引言真实案例某金融企业在部署 Entra Connect Sync 时技术团队选择了 Express Setup。Express Setup 默认采用较宽泛的预定义同步范围——而该企业的 AD 中混杂着 300 多个服务账户SQL Server、IIS AppPool、SAP和 200 多个测试账号。同步启动后第二天安全团队紧急叫停300 多个服务账户被同步到云端每个月消耗 300 多个 M365 许可证一年多花 180 万更糟的是这些服务账户默认启用了 SSPR 和 MFA——它们根本不是真人没法接 MFA token全部登录失败。这不是个案。Express Setup 本身不是错误但企业环境如果目录治理不足默认同步范围会将非用户对象一并上云。本文目标身份同步的实施不是装好 Connect 就完事。它是 架构决策 → 安装配置 → 监控运维 三段链路的连贯工程。本文系统化拆解Connect Sync 实施从服务器准备到 Express vs Custom 决策Cloud Sync 实施从 gMSA 到 Agent 高可用部署Entra Connect Health 监控让同步可见、可控、可查同步实施后的验证检查清单 烟雾测试一、实施前必备的全局认知1.1 同步工具的工程本质工具本质类比Entra Connect Sync本地部署的企业级同步引擎 SQL Server Sync Service自建水电站Entra Cloud Sync云端运行的同步引擎 本地轻量 Agent集中供水你只装水表架构心法Connect Sync 是功能完整但运维复杂的工具——支持 Exchange Hybrid、PTA、AD FS、LDAP 过滤等所有高级特性代价是组织必须维护一个小型基础设施Sync Server SQL 备份策略。Cloud Sync 是功能精简但运维轻量的工具——微软负责 80% 的运维组织只需维护 Agent 主机。1.2 实施前的四个确认确认项说明✅ Source of Authority 已确立本地 AD 是真值来源云端不可改同步用户✅ UPN 后缀与租户主域一致IdFix 已跑通✅ OU 同步范围已设计按白名单原则而非黑名单✅ 认证方式已决策PHS / PTA / Federation 已选择1.3 Hybrid Identity 同步架构图架构解读组件部署位置职责Microsoft Entra ID云端云端身份中心统一身份目录Connect Sync本地服务器企业级同步引擎包含 Sync Engine SQL Server Metaverse AD ConnectorConnect Sync Staging Server本地服务器温备节点DR不执行 ExportCloud Sync Provisioning Service云端由微软管理执行同步决策、同步逻辑、对象匹配Cloud Sync Provisioning Agent本地服务器与 Microsoft Entra Provisioning Service 建立安全通信通道提供本地 AD 数据访问能力AD Forest本地源目录用户、组、Contact、objectGUID、ms-DS-ConsistencyGuid1.4 Hybrid Identity 架构决策矩阵需求推荐原因Exchange Hybrid 本地 云端邮箱共存✅ Connect SyncCloud Sync 不提供 Exchange Hybrid 所需的完整目录同步能力Exchange Online Only仅云端邮箱✅ Cloud Sync 支持如果只是 Exchange Online 云邮箱不需要 Hybrid 属性流转Cloud Sync 可以同步需要的用户对象PTA / Pass-Through Authentication✅ Connect SyncCloud Sync 不支持 PTAAD FS 联邦认证✅ Connect SyncCloud Sync 不支持 FederationLDAP 复杂过滤 / 复杂多林 Join✅ Connect SyncCloud Sync 不提供 Metaverse / Join Rules组写回 / 设备写回✅ Connect SyncCloud Sync 能力有限单林 纯 PHS 简化运维✅ Cloud Sync微软负责 80% 运维减少本地服务器维护✅ Cloud Sync只需 1 个轻量 Agent多子公司 AD / 多站点✅ Cloud SyncCloud Sync 原生支持多 Agent 高可用模型新建云原生企业✅ HR Provisioning Lifecycle Workflow跳过 AD迈向云原生并购过渡期✅ Connect Cloud Sync 共存微软官方支持的迁移路径架构决策树架构原则✅ 新部署企业从 Cloud Sync 