36、混合环境下 Azure AD Connect 的认证与同步配置指南

混合环境下 Azure AD Connect 的认证与同步配置指南

1. 混合世界中的认证处理

在默认情况下，运行已配置传递身份验证（PTA）的 Azure AD Connect 的 Windows Server 会充当首个且唯一的 PTA 代理。为了实现 PTA 的地理冗余性，让终端用户的认证不依赖于单一的 Windows Server 安装，可以添加 PTA 代理。微软建议至少部署三个 PTA 代理。

每个 PTA 代理都配备有自己的证书，它使用私钥来解密认证请求。Azure AD 认证服务会将每个认证请求放置在 Azure 服务总线上，并针对每个已注册的 PTA 代理进行特定加密。不过，注册不必要的 PTA 代理或者通过极其缓慢的网络连接的 PTA 代理，可能会导致 Azure 服务总线上的认证请求增多，从而使使用 PTA 进行认证的终端用户出现延迟。

2. 选择合适的用户对象源锚属性

在混合身份环境中，Active Directory 和 Azure AD 协同工作时，需要确定一个属性作为端到端标识符，在 Azure AD Connect 中这被称为源锚。

2.1 准备工作

在做出选择之前，需要了解组织的以下特征：
- 组织当前的 Active Directory 环境是否为多森林环境？
- 组织当前是否正在整合 Active Directory 域，和/或计划收购其他组织并将其配置到当前混合身份环境中，以便由 Azure AD Connect 进行同步？
- 组织是否已经有联合解决方案，并使用基于声明的应用程序，无论是在组织内部还是与基于云的应用程序、系统和/或服务一起使用