Âncoras Microsoft 365 (ImmutableID e UPN)

O Microsoft Entra identifica a pessoa numa entrada federada pelo ImmutableID. Este serviço guarda uma âncora por pessoa e por federação. Uma pessoa sem âncora vê «A sua conta não está ativada para entrar no Microsoft 365. Peça ao administrador uma âncora Microsoft 365.» e nada é enviado à Microsoft.

Utilizadores só na cloud (sem Active Directory)

Não têm ImmutableID; o serviço gera um.

1. Na federação, em «Âncoras (ImmutableID e UPN)», escolha «Gerar para utilizadores sem âncora». Cada pessoa ativa com email no domínio recebe UPN igual ao email e um ImmutableID aleatório.
2. Se o UPN da Microsoft for diferente do email, use «Importar âncoras» com linhas upn,,email (ImmutableID vazio é gerado).
3. Descarregue e execute o script antes de federar o domínio: o script grava os ImmutableID no Entra.

Pessoas criadas depois de o domínio estar federado: segundo a documentação da Microsoft, o Entra não deixa mudar o ImmutableID de um utilizador federado. Crie o utilizador já com a âncora, ou mude temporariamente o UPN para onmicrosoft.com, grave a âncora e volte ao UPN original. O script deteta este caso e para antes de alterar a federação.

Utilizadores híbridos (sincronizados do Active Directory)

O Entra já tem a âncora: importe-a em vez de a gerar. Exporte userPrincipalName, onPremisesImmutableId e o email com o Microsoft Graph PowerShell e cole as linhas upn,immutableId,email em «Importar âncoras».

Regras da importação

• Até 500 linhas por importação, tudo ou nada.
• Problemas mostrados linha a linha: «utilizador desconhecido», «UPN fora do domínio federado», «aparece duas vezes», «UPN ou ImmutableID usado por outra pessoa», «já tem âncora», «linha mal formada». Nada é guardado se houver um.
• UPN e ImmutableID com apóstrofo são recusados.

Depois de guardar: «Descarregue de novo o script de configuração antes de o executar.»