Интеграция существующих учетных записей Azure с Azure AD

Question

Моя организация имеет подписки MSDN Premium, назначенные нашим разработчикам, причем каждый разработчик имеет учетную запись Microsoft, связанную с подпиской. Учетные записи Microsoft связаны с адресами электронной почты организации, то есть person@organisation.com. Некоторые из учетных записей уже используются для запуска веб-приложений виртуальных машин и т. Д.

Теперь мы планируем установить Azure AD Connect и синхронизировать наш Active Directory с Azure с целью разработки приложений SSO, в которых люди будут подписываться как person1@organisation.com, человек2@organisation.com и прочее. Регистрация домена организации с Azure AD и установка Azure AD Connect выглядит довольно простой задачей, но то, что я не уверен, является:

• Что происходит с существующими person@organisation.com счетов Microsoft как только мы получим Azure AD и работаем?
• Они автоматически связаны с Azure AD для организации?
• Есть ли какие-либо шаги по миграции вручную, которые необходимо выполнить? Или, останутся ли существующие учетные записи?

В принципе, я пытаюсь понять, что подразумевается для существующих приложений и учетных записей, когда мы щелкаем переключателем на Azure AD.

Спасибо!

Answer 1

Во-первых, когда вы говорите, «Моя организация имеет подписку MSDN Premium, присвоенные нашим разработчикам, с каждым застройщиком, имеющим учетную запись Microsoft, связанный с подпиской» - Являются ли эти «Microsoft Аккаунты» Индивидуальные счета или Работа/Учетная запись школы, поскольку MS называет их?

Если они индивидуальных счетов, то тогда они не являются организационными счетами в любом случае и не связаны с вашим внутренним AD, они просто счета с тем же адресом электронной почты. На самом деле нам пришлось пройти через это уже.

От телефонного разговора Microsoft - подписки MSDN Azure предназначены для разработки не для производства. Для производства вам требуется подписка на корпоративный договор или какое-либо другое организационное предложение. Это будет учетная запись AZURE, к которой вы подключите AD, а не к подпискам MSDN Azure.

После этого вы можете добавить эти учетные записи «MSDN» в качестве со-админов или пользователей в AD AD/Организационную подписку.

Лучшее, что нужно сделать, это дать им вызов. Но мы делаем то же самое.

Answer 2

Что происходит с существующим лицом@organisation.com Учетные записи Microsoft после того, как мы активируем Azure AD?

Учетные записи Microsoft отличаются от учетной записи Azure AD orgnization (OrgId/Work/School account). Эти учетные записи Microsoft не связаны с учетными записями Org и просто используют один и тот же адрес электронной почты, но размещаются в совершенно другой системе идентификации.

Они автоматически связаны с Azure AD для организации ?

Нет, учетные записи ваших индивидуальных пользователей и учетные записи Microsoft не будут иметь технического соединения в бэкэнд.

Есть ли какие-либо шаги по миграции вручную, которые необходимо выполнить? Или, останутся ли осиные существующие учетные записи? Учетные записи MSDN на данный момент не поддерживают логин с OrgId, только учетные записи Microsoft, поэтому вам придется продолжать их поддерживать.

я рекомендую следующее в качестве лучшей практики -

работы счета (ов), используемого для обеспечения доступа к порталу Azure предпочтительней счета (ов) Microsoft по следующим причинам -

• Политики учетной записи рабочего аккаунта могут быть установлены ИТ-командой компании
• Команда ИТ может сбросить пароли рабочего счета
• Отчеты Azure AD будут содержать информацию о входе/IP-адресе/etc re для работы с учетными записями, такое представление о учетных записях Microsoft отсутствует.
• Доступ к различным подпискам Azure или другим приложениям можно отключить, просто отключив рабочую учетную запись. Компания не имеет реального контроля над учетной записью Microsoft.
• Индивидуальные пользователи получают выгоду от единого входа при входе в корпоративный AD с использованием NTLM/Kerberos.

Вы должны сделать следующее, чтобы переместить людей использовать рабочие счета для Azure подписки

• Добавить учетную запись работы каждого отдельного пользователя в качестве службы администратора/со-админ/любой другой уровень, чтобы все соответствующие Подписки).
• Удалить учетные записи Microsoft из всех ролей/разрешений на Azure услуг, насколько это возможно (смотрите следующий пункт)
• Существует ограничение в движении определенной роли (ы), такие как учетная запись администратор администратора/службы, как описано here.