Active Directory 迁移到 Entra ID：步骤与清单

简短回答：迁移有两种终点。混合方案保留 Active Directory，用 Microsoft Entra Connect Sync 或 Microsoft Entra Cloud Sync 把用户同步到 Microsoft Entra ID。全云方案把用户、设备和应用都迁到 Entra ID 和 Intune，然后关闭同步。多数中小企业先做混合，等最后一个依赖 Active Directory 的应用下线后再转全云。新建同步时，除非你需要只有 Connect Sync 才有的功能，微软建议选 Cloud Sync。

本文写给运行 Active Directory 域和 Microsoft 365 的 IT 经理和工程师。读完后，你可以选定路径，逐项做完迁移前检查，照着带准确管理中心菜单的步骤操作，并验证结果。关于名称、版本和限制的事实，已于 2026 年 10 月 28 日对照 Microsoft Learn 核对。

先弄清楚的名称和状态

Azure AD Connect 现在叫 Microsoft Entra Connect Sync。微软页面说明，Azure AD Connect V1 已于 2022 年 8 月 31 日退役，不再受支持。
Microsoft Entra Cloud Sync 是云端管理的替代方案。它用一个轻量代理装在已加入域的服务器上，配置保存在 Entra ID 里。微软称它是混合身份同步的战略方向，并说新功能主要在 Cloud Sync 上开发。
Connect Sync 的强制升级：微软的前提条件页面说，必须在 2027 年 4 月 7 日之前把 Connect Sync 升级到 2.6.84.0 或更高版本，并配置基于应用的身份验证，否则同步会停止。也请阅读你自己租户收到的通知，因为微软说明 Connect Sync 版本退役、身份验证变更和 Cloud Sync 迁移的时间表可能各不相同。

选择路径

满足下面任意一条，选混合：

服务器、文件共享、打印机或业务应用仍用 Kerberos 或 NTLM 向 Active Directory 验证。
Windows 设备仍加入域，并依赖组策略。
还没准备好把全部设备管理交给 Intune。

同时满足下面三条，选全云：

用户主要使用 Microsoft 365 和其他通过 Entra ID 登录的应用。
新设备可以做 Microsoft Entra 加入，并用 Intune 管理。
剩下的本地应用可以迁移、替换，或改为连接 Microsoft Entra Domain Services。

微软把 Microsoft Entra 混合加入称为通往 Microsoft Entra 加入道路上的过渡步骤，并建议新设备直接做云原生的 Entra 加入，而不是混合加入。所以即使做混合项目，也要按终点规划。

迁移前检查清单

列出依赖 Active Directory 的东西：使用 LDAP、Kerberos 或 NTLM 的应用、组策略、文件共享、打印机、RADIUS、VPN 和服务账号。
按加入状态列出所有设备：加入域、混合加入、Entra 加入，或未加入。
确认可路由的域名。用户使用已验证的域名登录。如果本地 UPN 后缀不是已验证的域名（例如 .local），Entra ID 会改为给同步的用户一个 MailNickName@租户.onmicrosoft.com 的登录名。先在 Active Directory Domains and Trusts 里添加可路由的后缀，在 Entra ID 里验证该域名，再在第一次同步之前更新用户的 UPN。
清理目录。同步前运行微软的 IdFix 工具，找出重复项和格式错误。
启用 Active Directory 回收站（微软建议）。
检查域控制器。所用域控制器必须可写（不支持只读域控制器），也不支持带点的 NetBIOS 名称。
创建仅云端的应急管理员，以免本地服务故障时被锁在租户外。微软说明这一步对 Cloud Sync 至关重要。
选定同步服务器。必须已加入域（微软建议 Windows Server 2025 或 2022），且不能是 Server Core。把它当作 Tier 0 / 控制平面资产：限制管理访问、禁用 NTLM，并要求特权账号使用 MFA（见如何为 Microsoft 365 启用 MFA）。
核对对象数量并规划试点。新租户默认允许 50,000 个对象，验证域名后提高到 300,000 个；Connect Sync 默认使用的 SQL Express LocalDB（10 GB）大约可管理 100,000 个对象。选一个试点 OU，放几个测试用户，每个部门一名测试员。
核对授权。Connect Health 需要 Entra ID P1；通过 Autopilot 自动注册 Intune，配置时需要 Entra ID P1 或 P2。Intune 方案如何选，见 Microsoft Intune 方案对比。
备份并记录：导出现有 Connect Sync 设置（向导里的 View or Export Current Configuration），并妥善保存文件。

