Access Control 的步驟。

注意事項

  1. 本文章內容係根據 2026 年 10 月時的產品規格所撰寫，日後可能會在未經預告的情況下變更。
  2. 設定使用者同步時，需具備 Access Control 的全域管理員權限以及 Microsoft 365 的全域管理員權限。
  3. 如需存取管理介面的方法，請參考以下文章。
    HENNGE Access Control 管理員介面存取方式
  4. 使用者同步需以網域為單位進行設定。
  5. 在執行使用者同步前，必須先將必要的使用者註冊至 Microsoft Entra ID。
  6. Microsoft Entra ID 的使用者密碼不會同步至 Access Control。
    使用者同步完成後，請務必於 Access Control 端設定初始密碼。
  7. 啟用定期同步後，將以每 1 小時 1 次的頻率同步使用者資訊。
    ※ 同步間隔無法變更。
  8. 若已從 Active Directory 同步使用者至 Access Control，則無需執行本作業。

事前確認事項

步驟 

  1. 請從 Access Control 管理員介面進入 [帳戶佈建設定]。

    サイドメニュー (1).png

  2. 於 [從雲端服務同步] 選單中，選擇 [+ 新增服務]。

    MSからのサービス追加.png

  3. 於選擇同步服務畫面中，選擇 [Entra ID]。

    Screenshot 2025-05-26 at 7.28.23 PM.png

    若顯示 [使用已儲存的資料] 選單，請選擇 [使用已儲存的資料]，並進行後續步驟 6。
    ※ 若已完成步驟 5. [所需存取權限] 的同意，則會顯示此選單。

    保存したデータを使用する.png

  4. 將顯示 Microsoft 365 登入畫面，請以全域管理員帳戶登入。
  5. 顯示 [所需存取權限] 畫面時，請選擇 [同意]。
  6. 勾選欲同步的網域，設定 UPN 模式及使用者刪除容許率，然後點選 [繼續]。
    • 網域
      請勾選欲同步的網域。
    • 使用者刪除容許率
      當刪除使用者的比例超過設定值時，將自動取消處理，以避免非預期大量刪除使用者。
      例如：若使用者刪除容許率設為 65%，則同步時若刪除超過 65% 的使用者，將會取消處理。

    • UPN 模式
      依設定不同，Access Control 的使用者名稱將有所不同。
      ※ Access Control 的使用者名稱無法於事後變更。

      【啟用 UPN 模式時】
      將 Microsoft Entra ID 的 UserPrincipalName 屬性作為 Access Control 的使用者名稱進行同步。
      例如：若使用者的 UserPrincipalName 為「user@example.com」，則使用者名稱為「user@example.com」。
      【未啟用 UPN 模式時】
      將 Microsoft Entra ID 的 UserPrincipalName 屬性 @ 前的值作為 Access Control 的使用者名稱進行同步。
      例如：若使用者的 UserPrincipalName 為「user@example.com」，則使用者名稱為「user」。

      ドメイン選択.png

  7. 顯示 [所需存取權限] 畫面時，請勾選 [代表組織同意] 並選擇 [同意]。
    ※ 若未顯示此畫面而直接進入下一步，表示已完成驗證，請繼續後續步驟。

    アクセス許可.png

  8. 請分別點選各同步目標網域的 [開始同步預覽]，輸出預期的使用者同步結果。
    ※ 若有多個網域，請分別對每個網域執行同步預覽。

    同期プレビュー.png

  9. 選擇 [下載結果]，並確認下載的同步預覽結果 (csv 檔案)。
    ※ 若有多個網域，請分別確認每個網域的結果。
    ※ 同步預覽不會套用使用者刪除容許率，因此預覽結果可能會顯示超過容許率的刪除。

    結果のダウンロード.png

    請務必參考下方說明確認同步預覽結果。
    若同步結果中包含非預期的 Add、Delete、Update 使用者，請點選 [取消]，於編輯使用者資訊後再重新嘗試。
    如有疑問，請聯繫 HENNGE One 導入支援人員。
    ※ 同步預覽結果輸出時，使用者列表的排序無法變更。
    ※ 輸出之使用者列表右側欄位會顯示各使用者的 Immutable ID。

同步預覽結果出現 XXX excluded for user 時

「excluded for user」訊息分為 Addition／Update／Deletion 三種情境。
出現此訊息的使用者已被設定為不同步對象，即使執行同步也不會更新。
※此訊息僅說明若啟用使用者同步時會執行的處理。

