Active Directory 遷移到 Entra ID：步驟與清單

簡短回答：遷移有兩種終點。混合方案保留 Active Directory，用 Microsoft Entra Connect Sync 或 Microsoft Entra Cloud Sync 把用戶同步到 Microsoft Entra ID。全雲方案把用戶、設備和應用程式都遷到 Entra ID 和 Intune，然後關閉同步。多數中小企業先做混合，等最後一個依賴 Active Directory 的應用程式下線後再轉全雲。新建同步時，除非你需要只有 Connect Sync 才有的功能，微軟建議選 Cloud Sync。

本文寫給運行 Active Directory 域名和 Microsoft 365 的 IT 經理和工程師。看完後，你可以選定路徑，逐項做完遷移前檢查，照著附準確管理中心選單的步驟操作，並驗證結果。關於名稱、版本和限制的事實，已於 2026 年 10 月 28 日對照 Microsoft Learn 核對。

先弄清楚的名稱和狀態

Azure AD Connect 現在叫 Microsoft Entra Connect Sync。微軟頁面說明，Azure AD Connect V1 已於 2022 年 8 月 31 日退役，不再受支援。
Microsoft Entra Cloud Sync 是雲端管理的替代方案。它用一個輕量代理安裝在已加入域名的服務器上，配置儲存在 Entra ID 裡。微軟稱它是混合身份同步的策略方向，並說新功能主要在 Cloud Sync 上開發。
Connect Sync 的強制升級：微軟的前提條件頁面說，必須在 2027 年 4 月 7 日之前把 Connect Sync 升級到 2.6.84.0 或更高版本，並配置以應用程式為基礎的驗證，否則同步會停止。也請閱讀你自己租戶收到的通知，因為微軟說明 Connect Sync 版本退役、驗證變更和 Cloud Sync 遷移的時間表可能各不相同。

選擇路徑

符合下面任何一條，選混合：

服務器、文件共享、打印機或業務應用程式仍用 Kerberos 或 NTLM 向 Active Directory 驗證。
Windows 設備仍加入域名，並依賴群組策略。
還沒準備好把全部設備管理交給 Intune。

同時符合下面三條，選全雲：

用戶主要使用 Microsoft 365 和其他透過 Entra ID 登入的應用程式。
新設備可以做 Microsoft Entra 加入，並用 Intune 管理。
剩下的本地應用程式可以遷移、替換，或改為連接 Microsoft Entra Domain Services。

微軟把 Microsoft Entra 混合加入稱為通往 Microsoft Entra 加入道路上的過渡步驟，並建議新設備直接做雲原生的 Entra 加入，而不是混合加入。所以即使做混合項目，也要按終點規劃。

遷移前檢查清單

列出依賴 Active Directory 的東西：使用 LDAP、Kerberos 或 NTLM 的應用程式、群組策略、文件共享、打印機、RADIUS、VPN 和服務帳戶。
按加入狀態列出所有設備：加入域名、混合加入、Entra 加入，或未加入。
確認可路由的網域名稱。用戶使用已驗證的網域名稱登入。如果本地 UPN 後綴不是已驗證的網域（例如 .local），Entra ID 會改為給同步的用戶一個 MailNickName@租戶.onmicrosoft.com 的登入名稱。先在 Active Directory Domains and Trusts 裡新增可路由的後綴，在 Entra ID 裡驗證該網域，再在第一次同步之前更新用戶的 UPN。
清理目錄。同步前運行微軟的 IdFix 工具，找出重複項和格式錯誤。
啟用 Active Directory 資源回收筒（微軟建議）。
檢查域名控制站。所用域名控制站必須可寫（不支援唯讀域名控制站），也不支援帶點的 NetBIOS 名稱。
建立僅雲端的緊急管理員，以免本地服務故障時被鎖在租戶外。微軟說明這一步對 Cloud Sync 至關重要。
選定同步服務器。必須已加入域名（微軟建議 Windows Server 2025 或 2022），且不能是 Server Core。把它當作 Tier 0 / 控制平面資產：限制管理訪問、停用 NTLM，並要求特權帳戶使用 MFA（見如何為 Microsoft 365 啟用 MFA）。
核對物件數量並規劃試點。新租戶預設允許 50,000 個物件，驗證網域後提高到 300,000 個；Connect Sync 預設使用的 SQL Express LocalDB（10 GB）大約可管理 100,000 個物件。選一個試點 OU，放幾個測試用戶，每個部門一名測試員。
核對授權。Connect Health 需要 Entra ID P1；透過 Autopilot 自動登記 Intune，配置時需要 Entra ID P1 或 P2。Intune 方案如何選，見 Microsoft Intune 方案比較。
備份並記錄：匯出現有 Connect Sync 設定（精靈裡的 View or Export Current Configuration），並妥善保存文件。

