Você usará a opção Configurações Expressas no Azure AD Connect para sincronizar uma floresta do Active Directory contoso.com com o Azure AD. Seguindo o princípio do menor privilégio, quais são os dois grupos/funções necessários para realizar essa configuração?

Para usar as Configurações Expressas do Azure AD Connect, são necessárias permissões elevadas em ambos os ambientes. O grupo Enterprise Admins no Active Directory local é necessário porque a instalação cria uma conta de serviço no AD para o Azure AD Connect, que precisa de permissões para ler e gravar objetos de diretório. A função Global administrator no Azure AD é exigida para configurar a conexão com o Azure AD, criar a conta de serviço do Azure AD Connect no Azure AD e sincronizar os dados iniciais. A função Security administrator e User administrator no Azure AD não possuem as permissões necessárias para configurar o Azure AD Connect. O grupo Domain Admins no Active Directory não é suficiente, pois as Configurações Expressas exigem permissões em nível de floresta para criar a conta de serviço e configurar as permissões necessárias.