同步預覽結果出現 Add 或 Delete 時

請確認 Add 或 Delete 對象的使用者是否為預期對象。
若有不希望被 Add 或 Delete 的使用者，請點選［取消］，於 Access Control 或 Microsoft Entra ID 端註冊或刪除使用者資訊後再重新嘗試。

同步預覽結果出現 Update 時

請確認 Update 對象使用者的同步欄位值是否如預期。
可比較 Access Control 及 Microsoft 365 中的使用者資訊，以確認更新內容。
若 Update 對象中有非預期的使用者，請點選［取消］，於 Access Control 或 Microsoft Entra ID 端編輯使用者資訊後再重新執行。

同步時的同步欄位詳細資訊，請參考以下文章。
[Access Control] Microsoft 365 使用者同步的同步欄位有哪些？

Access Control 使用者列表下載步驟，請參考以下文章。
[Access Control] 下載使用者列表

Microsoft Entra ID 批次匯出使用者資訊步驟
可使用下列指令批次匯出 Microsoft Entra ID 的使用者資訊，並用於同步預覽結果確認。
※本指令依 Microsoft Entra ID 規格運作，詳細請洽詢 Microsoft。
※執行前請先參考下列文章，確認可使用 Microsoft Graph PowerShell。
從 Microsoft Graph PowerShell 連線至 Microsoft 365

  1. 以管理員權限啟動 Microsoft Graph PowerShell，並執行下列指令。
    ※若顯示登入對話框，請以具備 Microsoft 365 全域管理員權限的帳戶繼續登入。

    Connect-MgGraph -Scopes "Domain.ReadWrite.All","Directory.AccessAsUser.All" -ErrorAction Stop

  2. 執行下列指令。
    ※請將「"*@串接對象網域"」部分指定為同步目標網域的值。
    例如：「"*@example.com"」
    ※請將「任意路徑」部分指定為匯出目的地路徑。

    Get-MgUser -all -Property MailNickname, UserPrincipalName, surname, givenname,DisplayName, OnPremisesImmutableId |Where-Object {$_.UserPrincipalName -like "*@串接對象網域"} | Select-Object MailNickname, UserPrincipalName, surname, givenname, DisplayName, OnPremisesImmutableId | Export-Csv -Path "/任意路徑/msusers.csv" -NoTypeInformation

  1. 若內容無誤，請點選 [繼續]。

    認證設定畫面的繼續.png

  2. 選擇 [定期同步設定] 或 [立即同步]，確認顯示的注意事項後，若無問題請勾選核取方塊並點選 [執行]。
    ※ 建議先執行同步預覽及立即同步，確認同步結果符合預期後再啟用。

    立即同步
    立即執行使用者資訊的同步（新增、刪除、更新）。
    ※ 執行 [立即同步] 時，將立即同步使用者資訊（新增、刪除、更新），並更新 HENNGE Access Control 的使用者。
    請確認同步預覽結果符合預期後再執行。

    定期同步設定
    啟用後，將以每 1 小時 1 次的頻率，從同步來源服務定期同步（新增、刪除、更新）使用者資訊至同步目的地服務。

    關於同步（新增、刪除、更新）

    • Add：僅存在於同步來源服務的使用者，會新增至同步目的地服務。
    • Delete：僅存在於同步目的地服務的使用者，會自同步目的地服務刪除。
    • Update：同步來源與目的地服務皆有相同使用者，且姓名、顯示名稱等欄位有差異時，會將目的地服務的值更新為來源服務的值。

    同步設定_同步執行.png

  3. 點選 [查看同步記錄]，確認同步結果。
    ※ 若選擇 [定期同步設定]，啟用定期同步時不會立即執行同步處理，因此同步記錄不會立即顯示。
    啟用定期同步後，將每 1 小時執行一次使用者資訊定期同步，並輸出同步記錄。
    同步記錄的詳細查看方法請參考以下文章。
    [Access Control] 查看同步記錄

    同步ログを確認する.png

  4. 請於 Access Control 端為每位使用者設定初始密碼。
    透過使用者同步建立於 Access Control 的使用者，不會同步 Microsoft Entra ID 端的密碼。
    因此，同步完成後需由管理員於 Access Control 上設定初始密碼。
    ※ 未設定密碼前，使用者無法登入 Access Control。
    密碼設定方法請參考以下文章。
    [Access Control] 批次更新使用者