Entra Connect Sync Health and Hybrid Identity Troubleshooting | مشاكل مزامنة Entra Connect: دليلك العملي لتشخيص أعطال الـ Hybrid Identity

مشاكل مزامنة Entra Connect: دليلك العملي لتشخيص أعطال الـ Hybrid Identity

حكاية يوم عملي فيه Break Fix لـ Sync متوقف من يومين وحد ما حسش، وإزاي بقيت أتابع الصحة دي بشكل دوري بدل ما أستناها تبوظ.



المقدمة

لو إنت شغال في بيئة Hybrid فيه On-Premises Active Directory متزامن مع Microsoft Entra ID، بقالك فترة طويلة معتمد على إن Entra Connect (أو Cloud Sync) شغال في الخلفية وكل حاجة ماشية تمام. المشكلة إن الأداة دي مش زي الخدمات التانية اللي بتديك Alert فورية لما تقف، ممكن الـ Sync يفشل بصمت لمدة أيام وإنت مش حاسس غير لما حد يشتكي إن الـ Password بتاعه اتغير في الـ AD بس لسه مش شغال على Microsoft 365.

أنا شخصيًا واجهت السيناريو ده أكتر من مرة: عميل عنده Export Deletion Threshold وقف الـ Sync كامل لأن حد عمل Bulk Delete غلط في الـ OU، وعميل تاني عنده Duplicate Attribute بسبب proxyAddresses متكرر بين يوزرين. في البوست ده هنمشي خطوة خطوة على إزاي تتابع صحة الـ Sync، وإيه أشهر الأعطال، وإزاي تحلها بسرعة قبل ما توصل لحالة Escalation.

💡 المتطلبات:
  • صلاحيات Domain Admin أو Enterprise Admin على الـ On-Prem AD (للتعديل على الـ Connector Configuration)
  • صلاحية Hybrid Identity Administrator على Entra ID
  • Access على السيرفر اللي عليه Entra Connect (أو Provisioning Agent لو Cloud Sync)
  • ترخيص Microsoft Entra ID P1 على الأقل لو هتستخدم Azure AD Connect Health Alerts
  • Log Analytics Workspace لو هتحلل الـ Audit Logs بـ KQL

إيه هي Entra Connect Sync Health أصلاً

Sync Health مش معناها بس "الخدمة شغالة"، ده تقييم شامل بيغطي حاجات زي: هل آخر Delta Sync Cycle نجح، هل فيه Objects معلقة في Quarantine، هل فيه Duplicate Attribute Errors، وهل الـ Password Hash Sync أو Pass-through Authentication Agent شغال ومتصل. Microsoft بتوفر لك أداتين رئيسيتين لمتابعة ده:

الأداة بتفيدك في إيه حدود الاستخدام
Synchronization Service Manager تفاصيل Run Profiles وأخطاء كل Connector لحظيًا لازم تكون Login على نفس السيرفر
Azure AD Connect Health Alerts، تاريخ الأداء، مراقبة الـ Domain Controllers محتاج License مناسب وتفعيل الـ Agent
PowerShell (ADSync Module) Scripting وAutomation والفحص السريع بدون UI محتاج تشغّله على سيرفر Entra Connect

إزاي تتابع الحالة بـ PowerShell قبل ما تفتح تيكيت

1. تأكد إن الـ Scheduler شغال ومتزامن على وقته

Get-ADSyncScheduler

# لو عايز تشغّل Delta Sync يدويًا
Start-ADSyncSyncCycle -PolicyType Delta

# لو محتاج Full Import + Full Sync (حالات نادرة زي تغيير Schema)
Start-ADSyncSyncCycle -PolicyType Initial

النتيجة اللي هتدور عليها في Get-ADSyncScheduler هي NextSyncCyclePolicyType وSyncCycleEnabled = True. لو لقيت SyncCycleEnabled = False، معناها حد عمل Maintenance Mode ونسي يقفله.

2. افحص آخر Run Profile لكل Connector

Get-ADSyncConnectorRunStatus

# لو عايز تفاصيل الأخطاء لأوبجكت معين اتسجل في الـ Connector Space
Get-ADSyncCSObjectLog -ConnectorName "contoso.com" -DistinguishedName "CN=Ahmed Samir,OU=Users,DC=contoso,DC=com"

✅ لو رجعلك Status = "success" على كل الـ Connectors، ده معناه آخر Cycle خلص كويس. لو لقيت "completed-export-errors" أو "stopped-server-down"، فيه مشكلة محتاجة تتفتح فورًا.

3. اتأكد من آخر تاريخ Sync من ناحية Entra ID نفسه

مش دايمًا لازم تدخل السيرفر، ممكن تسأل Microsoft Graph مباشرة:

GET https://graph.microsoft.com/v1.0/organization?$select=onPremisesLastSyncDateTime,onPremisesSyncEnabled

لو الـ onPremisesLastSyncDateTime راجع تاريخ قديم من ساعتين أو أكتر، ده Signal واضح إن الـ Sync واقف حتى لو الـ Scheduler شكله شغال على السيرفر.

