お使いの環境には、Active Directory フォレスト contoso.com と Azure AD テナント contoso.com があります。Azure AD Connect をデプロイする予定で、同期されたアカウントに対してオンプレミスのパスワードポリシーとサインオン制限を適用し、必要なサーバーの数を最小限に抑える統合アプローチが必要です。どの認証方法を推奨すべきですか？

パススルー認証（PTA）は、ユーザーの資格情報をオンプレミスのActive Directoryに対して直接検証するため、オンプレミスのパスワードポリシーとサインオン制限を適用できます。また、必要なサーバーの数を最小限に抑えることができます。シームレスSSOと組み合わせることで、ユーザーはドメイン参加済みデバイスから追加のプロンプトなしでサインインできます。AD FSは追加のサーバーが必要となり、管理が複雑になります。パスワードハッシュ同期（PHS）はパスワードポリシーを同期しますが、サインオン制限は適用されず、オンプレミスのActive Directoryに直接認証を委任しません。