起步除非需要 Connect Sync 独占能力✅ 传统企业保留 Connect Sync 作为过渡逐步迁移 Cloud Sync✅ 并购场景使用 Connect Cloud Sync 共存路径✅ 云原生企业跳过 AD直接走 HR Provisioning Lifecycle Workflow二、Entra Connect Sync 实施全流程2.1 服务器前置条件前提项要求备注操作系统Windows Server 2016Full GUI 必须Server Core 不支持Windows 版本Standard Edition 或更佳不支持 Windows Server Essentials.NET Framework4.6.2新版本也支持PowerShell5.0默认满足磁盘空间至少 10 GB 可用同步数据库需要空间域加入必须加入要同步的 AD 域时间同步与域控制器时间偏差 5 分钟否则 Kerberos 认证失败TLS启用 TLS 1.2现代默认满足2.2 AD FS 场景的额外前提如果同时部署 AD FSFederation需要满足前提项要求AD FS / WAP 服务器Windows Server 2012 R2WinRM必须在 AD FS / WAP 服务器上启用远程安装需要TLS/SSL 证书已正确配置名称解析DNS就绪服务账户域账户具备必要的本地管理员权限2.3 网络与流量要求很多团队忽略的细节——Entra Connect Sync 会持续与 Entra ID 通信。流量类型用途频率Delta Sync检测 AD 变更并推送到云约 30 分钟默认约 30 分钟不保证严格按 30 分钟Full Sync手动触发或特定场景触发初始配置 / Schema 变化 / Connector 变化 / 手动 Initial Sync——不是固定周期Password Hash Sync同步密码哈希每 2 分钟独立周期Microsoft Entra ID 连接outbound HTTPS 到login.microsoftonline.com持续本地 AD 通信LDAP 查询、目录变更通知持续关键警告Microsoft 明确不支持在 Connect Sync 与 Entra ID 之间做流量抓包分析——因为这会中断同步服务的内部认证握手导致同步失败。如果需要排查连接问题使用Test-NetConnection或官方诊断工具。2.4 Express vs Custom Setup 决策维度Express SetupCustom Setup适用场景单林、纯 PHS、希望快速就绪多林、自定义认证、自定义过滤认证方式默认 PHSPHS / PTA / Federation 任选SQL Server使用内置 SQL Server Express可指定现有 SQL Server服务账户自动创建所需服务身份和本地权限配置使用 Virtual Service Account / gMSA / Managed Service Account可指定现有服务账户同步范围默认使用微软预定义同步范围通常范围较宽可自定义 OU 包含/排除同步组自动创建本地组可指定现有组安装路径默认路径可指定自定义路径后续扩展性受限Express 锁定部分配置完全可配置2.5 Express Setup 的真相架构师描述Express Setup 是针对标准化、小规模环境设计的快速部署模式。但由于企业 AD 通常包含大量非用户对象服务账户、计算机账户、历史遗留对象、测试账号、禁用账号等因此生产环境需要在部署前验证默认同步范围。Express Setup 本身不是错误——风险来自企业目录治理不足。架构师应从企业目录治理角度评估而非将 Express 视为危险。Express Setup 在后台会✅ 自动启用 PHSPassword Hash Sync默认⚠️ 可能启用 Seamless SSO无缝 SSO默认配置❌ 不会自动启用 Device Writeback / Group Writeback——这些高级能力需要根据业务场景单独配置⚠️ 自动配置微软预定义同步范围——通常范围较宽不适合作为复杂企业环境的生产默认方案⚠️ 自动创建本地服务身份与权限配置使用 Virtual Service Account / gMSA / Managed Service Account⚠️ 自动创建本地同步组ADSyncAdmins 等Express Setup 的问题清单问题影响⚠️ 使用预定义同步范围测试账号、服务账户、过期账号全部上云❌ 无法选择 OU必须事后用过滤机制排除但 Express 不支持完整过滤❌ SQL 不可指定性能受限SQL Express❌ 服务账户不可控后续迁移困难❌ 升级到 Custom Setup 困难一旦 Express 完成重做必须卸载重装2.6 推荐决策路径架构经验绝大多数企业生产环境应选择 Custom Setup。