路径 A：混合，保留同步

选 Cloud Sync 还是 Connect Sync

两者用同样的要点。

Cloud Sync

适合：新建同步、不想有单点故障、有多个互不相连的林，或想减少服务器维护。
限制：每个域最多 150,000 个对象，组最多 50,000 个成员，基于属性的筛选有限，没有高级同步规则，没有跨林引用，没有设备写回，也不含直通身份验证和 AD FS 的设置（这些单独管理）。
服务器要求：已加入域的 Windows Server 2016 或更高版本（建议 2022 或 2025），至少 4 GB 内存，.NET 4.7.1 或更高，TLS 1.2，出站端口 80 和 443。

Connect Sync

适合：需要自定义同步规则、完整的属性筛选、超大组或超大规模、跨林引用，或微软列为 Connect 独有的其他功能。
服务器要求：已加入域、带完整图形界面的 Windows Server，.NET Framework 4.7.2 或更高（微软前提条件页面的横幅写 4.7.2，正文写最低 4.6.2，请按 4.7.2 准备），TLS 1.2，直接分配（不是通过组）的混合身份管理员或全局管理员账号；如果用快速设置，还需要企业管理员账号。

设置 Cloud Sync（新安装）

以至少混合身份管理员的身份登录 Microsoft Entra 管理中心。
进入 Entra ID > Entra Connect > Cloud sync > Agents，选择 Download on-premises agent，接受条款。
在同步服务器上运行安装程序。用混合身份管理员账号登录，选择 Create gMSA 并输入域管理员凭据，添加你的域，然后选择 Confirm。
在 Cloud sync 里选择 New configuration > AD to Microsoft Entra ID sync，选择域，决定是否启用密码哈希同步，然后选择 Create。
在范围筛选里选择 Selected organizational units，只加入试点 OU。
用 Provision on demand 测试一个用户，并阅读详细结果。
选择 Enable configuration。在 Entra 管理中心检查用户。
分批扩大范围到更多 OU，每次改变范围后用 Restart sync。

设置 Connect Sync（新安装）

从 Microsoft Entra 管理中心下载安装程序（微软说明只能从那里获取）。
安装在已加入域的服务器上，选择快速设置或自定义设置。需要指定服务账号、SQL Server 或筛选时用自定义设置。
先只筛选试点 OU。
用下面的命令检查并运行调度器。修改同步规则之前先停用调度器，改完再启用。如果找不到这些命令，运行 Import-Module ADSync。

Get-ADSyncScheduler
Set-ADSyncScheduler -SyncCycleEnabled $false
Set-ADSyncScheduler -SyncCycleEnabled $true
Start-ADSyncSyncCycle -PolicyType Delta

分批扩大筛选范围，每批之后运行一次增量周期。另用暂存模式的服务器作为备用。

如果你已经在运行 Connect Sync

微软建议的顺序是：先读决策指南，试用引导式迁移工具，只有工具不支持你时才用文档化的手动试点。

在活动服务器上打开 Connect Sync 向导，选择 Configure，再选 Transition to Cloud Sync。
工具只对符合条件的租户和安装显示，并有限制：单个林，最多 2,000 个范围内对象，每个域最多 30 个包含的容器，且没有阻止迁移的功能，例如自定义同步规则、组筛选、自定义 UPN、目录扩展或设备同步。
就绪评估之后，它会创建处于禁用状态的 Cloud Sync 配置。先用 Provision on demand 测试，再激活。激活会把 Connect Sync 放进暂存模式。
手动验证用户、组、成员关系和写回，并在两周验证期内保留已安装的 Connect Sync，之后再卸载。
如果工具不适用，微软有文档化的手动分阶段试点。引用验证完成之前，不要把 OU 或组移出 Connect Sync 范围，否则可能丢失组成员关系。

路径 B：全云

停止新增对 Active Directory 的依赖。每个新应用都用 Entra ID 登录。
迁移设备。新 Windows 设备用 Windows Autopilot 做 Entra 加入，并注册到 Intune。对已加入域或混合加入的现有设备，通过 Autopilot for existing devices 重装来转换（这个场景需要 Microsoft Configuration Manager）。设备策略管理见我们的 Intune 管理服务。
迁移文件和打印访问。Entra 加入的设备只有在能直连域控制器时，才保留对本地资源的单点登录（不在公司网络时需要 VPN）。条件允许时，把文件迁到 SharePoint 或 OneDrive。
处理剩下的旧应用。替换它们，或者把 Microsoft Entra Domain Services 当作需要 LDAP、Kerberos 或 NTLM 的应用的过渡桥梁。
清楚什么会失效。微软说明，依赖 Active Directory 机器验证的应用在 Entra 加入的设备上无法工作，因为这些设备在 AD DS 里没有计算机对象。如果没有东西再依赖 Kerberos、NTLM 或机器验证，就不再需要 Active Directory；如果还有，就保留一个精简的，直到它被淘汰。
先移除同步客户端，再关闭同步。微软建议先卸载 Connect Sync 或 Cloud Sync。然后运行：

