昨天經歷了九死一生的建城與造橋工程（對，特別是身為作者的我，差點沒熬過來！），我們終於成功把 Entra Connect 的跨界隧道給打通了，看著綠色的同步勾勾亮起，相信大家都鬆了一口氣。
但各位 IT 騎士團的勇者們，請先別急著去酒館慶祝，因為把系統架好只是維運的開始，真正的「修羅場」現在才要降臨！

實作

1. 抓漏神器在哪裡？（維運必備裝備）
   當同步發生問題時，Windows 桌面可不會好心地彈出一個警告視窗通知你。身為稱職的維運人員，你需要主動去查看日誌，以下是兩個必備的抓漏神器：

• 地端主控台：Synchronization Service Manager
  這是 Entra Connect 最核心的底層引擎
  • 展開 Microsoft Entra Connect 資料夾：Synchronization Service
    
  • 這裡會記錄每一次同步的歷史（包含匯入 Import、同步 Synchronization、匯出 Export）。
    如果有任何一個帳號報錯，這裡會顯示紅色的 stopped-extension-dll-exception 或 completed-export-errors，點進去就能看到精準的錯誤碼。
    
• 雲端儀表板：Entra Connect Health
  • 在entra.microsoft.com的Entra Connect：Connect 同步
  • 這裡會顯示同步狀態、上次同步時間，以及一個非常關鍵的板塊：「同步處理錯誤 (Sync errors)」。
    

2. 四大常見 Sync 魔王與破解法
   a. 屬性值重複衝突
   微軟雲端對於兩個屬性有著「絕對唯一」的潔癖：UPN (登入帳號) 與 ProxyAddresses (電子郵件信箱)。
   • 發生情境： 地端有兩個不同的 AD 帳號（例如離職的舊員工與新報到的同名員工），他們的 Email 欄位都被填了 user@my.seclab。
   • 系統反應： 第一個帳號會順利上雲，當 Entra Connect 試圖推第二個帳號上去時，雲端會大喊：「這個信箱有人用了！」然後觸發 AttributeQuarantined (屬性隔離) 錯誤。
   • 破解：到雲端找出哪兩個物件發生衝突，回到地端ADUC，把其中一個帳號的 Email 屬性修改或清空，手動觸發一次 Delta Sync（差異同步）。
     b. 無效字元與長度限制 (Invalid Characters)
     地端 AD 的欄位容錯率很高，但雲端極度嚴格。
   • 發生情境： 使用者的名字 (N ame) 裡面包含了不支援的特殊符號、隱藏的換行字元，或是 UPN 的字數超過了微軟的限制。
   • 系統反應： 拋出 InvalidSoftMatch 或格式錯誤。
   • 在地端 AD 清理這些髒資料
     c. 物件「憑空消失」未同步 (Filtering Issues)
     明明在地端建了帳號，雲端卻怎麼等都等不到。
   • 發生情境： 這通常不是報錯，而是「過濾條件 (Filtering)」設定的問題。
   • 破解法： 檢查該使用者是否被放在了「沒有被勾選同步的 OU」裡面。可以重新執行 Entra Connect 安裝精靈，選擇「自訂同步處理選項」，確認該 OU 有被打勾。
     d. 屬性對應錯誤 (Attribute Mapping)
   • 發生情境： 公會規定 AD 裡面的「描述 (Description)」欄位，同步上雲端後必須變成使用者的「職稱 (Job Title)」，但預設的同步規則並沒有這樣寫。
   • 破解法： 這就需要動用到進階的 「同步規則編輯器 (Synchronization Rules Editor)」 來改寫對應邏輯了。
3. IT 騎士團的魔法指令 (強制同步)
   預設情況下，Entra Connect 每 30 分鐘才會出班一次。但當你辛苦清理完上述的髒資料後，總不可能呆坐在螢幕前等它慢慢跑吧？
   這時候，你可以打開地端伺服器的 Windows PowerShell (以系統管理員身分執行)，輸入以下魔法指令來手動「踩油門」：
   a. 差異同步 (Delta Sync) - 最常用：

Start-ADSyncSyncCycle -PolicyType Delta

b. 完整同步 (Initial/Full Sync) - 大絕招：

Start-ADSyncSyncCycle -PolicyType Initial