인튠(Intune) 강좌 #3 – AADC 설치, 동기화 및 MDM Authority 설정

Intune강좌#3-AADC설치, 동기, MDM Authority설정 안녕하세요 에릭 아빠의 잡념 블로그에 접속하셔서 감사합니다.이번의 기고는 인 튠(Intune)강좌 3번째 AADC설정 및 MDM Authority설정 관련 강좌입니다. 2번째 강좌에서는 커스텀 도메인을 등록하고 DNS도 설정하는 사용자 계정도 작성했습니다. 그런데 AADC는 기존 운영 중인 On-PremAD의 계정에서 AzureAD와 연동하고 자동적으로 동기화하고 On-PremAD계정에 접속 튠 및 O365서비스를 이용하기 위한 필수 인스톨 내용입니다.만약 Azure AD에만 사용자 계정을 관리한다면 이 작업은 필요 없습니다. 그러나 O365서비스를 이용하려면 대부분의 기업이 독자적으로 운영하는 AD서버를 사용하고 있으며 AD서버에서 계정 관리를 실시하고 있습니다. On-Prem AD도메인에서 사용하고 있는 도메인 이름이 Contoso.local등처럼 내부에서만 사용된 도메인, 즉 non-routable domain인 경우는 Azure AD계정 동기 때문에 반드시 사전에 On-Prem AD의 사용자 계정에 UPN을 배정해야 합니다. 그럼으로써, 로컬 도메인이 아니라 Azure Domain또는 임대 도메인으로 O365서비스를 이용할 수 있습니다.On-Prem AD의 사용자 계정에 신규 UPN을 등록하고 AADC(Azure AD connector)을 설치하고 계정 동기를 실시하는 프로세스가 필요합니다.본 내용에 관한 마이크로 소프트의 공식 자료에 대해서는 다음 링크를 클릭하십시오.https://docs.microsoft.com/ko-kr/office365/enterprise/prepare-a-non-routable-domain-for-directory-synchronization디렉토리 동기화를 위해 라우팅할 수 없는 도메인 준비 Office 365와 동기화하기 전에 온프레미스 사용자와 연결된 routale 도메인이 있는 경우 수행해야 하는 작업에 대해 조사합니다.docs.microsoft.com인튠(Intune) 강좌 #3 – AADC 설치, 동기화 및 MDM Authority 설정 On-PremAD 계정 연동을 위한 UPN 설정Office365에서 확인한 도메인과 일치하도록 ADDS에서 새로운 UPN 접미사 또는 접미사를 등록합니다.새 접미사를 등록한 후에는 사용자 Upn을 새 도메인 이름(예: [email protected] )으로 대체합니다.확인된 도메인을 사용하도록 Upn을 업데이트 한 후에는 온프레미스 ADDS를 Office365와 동기화 시킬 수 있습니다.1단계: 새로운 UPN 접미사 추가 ADDS 도메인 컨트롤러 서버 관리자에서 도구 > Active Directory 도메인 및 트러스트를 선택합니다.Active Directory 도메인 및 트러스트 창에서 active Directory 도메인 및 트러스트를 우클릭한 후 속성을 선택합니다.Upn 접미사 탭의 대체 UPN 접미사 상자에 새 upn 접미사 또는 접미사를 입력한 후 적용 추가를 선택 > Apply 합니다.이전 프로세스에 등록한 커스텀 도메인인 ericdaddy.com 을 추가합니다.접미사 추가가 완료되면 확인을 선택합니다.인튠(Intune) 강좌#3 – AADC 설치, 동기화, MDM Authority 설정 2단계 : 기존 사용자에 대한 UPN 접미사 변경 ADDS 도메인 컨트롤러 서버 관리자에서 도구 > Active Directory 사용자 및 컴퓨터를 선택합니다.사용자를 선택하고 우클릭하여 속성을 선택합니다.계정 탭의 UPN 접미사 드롭다운 목록에서 새 UPN 접미사를 선택하고 “확인”을 선택합니다.추가된 ericdaddy.com 을 선택합니다.모든 사용자에게 이 프로세스를 진행합니다.Windows PowerShell을 사용하여 모든 사용자에 대한 UPN접미사를 변경할 수도 있습니다.