Express Setup 仅适用于实验室测试或标准化小规模环境。2.7 Custom Setup 安装步骤三、Microsoft Entra Cloud Sync 实施全流程3.1 Cloud Sync 的核心组件组件部署位置职责Microsoft Entra Provisioning ServiceMicrosoft 云端执行同步编排、对象匹配、属性映射、Provisioning 工作流——这是 Cloud Sync 架构中唯一负责任务逻辑的组件Provisioning Agent本地 Windows Server提供访问 AD DS 的安全连接通道将目录读取能力暴露给云端 Provisioning ServicegMSA / Virtual Service Account本地Agent 服务运行身份支持 gMSA 与 Virtual Service Account 两种身份模式ECMA Connector Host本地可选扩展到非 AD 数据源架构心法Cloud Sync 的核心理念是 Move synchronization intelligence from on-premises to cloud将同步智能从本地迁移到云端。Connect Sync vs Cloud Sync 架构对比维度Connect SyncCloud Sync同步引擎本地 Sync Engine云端 Microsoft Entra Provisioning Service匹配决策Metaverse Source Anchor本地云端 Matching RulesAgent 职责本地同步 Export仅提供安全通道 数据传递数据控制本地 Connector Space DB云端 Provisioning 工作流核心架构描述企业级同步引擎云端同步智能 本地安全通道Cloud Sync 架构模型避免误解Cloud Sync 的 Agent 没有本地同步引擎不负责变更检测和决策。这些都是云端 Provisioning Service 的职责。3.2 Cloud Sync 部署前提前提项要求备注gMSA已创建提供自动密码管理混合身份管理员账户Entra 中的特权账户不能是 guest user用于 Agent 注册Agent 服务器Windows Server 2016建议 Tier 0 服务器可装在 DC 上.NET Framework4.7.2PowerShell5.0防火墙 outbound允许 HTTPS 到 Entra 服务域账户权限Domain Admin / Enterprise Admin仅创建 gMSA 时需要3.3 gMSA 详解关键认知gMSA 是生产环境推荐的 Agent 服务身份模型而非功能性强制要求。Microsoft Entra Cloud Sync Provisioning Agent 支持 gMSA 与 Virtual Service Account 两种身份模式。为什么推荐 gMSA Cloud Sync Agent 是一个长期运行的 Windows 服务需要稳定的、可管理的服务账户。问题使用普通域账户使用 gMSA密码管理❌ 密码会过期 → 服务崩溃✅ Windows 自动轮换生命周期❌ 需手动管理✅ 与 AD 账户生命周期联动多服务器❌ 管理噩梦✅ 多服务器共享同一身份SPN 提醒gMSA 本身并不自动为所有应用管理 SPN。SPN 是否自动注册取决于服务的具体实现。创建 gMSA 的 PowerShellpowershell3.4 Cloud Sync 高可用设计核心原则多个 Agent 同时活动Active-Active不是一主多备。设计说明1 个 Agent❌ 不可接受——单点故障2 个 Agent⚠️ 最低标准——可承受 1 个 Agent 故障3 个 Agent✅ 企业实践推荐——适用于大型、多站点环境Agent 负载均衡机制Entra 预配服务会在多个 Agent 之间轮询分配变更检测任务如果某个 Agent 离线请求自动转移至其他 Agent用户无感知——同步持续运行3.5 Cloud Sync 安装步骤3.6 Cloud Sync Identity Matching 与 Source Anchor 策略关键警告Cloud Sync 的对象匹配逻辑与 Connect Sync 的 Source Anchor 概念在表达层和实现层都存在差异。Cloud Sync 不提供 Entra Connect Sync 同等粒度的 Source Anchor 显式配置能力。Cloud Sync 的匹配行为由服务管理不保证与 Entra Connect Sync 完全一致。