ผู้เขียน: Konstantinos Tsoukalas , อัปเดตล่าสุด: 24 เมษายน 2569
หากคุณตั้งค่า AD Connect เพื่อซิงโครไนซ์ผู้ใช้และอุปกรณ์ Local AD ไปยัง Microsoft 365 และพบข้อผิดพลาด Export: permission-issue, รหัสข้อผิดพลาด: 8344, แหล่งข้อผิดพลาด: Insufficient access rights to perform the operation ให้อ่านคู่มือนี้เพื่อแก้ไขปัญหา
อาการ: เมื่อซิงโครไนซ์ Active Directory ในสถานที่ไปยัง Microsoft 365 ด้วย Azure AD Connect (หรือที่รู้จักว่า "Microsoft Entra Connect Sync") Synchronization Service Manager แสดงข้อผิดพลาด "permission-issue" ในโปรไฟล์ Export
ปัญหา "permissions issue" ในการซิงโครไนซ์ Azure AD Connect อาจเกิดจากเหตุผลต่อไปนี้:
A. ผู้ใช้ที่ซิงโครไนซ์และเกิดข้อผิดพลาดเป็นสมาชิกของกลุ่ม "Domain Admins" หรือ "Enterprise Admins" และดังนั้นจึงไม่สามารถซิงโครไนซ์ได้ ในกรณีนี้ ข้อผิดพลาดเป็นเรื่องปกติและสามารถละเว้นได้ เนื่องจาก Azure AD Connect ไม่ซิงโครไนซ์ผู้ใช้ที่อยู่ในกลุ่มเหล่านี้
B. บัญชีผู้ใช้โดเมนที่รายงานในข้อผิดพลาดการซิงโครไนซ์มี สิทธิ์ไม่ถูกต้อง
C. บัญชี Azure AD Connect มี สิทธิ์ไม่เพียงพอ ในการเขียนค่ากลับในแอตทริบิวต์ mS-DS-ConsistencyGuid และล้มเหลวพร้อม Connected data source error code: 8344
วิธีแก้ไข: ข้อผิดพลาดสิทธิ์ 8344 ในการซิงโครไนซ์ Azure AD Connect*
* สำคัญ: หากข้อผิดพลาดสิทธิ์ Azure AD Connect เกิดขึ้นกับผู้ใช้ที่อยู่ในกลุ่ม Domain Admins หรือ Enterprise Admins ให้ละเว้นได้ เนื่องจากเป็นเรื่องปกติ
วิธีที่ 1: เปิดใช้งานการสืบสิทธิ์ (Permissions Inheritance) บนบัญชีที่ได้รับผลกระทบ
บนบัญชีที่เกิดปัญหาสิทธิ์ระหว่างการซิงโครไนซ์ ให้เปิดใช้งานการสืบสิทธิ์ ดังนี้:
1. เปิด Active Directory Users and Computers
2. ในเมนู View เปิดใช้งานตัวเลือก "Advanced Features"
3. คลิกขวาที่ผู้ใช้โดเมนที่มีปัญหาสิทธิ์ระหว่างการซิงโครไนซ์ Azure AD Connect และเปิด Properties
4. ไปที่แท็บ Security และคลิก Advanced
5. ในแท็บ Permissions คลิก Enable inheritance
6. คลิก Apply > OK แล้ว OK อีกครั้งเพื่อปิดหน้าต่าง 'User Properties'
7. เปิด Synchronization Service Manager และรันการซิงโครไนซ์ด้วยตนเอง* เพื่อดูว่าปัญหาแก้ไขแล้วหรือยัง
* หมายเหตุ: วิธีรันการซิงโครไนซ์ด้วยตนเอง:
a. ไปที่แท็บ Connectors คลิกขวา ที่โดเมนในเครื่องของคุณ และเลือก Run
b. ในหน้าต่าง 'Run Connector' เลือก Export > OK
c. สุดท้ายเลือกแท็บ Operations และตรวจสอบว่าสถานะ Export เป็น success โดยไม่มี Export errors
วิธีที่ 2: กู้คืนสิทธิ์เริ่มต้น (Default Permissions) บนบัญชีที่ได้รับผลกระทบ
1. ทำตามขั้นตอนที่ 1-4 ของวิธีข้างต้นอีกครั้งเพื่อเปิดคุณสมบัติ Permissions ของบัญชีผู้ใช้ที่มีปัญหาสิทธิ์
2. คลิก Restore defaults แล้ว Apply > OK และ OK อีกครั้งเพื่อปิดหน้าต่าง 'User Properties'
3. เปิด Synchronization Service Manager และรันการซิงโครไนซ์ด้วยตนเองเพื่อดูว่าปัญหาแก้ไขแล้วหรือยัง
วิธีที่ 3: ตรวจสอบสิทธิ์บัญชี Azure AD Connect และเพิ่มเข้าไปในกลุ่ม Administrators
เมื่อคุณกำหนดค่า Microsoft Entra Connect sync tool เพื่อซิงโครไนซ์ Active Directory ในสถานที่กับ Microsoft Entra ID คุณสามารถใช้บัญชี AD ที่มีอยู่หรือสร้างบัญชีโดเมนใหม่สำหรับการซิงโครไนซ์เป็นระยะ บัญชี AD นี้จึงเรียกว่า "AD DS Connector account" หรือ "Azure AD Connect account" หรือ "AAD Connect account")
