Contoso 在本地运行费用应用程序。 应用程序使用Windows集成身份验证，因此它使用 Kerberos 对用户进行身份验证，并通过检查Active Directory 域服务（AD DS）安全组中的成员身份来授权用户。
身份团队负责管理 Microsoft Entra ID 中的用户，并希望从云端治理对该应用程序的访问：将某人添加到云组后，他们就可以使用该费用应用。 Microsoft Entra ID 中的 费用审批者组已经包含了合适的人员，但其成员构成较为混杂。 某些成员从 AD DS 同步，有些成员是在云中创建的，并且从未有 AD DS 帐户。
这种混合是问题。 只有当成员具有可供引用的 AD DS 帐户时，才能将成员引用写入 AD DS 组。 同步的成员具有一个。 云托管成员则不会这样，因此应用程序根本无法识别到他们，他们也无法审批费用。
在本教程中，你将把云管理用户连同该组及其成员身份一起预配到 AD DS 中。 应用程序仍按其一贯方式进行授权，而 Microsoft Entra ID 将成为你决定谁可获得访问权限的地方。
在本教程中，你将了解：
- 查看涉及的对象以及云托管成员目前缺少访问权限的原因。
- 创建预配配置，并将组纳入预配范围。
- 在启用任何内容之前，请使用按需预配来验证结果。
- 在 AD DS 中验证是否已创建帐户和组成员身份。
- 了解云托管用户如何在不使用 AD DS 密码的情况下登录到应用程序。
- 锁定预配的对象，以便只能从Microsoft Entra ID更改它们。
- 将用户或组返回到本地管理。
Important
将用户预配到Active Directory目前为预览版。
Prerequisites
完成 先决条件和许可证要求。
此方案中的对象
本教程使用以下对象。 替换你自己的租户中的等效项。
| Object | 类型 | 启动状态 |
|---|---|---|
| Britta Simon | 从 AD DS 同步的用户 | 具有 AD DS 帐户。 已进入费用应用。 |
| 洛拉·雅各布森 | 从 AD DS 同步的用户 | 具有 AD DS 帐户。 已进入费用应用。 |
| 阿达·惠特菲尔德 | 用户，云托管， department 是 Finance |
无 AD DS 帐户。 无法访问费用应用程序。 |
| 马可·特雷维桑 | 用户，云托管， department 是 Finance |
无 AD DS 帐户。 无法访问费用应用程序。 |
| 支出审批者 | Microsoft Entra ID 中的安全组 | 包含所有四个用户。 AD DS 中不存在。 |
AD DS 中存在以下组织单位（OU）：
| 显示名称 | 可分辨名称 |
|---|---|
| Finance | OU=Finance，DC=contoso，DC=com |
| Groups | OU=Groups，DC=contoso，DC=com |
了解当前缺失的内容
在做出任何改动之前，先确认你要弥合的差距。
- 以至少混合身份管理员的身份登录到Microsoft Entra 管理中心。
- 浏览到Entra ID>组>“所有组”，然后选择“费用审批者”。
- 选择 “成员 ”，并记下哪些成员从 AD DS 同步，以及哪些成员是云管理的。 已启用本地同步列可将它们区分开来。
- 登录到本地环境并打开Active Directory 用户和计算机。 确认艾达·惠特菲尔德和马可·特雷维桑没有账户，且不存在 费用审批者 组。
此时，云组是确定谁应审批费用的记录系统，但 AD DS 无法使用该组。
创建预配配置
域支持单个配置，因此可以将这两种对象类型引入一个配置，而不是为每个配置创建单独的配置。
- 浏览到 Entra ID>Entra Connect>云端同步。
- 选择新建配置>Microsoft Entra ID 到 AD 同步。
- 选择域，然后选择“ 创建”。
此时将打开“开始使用”屏幕。
将组及其成员纳入作用域
范围确定预配的对象，并且有两种方法可以定义它。 该选项还确定属性值筛选是否可用。
| Scope | 在以下情况下选择它 |
|---|---|