Source Anchor / 对象匹配标识的本质确保本地 AD 对象生命周期变化过程中Entra ID 能持续识别为同一个身份对象。企业迁移、林合并、对象恢复场景必须提前规划该策略。Connect Sync vs Cloud Sync 架构模型差异维度Entra Connect SyncMicrosoft Entra Cloud Sync架构模型AD Object → Connector Space → Metaverse → Source Anchor → Entra ObjectAD Object → Cloud Provisioning Agent → Entra Provisioning Service → Matching Rules → Entra ObjectSource Anchor 性质本地 Metaverse 中的明确属性架构师可配置云端 Matching Rules 管理的匹配属性不提供 Connect Sync 同等级别的配置模型默认行为已围绕 ms-DS-ConsistencyGuid 优化由 Microsoft Entra Provisioning Service 管理优先使用 ms-DS-ConsistencyGuidFallback objectGUID林合并迁移可手工修改 Source Anchor 策略需重新配置 Matching Rules优先级属性说明1️⃣ms-DS-ConsistencyGuidAD 中的可写属性Microsoft 推荐用于迁移、林合并、Exchange Hybrid 共存场景2️⃣objectGUIDAD 中每个对象的 GUIDFallback 选项不要误解不要理解成 Cloud Sync 也有 Source Anchor只是不让改。两个模型思想不同Connect SyncSource Anchor 是本地 Metaverse 中的明确配置项架构师可控制Cloud SyncMatching Rules 是云端 Provisioning Service 的内置匹配能力架构师不直接控制Exchange Hybrid 场景说明Cloud Sync 可以同步 Exchange Online 中需要的用户对象但不提供 Exchange Hybrid 所需的完整目录同步能力。如果企业存在以下场景应使用 Entra Connect SyncExchange Server 与 Exchange Online 共存Hybrid Modern AuthenticationHMAHybrid Free/BusyMailbox Migration邮箱迁移Exchange Hybrid Configuration Wizard 要求的完整属性流转模型mail-enabled objectMailUser / MailContact / Linked Mailbox属性流转Exchange writeback 场景3.7 Cloud Sync 同步拓扑支持拓扑支持实施要点单林 单租户✅最简单1 个 Agent 起步扩展至 3 个 HA多林 单租户✅每林独立 Agent确保跨林唯一Cloud Sync 多林能力更偏向轻量 Provisioning 模型混合Connect Sync 新林 Cloud Sync✅迁移路径新旧 Agent 并存现有混合 AD 林中试点 Cloud Sync✅可与 Connect Sync 共存测试3.8 Cloud Sync 的关键约束约束说明影响⚠️ 不适合作为 Exchange Hybrid 主同步方案Cloud Sync 不提供 Exchange Hybrid 所需的完整目录同步能力邮件混合场景必选 Connect❌ 不支持 PTA仅支持 PHS需要 PTA 必须用 Connect❌ 不支持 AD FS 联邦仅支持 PHS需要 Federation 必须用 Connect⚠️ 不支持跨林匹配每个用户必须在林中唯一多林场景需手动去重⚠️ 组写回 Preview2025-2026 仍处于预览生产谨慎启用⚠️ 匹配关系不宜频繁变化服务管理匹配决策决策前充分验证四、Express vs Custom Setup 完整对比4.1 决策矩阵维度Express SetupCustom Setup同步范围使用微软预定义同步范围通常较宽泛自定义 OU白名单认证方式仅 PHSPHS / PTA / Federation 任选SQL Server内置 SQL Express现有 SQL Server生产级服务账户自动创建所需服务身份和本地权限配置指定现有域账户安装路径默认自定义同步组自动创建本地组指定现有组学习曲线平缓中等生产就绪度适合 ≤ 1000 用户 单林适合任何规模可扩展性受限完全可配置Express → Custom 升级❌ 必须卸载重装—4.2 推荐决策树五、监控体系Microsoft Entra Connect Health部署完同步工具不是结束——监控运维才是真正的开始。