什么是 Azure 活动目录？一个简单的演练

Azure Active Directory 是 Microsoft 基于企业云的目录服务，用于身份和访问管理。它用于在 Microsoft Azure 云平台上为用户提供自己的身份，并提供对 Azure 门户、软件即服务应用程序和 Microsoft 365 系统等资源的访问。

不要与 Microsoft 在 Windows 2000 中引入的传统本地 Active Directory 域服务混淆，Azure Active Directory 构建在 Microsoft 的 Azure 基础架构之上，是他们自己的身份即服务解决方案 (IDaas)。然而，您通常会发现它们的工作非常紧密。

Azure Active Directory 还可用于通过称为单点登录的方法为其他第 3 方应用程序提供统一的登录体验。这允许组织的管理员允许用户使用其 Azure Active Directory 帐户的用户名和密码登录其他应用程序。

页面内容

• Active Directory 和 Azure Active Directory 有什么区别？
• 能否将 Active Directory 链接到 Azure Active Directory？
• 我还需要本地 Active Directory 吗？
• 如何使用 Azure Active Directory 管理我的计算机？
• Azure Active Directory 的费用是多少？

Active Directory 和 Azure Active Directory 有什么区别？

传统 Active Directory

让我们从传统的本地 Active Directory 开始。 Active Directory 是自托管的，这意味着您可以构建服务器或安装 Windows Server 操作系统、安装 Active Directory 角色，然后按照您的需要进行设计。它基于 NTLM、LDAP 和 Kerberos 等协议构建，为您的本地基础设施提供身份和身份验证服务。

使用传统的活动目录，您可以创建不同的对象，例如用户、计算机和组，并将它们组织到称为组织单位的文件夹中。以这种方式设计组织单位允许您利用组策略服务来应用直接策略并管理跨系统的用户、设备和应用程序。

Azure Active Directory

行动

Azure Active Directory (AAD)

活动目录

创建用户

在 Azure AD 中创建用户帐户是通过管理门户或 PowerShell 在云中完成的。

用户是在运行 Active Directory 服务的本地域控制器上创建的。

对象管理

对象被放置到可用于应用策略的组织单位中。

对象不会像本地 AD 那样物理地分组到单元或文件夹中。

行政管理

管理员可以通过委派、组和 OU 获得管理资源的权限。

Azure AD 用户使用基于角色的访问控制 (RBAC) 将权限委派给资源、应用程序和系统。

用户凭证/登录

用户可以使用传统密码、基于证书的身份验证和硬件密钥登录。用户可以通过细粒度的密码策略来定义密码的复杂性。

Azure AD 使用现代身份验证方法以及安全的无密码登录来提供简单、安全的登录体验。内置多重身份验证。

您能否将本地 Active Directory 链接到 Azure Active Directory？

简单的答案是可以！但还有更多内容。正如我们上面提到的，传统目录和 Azure Active 目录本质上是不同的，但对于许多企业来说，通常拥有本地目录和基于云的电子邮件解决方案进行通信。对于企业来说，希望在这些平台以及任何其他云平台之间实现同步身份也很常见。这就是 Azure AD Sync 发挥作用的地方！

什么是 Azure AD 同步以及它如何工作？

Azure AD 同步允许你将本地 Active Directory 身份同步到 Azure Active Directory。它的工作原理是在您的本地域控制器之一上安装 Azure AD Connect 工具，然后在本地和 Azure 云中的用户帐户之间创建单向（或双向）同步。

例如，您有一个名为 James Green 的本地 Active Directory 用户，其用户名是 [email 。他还在 Office 365 中拥有一个电子邮件帐户，用户名为 [email 。由于用户名相同，我们可以利用 Azure AD Connect 将他们的密码（和身份）同步为相同。因此，当其中一个发生变化时，另一个也会发生变化。

我还需要本地 Active Directory 吗？

因此，如果您问这个问题，您应该开始评估您当前的环境，您需要了解的一些基本事项是：

我有多少数据？它是什么类型的数据？以及如何访问它？

您的本地 Active Directory 可能会提供本地身份验证以及对保存在本地文件服务器上的公司文件的访问。在许多情况下，删除本地 Active Directory 需要将这些文件移动到 SharePoint Online 或 Azure 文件。这两个选项都将替代访问方法并增加延迟。了解这一变化将如何影响您的员工访问共享数据的方式非常重要。以下是有关 Azure 文件的一些附加阅读内容：此处

