使用用户授权源（SOA）指南

有效地管理用户标识对于过渡到云的组织至关重要。 本文提供有关使用用户授权源（SOA）帮助将用户从本地过渡到云的指导。 本文还介绍了如何在 SOA 传输后最大程度地减少 Active Directory（AD）占用空间，采用转换用户管理的最佳做法，并确保顺利将用户管理迁移到云。

Active Directory 用户管理

为用户传输 SOA 的关键方案之一是最大程度地减少 AD 占用空间。 完成 SOA 传输后，不再需要访问 Active Directory 特定资源的用户可以在 AD 中禁用或删除。

最佳做法

遵循以下最佳做法，将用户管理从本地转换到 Microsoft Entra ID

将用户移动到 OU

使用 Active Directory 管理工具（如 Active Directory 用户和计算机）或 PowerShell 的 Active Directory 模块修改具有已更改的权威源（SOA）的 AD 对象可能会导致其 Microsoft Entra 表示形式不一致。 在执行 SOA 更改之前，组织应将这些对象移动到指定的 AD OU，表明不应再通过 AD 工具管理这些对象。 如果要传输的 SOA 的用户在本地托管组中被引用，则用户应保留在同步范围内。 如果删除本地用户，则也会从本地和Microsoft Entra 组中删除该用户。

过渡用户管理

在转移用户的 SOA 之前，请确保用户的同步周期已完成。 完成后，将用户从 HR 到 AD，或从 MIM 到 AD 的配置范围中删除，并将他们添加到 HR-Microsoft> Entra ID 配置中。 如果组织将 Microsoft Identity Manager （MIM） 与 Active Directory 管理代理（AD MA）配合使用来管理 AD 用户和组，则必须更新同步逻辑，以在进行 SOA 更改之前停止通过 AD MA 导出对这些对象的更改。 与其使用 AD MA，不如使用 Microsoft Graph 的 MIM 连接器 来更新 Microsoft Entra 中的对象，从而将 MIM 所做的更改首先发送到 Microsoft Entra，然后在需要时发送到 Active Directory。 有关详细信息，请参阅： 准备 MIM 设置。 停止在 AD 中直接对用户进行任何更改。 SOA 完成后，开始管理云中的用户。

使用 LDAP 应用程序的用户

如果要将使用本地 LDAP 应用程序的用户转移到云中，请使用 Microsoft Entra 域服务 将 LDAP 应用程序转移到云，然后再转移用户的 SOA。

第三方联合身份验证

如果你的组织使用第三方联合身份验证标识提供者并计划转移用户的 SOA，则必须手动管理 Active Directory 帐户，并使用第三方同步工具维护密码。 如果用户使用 Active Directory 联合身份验证服务进行联合身份验证，则不支持传输 SOA。

Devices

我们建议客户将其设备迁移到云，并使用 Microsoft Entra Joined Device 安装程序，以便充分利用用户 SOA 功能。 群组使用设备时没有任何先决条件。

相关内容

• 在 Microsoft Entra ID 中配置用户权限源（SOA）
• 为用户 SOA 准备环境