Connect-MgGraph -Scopes "Organization.ReadWrite.All,Directory.ReadWrite.All"
Get-MgOrganization | Select OnPremisesSyncEnabled
$organizationId = (Get-MgOrganization).Id
$params = @{ onPremisesSyncEnabled = $false }
Update-MgOrganization -OrganizationId $organizationId -BodyParameter $params
Get-MgOrganization | Select OnPremisesSyncEnabled

微软提醒：执行之后，必须等 72 小时才能重新开启目录同步；它会清除若干本地属性（包括本地可分辨名称和 SAM 账户名）；需要帮助时请联系支持。请把它放在最后做，先做试点，千万不要当作排错手段。

常见错误

跳过 IdFix 和 UPN 检查。解决：重复项和不可路由的后缀，之后会造成同步错误和登录问题。
没有仅云端的应急管理员。解决：先于一切其他操作创建。
同步服务器没有加固。它能修改 Entra ID 里的用户。解决：当作 Tier 0，限制访问，禁用 NTLM，管理员要求 MFA。
过早关闭软匹配。已有的云端用户可能匹配不上。解决：匹配完成之前保留，之后若不需要，再关闭软匹配和硬匹配接管。
切换太快。过早把对象移出 Connect Sync 范围，可能丢失组成员关系；切换后立刻卸载 Connect Sync，又会失去回退手段。解决：先验证引用关系，并在验证期内保留已禁用的 Connect Sync。

怎样验证做对了

对 Cloud Sync，打开 Entra ID > Entra Connect > Cloud sync > Agents，确认每个代理为活动状态。在服务器上确认服务 Microsoft Azure AD Connect Agent Updater 和 Microsoft Azure AD Connect Provisioning Agent 正在运行。
比较试点 OU 在 Active Directory 里的用户数和 Entra ID 里的同步数量。微软的试点指南在本地一侧用 Get-ADUser -Filter * -SearchBase "OU=Pilot,DC=contoso,DC=com"（换成你的试点 OU）。
在试点 OU 里新建一个测试用户，确认它出现在 Entra ID；修改一个属性，确认更新。
对 Connect Sync，运行 Get-ADSyncScheduler，确认同步已启用，下一个周期已排定。
用测试用户分别在已加入域的设备和 Entra 加入的设备上登录。测试 MFA、文件共享和一个旧应用。云端登录成为主要方式之后，加上条件访问基础策略。
完成全云步骤后，运行 Get-MgOrganization | Select OnPremisesSyncEnabled，确认该值不再为 true。确认试点用户的密码重置、邮箱访问和登录仍然正常。

常见问题

如何一步步把本地 Active Directory 迁移到 Microsoft Entra ID？

按迁移前检查清单逐项完成，用试点 OU 设置 Cloud Sync 或 Connect Sync，分批扩大，然后决定保持混合，还是按路径 B 转为全云。

Azure AD Connect 和 Microsoft Entra Connect 是同一个东西吗？

是的。Azure AD Connect 已更名为 Microsoft Entra Connect，同步组件叫 Microsoft Entra Connect Sync。第 1 版已于 2022 年 8 月 31 日退役。

Microsoft Entra Connect 和 Cloud Sync 有什么区别？

Connect Sync 是装在一台本地服务器上的完整同步引擎。Cloud Sync 在云端管理，使用轻量代理，但在规模、筛选和规则上有限制。

迁到 Entra ID 就等于把 Active Directory 迁到 Azure 吗？

不是。Entra ID 是云端身份服务，不是你域的副本。Microsoft Entra Domain Services 是由微软管理、在 Azure 中运行的选项，适用于需要 LDAP、Kerberos、NTLM 或域加入的旧应用。微软把它描述为过渡能力，不是本地 Active Directory 的通用替代品，也不是同步工具。

如果你想让每天做这件事的工程师来规划并执行迁移，请了解我们的管理型IT云服务。