Microsoft Entra 프로비저닝 에이전트 설치

이 문서에서는 Microsoft Entra 프로비저닝 에이전트의 설치 프로세스와 Microsoft Entra 관리 센터에서 이를 처음 구성하는 방법을 안내합니다.

자세한 내용과 예를 보려면 다음 동영상을 보세요.

그룹 관리 서비스 계정

gMSA(그룹 관리 서비스 계정)는 자동 암호 관리, 간소화된 SPN(서비스 사용자 이름) 관리 및 다른 관리자에게 관리를 위임하는 기능을 제공하는 관리되는 도메인 계정입니다. gMSA는 또한 이 기능을 여러 서버로 확장합니다. Microsoft Entra 클라우드 동기화는 에이전트 실행을 위해 gMSA 사용을 지원하고 권장합니다. 자세한 내용은 그룹 관리 서비스 계정을 참조하세요.

gMSA를 사용하도록 기존 에이전트 업데이트

설치 중에 만든 그룹 관리 서비스 계정을 사용하도록 기존 에이전트를 업데이트하려면 AADConnectProvisioningAgent.msi실행하여 에이전트 서비스를 최신 버전으로 업그레이드합니다. 이제 설치 마법사를 다시 실행하고 메시지가 표시되면 자격 증명을 제공하여 계정을 만듭니다.

에이전트 설치

1. 최소한 하이브리드 ID 관리자로 Microsoft Entra 관리 센터에 로그인합니다.

2. 왼쪽 창에서 Entra Connect를 선택한 다음 , 클라우드 동기화를 선택합니다.

   

3. 왼쪽 창에서 에이전트를 선택합니다.

4. 온-프레미스 에이전트 다운로드를 선택한 다음, 약관 동의 및 다운로드를 선택합니다.

   

5. Microsoft Entra Connect 프로비전 에이전트 패키지를 다운로드한 후 다운로드 폴더에서 AADConnectProvisioningAgentSetup.exe 설치 파일을 실행합니다.

6. 화면이 열리면 사용 약관 확인란 에 동의 함을 선택한 다음 설치를 선택합니다.

   

7. 설치가 완료되면 구성 마법사가 열립니다. 다음을 선택하여 구성을 시작합니다.

   

8. 적어도 하이브리드 ID 관리자 역할이 있는 계정으로 로그인합니다. Internet Explorer 보안 강화를 사용하도록 설정한 경우 로그인이 차단됩니다. 그렇다면 설치를 닫고 Internet Explorer 보안 강화를 사용하지 않도록 설정한 다음 Microsoft Entra Provisioning Agent Package 설치를 다시 시작합니다.

   

9. 서비스 계정 구성 화면에서 gMSA(그룹 관리 서비스 계정)를 선택합니다. 이 계정은 에이전트 서비스를 실행하는 데 사용됩니다. 관리되는 서비스 계정이 다른 에이전트에 의해 도메인에 이미 구성되어 있고 두 번째 에이전트를 설치하는 경우 gMSA 만들기를 선택합니다. 시스템은 기존 계정을 검색하고 새 에이전트가 gMSA 계정을 사용하는 데 필요한 권한을 추가합니다. 메시지가 표시되면 다음 두 가지 옵션 중 하나를 선택합니다.

   • gMSA 만들기: 에이전트가 provAgentgMSA$ 관리 서비스 계정을 만들도록 합니다. 그룹 관리 서비스 계정(예: CONTOSO\provAgentgMSA$)은 호스트 서버가 조인된 동일한 Active Directory 도메인에 만들어집니다. 이 옵션을 사용하려면 Active Directory 도메인 관리자 자격 증명을 입력합니다(권장).
   • 사용자 지정 gMSA 사용: 이 작업에 대해 수동으로 만든 관리 서비스 계정의 이름을 제공합니다.

   

10. 계속하려면 다음을 선택합니다.

11. Active Directory 연결 화면에서 도메인 이름이 구성된 도메인 아래에 표시되는 경우 다음 단계로 건너뜁니다. 그렇지 않은 경우 Active Directory 도메인 이름을 입력하고 디렉터리 추가를 선택합니다.

    

12. Active Directory 도메인 관리자 계정으로 로그인합니다. 도메인 관리자 계정에는 만료된 암호가 없어야 합니다. 에이전트 설치 중에 암호가 만료되거나 변경된 경우 에이전트를 새 자격 증명으로 다시 구성합니다. 이 작업을 수행하면 온-프레미스 디렉터리가 추가됩니다. 확인을 선택한 다음 다음을 선택하여 계속합니다.

13. 계속하려면 [다음]을 선택합니다.

14. 구성 전체 화면에서 확인을 선택합니다. 이 작업은 에이전트를 등록하고 다시 시작합니다.

    

15. 작업이 완료되면 에이전트 구성이 성공적으로 확인되었다는 알림이 표시됩니다. 끝내기를 선택합니다. 초기 화면이 계속 표시되면 닫기를 선택합니다.

에이전트 설치 확인

에이전트 확인은 Azure Portal 및 에이전트를 실행하는 로컬 서버에서 발생합니다.