5.1 Entra Connect Health 三大能力能力监控对象价值AD DS Health本地 AD 域控制器发现复制问题、DFS 错误、性能瓶颈AD FS HealthAD FS WAP 服务器监控联邦认证失败、令牌请求异常Sync HealthEntra Connect Sync 同步服务监控同步延迟、错误、导出失败5.2 监控维度监控类别具体指标同步状态最后同步时间、增量同步间隔、错误数性能数据CPU、内存、SQL 连接、LDAP 查询延迟告警通知同步失败、密码哈希同步失败、AD DS 复制异常使用分析登录次数、令牌请求、错误分布配置基线与最佳实践的偏离如未启用 PHS5.3 部署方式Connect Sync 场景Connect Sync 安装向导自动安装 Entra Connect Health Agent同步服务器、AD FS、AD DS 都会被注册到 Health 监控在 Entra admin center → Entra Connect Health 查看Cloud Sync 场景Cloud Sync 自动将同步状态报告到 Entra在 Entra admin center → Cloud Sync 配置页面查看无需额外安装 Agent5.4 关键告警场景告警含义行动Data sync has not completed in 60 minutes同步服务卡住检查 Connect Server、SQL ServerPassword hash sync is not workingPHS 失败检查 Entra ID 连接、AD 凭据AD FS service is down联邦服务宕机检查 AD FS 服务、WAPDuplicate attribute detectedAD 端有重复属性IdFix 扫描 修复AD DS replication latency X hoursAD 复制问题检查站点链接、复制拓扑5.5 监控的最佳实践监控最佳实践说明✅ 启用所有三个 AgentAD DS / AD FS / Sync✅ 配置邮件告警关键错误直接发邮件到运维邮箱✅ 集成到 SIEMLog Analytics / Sentinel✅ 建立 Dashboard关键指标可视化✅ 每月做 Health Review主动看趋势而不是被动等告警架构心法Entra Connect Health 应该是无人值守运维的基础。没有它同步就是黑盒。5.6 同步服务灾难恢复设计很多企业部署完 Connect Sync 就以为万事大吉没有为同步服务的推倒重来做准备。这是生产环境最常被忽视、影响最严重的环节之一。灾难场景列举场景影响恢复方式Connect Sync 服务器硬盘故障同步中断Staging Server 接管Connect Sync 配置误删除同步逻辑丢失配置重导入 加密密钥重放Connect Sync SQL Server 数据库损坏所有同步元数据丢失数据库恢复 加密密钥恢复加密密钥丢失灾难级——AD DS 账户密码哈希同步无法解密必须有备份AD Forest 推倒重建 / 林合并Source Anchor 完全失效重新规划 Source Anchor 策略Cloud Sync Agent 服务器全部脱机同步中断新服务器部署 AgentConnect Sync 灾难恢复三大要件1. Staging Server温备节点独立同步数据库LocalDB 或 SQL Server同步引擎安装完整与生产环境配置一致通过Export-Configuration/Import-ConfigurationPowerShell 命令维护配置一致性2. SQL Server 数据库备份关键备份ADSync 数据库ADSync 数据库包含以下内容Connector Space连接器空间Metaverse 数据中间存储Synchronization Rules 配置引用Connector 配置重要区分ADSync 数据库与 Encryption Key 是两个独立资产不能等同于数据库包含 Encryption Key。资产说明ADSync 数据库Connector Space Metaverse Sync Rules 引用 Connector 配置Encryption Key独立资产用于加密 AD DS 账户密码哈希通过 DPAPI 保护备份要求备份频率每日全备 每小时增量备份保留至少 30 天备份存储独立于 Sync Server 的位置异地备份3. 加密密钥 / 配置保护v2.10 明确实际 Entra Connect Encryption Key 是通过 DPAPI 保护的不是简单 Registry 明文读取。企业文档应推荐 Microsoft 官方 Export 流程。