Azure单一登录

Question

如果我需要使用Azure AD和我的本地Active Directory建立SSO。我明白，我需要：

1. AD FS（但我不明白到底哪里这样可以驻留...它安装在楼宇服务？）

2. Azure的AD连接​​与密码同步。这一点很清楚，留在场所。

3. Azure AD的密码回写？ （不知道我需要这个，但在这种情况下，我知道我需要Azure AD Premium）

有人可以指导我进一步的解释/细节吗？

谢谢！

Answer 1

1. 没有必要在场所，但最有意义的地方。通常需要通过LDAP访问您的域控制器，因此您可以将其放入Azure并创建站点到站点VPN（或快速路由），并且可以工作，但没有多大意义。更好的处所。
2. 再一次，你可以把它放在Azure中，但这没什么意义。如果您使用AD FS，则不需要密码同步。如果您的AD FS死机并且您暂时禁用AD FS，以便用户可以在AD FS关闭的情况下工作，但这又只会对您有所帮助，因为所有身份验证都会发生在您的所有身份验证发生时域控制器。
3. 密码写回，刚刚让你重置Azure的AD密码，它会同步回的预置型AD（由juunas）

Answer 2

无论什么时候，你需要配置天青AD连接到已加入域的机器上（本地或其他方式）。但是，你有一些选择。

如果不想将密码同步到Azure AD，则可以在本地（或带Azure的Azure）中安装ADFS，并设置Azure AD和ADFS之间的联合。然后，当您尝试在Azure AD上登录时，您的用户将被重定向到使用ADFS登录。

另一个选项是密码同步，它将从本地密码哈希同步到Azure AD。这将允许您的用户在Azure AD登录页面上键入他们的密码。在这种情况下，您不需要ADFS。

此外，您可以启用密码写回，它只是允许您在Azure AD中重置密码，并且它会同步回到本地AD。否则，该同步仅是单向的，并且您只能在本地AD中重置密码。

现在，另一个选项也是传递身份验证。这还允许用户在Azure AD登录页面输入密码。 https://docs.microsoft.com/en-us/azure/active-directory/connect/active-directory-aadconnect-sso-quick-start