本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# IAM Identity Center 可配置 AD 同步
<a name="provision-users-from-ad-configurable-ADsync"></a>

IAM Identity Center 可配置的 Active Directory (AD) 同步使您能够显式配置 Microsoft Active Directory 中的身份，这些身份会自动同步到 IAM Identity Center 并控制同步过程。
+ 在该同步方法中，您可以执行下述步骤：
  + 通过显式定义 Microsoft Active Directory 中自动同步到 IAM Identity Center 的用户和组来控制数据边界。您可以随时[添加用户和组](manage-sync-add-users-groups-configurable-ADsync.md)或[删除用户和组](manage-sync-remove-users-groups-configurable-ADsync.md)以更改同步范围。
  + 为同步用户和组分配[对 Amazon Web Services 账户的单点登录访问权限](useraccess.md)或[对应用程序的访问权限](assignuserstoapp.md)。这些应用程序可以是 Amazon 托管应用程序或客户管理的应用程序。
  + 通过根据需要[暂停和恢复同步](manage-sync-pause-resume-sync-configurable-ADsync.md)来控制同步过程。这可以帮助您调节生产系统的负载。

## 先决条件和注意事项
<a name="prerequisites-configurable-ADsync"></a>

在使用可配置的 AD 同步之前，请注意以下先决条件和注意事项：
+ **指定 Active Directory 中要同步的用户和组**

  在使用 IAM Identity Center 为新用户和群组分配 Amazon 托管应用程序或客户托管应用程序的访问权限之前，您必须在 Active Directory 中指定要同步的用户和群组，然后将其同步到 IAM Identity Center 中。 Amazon Web Services 账户 
  + **可配置的 AD 同步**——IAM Identity Center 不会直接在域控制器中搜索用户和组。相反，您必须首先指定要同步的用户和组的列表。您可以通过以下方式之一配置此列表（也称为*同步范围*），具体取决于您的用户和组是否已同步到 IAM Identity Center，或者您有新用户和组是首次使用可配置的 AD 同步进行同步。
    + 现有用户和组：如果您的用户和组已同步到 IAM Identity Center，则可配置 AD 同步中的同步范围将预先填充这些用户和组的列表。要分配新用户或组，您必须专门将它们添加到同步范围。有关更多信息，请参阅 [将用户和组添加到您的同步范围](manage-sync-add-users-groups-configurable-ADsync.md)。
    + 新用户和组：如果您想要为新用户和组分配对 Amazon Web Services 账户 和应用程序的访问权限，您必须在可配置的 AD 同步中指定要添加到同步范围的用户和组，然后才能使用 IAM Identity Center 进行分配。有关更多信息，请参阅 [将用户和组添加到您的同步范围](manage-sync-add-users-groups-configurable-ADsync.md)。
+ <a name="makingassignmentsnestedgroups"></a>**分配到 Active Directory 中的嵌套组**

  作为其他组成员的组称为*嵌套组*（或子组）。
  + **可配置 AD 同步** – 使用可配置 AD 同步分配 Active Directory 中包含嵌套组的组，可能会扩大有权访问 Amazon Web Services 账户 或应用程序的用户范围。在这种情况下，分配将应用于所有用户，包括嵌套组中的用户。例如，如果您向组 A 分配访问权限，而组 B 是组 A 的成员，则组 B 的成员也会继承此访问权限。
+ **更新自动化工作流程**

  如果您有自动化工作流程，其使用 IAM Identity Center 身份存储 API 操作和 IAM Identity Center 分配 API 操作来分配新用户和组对帐户和应用程序的访问权限并将其同步到 IAM Identity Center，您必须通过以下方式调整这些工作流程： 2022 年 4 月 15 日，以便它们通过可配置的 AD 同步按预期运行。可配置的 AD 同步可更改用户和组分配和预置发生的顺序以及执行查询的方式。
  + **可配置的 AD 同步**——首先进行预置，并且不会自动执行。相反，您必须首先通过将用户和组添加到同步范围来明确将用户和组添加到身份存储。有关自动执行同步配置以实现可配置 AD 同步的建议步骤的信息，请参阅 [自动执行同步配置以实现可配置的 AD 同步](automate-sync-configuration-configurable-ADsync.md)。

**Topics**
+ [先决条件和注意事项](#prerequisites-configurable-ADsync)
+ [可配置 AD 同步的工作原理](how-it-works-configurable-ADsync.md)
+ [配置用于同步的属性映射](manage-sync-configure-attribute-mapping-configurable-ADsync.md)
+ [首次将 Active Directory 同步到 IAM Identity Center 的设置](manage-sync-configurable-ADsync.md)
+ [将用户和组添加到您的同步范围](manage-sync-add-users-groups-configurable-ADsync.md)
+ [从同步范围中删除用户和组](manage-sync-remove-users-groups-configurable-ADsync.md)
+ [暂停和恢复同步](manage-sync-pause-resume-sync-configurable-ADsync.md)
+ [自动执行同步配置以实现可配置的 AD 同步](automate-sync-configuration-configurable-ADsync.md)