将现有Azure帐户与Azure AD集成

Question

我的组织已将MSDN Premium订阅分配给我们的开发人员，每个开发人员都有一个与订阅相关联的Microsoft帐户。 Microsoft帐户与组织电子邮件地址相关联，即 person@organisation.com 。其中一些帐户已被用于运行虚拟机网络应用程序等。

我们现在正在寻求安装Azure AD Connect并将我们的Active Directory与Azure同步，以期开发SSO应用程序，人们将以 person1@organisation.com ， person2的身份登录@ organisation.com 等等。使用Azure AD注册组织的域并安装Azure AD Connect看起来相当简单，但我不确定的是：

• 一旦我们启动并运行Azure AD，现有的 person@organisation.com Microsoft帐户会发生什么？
• 他们是否自动与组织的Azure AD关联？
• 是否必须执行任何手动迁移步骤？或者，现有帐户是否会成为孤儿？

基本上，我试图了解一下我们在Azure AD上轻拂开关后对现有应用程序和帐户的影响。

谢谢！

Answer 1

  

现有的person@organisation.com会发生什么情况   帐户一旦我们启动并运行Azure AD？

Microsoft帐户与您的组织Azure AD帐户（OrgId / Work / School帐户）不同。这些Microsoft帐户与组织帐户无关，只是共享相同的电子邮件地址，但托管在完全不同的身份系统中。

  

他们是否自动与Azure AD关联   组织？

不，您的个人用户＆＃39;工作帐户和Microsoft帐户在后端没有技术连接。

  

是否必须执行任何手动迁移步骤？或者，将   现有帐户是孤儿吗？   截至目前，MSDN帐户不支持使用OrgId登录，只支持Microsoft帐户，因此您必须继续维护它们。

我建议将以下内容作为最佳做法 -

由于以下原因，用于提供对Azure门户的访问的工作帐户优先于Microsoft帐户 -

• 工作帐户密码政策可由公司的IT团队设置
• IT团队可以重置工作帐户的密码
• Azure AD报告将包含与工作帐户相关的登录/ IP地址/等信息，对Microsoft帐户没有这样的了解。
• 只需禁用工作帐户即可禁用对各种Azure订阅或其他应用程序的访问。公司无法真正控制Microsoft帐户。
• 使用NTLM / Kerberos登录公司AD时，个人用户可以获得SSO的好处。

您必须执行以下操作才能让人们使用Azure订阅的工作帐户

• 将每个用户的工作帐户作为服务admin / co-admin /任何其他级别添加到所有相关订阅中。
• 尽可能从Azure服务的所有角色/权限中删除Microsoft帐户（请参阅下一点）
• 如here所述，移动某些角色（如帐户管理员/服务管理员）存在限制。

Answer 2

首先，当您说＆＃34;我的组织已将MSDN Premium订阅分配给我们的开发人员时，每个开发人员都有 Microsoft帐户链接到订阅＆＃34; - 这些＆＃39;微软帐户＆＃39; MS呼叫他们的个人帐户或工作/学校帐户？

如果他们是个人帐户，那么他们不是组织帐户，并且没有链接到您的内部广告，他们只是使用相同的电子邮件地址帐户。实际上我们必须经历这个。

来自Microsoft电话对话 - MSDN Azure订阅仅用于开发目的，而非用于生产。对于生产，您需要订购企业协议或其他组织要约。您将这个AZURE帐户连接到AD，而不是MSDN Azure订阅。

之后你可以添加那些＆＃34; MSDN＆＃34;帐户作为EA / Organizational订阅广告的共同管理员或用户。

最好的办法是给他们打个电话。但那就是我们如何做同样的事情。