Azure Portal에서 에이전트 확인

Microsoft Entra ID가 에이전트를 등록했는지 확인하려면 다음 단계를 수행합니다.

1. 최소한 하이브리드 ID 관리자로 Microsoft Entra 관리 센터에 로그인합니다.

2. Entra Connect를 선택한 다음, 클라우드 동기화를 선택합니다.

   

3. 클라우드 동기화 페이지에서 에이전트를 클릭하여 설치한 에이전트를 확인합니다. 에이전트가 나타나고 상태가 활성 상태인지 확인합니다.

로컬 서버에서 에이전트 확인

에이전트가 실행되는지 확인하려면 다음 단계를 수행합니다.

1. 관리자 계정으로 서버에 로그인합니다.

2. 서비스로 이동합니다. 시작/실행/Services.msc를 사용하여 해당 위치로 이동할 수도 있습니다.

3. 서비스에서 Microsoft Azure AD Connect 에이전트 업데이트 관리자 및 Microsoft Azure AD Connect 프로비저닝 에이전트가 있고 상태가 실행 중인지 확인합니다.

   

프로비전 에이전트 버전 확인

실행 중인 에이전트의 버전을 확인하려면 다음 단계를 수행합니다.

1. C:\Program Files\Microsoft Azure AD Connect 프로비저닝 에이전트로 이동합니다.
2. AADConnectProvisioningAgent.exe을(를) 마우스 오른쪽 클릭하고 속성을 선택합니다.
3. 세부 정보 탭을 선택합니다. 제품 버전 옆에 버전 번호가 나타납니다.

클라우드 동기화에서 비밀번호 복귀 사용 설정

포털에서 직접 또는 PowerShell을 통해 SSPR에서 비밀번호 쓰기 저장을 사용하도록 설정할 수 있습니다.

포털에서 비밀번호 쓰기 저장을 사용하도록 설정합니다.

비밀번호 쓰기 저장을 사용하고 SSPR(셀프 서비스 암호 재설정) 서비스를 사용하도록 설정하여 클라우드 동기화 에이전트를 검색하려면 포털을 사용하여 다음 단계를 완료합니다.

1. 최소한 하이브리드 ID 관리자로 Microsoft Entra 관리 센터에 로그인합니다.
2. Entra ID>암호 재설정>온-프레미스 통합으로 이동합니다.
3. 동기화된 사용자에 대해 비밀번호 되쓰기 활성화 옵션을 선택합니다.
4. (선택 사항) Microsoft Entra Connect 프로비저닝 에이전트가 검색되면 Microsoft Entra Cloud Sync를 사용하여 비밀번호 쓰기 저장 옵션을 추가로 확인할 수 있습니다.
5. 사용자가 암호를 재설정하지 않고도 계정 잠금을 해제할 수 있도록 허용하는 옵션에서 예를 선택합니다.
6. 준비가 되면 저장을 선택합니다.

PowerShell 사용

비밀번호 쓰기 저장을 사용하고 SSPR(셀프 서비스 암호 재설정) 서비스를 사용하여 클라우드 동기화 에이전트를 검색하려면 cmdlet 및 테넌트의 전역 관리자 자격 증명을 사용합니다Set-AADCloudSyncPasswordWritebackConfiguration.

 Import-Module "C:\\Program Files\\Microsoft Azure AD Connect Provisioning Agent\\Microsoft.CloudSync.Powershell.dll" 
 Set-AADCloudSyncPasswordWritebackConfiguration -Enable $true -Credential $(Get-Credential)

Microsoft Entra Cloud Sync에서 비밀번호 쓰기 저장을 사용하는 방법에 대한 자세한 내용은 자습서: 클라우드 동기화 셀프 서비스 암호 재설정 쓰기 저장을 온-프레미스 환경에 사용하도록 설정 하세요.

클라우드 동기화를 통한 암호 해시 동기화 및 FIPS

FIPS(Federal Information Processing Standard)에 따라 서버가 잠긴 경우 MD5(message-digest algorithm 5)가 사용하지 않도록 설정됩니다.

암호 해시 동기화를 위해 MD5를 사용하도록 설정하려면 다음을 수행합니다.

1. %programfiles%\Microsoft Azure AD Connect 프로비저닝 에이전트로 이동합니다.
2. AADConnectProvisioningAgent.exe.config엽니다.
3. 파일 맨 위에 있는 구성/런타임 노드로 이동합니다.
4. <enforceFIPSPolicy enabled="false"/> 노드를 추가합니다.
5. 변경 내용을 저장합니다.

참고로 코드는 다음 코드 조각과 같아야 합니다.

<configuration>
   <runtime>
      <enforceFIPSPolicy enabled="false"/>
   </runtime>
</configuration>

보안 및 FIPS에 대한 자세한 내용은 Microsoft Entra 암호 해시 동기화, 암호화 및 FIPS 준수를 참조하세요.

다음 단계

• 프로비저닝이란 무엇인가요?
• Microsoft Entra Cloud Sync란?
• Microsoft Entra Cloud Sync에 대한 새 구성을 만듭니다.