Вы будете использовать опцию Express Settings в Azure AD Connect для синхронизации леса Active Directory contoso.com с Azure AD. Следуя принципу наименьших привилегий, какие две роли/группы необходимы для выполнения этой конфигурации?

Для использования Express Settings в Azure AD Connect требуются учетные данные с высокими привилегиями как в локальной среде Active Directory, так и в Azure AD. Роль Global Administrator в Azure AD необходима для настройки синхронизации, поскольку она предоставляет полный контроль над всеми аспектами Azure AD, включая создание и управление объектами синхронизации. Группа Enterprise Admins в Active Directory требуется для создания необходимых объектов и разрешений в локальном лесу Active Directory, которые Azure AD Connect использует для чтения данных и записи атрибутов обратно в AD (например, для обратной записи паролей). Роль Security administrator в Azure AD и роль User administrator в Azure AD имеют недостаточные привилегии для выполнения этой комплексной настройки. Группа Domain Admins в Active Directory также не обладает достаточными привилегиями на уровне всего леса для настройки Express Settings, которые затрагивают весь домен.