Azure AD Connect是微软唯一支持的本地AD与Azure AD同步工具，强制用于混合身份场景；禁用手动或第三方同步，须正确配置ImmutableID、密码同步/直通认证二选一，并通过Synchronization Service Manager调试。
AD Connect 是唯一推荐的同步工具
微软明确不支持手动同步或第三方工具替代 azure ad connect 实现本地 active directory 与 azure ad 的身份同步。它不是可选组件，而是强制依赖——所有混合云身份场景（如单点登录、密码哈希同步、直通身份验证）都必须通过它配置和运行。
常见错误是试图用脚本调用 Graph API 或 MSOnline 模块“同步用户”，这只能创建/更新 Azure AD 对象，无法建立对象标识映射、无法处理密码同步、无法维持 ImmutableID 一致性，最终导致登录失败或属性丢失。
实操建议：
- 必须在 Windows Server（2016+ 推荐）上安装
Azure AD Connect，且该服务器需能同时访问本地域控制器和公网（login.microsoftonline.com、passwordreset.microsoftonline.com等） - 安装时选择「自定义安装」，避免默认的「快速设置」跳过关键选项（如密码哈希同步未勾选、
UPN后缀未匹配等） - 同步账户必须是本地 AD 中的域管理员，并在 Azure AD 中拥有
Global Administrator或Cloud Device Administrator权限
ImmutableID 错误是最常见的同步失败根源
当本地用户无法出现在 Azure AD 中，或出现重复用户、登录报错 "User account is disabled or blocked" 却实际启用时，大概率是 ImmutableID 不一致。它本质是本地 AD 中 objectGUID 的 Base64 编码，用于唯一绑定本地对象与云端对象。
典型踩坑场景：
- 用户被迁移或重建过（如从旧域迁移到新域），但未重置
ImmutableID，导致 Azure AD 认为这是“另一个用户” - 使用
Set-MsolUser手动修改过ImmutableID，但值格式错误（缺少填充 =、大小写混用、非 Base64 字符） - 启用了
Staged Rollout或多林同步，但各林未统一objectSID映射逻辑
验证方式：
Get-ADUser user1 -Properties objectGUID | % { [System.Convert]::ToBase64String($_.objectGUID) }
对比 Azure AD 中该用户的 ImmutableID：
Get-MgUser -UserId user1@contoso.com -Property ImmutableId | Select-Object ImmutableId
密码同步 vs 直通身份验证：别混用同一租户
一个 Azure AD 租户在同一时间只能启用其中一种认证模式：要么启用 Password Hash Synchronization (PHS)，要么启用 Pass-through Authentication (PTA)，不能共存。混合启用会导致登录行为不可预测，例如部分用户提示“需要重置密码”，另一些则直接拒绝。
关键差异：
-
PHS：密码哈希每 2 分钟同步一次，依赖Azure AD Connect服务持续运行；断连后仍可登录（哈希已存云端），但无法响应本地密码变更 -
PTA：实时调用本地域控制器验证，无需存储哈希；要求至少部署 1 台 PTA 代理（Azure AD Connect Authentication Agent），且该服务器必须能直连 DC 的 445/389 端口 - 若已启用 PHS，改用 PTA 前必须先在
Azure AD Connect配置向导中禁用 PHS，并等待 72 小时让哈希过期，否则残留哈希可能覆盖 PTA 结果
同步周期与触发时机经常被误判
默认增量同步每 30 分钟自动执行一次，但这个间隔不可手动缩短（Start-ADSyncSyncCycle 仅用于紧急触发，不能改变计划）。很多人以为改了用户属性立刻生效，其实最多要等半小时；更关键的是，某些操作根本不会触发同步，比如：
- 修改用户
displayName或mailNickname：会同步，但proxyAddresses中新增 SMTP 地址需满足 RFC 格式，否则被跳过 - 禁用账户（
Enabled = $false）：会同步状态，但若该账户此前从未同步成功（如ImmutableID错误），禁用操作本身不会推送到 Azure AD - 删除用户：不会自动删除 Azure AD 对象，只会将其设为“软删除”（
Soft Deleted），需手动运行Remove-MgDirectoryDeletedItem或等待 30 天自动清理
调试同步状态最直接的方式是打开 Synchronization Service Manager（miisclient.exe），查看「Operations」页签中的最新同步步骤，错误信息比 PowerShell 输出更具体，尤其是涉及属性冲突或引用完整性失败时。
