使用Azure连接DirSync，使用azure活动目录进行内部部署AD同步

Question

如果我们使用Azure连接DirSync进行与azure活动目录的内部部署AD同步，并且不选择密码同步，那么

用户如何登录Office 365？

用户的凭证是什么？

Answer 1

如果您不使用密码同步，则Azure AD无法自行验证用户。

在这种情况下，您将拥有一个执行最终身份验证的Active Directory联合身份验证服务服务器。

用户将转到登录页面并输入其用户名。然后，它们将被重定向到您的ADFS登录页面。身份验证成功后，他们将被重定向回Azure AD，后者会将其重定向到他们登录的应用程序（例如O365）。

用户将使用他们在Azure AD中获得的用户名，该用户名应与本地用户名相同。

文档：Azure AD Connect and federation

另一种选择是使用传递身份验证：https://docs.microsoft.com/en-us/azure/active-directory/connect/active-directory-aadconnect-pass-through-authentication。

这将使用户在Azure AD登录页面上使用其凭据登录，Azure AD将在后台检查您的本地AD的凭据，而无需将用户重定向到ADFS。

Answer 2

用户在同步到Azure AD后无需更改其凭据。在AAD同步期间，我们通常会选择将用户的 UPN 和 ObjectID 同步到Azure AD，如果未启用密码同步，则不会同步用户密码到云。

完成为Office365 / AzureAD创建信赖方信任后，默认的Issuance Transform Rules将在用户登录期间将包含用户UPN的安全令牌发送到Office365 / AzureAD。如果UPN与之前同步到Azure AD的UPN匹配，则允许用户使用AD中定义的UPN登录门户。