В вашей среде есть лес Active Directory contoso.com и клиент Azure AD contoso.com. Вы собираетесь развернуть Azure AD Connect и вам нужен подход к интеграции, который обеспечивает соблюдение локальных политик паролей и ограничений входа для синхронизированных учетных записей при минимизации количества необходимых серверов. Какой метод аутентификации вы порекомендуете?

Сквозная аутентификация (PTA) с бесшовным единым входом (SSO) является лучшим выбором, поскольку она позволяет Azure AD использовать локальные контроллеры домена для проверки паролей, обеспечивая соблюдение локальных политик паролей и ограничений входа. Это достигается с помощью агентов аутентификации, установленных в локальной среде, которые пересылают запросы аутентификации в Active Directory. При этом не требуется развертывать дополнительные серверы, такие как AD FS, что минимизирует инфраструктурные затраты. Федеративная идентификация с AD FS требует развертывания и управления серверами AD FS, что увеличивает сложность и количество необходимых серверов. Синхронизация хэшей паролей (PHS) не позволяет применять локальные политики паролей и ограничения входа в режиме реального времени, так как пароли синхронизируются в виде хэшей, а не проверяются непосредственно в локальном Active Directory.