是否可以有多个Azure租户在本地Active Directory上引用相同的租户

Question

想象一下，一家拥有许多子公司的大公司。共享的IT公司为所有子公司集中管理Active Directory（以及几乎所有其他IT服务）。当前还存在一个连接到本地Active Directory的Azure租户，但是存在围绕谁控制/拥有员工不能使用该Azure租户的资源的问题。

其中一家子公司决定要创建自己的Azure租户，以便可以继续其开发工作。但是该公司被告知“每个Active Directory域目前仅支持与Azure租户的单个联盟”。

我找到了这个document。合理地假设，如果该公司由Contoso实施组成，那么仍然有可能将2个蔚蓝的租户联合到该单一的本地Active Directory。是否有任何原因使一种本地Active Directory实现能够具有此功能，而另一种则不能。

Answer 1

是的，您可以这样做，但是每个租户只能有一个AD Connect实例，因为Azure AD Connect同步服务器与Azure AD租户之间存在1：1的关系。因此，您需要使用本地Active Directory为每个租户注册三个单独的UPN后缀，并使用三个单独的同步服务器（每个租户一个）。在同步每个租户的AD用户时，需要应用筛选。

https://docs.microsoft.com/en-us/azure/active-directory/hybrid/how-to-connect-fed-single-adfs-multitenant-federation