如何使用 Azure AD 同步设备排查密码同步问题

本文可帮助你排查使用 Microsoft Entra Connect 将密码从本地环境同步到Microsoft Entra ID时可能会遇到的常见问题。

原始产品版本： 云服务（Web 角色/辅助角色）、Microsoft Entra ID、Microsoft Intune、Azure 备份、Office 365 标识管理
原始 KB 编号： 2855271

开始故障排除之前

在执行故障排除步骤之前，请确保已安装最新版本的 Microsoft Entra Connect。

此外，请确保目录同步处于正常状态。 有关详细信息，请参阅使用 Microsoft Entra Connect Sync 排查对象同步问题。

某些用户无法登录到 Office 365、Azure 或 Microsoft Intune

在此方案中，大多数用户的密码似乎正在同步。 但是，有些用户的密码似乎未同步。下面是用户无法登录到 Microsoft 云服务（如 Office 365、Azure 或 Intune）的情况。

方案 1：为用户帐户选择了“用户下次登录时必须更改密码”检查框

若要解决此问题，请按照下列步骤操作：

1. 执行下列操作之一：
   • 在 Active Directory 用户和计算机 的用户帐户属性中，清除“用户下次登录时必须更改密码检查”框。
   • 让用户更改其本地用户帐户密码。
   • 在 Microsoft Entra Connect 服务器上启用 ForcePasswordChangeOnLogOn 功能。
2. 等待几分钟，让更改在 本地 Active Directory 域服务 (AD DS) 和 Microsoft Entra ID 之间同步。

方案 2：用户在云服务门户中更改了其密码

若要解决此问题，请按照下列步骤操作：

1. 让用户更改其本地用户帐户密码。
2. 等待几分钟，让更改在本地 AD DS 和Microsoft Entra ID之间同步。

方案 3：某些用户似乎未同步到Microsoft Entra ID

可能的原因是用户名或电子邮件地址重复。

若要解决此问题，请使用 IdFix DirSync 错误修正工具 (IdFix) 来帮助识别本地 AD DS 中与对象相关的潜在问题。 可以在以下 Microsoft 网站安装 IdFix： IdFix DirSync 错误修正工具

有关如何排查此问题的详细信息，请参阅 使用 Azure Active Directory 同步工具时一个或多个对象无法同步

方案 4：在筛选和未筛选的范围之间移动用户

在此方案中，用户将移动到现在允许用户同步的范围。 在为域、组织单位或属性设置筛选时，可能会发生此情况。

若要解决此问题，请参阅 如何执行完整密码同步 部分。

方案 5：用户无法使用新密码登录，但可以使用旧密码登录

在此方案中，你将将 Azure AD Sync 服务与密码同步一起使用。 禁用并重新启用目录同步后，用户无法使用新密码登录。 但是，其旧密码仍有效。

若要解决此问题，请重新启用密码同步。 为此，请启动 Azure AD 同步设备配置向导，然后继续浏览屏幕，直到看到启用密码同步的选项。

方案 6：用户无法使用其密码登录

在这种情况下，密码哈希不会成功同步到 Azure AD Sync 服务。 如果用户帐户是在低于 Windows Server 2003 的 Windows Server 版本上运行的 Active Directory 中创建的，则帐户没有密码哈希。

目录同步正在运行，但所有用户的密码未同步

在此方案中，所有用户的密码似乎未同步。如果满足以下条件之一，通常会发生这种情况：

• 未选中“立即同步检查”框。
• 目录同步发生后，你启用了密码同步。
• 尚未完成完整目录同步。

若要解决此问题，请先确保启用密码同步。 为此，请启动 Azure AD 同步设备配置向导，然后继续浏览屏幕，直到看到启用密码同步的选项。

启用密码同步后，必须执行完全密码同步。请参阅如何执行完整密码同步部分。

有关详细信息，请参阅使用 Microsoft Entra Connect Sync 排查密码哈希同步问题。

排查密码未同步的用户的问题

若要排查此问题，请参阅使用 Microsoft Entra Connect Sync 排查密码哈希同步问题

你将从单一登录 (SSO) 解决方案更改为密码同步

若要解决此问题，请参阅 如何从单 Sign-On 切换到密码同步。

事件查看器中的事件 ID 消息

下表列出了应用程序日志中与密码同步相关的事件 ID 消息。

信息 (无需操作)

信息 (可能需要操作)

需要错误 (操作)

更多信息

如何执行完整密码同步

若要执行完全密码同步，请根据所使用的Azure AD Sync设备执行相应的步骤。

1. 如果使用 Azure Active Directory 同步工具：

   1. 在安装了该工具的服务器上，打开 PowerShell，然后运行以下命令：

      Import-Module DirSync
      

   2. 运行以下命令：

      Set-FullPasswordSync
      

      Restart-Service FIMSynchronizationService -Force
      

2. 如果使用 Azure AD Sync 服务或 Microsoft Entra Connect，请运行此页上的脚本：Azure AD Sync：如何使用 PowerShell 触发完全密码同步

联系我们寻求帮助

如果你有任何疑问或需要帮助，请创建支持请求或联系 Azure 社区支持。 还可以向 Azure 反馈社区提交产品反馈。