So konfigurieren Sie Synchronisierungsvorlagen für automatische AD-Gruppen

In diesem Leitfaden wird das Standardverfahren zur Konfiguration von Synchronisierungsvorlagen beschrieben, mit denen automatische Gruppen in ein lokales Active Directory exportiert werden können.

Beim Einrichten einer Synchronisierungsvorlage für Gruppen müssen Sie drei wesentliche Elemente konfigurieren:

Regelsatz: Legt fest, welche Gruppen die Vorlage exportieren soll.
Objektpfad: Gibt die Ziel-Organisationseinheit (OU) in Active Directory an, in der die Gruppen erstellt werden sollen.
Attributzuordnungen: Legt fest, wie Daten aus dem Quellsystem in die Attribute der Gruppenobjekte in Active Directory übernommen werden.

Regelsatz

Der erste Schritt besteht darin, einen Regelsatz auszuwählen, der die spezifischen Gruppen identifiziert, die diese Vorlage verwalten soll. Ausführliche Informationen zur Konfiguration von Regelsätzen für automatische und manuelle Gruppen finden Sie in diesem Artikel.

Die Registerkarte „Hauptinformationen“ der Vorlage enthält eine Zusammenfassung, einschließlich des ausgewählten Regelsatzes.

Feld	Beschreibung
Name	Eine aussagekräftige Bezeichnung für die Vorlage, z. B. „Automatische Abteilungsgruppen“.
Aktiv	Legt fest, ob die Vorlage aktiviert ist. Muss auf „Ja“ gesetzt sein.
Objekttyp	Sollte auf „Gruppe“ eingestellt sein.
Synchronisationsschritt	Auf „AD exportieren“ einstellen.
Regelsatz	Der Regelsatz, der festlegt, welche Gruppen exportiert werden sollen.
Endgültige Löschung	Bei der Einstellung „Nein“ werden Gruppen beim Löschen in AD deaktiviert, anstatt dauerhaft entfernt zu werden.

Objektpfad

Der Objektpfad legt den genauen Speicherort innerhalb Ihres Active Directory fest, an dem die neuen Gruppen angelegt werden.

Sie müssen den vollständigen, absoluten Pfad zur Ziel-OU angeben, einschließlich der Domänenkomponenten. Üblicherweise werden hierfür ein oder mehrere absolute Pfade verwendet.

Beispiel:

OU=Security-Groups,OU=Utfjord,DC=utfjord,DC=kommune,DC=no

Attributzuordnungen

Zuordnungen legen fest, wie die Attribute des Gruppenobjekts in Active Directory ausgefüllt werden. Nachfolgend finden Sie empfohlene Konfigurationen für gängige Attribute.

Zielattribut	Beispiel für einen Quellwert	Kommentare
`cn`	`[CNCLEAN; [description]]`	Der gebräuchliche Name der Gruppe. Der Name stammt aus dem `description` Attribut und mit dem `CNCLEAN` Funktion zur Bereinigung des Werts und zur Vermeidung von Fehlern durch Sonderzeichen.
`samAccountName`	`sourceid`	Es wird dringend empfohlen, die `samAccountName` an die `sourceID`, bei der es sich um die eindeutige interne Seriennummer der Abteilung oder Einheit handelt.
`displayName`	`[OrgUnitNr] [CNCLEAN; [description]]`	Legt einen benutzerfreundlichen Anzeigenamen fest, der häufig aus der Abteilungsnummer und dem bereinigten Abteilungsnamen besteht (z. B. „0123 Vertriebsabteilung“).
`description`	`Security group for employees at [Description]`	Enthält eine ausführlichere Erläuterung des Zwecks der Gruppe.
`groupType`	`-2147483640`	Defines the group type and scope in Active Directory. Common values include: <br> •-2147483646: Global Security Group <br> • -2147483644: Domain Local Security Group <br> • -2147483640: Universal Security Group
`parent`	`[Name]` (über Fremdschlüssel)	Wird verwendet, um verschachtelte Gruppen zu erstellen (eine Gruppe als Element einer anderen Gruppe).
`createScript`	`C:\\eadm\\scripts\\mail-enable.ps1`	Gibt den vollständigen Pfad zu einem Skript an, das bei der Erstellung einer Gruppe ausgeführt wird. Dies kann beispielsweise dazu verwendet werden, eine neue Sicherheitsgruppe für den E-Mail-Verkehr freizuschalten.

Warnung: Verschachtelung von Gruppen mithilfe des parent Dieses Attribut wird nicht empfohlen für Sicherheitsgruppen, die mit Firewalls verknüpft sind, oder für Gruppen, die mit Azure AD synchronisiert werden.

Hinweis: Sie können Unterregelsätze verwenden, um für verschiedene Gruppenauswahlen innerhalb derselben Vorlage unterschiedliche Attributzuordnungen anzuwenden.

Zuletzt aktualisiert: 26. Juni 2026