หากคุณเลือกใช้บัญชี AD ที่มีอยู่ระหว่างการกำหนดค่าการซิงโครไนซ์ Microsoft Entra Connect ให้ตรวจสอบก่อนว่าบัญชีนี้มีสิทธิ์ที่จำเป็น ดังนี้:
1. เปิด Active Directory Users and Computers
2. คลิกขวา ที่โดเมนของคุณและเลือก Properties
3. ไปที่แท็บ Security เลือกผู้ใช้ที่ตั้งค่าเป็น "Azure AD Connect account" และมอบสิทธิ์ต่อไปนี้:*
- Replicate Directory Changes
- Replicate Directory Changes All
* หมายเหตุ: หากมอบสิทธิ์ข้างต้นให้ผู้ใช้แล้ว ให้ดำเนินต่อไปด้านล่าง
4. เปิด Active Directory Users and Computers เลือก Builtin แล้วเปิดกลุ่ม Administrators
5. เลือกแท็บ Members คลิก Add แล้วเพิ่มผู้ใช้ที่กำหนดเป็นบัญชี Azure AD Connect เข้าไปในกลุ่ม Administrators
6. เมื่อเสร็จสิ้น ปิดหน้าต่างทั้งหมดและลองซิงโครไนซ์อีกครั้ง
ความช่วยเหลือเพิ่มเติม: หากปัญหาสิทธิ์ยังคงอยู่ ให้อ่านบทความต่อไปนี้เพื่อมอบสิทธิ์ที่จำเป็นให้บัญชี Azure AD Connect:
เสร็จสิ้น! วิธีไหนใช้ได้กับคุณ?
แจ้งให้ทราบว่าคู่มือนี้ช่วยได้หรือไม่โดยแสดงความคิดเห็น โปรดกดไลก์และแชร์เพื่อช่วยผู้อื่น
คำถามที่พบบ่อย
ความหมายของ Export Error: permission-issue, Error Code: 8344 ใน Azure AD Connect คืออะไร?
ข้อผิดพลาดนี้บ่งชี้ว่ามีสิทธิ์การเข้าถึงไม่เพียงพอในการดำเนินการบางอย่างระหว่างการซิงโครไนซ์ระหว่าง Local Active Directory และ Microsoft 365 โดยใช้ Azure AD Connect
สาเหตุที่เป็นไปได้ของ Export Error: permission-issue, Error Code: 8344 ใน Azure AD Connect คืออะไร?
สาเหตุที่เป็นไปได้รวมถึง: ผู้ใช้ที่ซิงโครไนซ์อยู่ในกลุ่ม 'Domain Admins' หรือ 'Enterprise Admins' (ซึ่งไม่รองรับการซิงโครไนซ์) สิทธิ์ไม่ถูกต้องสำหรับบัญชีผู้ใช้โดเมน หรือสิทธิ์ไม่เพียงพอสำหรับ Azure AD Connect ในการเขียนค่ากลับไปยังแอตทริบิวต์บางอย่าง
จะแก้ไข Permission Error 8344 ในการซิงโครไนซ์ Azure AD Connect ได้อย่างไร?
คุณสามารถแก้ไขข้อผิดพลาดได้โดยการเปิดใช้งานการสืบสิทธิ์บนบัญชีที่ได้รับผลกระทบ กู้คืนสิทธิ์เริ่มต้น หรือตรวจสอบและปรับสิทธิ์และการเป็นสมาชิกกลุ่มของบัญชี Azure AD Connect
จะเปิดใช้งานการสืบสิทธิ์สำหรับบัญชีที่มีปัญหาการซิงโครไนซ์ได้อย่างไร?
เปิด Active Directory Users and Computers เปิดใช้งาน 'Advanced Features' จากเมนู View ไปที่ Properties ของผู้ใช้ที่ได้รับผลกระทบ ไปที่แท็บ Security คลิก Advanced และเปิดใช้งานการสืบสิทธิ์ในแท็บ Permissions
ควรทำอย่างไรหากบัญชี Azure AD Connect มีสิทธิ์ไม่เพียงพอ?
ให้แน่ใจว่าบัญชี Azure AD Connect มีสิทธิ์ 'Replicate Directory Changes' และ 'Replicate Directory Changes All' นอกจากนี้ พิจารณาเพิ่มบัญชีเข้าไปในกลุ่ม Administrators หากจำเป็น
หากบทความนี้มีประโยชน์ โปรดพิจารณาสนับสนุนเราผ่านการบริจาค แม้เพียง $1 ก็ช่วยให้เราดำเนินต่อไปได้:
- ผู้เขียน
- บทความล่าสุด
Konstantinos เป็นผู้ก่อตั้งและผู้ดูแล Wintips.org ตั้งแต่ปี 1995 เขาทำงานและให้บริการสนับสนุน IT ในฐานะผู้เชี่ยวชาญคอมพิวเตอร์และเครือข่ายให้กับบุคคลและบริษัทขนาดใหญ่ เขาเชี่ยวชาญในการแก้ไขปัญหาที่เกี่ยวข้องกับ Windows หรือผลิตภัณฑ์ Microsoft อื่นๆ (Windows Server, Office, Microsoft 365 ฯลฯ)
บทความล่าสุดโดย Konstantinos Tsoukalas (ดูทั้งหมด)
