Kennwörter sofort synchronisieren

Wer die Passworthashsynchronisierung nutzt, damit sich User in Entra ID mit ihrem Kennwort aus dem lokalen Active Directory anmelden können, hatte möglicherweise schon mal den Vorfall, dass ein Kennwort zügig geändert werden musste.

Viele wissen nicht, dass die Synchronisierung der Passworthashes separat von der regulären Verzeichnissynchronisierung läuft und auch nicht mit dem üblichen Deltasync durchgeführt wird. Die Passworthashsynchronisierung geschieht alle zwei Minuten - sollte diese Wartezeit im Notfall zu lang sein, musst du die Synchronisierung manuell über die PowerShell durchführen. Wie das funktioniert, erfährst du in diesem Video.

Im Script musst du die OU, die die betroffenen User enthält, sowie den Connector Name eintragen. Führe das Script anschließend mit Domainadmin-Rechten aus.

PowerShell-Befehle

# OU festlegen
$OU = "OU=IT,OU=Users,OU=itestlio,DC=itestlio,DC=com"

# Connector Name festlegen
$CN = "itestlio.com"

# CSV mit DistinguishedNames der User generieren
$csv = Get-ADUser -SearchBase $OU -Filter * -Properties * | Select distinguishedname | Export-Csv C:\Temp\Dn.csv

# Sync für jeden DN forcieren
$csv | foreach {
    $DN = $_.DistinguishedName
    Invoke-ADSyncCSObjectPasswordHashSync -ConnectorName $CN -DistinguishedName $DN
}