路徑 A：混合，保留同步

選 Cloud Sync 還是 Connect Sync

兩者用同樣的要點。

Cloud Sync

適合：新建同步、不想有單點故障、有多個互不相連的樹系，或想減少服務器維護。
限制：每個域名最多 150,000 個物件，群組最多 50,000 個成員，以屬性為基礎的篩選有限，沒有進階同步規則，沒有跨樹系參照，沒有設備回寫，也不含傳遞驗證和 AD FS 的設定（這些另外管理）。
服務器要求：已加入域名的 Windows Server 2016 或更高版本（建議 2022 或 2025），至少 4 GB 記憶體，.NET 4.7.1 或更高，TLS 1.2，出站端口 80 和 443。

Connect Sync

適合：需要自訂同步規則、完整的屬性篩選、超大群組或超大規模、跨樹系參照，或微軟列為 Connect 獨有的其他功能。
服務器要求：已加入域名、帶完整圖形介面的 Windows Server，.NET Framework 4.7.2 或更高（微軟前提條件頁面的橫幅寫 4.7.2，正文寫最低 4.6.2，請按 4.7.2 準備），TLS 1.2，直接指派（不是透過群組）的混合身份管理員或全域管理員帳戶；如果用快速設定，還需要企業管理員帳戶。

設定 Cloud Sync（新安裝）

以至少混合身份管理員的身份登入 Microsoft Entra 管理中心。
進入 Entra ID > Entra Connect > Cloud sync > Agents，選擇 Download on-premises agent，接受條款。
在同步服務器上運行安裝程式。用混合身份管理員帳戶登入，選擇 Create gMSA 並輸入域名管理員憑據，新增你的域名，然後選擇 Confirm。
在 Cloud sync 裡選擇 New configuration > AD to Microsoft Entra ID sync，選擇域名，決定是否啟用密碼雜湊同步，然後選擇 Create。
在範圍篩選裡選擇 Selected organizational units，只加入試點 OU。
用 Provision on demand 測試一個用戶，並閱讀詳細結果。
選擇 Enable configuration。在 Entra 管理中心檢查用戶。
分批擴大範圍到更多 OU，每次改變範圍後用 Restart sync。

設定 Connect Sync（新安裝）

從 Microsoft Entra 管理中心下載安裝程式（微軟說明只能從那裡取得）。
安裝在已加入域名的服務器上，選擇快速設定或自訂設定。需要指定服務帳戶、SQL Server 或篩選時用自訂設定。
先只篩選試點 OU。
用下面的指令檢查並運行排程器。修改同步規則之前先停用排程器，改完再啟用。如果找不到這些指令，運行 Import-Module ADSync。

Get-ADSyncScheduler
Set-ADSyncScheduler -SyncCycleEnabled $false
Set-ADSyncScheduler -SyncCycleEnabled $true
Start-ADSyncSyncCycle -PolicyType Delta

分批擴大篩選範圍，每批之後運行一次差異週期。另用暫存模式的服務器作為後備。

如果你已經在運行 Connect Sync

微軟建議的次序是：先讀決策指南，試用引導式遷移工具，只有工具不支援你時才用文檔化的手動試點。

在作用中的服務器上打開 Connect Sync 精靈，選擇 Configure，再選 Transition to Cloud Sync。
工具只對符合條件的租戶和安裝顯示，並有限制：單一樹系，最多 2,000 個範圍內物件，每個域名最多 30 個包含的容器，且沒有阻止遷移的功能，例如自訂同步規則、群組篩選、自訂 UPN、目錄擴充或設備同步。
就緒評估之後，它會建立處於停用狀態的 Cloud Sync 配置。先用 Provision on demand 測試，再啟用。啟用會把 Connect Sync 放進暫存模式。
手動驗證用戶、群組、成員關係和回寫，並在兩星期驗證期內保留已安裝的 Connect Sync，之後再解除安裝。
如果工具不適用，微軟有文檔化的手動分階段試點。參照驗證完成之前，不要把 OU 或群組移出 Connect Sync 範圍，否則可能丟失群組成員關係。