我的工作站运行什么操作系统？

请务必了解，将工作站加入 Azure AD、Azure AD 域服务或 Microsoft Intune 需要满足操作系统要求。简而言之，您应该确保您的设备至少运行 Windows 10（而不是 Windows 10 家庭版）。请在此处阅读有关设备要求的更多信息：此处

我目前有哪些限制以及我想要实施哪些限制？

如上所述，Active Directory 和 Azure AD 之间的差异。 Azure AD 不允许使用组策略进行设备和策略管理。其替代品是 Microsoft Intune (Microsoft Endpoint Manager)。您不仅可以管理 Windows 设备，还可以管理 IOS、MacOS 和 Android。您应该仔细计划如何实施当前使用 Microsoft Intune 的策略。 Microsoft Endpoint Manager 中的组策略分析是一个很好用的工具，可用于分析当前策略并将工作负载迁移到 Microsoft Endpoint Manager。在此处阅读有关组策略分析的更多信息：此处

我有哪些应用程序以及它们的依赖项是什么？

软件和应用程序通常是衡量您的环境是否已准备好采用 Azure 云的关键指标。许多应用程序都依赖于快速的本地文件访问才能有效运行，除此之外的任何其他操作都可能导致生产停止。如果您运行的应用程序需要本地 Active Directory 或服务器，您应该首先联系应用程序供应商，看看他们是否有该产品的云（基于 Web）替代品，或者是否可以与Azure Active Directory 并利用 Azure 云服务。如果应用程序无法采用云，则它可能不符合您的业务计划，您应该寻找替代产品，但请谨慎接受该建议，大多数企业都在运行本地和云的混合体基础设施。这里

如何使用 Azure Active Directory 管理我的计算机？

通过 Azure Active Directory，Microsoft 提供了 Microsoft Intune 平台，供您管理和管理访问企业环境的设备。该在线门户称为 Microsoft Endpoint Manager（或 Microsoft Intune），您可以在此处配置新设备和现有设备、应用合规性策略以让您能够控制和查看设备、创建配置文件以将设置和首选项应用到您的设备、应用条件访问策略，用于管理哪些设备可以在特定条件等下访问您的环境。

Intune 是一个功能强大的工具，可用于替换传统的本地组策略和 Active Directory。 Azure Active Directory 提供身份和设备主干，用于通过 Intune 控制设备。

Azure Active Directory 的费用是多少？

定价和功能通常很难理解。假设您已经有一个 Microsoft 365 租户，其中包含为您的用户电子邮件服务和应用程序许可提供 Microsoft 365 商业标准许可证。有了这个基本许可证，您就可以将设备加入 Azure Active Directory，但仅此而已。要获得与本地 Active Directory 相同的所有功能，您需要支付一点费用更多的。

下一步是 Azure Active Directory Premium P1 许可证。您可以将其作为附加许可证购买，或者另一个选项是升级到许可证，例如包含 Azure Active Directory Premium P1 的 Microsoft 365 商业高级版。在此处查看 Azure Active Directory Premium P1 许可证中包含的内容：https://www.microsoft.com/en-gb/security/business/identity-access-management/azure-ad-pricing

可是等等！还有一点呢。高级 P1 许可证为您提供附加功能，例如条件访问、动态群组成员资格、全局密码保护、自助密码重置和附加使用情况报告。但它不提供设备管理...

对于设备管理，您需要 Microsoft Intune 许可证。幸运的是，Microsoft Intune 只有 1 个单一许可证并且只有一种类型。因此，您实际上需要 Azure Active Directory Premium P1 许可证、Microsoft Intune 许可证以及用于电子邮件和应用程序的 Microsoft 365 商业标准许可证。

幸运的是，有许多不同的捆绑包，所有这些许可证都被整合到一个捆绑包中。如果您的环境中的许可用户数少于 300 个，我建议您查看 Microsoft 365 商业高级版许可证，它将所有这些功能合并为一个。在此了解更多相关信息：https://docs.microsoft.com/en-us/office365/servicedescriptions/microsoft-365-service-descriptions/microsoft-365-business-service-description

感谢您花时间阅读我的帖子。如果您希望在 Azure 上获得认证或开始培训，请务必查看我关于参加免费 Microsoft 考试的帖子。