Microsoft 官方恢复机制方式说明Azure AD Connect Configuration ExportPowerShell 或安装向导导出Synchronization Service ManagerExport ConfigurationAzure AD Connect Wizard 导出ADSyncConfig.ps1 文件定期备份 ADSync 数据库包含 Connector Space Metaverse Sync Rules Connector 配置备份同步服务 Encryption Key与 ADSync 数据库独立使用 Microsoft 官方 Export 流程密码保险柜存储CyberArk / HashiCorp Vault / Azure Key Vault应避免的做法做法风险❌ 直接读取注册表提取 EncryptionKey不保证所有版本存在不代表完整密钥恢复机制❌ 依赖单一备份源单一导出位置可能丢失❌ 将备份存储在 Sync Server 本地灾难时一起丢失定期验证恢复流程✅ 每季度在隔离环境演练一次恢复✅ 验证加密密钥可被正确读取✅ 验证 ADSyncConfig.ps1 可被使用✅ 验证 Staging Server 接管后可正常同步关键警告如果加密密钥丢失并且没有配置备份所有同步的 Password Hash Sync 功能将无法解密 AD DS 账户密码哈希所有云端用户的密码同步将永久失效。Connect Sync vs Cloud Sync 灾难恢复对比能力Connect SyncCloud Sync本地服务器故障需要 Staging Server 接管只需重新部署 Agent云端服务不受影响数据库备份必须不需要云端管理加密密钥备份必须不需要云端管理配置备份Export / Import Configuration通过 Entra Portal 重新创建恢复 RTO数小时分钟级恢复 RPO取决于备份频率云端状态同步保留架构心法Cloud Sync 在 DR 上优于 Connect Sync但这不是说 Cloud Sync 能完全替代 Connect Sync而是能够使用 Cloud Sync 的场景下其 DR 模型显著更轻。5.7 生产部署推荐架构生产部署架构要素解读层能力 / 组件职责L1 云端身份中心Microsoft Entra ID云端身份真值目录统一用户、组、DeviceL1 零信任访问控制Conditional AccessMFA 合规设备 受信位置L1 风险检测Identity Protection风险检测、自动响应、风险用户查询L2 身份治理Identity GovernanceLifecycle Workflow / Entitlement Management / PIML3 同步架构Connect Sync生产 Staging Cloud SyncAgent x2云-地同步、DR保障、多 Agent HAL3 Tier 0 资产Sync Server、Cloud Sync Agent Server企业身份同步关键资产需防护L4 应用访问M365 / SaaS / Application应用访问、SaaS 应用、SCIM ProvisioningL4 AD 林Tier 0 ForestAD Forest源目录用户、组、Contact架构原则✅ L1 L2 云原生能力在上、L3 同步层在下、L4 应用访问与 AD 源头隔离✅ 同步架构支持 Connect Sync生产 Staging与 Cloud SyncAgent HA并存✅ Tier 0 资产保护Sync Server / Agent Server / AD Domain Controller / ADFS 均属 Tier 0✅ 断开路径Conditional Access Risk-Based 访问控制 PIM 限定 L2 / L3 访问架构本质这不是部署指南而是企业 Hybrid Identity 落地蓝图。架构师交付的不是一份安装文档而是可运行多年的、可扩展、可 DR、可治理的企业身份架构。六、安装后的验证6.1 同步成功 Checklist✅检查项验证方法☐用户已在 Entra 中创建Entra admin center → Users → 找到测试用户☐用户可以登录 M365portal.office.com 用同步用户登录☐密码哈希已同步Entra Connect Health → Password hash sync 显示成功☐OU 范围正确仅同步了预期的 OU没有多余对象☐用户属性正确检查 department、title、manager 等☐组已同步Entra 中的组包含正确成员☐增量同步工作在 AD 中改一个属性30 分钟内云端同步☐密码写回工作如果启用云端改密码AD 