| 选定的用户和组 | 希望获得最佳性能和最快的同步周期。 该服务只评估你选取的对象，因此每个周期的工作更少。 不要在此模式下添加属性值筛选器 - 所选内容已确定范围。 |
| 所有用户和组 | 需要大规模限定范围，或者涉及的对象集会随时间变化。 属性值筛选使范围在人员加入、移动和离开时保持最新状态，而无需维护手动选取的列表。 始终在此模式下至少添加一个属性筛选器。 |
有关租户规模阈值以及各模式支持的对象计数，请参阅 性能和扩展限制。
选择“添加范围筛选器”，或选择“管理”下的左侧范围筛选器，然后选择“编辑”。 然后，按照与所选匹配的选项卡进行操作。
选择该组会将其纳入范围，并同时预配其成员。
- 在“ 按分配范围 ”选项卡上，将范围设置为 “所选用户和组”。
- 选择 “费用审批者 ”组。
这是同步最快的选项，因为每个周期只评估所选对象。 若要稍后添加某人，请在Microsoft Entra ID中将其添加到组中。
无论你选择了哪个范围，完成该向导：
在 “配置组成员身份 ”步骤中，启用向本地用户预配成员身份。
Important
默认情况下，此设置处于关闭状态。 如果没有它，Britta Simon 和 Lola Jacobson 的成员引用信息将不会写入 AD DS 组。 有关详细信息，请参阅 本地用户的组成员身份。
设置目标容器：
-
用户 - 云托管用户没有
onPremisesDistinguishedName，因此它们是在默认容器CN=Users,DC=contoso,DC=com中创建的。 使用OU=Finance,DC=contoso,DC=com覆盖此设置，将其与财务部门的其他对象放在一起。 -
组——将
OU=Groups,DC=contoso,DC=com设置为常量parentDistinguishedName。
注释
这些默认值会因对象类型不同而有所差异，这是有意这样设计的。 授权来源已转换为云的用户会自动返回其原始 OU，因为默认映射为
onPremisesDistinguishedName。 组没有等效项，因此若要在已占用的 OU 中保留已转换的组，请参阅 “保留组的组织单位和名称”。-
用户 - 云托管用户没有
选择“保存”。
使用按需预配进行验证
在启用之前进行测试。 按需预配将配置应用到一小部分对象，并显示引擎执行的每个步骤，而无需打开作业。
- 打开配置并选择 “按需预配”。
- 选择Ada Whitfield，然后选择预配。
- 查看步骤结果。 导入、范围确定、匹配和导出步骤应全部成功，导出步骤应显示创建操作。
- 对 费用审批者 组重复此操作。
如果跳过对象，范围确定步骤将解释原因。 有关完整过程，请参阅 “测试和启用预配”。
启用配置
当按需运行结果看起来正确时，选择概述>查看并启用>启用配置。 随后，预配会按其周期性计划运行。
在 AD DS 中验证结果
确认该场景的两个部分均已成功完成。
在Active Directory 用户和计算机中，打开
OU=Finance,DC=contoso,DC=com。 Ada·惠特菲尔德和马可·特雷维桑现在已有 AD DS 账户。打开
OU=Groups,DC=contoso,DC=com。 费用审批者组已存在。打开组的“ 成员 ”选项卡。所有四个用户都显示：
- Britta Simon 和 Lola Jacobson， 因为他们已经拥有 AD DS 帐户。
- Ada Whitfield 和 Marco Trevisan，因为预配创建了他们的帐户，从而使其成员引用可写。
结果： 云组现在在 AD DS 中驱动授权。 将某人添加到 Microsoft Entra ID 中的费用审批者后，系统会为其完成预配，并在下一个周期授予其访问权限。 移除它们会使这一效果恢复原状。
云托管用户如何登录到应用程序
已预配的 AD DS 帐户存在，以便 Kerberos 正常工作。 这不是用户单独管理的第二个标识，他们不需要 AD DS 密码。
Ada Whitfield 使用无密码方法（如 Windows Hello 企业版）登录到Microsoft Entra ID。 配置云 Kerberos 信任后，Microsoft Entra ID 会为本地域颁发 Kerberos 票证，费用应用程序接受该票证，并通过她在预配所维护的 AD DS 组中的成员身份对她进行授权。
