将本地身份同步到 Azure AD 后，您必须阻止 givenName 属性以“LAB”开头的用户进行同步。您应该采取哪种措施？

要阻止特定属性的用户同步到 Azure AD，最直接且推荐的方法是使用 Azure AD Connect 同步规则编辑器。您可以在此工具中创建出站同步规则，基于用户的 givenName 属性（以“LAB”开头）设置筛选条件，从而排除这些用户。 在防火墙上配置 DNAT 或网络流量筛选规则与身份同步无关，它们主要用于控制网络流量的转发和访问，无法影响 Azure AD Connect 的同步逻辑。使用 Active Directory 用户和计算机创建筛选规则只能影响本地 AD 的视图或管理，不能直接控制 Azure AD Connect 的同步行为。