أشهر سيناريوهات الأعطال وإزاي تحلها

Export Deletion Threshold

لو حد عمل Bulk Delete أو Disable لعدد كبير من الـ Users في الـ OU الأصلي فجأة، Entra Connect بيحس إن ده Anomaly ومتوقف الـ Export تلقائيًا عشان يحميك من مسح Users غلط في الكلاود. 

# تأكد إن ده هو السبب فعلًا قبل ما تعطّل الحماية
Get-ADSyncExportDeletionThreshold

# لو متأكد إن الحذف مقصود، ارفع الـ Threshold مؤقتًا
Set-ADSyncExportDeletionThreshold -DeletionThreshold 500

# أو عطّله تمامًا لو عارف اللي بتعمله (مش مستحسن دايمًا)
Disable-ADSyncExportDeletionThreshold

⚠️ متعطلش الحماية دي بشكل دائم غير لو فعلًا عندك عملية Migration أو Cleanup كبيرة مخطط لها، لأنها خط الدفاع الأخير ضد Sync غلط بيمسح Identities إنتاجية.

Duplicate Attribute Resiliency

من أكتر الأخطاء تكرارًا، بتحصل لما اتنين Users عندهم نفس الـ proxyAddresses أو نفس الـ userPrincipalName بسبب Migration قديم أو Import غلط. Entra Connect بيمنع الـ Export ليهم ويحطهم في حالة Error. 

Get-ADSyncCSObjectLog -ConnectorName "contoso.com" -RunHistoryId (Get-ADSyncConnectorRunStatus).RunHistoryId | 
    Where-Object {$_.ObjectType -eq "user" -and $_.Errors}

الحل غالبًا بيكون تعديل الـ Attribute المكرر يدويًا في الـ On-Prem AD، وبعدها تشغّل Delta Sync عشان يتصدّر تاني بدون تعارض.

فشل Password Hash Sync أو PTA Agent

لو الـ Users قادرين يشوفوا الـ Objects بتاعتهم في Entra ID بس مش قادرين يسجلوا دخول بكلمة السر الجديدة، غالبًا المشكلة في الـ Authentication Method نفسه مش في الـ Sync العام. 

# على سيرفر PTA Agent، افحص حالة الـ Service
Get-Service -Name "AzureADConnectAuthenticationAgentService"

# من الـ Portal أو Graph، اتأكد من عدد الـ Agents النشطة
GET https://graph.microsoft.com/v1.0/directoryOnPremisesConnections

تتبع الأحداث بـ KQL لو معاك Log Analytics

لو الـ Audit Logs بتاعة Entra ID متصدّرة لـ Log Analytics Workspace، تقدر تعمل Query على فئة الـ Synchronization عشان تتابع كل عمليات الـ Export والـ Update اللي جاية من الـ Connector: 

AuditLogs
| where Category == "Synchronization"
| where ActivityDisplayName has_any ("Export", "Full Import", "Full Sync")
| where Result == "failure"
| project TimeGenerated, ActivityDisplayName, Result, ResultReason, InitiatedBy
| order by TimeGenerated desc

الكويري ده بيساعدك تشوف نمط الفشل بمرور الوقت، مش بس آخر Error، وده مفيد جدًا لو الأعطال بتتكرر بشكل دوري ومحتاج تعرف السبب الجذري.

مشاكل شائعة وحلولها

المشكلة الحل
Sync واقف من أيام وحد لسه مش حاسس فعّل Alerts على Azure AD Connect Health وربطها بـ Email أو Teams Channel
Export Deletion Threshold بيوقف الـ Sync تأكد من سبب الحذف الجماعي قبل رفع الـ Threshold، متعطلوش دائم
Duplicate Attribute Error متكرر راجع الـ proxyAddresses والـ UPN في الـ On-Prem AD وشيل التكرار قبل الـ Export
Users موجودين بس مش قادرين يسجلوا دخول افحص PHS/PTA Agent Status منفصل عن حالة الـ Sync العامة
Sync بطيء جدًا مع عدد Objects كبير راجع الـ Sync Scope بالـ OU Filtering بدل ما تزامن الفورست كامل

نصائح الأمان 🔐

  • خلي سيرفر Entra Connect نفسه Tier 0، وطبّق عليه نفس مستوى الحماية بتاع Domain Controllers.
  • استخدم PIM على أي حساب عنده Hybrid Identity Administ

Comments

Post a Comment

Popular posts from this blog

Entra ID Free vs P1 vs P2: What You Actually Get at Each License Tier | Entra ID Free ولا P1 ولا P2: الفرق الحقيقي بين الباقات

