选择用于向 Active Directory 预配的部署选项（预览版）

使用 Microsoft Entra Cloud Sync 从 Microsoft Entra ID 预配到本地 Active Directory 域服务 (AD DS) 时，你可以通过其 作用域筛选器 选择配置要预配的内容。 本文比较了三个部署选项，并帮助你选择正确的部署选项和适当的规模。

有关概念性介绍，请参阅从Microsoft Entra ID预配到Active Directory的概述。 若要配置这些选项中的任意一项，请参阅配置向 Active Directory 进行预配。

三个部署选项

所有三个选项在 Cloud Sync 中使用相同的配置类型 - Microsoft Entra ID AD 同步。区别在于引入范围的对象类型。

如何选择选项

在配置中的范围筛选器中选择该选项：

• 若要预配 用户，请先将用户纳入预配范围。
• 若要预配 组，请让安全组进入作用域。
• 若要预配 这两种对象，请在同一配置中启用这两种对象类型。

有关分步范围界定过程，请参阅将预配配置到 Active Directory。

按域和按租户划分的配置

每个 AD 域只能有一个配置，因此不会针对同一域运行单独的用户和组配置。 而是由你来选择该域的配置会将哪些对象类型纳入作用域：

• 使用户和组能够在一个位置管理域的这两种对象类型。
• 如果只需要预配用户或仅组，请启用 一个 对象类型。 如果以后决定预配另一种类型，请更改现有配置以包含它，而不是创建第二个配置。

不同域的配置保持独立，因此可以单独确定每个域的范围、计划和故障排除范围。 根据 许可证要求，每个租户最多可以运行 20 个配置。 此限制涵盖所有配置，无论是预配用户、组还是两者。

性能和扩展限制

预配性能受租户大小和范围内对象数的影响。 用户、组和组成员身份关联均计入同一总数。 由于用户不存在成员关系模型，因此每个用户都计为一个对象，而每个组则计为一个对象，外加其每个成员关系链接各计一个对象。

建议配置

范围选择确定服务在每个周期中执行多少工作。 当选择可能会降低预配速度时，预配配置会显示警告，但不会阻止你保存配置。 下表介绍了要配置的内容和原因。

这两种作用域模式对筛选器的要求正好相反。 所有用户和组需要使用筛选器来缩小原本不受限制的范围，而所选用户和组的范围已经较窄，因此筛选器只会徒增负担。 如果将现有配置从 “全部 ”更改为 “已选中”，请删除添加的属性值筛选器。

首选云托管组而不是本地成员身份

为本地用户预配组成员身份，可使云组与仍由 Active Directory 管理的成员保持一致。 这样做可行，但这并不是该功能的最佳用法：每个周期都要耗费精力来维护指向由另一个系统控制的对象的链接。

建议的最终状态是将该组的权威源转换为 Microsoft Entra ID，并将该云端管理的组预配到 Active Directory。 随后，可在一处集中管理该组及其成员，并且不再需要维护指向同步用户的成员资格链接。

不支持的内容

不支持超过 50,000 成员的群组。

组和成员资格的规模限制

用户的规模限制

如果超出限制，该怎么办

超过建议的限制会降低初始同步和增量同步的速度，并可能导致同步错误。 如果发生这种情况，请执行以下操作：

• 所选安全组模式下的组或成员过多：减少作用域内组的数量。 由于每个 AD 域只有一个配置，因此不能跨多个配置拆分单个域的范围。
• 所有安全组模式下的组或成员过多：切换到 所选安全组 模式。
• 范围中的用户过多：缩小用户范围筛选器范围，使用户范围越少。
• 某个组的成员数超过 5 万：将成员拆分到多个组中，或采用分阶段设置组的方式，确保每个组都不超过上限。

通过 API 扩展的组选择

如果需要选择超过 999 个组，请使用为服务主体授予 appRoleAssignment API：

POST https://microsoftgraph.chinacloudapi.cn/v1.0/servicePrincipals/{servicePrincipalID}/appRoleAssignedTo
Content-Type: application/json

{
  "principalId": "",
  "resourceId": "",
  "appRoleId": ""
}

位置：

• principalId：组对象 ID。
• resourceId：作业的服务主体 ID。
• appRoleId：资源服务主体公开的应用角色的标识符。

按云划分的应用角色 ID：

更多注意事项

• 写入 AD DS 的组成员身份仅包括具有 AD DS 帐户的成员。 这些成员可以是本地同步用户、因属于用户预配范围而由 Cloud Sync 预配到 AD DS 的云管理用户，或其他在云中创建的安全组。 跳过没有 AD DS 帐户的云托管用户。
• 本地同步用户必须具有 onPremisesObjectIdentifier 属性集，并匹配目标 AD DS 环境中的相应 objectGUID 属性。
• 只有全球范围的 Microsoft Entra ID 租户才能从 Microsoft Entra ID 向 AD DS 进行预配。 不支持 B2C 等租户。
• 预配作业按定期计划运行。

后续步骤

相关内容

• 从Microsoft Entra ID预配到Active Directory概述
• Active Directory预配的工作原理
• 将预配配置为Active Directory
• 测试并启用向 Active Directory 预配
• 将用户权威源 (SOA) 迁移到云端
• 将组的权威源（SOA）迁移到云端
• 什么是 Microsoft Entra Cloud Sync？