Eines schönen Morgens erhielt ich die Meldung, dass neue AD-Objekte nicht mehr ins Azure AD synchronisiert werden. SSO funktionierte glücklicherweise, sonst hätte sie mir die Hütte eingerannt :).
Ich prüfte den «Synchronization Service» (C:\Program Files\Microsoft Azure AD Sync\UIShell\miisclient.exe), welcher mir offenbarte, dass er seit einiger Zeit nicht mehr synchronisierte (kein Fehler, aber keine aktuellen Einträge!).
Das Eventlog war auskunftsfreudiger:
System.Management.Automation.CmdletInvocationException: Run profile ‚Full Import‘ does not have run steps. —> System.InvalidOperationException: Run profile ‚Full Import‘ does not have run steps.
bei Microsoft.IdentityManagement.PowerShell.Cmdlet.InvokeADSyncRunProfileCmdlet.ProcessRecord()
Wieder zurück im «Synchronization Service»-Tool, dort auf «Connectors». Da sind zwei Connectors vorhanden, einer mit dem Namen der internen Domäne, und der zweite mit dem Namen der O365-Domäne «*.onmicrosoft.com – AAD». Im internen Connector fehlten unter «Configure Run Profiles» tatsächlich sämtliche Profile!
Glücklicherweise lassen sich diese relativ einfach manuell erstellen:
- Profil anwählen (z.b. «Full Import»), dann «New Step»
- Type entsprechend wählen (siehe unten) > Next
- Connector Configuration
- Partition = interne Domain
- Batch size = (siehe unten)
- Page size = 500
- Timeout = 120
- Finish
Dies muss für alle Profile ausgeführt werden.
| Profile | Type | Batch size |
| Full Import | Full Import (Stage Only) | 50 |
| Full Synchronisation | Full Synchronisation | 0 |
| Delta Import | Delta Import (Stage Only) | 50 |
| Delta Synchronisation | Delta Synchronisation | 0 |
| Export | Export | 30 |
Ausserdem muss unter «Connectors», der interne angewählt, und dann mit «Properties» konfiguriert werden:
«Configure Directory Partitions» > internes AD wählen/aktivieren
Achtung: falls nicht das gesamte AD synchronisiert werden sollte, müssen nun im Azure AD Connect Client noch die gewünschten OU’s ausgewählt werden, da sonst das gesamte AD synchronisiert wird!
Sync starten mit
Start-ADSyncSyncCycle -PolicyType Initial