路徑 B：全雲

停止新增對 Active Directory 的依賴。每個新應用程式都用 Entra ID 登入。
遷移設備。新 Windows 設備用 Windows Autopilot 做 Entra 加入，並登記到 Intune。對已加入域名或混合加入的現有設備，透過 Autopilot for existing devices 重新安裝來轉換（這個情境需要 Microsoft Configuration Manager）。設備策略管理見我們的 Intune 管理服務。
遷移文件和打印訪問。Entra 加入的設備只有在能直連域名控制站時，才保留對本地資源的單一登入（不在公司網絡時需要 VPN）。條件許可時，把文件遷到 SharePoint 或 OneDrive。
處理剩下的舊應用程式。替換它們，或者把 Microsoft Entra Domain Services 當作需要 LDAP、Kerberos 或 NTLM 的應用程式的過渡橋樑。
清楚什麼會失效。微軟說明，依賴 Active Directory 機器驗證的應用程式在 Entra 加入的設備上無法運作，因為這些設備在 AD DS 裡沒有電腦物件。如果沒有東西再依賴 Kerberos、NTLM 或機器驗證，就不再需要 Active Directory；如果還有，就保留一個精簡的，直到它被淘汰。
先移除同步客戶端，再關閉同步。微軟建議先解除安裝 Connect Sync 或 Cloud Sync。然後運行：

Connect-MgGraph -Scopes "Organization.ReadWrite.All,Directory.ReadWrite.All"
Get-MgOrganization | Select OnPremisesSyncEnabled
$organizationId = (Get-MgOrganization).Id
$params = @{ onPremisesSyncEnabled = $false }
Update-MgOrganization -OrganizationId $organizationId -BodyParameter $params
Get-MgOrganization | Select OnPremisesSyncEnabled

微軟提醒：執行之後，必須等 72 小時才能重新開啟目錄同步；它會清除若干本地屬性（包括本地辨別名稱和 SAM 帳戶名稱）；需要協助時請聯絡支援。請把它放在最後做，先做試點，千萬不要當作排錯手段。

常見錯誤

跳過 IdFix 和 UPN 檢查。解決：重複項和不可路由的後綴，之後會造成同步錯誤和登入問題。
沒有僅雲端的緊急管理員。解決：先於一切其他操作建立。
同步服務器沒有加固。它能修改 Entra ID 裡的用戶。解決：當作 Tier 0，限制訪問，停用 NTLM，管理員要求 MFA。
過早關閉軟比對。已有的雲端用戶可能比對不上。解決：比對完成之前保留，之後若不需要，再關閉軟比對和硬比對接管。
切換太快。過早把物件移出 Connect Sync 範圍，可能丟失群組成員關係；切換後立刻解除安裝 Connect Sync，又會失去回退手段。解決：先驗證參照關係，並在驗證期內保留已停用的 Connect Sync。

怎樣驗證做對了

對 Cloud Sync，打開 Entra ID > Entra Connect > Cloud sync > Agents，確認每個代理為作用中狀態。在服務器上確認服務 Microsoft Azure AD Connect Agent Updater 和 Microsoft Azure AD Connect Provisioning Agent 正在運行。
比較試點 OU 在 Active Directory 裡的用戶數和 Entra ID 裡的同步數量。微軟的試點指南在本地一側用 Get-ADUser -Filter * -SearchBase "OU=Pilot,DC=contoso,DC=com"（換成你的試點 OU）。
在試點 OU 裡新建一個測試用戶，確認它出現在 Entra ID；修改一個屬性，確認更新。
對 Connect Sync，運行 Get-ADSyncScheduler，確認同步已啟用，下一個週期已排定。
用測試用戶分別在已加入域名的設備和 Entra 加入的設備上登入。測試 MFA、文件共享和一個舊應用程式。雲端登入成為主要方式之後，加上條件式訪問基礎策略。
完成全雲步驟後，運行 Get-MgOrganization | Select OnPremisesSyncEnabled，確認該值不再為 true。確認試點用戶的密碼重設、郵箱訪問和登入仍然正常。

常見問題

如何一步步把本地 Active Directory 遷移到 Microsoft Entra ID？

按遷移前檢查清單逐項完成，用試點 OU 設定 Cloud Sync 或 Connect Sync，分批擴大，然後決定保持混合，還是按路徑 B 轉為全雲。

Azure AD Connect 和 Microsoft Entra Connect 是同一個東西嗎？

是的。Azure AD Connect 已更名為 Microsoft Entra Connect，同步元件叫 Microsoft Entra Connect Sync。第 1 版已於 2022 年 8 月 31 日退役。

Microsoft Entra Connect 和 Cloud Sync 有什麼分別？

Connect Sync 是安裝在一部本地服務器上的完整同步引擎。Cloud Sync 在雲端管理，使用輕量代理，但在規模、篩選和規則上有限制。

遷到 Entra ID 就等於把 Active Directory 遷到 Azure 嗎？

不是。Entra ID 是雲端身份服務，不是你網域的副本。Microsoft Entra Domain Services 是由微軟管理、在 Azure 中運行的選項，適用於需要 LDAP、Kerberos、NTLM 或加入網域的舊應用程式。微軟把它描述為過渡能力，不是本地 Active Directory 的通用替代品，也不是同步工具。

如果你想讓每天做這件事的工程師來規劃並執行遷移，請了解我們的管理型IT雲端服務。