Image
Entra ID Free ولا P1 ولا P2: الفرق الحقيقي بين الباقات دليل عملي لأي حد بيحاول يقنع الإدارة يدفع فلوس زيادة، أو بيحاول يفهم ليه الميزة اللي شافها في الدوكيومنتيشن مش شغالة عنده. المقدمة كل شوية بيجيلي سؤال من حد بيقولي "عملت Conditional Access policy بالظبط زي اللي في الفيديو بس مش لاقيها في التينانت بتاعي"، وبعد شوية بحث بيطلع إن التينانت شغال على Entra ID Free أو إن المستخدم نفسه مش معاه P1 أصلا. الموضوع ده بيسبب لخبطة كبيرة لأن Microsoft بتدي نفس الـ Portal تقريبا لكل الباقات، بس الميزات اللي بتظهر جوه بتختلف بشكل جوهري حسب الـ license اللي أنت أو المستخدم معاك. في البوست ده هوضحلك بالظبط إيه اللي بتاخده في كل tier، وإزاي تتأكد من الـ licensing الفعلي عندك بدل ما تعتمد على الحظ. 💡 المتطلبات: صلاحية Global Reader أو Global Administrator عشان تشوف الـ licenses المفعلة في التينانت وصول لـ Microsoft Entra admin center أو Microsoft Graph PowerShell SDK فكرة مبدئية عن الفرق بين Assigned license للمستخدم والـ features المتاحة في التينانت الفرق الأساسي بين الب...
Read more

Conditional Access Design Mistakes That Lock Admins Out of Microsoft Entra ID | لما الـ Conditional Access يقفل عليك الباب وأنت جوه Tenant

Image
لما الـ Conditional Access يقفل عليك الباب وأنت جوه Tenant قصة واقعية عن Policy واحدة تعبانة قدرت تقفل كل الأدمنز بره التينانت في نص ساعة المقدمة  لو شغال Identity Engineer من فترة، أكيد سمعت أو عملت بنفسك موقف إن حد عمل Conditional Access Policy جديدة الصبح، ضغط Enable على طول من غير Report-only، وبعد شوية بدأ يوصله شكاوى إن الأدمنز مش عارفين يدخلوا الـ Portal. المشكلة إن ده مش سيناريو نظري، ده حاصل فعلاً في شركات كبيرة لدرجة إن Microsoft نفسها عاملة Policy جاهزة اسمها "Emergency access" recommendation بس لسه كتير مش مطبقينها. النهاردة هنتكلم عن أكتر الأغلاط اللي بتحصل في تصميم CA وبتخلي الأدمن نفسه Locked out من غير قصد، وإزاي تتجنبها من الأول. 💡 المتطلبات: صلاحية Conditional Access Administrator أو Security Administrator في Entra ID، Entra ID P1 على الأقل (P2 لو هتستخدم PIM وRisk-based policies)، Access إلى Microsoft Graph PowerShell SDK، وحساب Break-glass جاهز ومُستبعد من كل الـ Policies. 1. الغلطة الأشهر: مفيش Break-Glass Account من الأساس لو مفيش عندك E...
Read more

Entra ID Built-in Roles vs Custom Roles for Least Privilege | أدوار مدمجة ولا Custom Roles؟ إزاي تطبق مبدأ الصلاحية الأقل في Entra ID

Image
أدوار مدمجة ولا Custom Roles؟ إزاي تطبق مبدأ الصلاحية الأقل في Entra ID حكاية عملية عن الفرق بين إنك تدي حد صلاحية "تقريبًا كفاية" وإنك تدي حد الصلاحية "بالظبط اللي محتاجها"، ومتى تستخدم إيه من الاتنين. المقدمة حصلت معايا قبل كده موقف كلاسيكي: عضو في فريق الـ Helpdesk طلب صلاحية يعمل reset password لمستخدمين قسم معين بس. أقرب Built-in Role ليها هو Password Administrator أو Helpdesk Administrator، بس المشكلة إن الدور ده بيدي صلاحية على كل المستخدمين في الـ tenant تقريبًا، مش بس القسم المطلوب. يعني عشان أحل مشكلة صغيرة، أنا فتحت باب كبير قوي. المشكلة دي بتتكرر كتير في الشركات اللي بتكبر وتحتاج تفصيل الصلاحيات على مستوى أدق من اللي الأدوار المدمجة بتقدمه، وهنا بالظبط بييجي دور الـ Custom Roles. 💡 المتطلبات: Microsoft Entra ID P1 على الأقل عشان تقدر تعمل Custom Roles (P2 لو هتستخدم PIM مع الأدوار دي). صلاحية Privileged Role Administrator أو Global Administrator عشان تنشئ وتخصص الأدوار. Microsoft Graph PowerShell SDK مثبت (Install-Module Microsoft.Graph...
Read more