由于身份验证发生在云中，本地访问还会选取多重身份验证和条件访问策略。
Important
这适用于使用 Kerberos 的应用程序。 对于云托管用户，不支持需要直接提供密码的应用程序，例如 LDAP 绑定或使用密码的 Kerberos，因为没有可提供的 AD DS 密码。
锁定对象，以便其更改仅能通过 Microsoft Entra ID 进行
通过预配，Microsoft Entra ID 成为决定访问权限的地方，但本地部署管理员仍可直接在 AD DS 中编辑已预配的账户或组。 AD 对象强制实施弥补了这一漏洞，因此，已标记的对象仅接受来自预配服务的更改。
- 准备域控制器并安装强制策略。 每个域只需设置一次，并且必须先在每个可写域控制器上启用该功能，然后才能依赖它。 请参阅 配置 AD 用户和组强制执行。
- 将已配置的用户和 Expense approvers 组标记为强制执行对象。
- 请尝试重命名Active Directory 用户和计算机中的组。 更改被阻止，尝试记录在事件日志中。
Tip
首先在 审核 模式下安装策略。 审核模式会记录本应阻止的操作，但不会实际阻止任何操作，因此可以在切换到强制执行之前，找到仍在写入这些对象的脚本和计划任务。
启用强制实施后，Microsoft Entra ID在实际操作中是该对象的唯一权威来源，而不只是约定俗成如此。
从云管理用户生命周期
本教程从Microsoft Entra ID中已存在的用户开始。 在完整部署中，生命周期开始得更早，而向 AD DS 预配则成为始于 HR 系统的一连串流程中的最后一步：
- 联接器。 HR 系统将用户预配到 Microsoft Entra ID，因此 HR 记录是确定存在哪些用户的事实来源。 请参阅 HR 驱动的预配。
- 访问分配。权利管理向该人员授予访问包，或者通过动态组规则将其添加进去，从而使其加入费用审批者。
- 向 AD DS 预配。 用户是在 AD DS 中创建的，并且已写入成员引用，因此该费用应用程序会授权该用户。
- 移动器。 HR 中的属性更改会在下一个周期同步到 Microsoft Entra ID，然后再同步到 AD DS。 如果更改将其从组中删除，也会删除其应用程序访问权限。
- 离职者。 HR 将员工标记为离职，生命周期工作流会运行离职任务，并且 AD DS 帐户会被禁用。 有关完整的删除和禁用行为，请参阅删除的工作原理。
在其运行后，有两个治理控制项值得添加：
- 访问评审会按计划重新确认成员身份，移除操作会自动传播到应用程序。
- 将该组发布到访问包中后，用户便可请求费用审批者的访问权限，而不必向管理员发邮件。
结果是此生命周期中没有任何部分需要管理员联系Active Directory。 有关此模式的更多详细信息，请参阅使用 Microsoft Entra ID 治理 管理基于本地 Active Directory 的应用 (Kerberos)。
将用户或组返回到本地管理
如果你已将对象的权威源转换到云端，并希望再次由 AD DS 管理该对象，请回滚此转换。 预配会停止同步对象，并将其从范围中删除。 不会删除本地对象，并且本地控件将在下一个同步周期恢复。
- 回滚对象的授权源，以便 AD DS 再次拥有它。
- 在 审核日志中，确认该对象不再进行同步，因为它由本地环境管理。
- 在Active Directory 用户和计算机中，确认对象仍然存在且未删除。
对象会自动从配置范围中删除。 无需手动更改范围。
若要停止预配没有授权源更改的对象，请改为将其从配置范围中删除。
预配产生的结果
- 根据范围和属性映射，在目标 OU 中创建或匹配和更新对象。
- Microsoft Entra ID 中的更改会按预定的定期计划同步到 AD DS。 对于已转换为权威源的对象，在 AD DS 中直接更改受管属性会导致 Cloud Sync 跳过该对象。 有关详细信息，请参阅 Cloud 跳过 SOA 转换后 AD 中所做的更改。
- 有关完全匹配、更新和删除行为，请参阅预配到Active Directory的工作原理。