업데이트할 필요가 있는 유저가 많을 경우 Windows PowerShell을 사용하는 게 간단합니다. 다음 예에서는 contoso.com cmdlet을 사용하고 모든 contoso접미사를 변경합니다.예를 들면 다음 Windows PowerShell명령을 실행하고 모든 contoso. 로컬 접미사를 contoso.com으로 업데이트할 수 있습니다.PowerShell복사$LocalUsers=Get-ADUser-Filter”UserPrincipalName-like’*contoso.local'”-Properties userPrincipalName-ResultSetSize$null$LocalUsers| foreach<$newUpn=$_. UserPrincipalName.Replace(“@contoso.local”,”@contoso.com”);$_| Set-ADUser-UserPrincipalName$newUpn} 인 튠(Intune)강좌#3-AADC설치, 동기 및 MDM Authority설정 계정 동기를 위한 AADC설치AADC의 최초 설치는 On-PremAD사용자 계정을 O365에서 그대로 사용하기 때문에 계정 동기 때문에 설치하는 것입니다. 실제 설치 과정의 상세 사항은 이하의 링크를 클릭하십시오.아래의 설치 과정에서 중요한 옵션의 상세 설정이 링크에 나서고 있어 반드시 아래 링크의 내용을 확인하세요.https://docs.microsoft.com/ko-kr/azure/active-directory/hybrid/how-to-connect-install-customAzure AD Connect: 사용자 지정 설치 이 문서에서는 Azure AD Connect에 대한 사용자 지정 설치 옵션에 대해 자세히 설명합니다. Azure AD Connect를 통해 Active Directory를 설치하려면 다음 절차를 사용합니다.docs.microsoft.com인튠(Intune) 강좌 #3 – AADC 설치, 동기화 및 MDM Authority 설정 AzureAD에 접속한 후 AzureAD Connect를 클릭합니다.Azure AD Connect 다운로드를 클릭합니다.새 페이지가 열리면 다운로드를 클릭하여 AACD 설치 파일을 다운로드합니다.다운로드된 AuzreAD Connect.exe 를 실행합니다.라이센스에 동의를 체크하고 계속합니다.Express Settings를 사용하면 아래 빨간색으로 표시된 내용이 자동으로 이루어지는데 여기서는 customize로 진행됩니다.아무런 옵션도 지정하지 않고 설치를 실행하면 SQL Express 버전이 설치됩니다.기본 옵션인 Password Hash Synchoronization으로 진행합니다. 이 옵션은 로컬 AD 사용자의 비밀번호 해시가 동기화되면 O365에서 동일하게 인증을 받을 수 있습니다.초기 테넌트에 등록한 GA 계정을 입력합니다.Add Directory를 클릭합니다.권한이 있는 계정을 등록합니다. Enterprise admin이나 Domino 계정은 사용할 수 없습니다.-중요한 부분이 그 후의 과정에서 Passwordhashsyncronization과 Passwordwriteback을 사용하려면 생성한 계정이 도메인의 DrectoryPartition에게 권한이 필요합니다. 특히 아래 링크를 클릭하고 해당 계정에 권한을 부여하세요.https://docs.microsoft.com/en-us/azure/active-directory/hybrid/reference-connect-accounts-permissionsAzure AD Connect: 계정과 권한 이 주제에서는 사용 및 생성된 계정과 권한에 대해 설명합니다. required.docs.microsoft.com넘어가겠습니다.체크박스를 체크하고 넘어가겠습니다.Azure AD에 동기화할 계정이 있는 OU 또는 전체 도메인을 지정합니다.