中验证可选☐设备写回工作如果启用Entra 中注册的设备回写到 AD可选6.2 烟雾测试Test 1: 创建用户 → 验证同步在 AD 同步范围内的 OU 中创建一个测试用户等待 30 分钟增量同步周期在 Entra admin center 中找到该用户验证属性姓名、邮箱、UPNTest 2: 修改属性 → 验证同步修改测试用户的 department 属性强制增量同步Start-ADSyncSyncCycle -PolicyType Delta验证云端 department 已更新Test 3: 密码哈希同步重置测试用户密码等待 2 分钟用新密码登录 portal.office.comTest 4: 禁用/启用用户在 AD 中禁用测试用户验证云端用户也被禁用重新启用验证云端恢复Test 5: OU 排除创建 OUTestExclusion 中的用户验证云端无该用户6.3 强制同步命令Connect SyncpowershellCloud SyncCloud Sync 没有 PowerShell 强制同步命令——同步由云端调度。要立即测试Entra admin center → Cloud Sync → 配置 → Provision on demand或修改 AD 中测试用户属性等待云端轮询七、迁移策略从 Connect Sync 到 Cloud Sync很多组织从 Connect Sync 迁移到 Cloud Sync。这是一条支持的迁移路径。7.1 迁移适用场景场景建议组织不想维护 Connect Sync Server✅ 迁移到 Cloud Sync多林场景需要每林独立管理✅ 迁移到 Cloud Sync现有 Connect Sync 工作良好⚠️ 不必迁移Connect Sync 仍受支持需要 Exchange Hybrid❌ 不能迁移——Exchange Hybrid 必须用 Connect Sync需要 PTA / Federation❌ 不能迁移——Cloud Sync 不支持7.2 迁移步骤关键警告不要同时启用 Connect Sync 和 Cloud Sync 同步同一 OU——这会导致对象冲突、Source Anchor 冲突、不可预测的同步行为。迁移必须按 OU 逐步切换。八、实施常见误区与最佳实践8.1 十大误区误区真相❌ Express Setup 最快最好⚠️ Express 默认全林同步是大量误同步事故的根源❌ 装好就完事了✅ 同步是持续运维需要监控、告警、定期审计❌ Cloud Sync 是 Connect 的升级版❌ Cloud Sync 是轻量化同步模型而不是 Connect Sync 的完全替代版本❌ PTA 比 PHS 安全⚠️ PHS 也安全传的是不可逆哈希PTA 优势是密码哈希不出云❌ Connect Sync Server 可以装在 DC 上❌ 不推荐虽然支持DC 上装会引入运维风险❌ 同步服务账户权限越大越好⚠️ 最小权限原则——仅给读取要同步的 OU❌ 同步后可以改 UPN⚠️ UPN 一旦作为 Source Anchor 关联改了会断链❌ Cloud Sync 的 Source Anchor 可以手动选❌ 由服务管理匹配关系不宜频繁变化❌ Connect Sync 和 Cloud Sync 可以同时同步同一 OU❌ 对象冲突不可预测行为❌ 启用同步后所有云端能力都自动可用⚠️ 还需要配 MFA、Conditional Access、SSPR 等8.2 十大最佳实践实践说明✅ 优先 Custom Setup即使单林30 分钟投入换长期省心✅ 按 OU 白名单设计按需包含而非默认全同步✅ 预创建 gMSA生产环境推荐 gMSA非强制要求✅ 3 个 Agent HACloud Sync 推荐活动-活动部署✅ 启用 Entra Connect Health同步可见、可控、可查✅ 建立监控告警关键错误发邮件 SIEM✅ 每月 Health Review主动看趋势✅ 建立运维 Runbook常见故障的排查 SOP✅ 分离同步账户与管理员账户最小权限原则✅ 规划期做 Load Test模拟 1 万用户同步验证性能九、总结身份同步的实施是架构决策 → 工程实施 → 持续监控的三段链路。阶段关键决策关键产出架构决策PHS / PTA / Federation / Connect / Cloud选型文档工程实施Express / Custom / Agent 部署 / OU 设计同步服务上线持续监控Connect Health / 告警 / Health Review长期稳定运行最关键的三个决策认证方式优先评估 PHS大多数现代企业优先考虑 PHS Conditional Access 模型同步工具Cloud Sync轻量或 Connect Sync完整部署模式Custom Setup几乎所有生产场景