Conector do Azure AD: Desabilitar autenticação ADFS
Problema
Por que você desejaria desativar a autenticação ADFS? Bem, e se o ADFS estiver inativo ou você quiser reverter para algum outro método de autenticação? Algumas semanas atrás, eu estava em uma situação em que precisava desabilitar o ADFS no Azure AD Sync de um cliente. Naquela época, o Microsoft Tech ao telefone nos orientou a fazer o que só posso descrever como uma ‘desfederação forçada’. Isso envolveu o uso do Powershell e ele redefine a senha em todas as contas ‘na nuvem’ e coloca essas senhas em um arquivo de texto.
Convert-MsolDomainToStandard -DomainName {Nome do domínio federado} -SkipUserConversion $false -PasswordFile c:\password.txt
MAS VOCÊ NÃO PRECISA FAZER ISSO!
Preciso migrar o mesmo cliente para o ADFS em um futuro próximo, então queria investigar o que fazer se tivesse algum problema no futuro, “Como faço para voltar atrás?” e mais importante “Como posso limitar a interrupção se houver um problema?“
Então eu o construí na bancada de testes e fiz eu mesmo.
Solução
Para desabilitar o ADFS, você precisa substituí-lo por outra coisa. As opções mais comuns (e fáceis) de trabalhar são ‘Sincronização de hash de senha‘ ou ‘Autenticação Pass-Through’. Vou usar a sincronização de hash de senha, mas também vou vincular a autenticação de passagem, se você preferir essa opção.
A primeira tarefa é garantir que você esteja na versão mais recente do Azure AD Connect que puder encontrar. Versões mais antigas não terão as opções que você precisa. A versão que você vê abaixo era a mais recente no momento em que este artigo foi escrito.
Então precisamos habilitar a sincronização de hash de senha > Iniciar o Azure AD Connect > Configurar > Personalizar opções de sincronização > Prosseguir para ‘Recursos opcionais’ > Marcar ‘Sincronização de hash de senha’ > Concluir o assistente.
ESPERE! Deixe seu AD replicar os hashes de senha, eu geralmente apenas Forçar uma replicação do Delta Azure AD. Então você precisa trocar do ADFS. Inicie o Azure AD Connect > Configurar > Alterar login do usuário > Avançar > Marcar “Sincronização de hash de senha’ > Aceitar o aviso > Avançar.
Nota: Sim, eu também vi o aviso, mas tive usuários logados no Outlook etc., e ninguém foi solicitado novamente, e ninguém teve a autenticação recusada. Mesmo assim, se você estiver preocupado, talvez queira fazer isso em um fim de semana ou depois do expediente.
OK, que tal ‘Autenticação Pass-Through”? Se você deseja uma substituição escalável do ADFS a longo prazo, esta pode ser uma opção melhor para você. Há alguns obstáculos a serem superados e um pouco mais de planejamento e premeditação. Consulte o artigo a seguir para obter uma explicação;
Autenticação de passagem do Azure
Como estamos habilitando o logon único, você será solicitado a fornecer um conjunto de credenciais de administrador de domínio local > Concluir o assistente.