기본 설정으로 넘어갑니다.아래 옵션은 파일럿 배포 시에만 사용합니다. 여기서는 기본 설정으로 넘어가겠습니다.Azure AD에서 받아들이는 설정을 체크합니다. 여기서는 기본 설정으로 넘어가겠습니다.모든 설정이 완료되고 시작 체크박스를 체크한 후 실제 설치에 들어갑니다.모든 설치가 완료되었습니다. 아래 경고를 기존 AD에 Recycle Bin이 활성화되어 있지 않다는 경고이며 무시하고 종료합니다.설치가 완료되면 자동으로 어저스터 동기화가 진행되어 기존 동기화 설정을 한 OU 계정이 신규로 생성되었는지 확인합니다.Azure AD에서 Auzre AD Connect 상태가 사용으로 변경되었는지 확인하고 마지막 동기화 시간도 확인합니다.인튠(Intune) 강좌 #3 – AADC 설치, 동기화 및 MDM Authority 설정 AADC 동기화 오류 문제 해결만약 AADC 구성 완료 후 동기화 오류가 발생할 경우 AADC 툴에서 Troubleshoot 메뉴를 통해 문제를 파악할 수 있습니다.문제 해결에 대한 자세한 내용은 아래 링크를 참조하며, 특히 Passwordhashsync와 관련된 부분은 오류 이벤트 로그 응용 프로그램 로그에서 확인할 수 있습니다.https://docs.microsoft.com/en-us/azure/active-directory/hybrid/tshoot-connect-objectsyncAzure AD Connect: 객체 동기화 문제 해결 이 주제에서는 task.docs.microsoft.com 을 사용하여 객체 동기화와 관련된 문제를 해결하는 절차에 대해 설명합니다.MDM Authority 정설2020년 8월부터 기존 애저포털에 접속할 수 있었던 Intune 메뉴가 Endpoint 페이지로 완전히 이동되었습니다.Intune에 접속하기 위해서는 Endpoint Portal에 직접 액세스해야 합니다.https://endpoint.microsoft.comMicrosoft Azure에 로그인한 Microsoft Azure에서 계정이 없으십니까? 계정을 만드세요! 본인 계정으로 로그인이 안 돼요? 사용약관 개인정보 처리방침 endpoint.microsoft.com여기까지는 사실은 인사 튠을 사용하기 위한 사전 단계라기보다는 O365서비스를 사용하기 위한 사전 단계에서 이제부터가 정말 인 튠을 사용하기 위한 설정 단계입니다 실제로 위의 AADC설치와 동기가 이 MDMAuthority의 사전 단계가 아닌, 다른 과정임을 이해하세요.실제, 테너에 접속 튠을 사용하기 위한 첫 단계라고 보세요.인 튠의 관리 주체를 지정하는 MDMAuthority설정입니다.https://docs.microsoft.com/ko-kr/mem/intune/fundamentals/mdm-authority-set처음에 골인 튠에 접속한 후, 디바이스 등록 메뉴에 가면 아래와 같이 MDM기관(Authority)–로 표시되어 있으며 이 기관을 선택할 필요가 있습니다. 하지만 더 이상 Configuration ManagerMDM기관은 지원하지 않기 때문에 조만간 이 기관을 선택할 메뉴는 없겠죠. Configuration Manager기관은 더 이상 지원하지 않는 대신 Configuration Manager명령 형식으로 Intune과 접속할 수 있습니다. 앞으로Configuration Manager의 commanagement부분은 SCCM측에서 별도 강좌로 다루도록 하겠습니다.설정이 완료되면 아래와 같이 MDM 기관이 Intune로 변경됩니다.여기까지 진행하면 도메인 등록, 사용자 등록, AADC를 통한 op-prem 계정 연동, MDM 기관 설정까지 모두 완료되었고 인튠을 사용할 수 있는 모든 준비 단계는 완료되었습니다. 다음 강좌부터는 실제 OS별 디바이스를 등록하는 과정을 진행하고자 합니다.감사합니다。인튠(Intune) 강좌 #3 – AADC 설치, 동기화, MDM Authority 설정