Azure單一登錄

Question

如果我需要使用Azure AD和我的本地Active Directory建立SSO。我明白，我需要：

1. AD FS（但我不明白到底哪裏這樣可以駐留...它安裝在樓宇服務？）

2. Azure的AD連接​​與密碼同步。這一點很清楚，留在場所。

3. Azure AD的密碼回寫？ （不知道我需要這個，但在這種情況下，我知道我需要Azure AD Premium）

有人可以指導我進一步的解釋/細節嗎？

謝謝！

Answer 1

1. 沒有必要在場所，但最有意義的地方。通常需要通過LDAP訪問您的域控制器，因此您可以將其放入Azure並創建站點到站點VPN（或快速路由），並且可以工作，但沒有多大意義。更好的處所。
2. 再一次，你可以把它放在Azure中，但這沒什麼意義。如果您使用AD FS，則不需要密碼同步。如果您的AD FS死機並且您暫時禁用AD FS，以便用戶可以在AD FS關閉的情況下工作，但這又只會對您有所幫助，因爲所有身份驗證都會發生在您的所有身份驗證發生時域控制器。
3. 密碼寫回，剛剛讓你重置Azure的AD密碼，它會同步回的預置型AD（由juunas）

Answer 2

無論什麼時候，你需要配置天青AD連接到已加入域的機器上（本地或其他方式）。但是，你有一些選擇。

如果不想將密碼同步到Azure AD，則可以在本地（或帶Azure的Azure）中安裝ADFS，並設置Azure AD和ADFS之間的聯合。然後，當您嘗試在Azure AD上登錄時，您的用戶將被重定向到使用ADFS登錄。

另一個選項是密碼同步，它將從本地密碼哈希同步到Azure AD。這將允許您的用戶在Azure AD登錄頁面上鍵入他們的密碼。在這種情況下，您不需要ADFS。

此外，您可以啓用密碼寫回，它只是允許您在Azure AD中重置密碼，並且它會同步回到本地AD。否則，該同步僅是單向的，並且您只能在本地AD中重置密碼。

現在，另一個選項也是傳遞身份驗證。這還允許用戶在Azure AD登錄頁面輸入密碼。 https://docs.microsoft.com/en-us/azure/active-directory/connect/active-directory-aadconnect-sso-quick-start