随着预配代理 1.1.1370.0 的发布，云同步现在能够执行组写回。 此功能意味着云同步可以直接将组预配到本地 Active Directory 环境。 现在还可以使用 Identity Governance 功能来治理对基于 AD 的应用程序的访问，例如加入一个权利管理访问包中的组。
重要
Microsoft Entra Connect Sync 中的组写回功能 v2 预览版已弃用，不再受支持。
可以使用 Microsoft Entra Cloud Sync 将云安全组预配到本地 Active Directory 域服务（AD DS）。
如果在 Microsoft Entra Connect Sync 中使用组写回功能 v2，则应将同步客户端迁移到 Microsoft Entra 云同步。若要检查是否有资格迁移到 Microsoft Entra 云同步，请使用用户同步向导。
如果无法按照向导的建议使用 Microsoft Cloud Sync，则可以 Microsoft Entra Cloud Sync 与 Microsoft Entra Connect Sync 并行运行。在这种情况下，可以运行 Microsoft Entra Cloud Sync，以便将云安全组预配到本地 AD DS 中。
如果将 Microsoft 365 的组预配到 AD DS，则可以继续使用 组写回 v1。
将 Microsoft Entra ID 预配到 Active Directory 域服务 - 先决条件
若要将预配组实现到 Active Directory 域服务（AD DS），需要满足以下先决条件。
许可要求
使用此功能需要 Microsoft Entra ID P1 许可证。 若要根据需求查找合适的许可证，请参阅Microsoft Entra ID 一般可用功能比较。
一般要求
- 至少具有混合标识管理员角色的 Microsoft Entra 帐户。
- 具有 Windows Server 2016 版本或更高版本操作系统的本地 AD DS 环境。
- 必需的 AD DS 架构属性 - msDS-ExternalDirectoryObjectId
- 使用内部版本 1.1.3730.0 或更高版本预配代理。
注意
仅在全新安装期间分配对服务帐户的权限。 如果要从以前的版本升级，则需要使用 PowerShell 手动分配权限：
$credential = Get-Credential
Set-AAD DSCloudSyncPermissions -PermissionType UserGroupCreateDelete -TargetDomain "FQDN of domain" -EACredential $credential
如果手动设置权限，则需要为所有后代组和用户对象分配“读取”、“写入”、“创建”和“删除”所有属性。
默认情况下，这些权限不会应用于 AdminSDHolder 对象。 有关详细信息，请参阅 Microsoft Entra 预配代理 gMSA PowerShell cmdlet。
- 预配代理必须能够与端口 TCP/389 (LDAP) 和 TCP/3268（全局目录）上的一个或多个域控制器通信。
- 用于全局目录查找以筛选无效的成员资格引用所必需的
- Microsoft Entra Connect Sync 使用内部版本 2.22.8.0
- 支持使用 Microsoft Entra Connect Sync 的本地用户成员身份所需
- 必须同步
AD DS:user:objectGUID到AAD DS:user:onPremisesObjectIdentifier
支持的组和规模限制
支持以下内容：
- 仅支持云原生或 SOA 转换（从 AD DS 转换为 Microsoft Entra ID） 安全组 。
- 这些组可以有分配的组或动态成员资格组。
- 这些组只能包含本地同步的用户或其他云创建的安全组。
- 同步且是此云创建的安全组的成员的本地用户帐户，可以来自同一域或跨域，但必须全部来自同一林。
- 这些组用 通用组的组范围写回。 您的本地环境必须支持通用组的范围。
- 不支持超过 50,000 个成员的组。
- 不支持超过 150,000 个对象的租户。 这意味着，如果一个租户的用户和组组合总数超过 15 万个对象，则不支持该租户。
- 每个直接子嵌套组计数为引用组中的一个成员
- 如果在 AD DS 中手动更新组，则不支持将 Microsoft Entra ID 与 AD DS 之间的组同步。
其他信息
以下是将组预配到 AD DS 时需要考虑的更多要点。
- 使用云同步预配到 AD DS 的组只能包含本地同步的用户或其他云创建的安全组。
- 这些用户必须在其帐户上设置 onPremisesObjectIdentifier 属性。
- onPremisesObjectIdentifier 必须与目标 AD DS 环境中的相应对象GUID 匹配。
- 可以使用任一同步客户端将本地用户 objectGUID 属性同步到云用户 onPremisesObjectIdentifier 属性。
- 只有全局性的 Microsoft Entra ID 租户才能从 Microsoft Entra ID 预配到 AD DS。 不支持 B2C 等租户。
- 组预配作业计划为每 20 分钟运行一次。
支持使用 Microsoft Entra Cloud Sync 进行组写回的方案
以下部分介绍使用 Microsoft Entra Cloud Sync 进行组写回支持的方案。
- 将 Microsoft Entra Connect Sync 组写回 V2 迁移到 Microsoft Entra 云同步
- 使用 Microsoft Entra ID 治理来治理基于本地 Active Directory 的应用 (Kerberos)
将 Microsoft Entra Connect Sync 组写回 V2 迁移到 Microsoft Entra 云同步
方案：使用 Microsoft Entra Connect Sync（以前称为 Azure AD Connect）将组写回迁移到 Microsoft Entra Cloud Sync。此方案仅适用于当前使用 Microsoft Entra Connect 组写回 v2 的客户。 本文档中概述的过程仅适用于使用通用范围写回的云创建的安全组。 不支持使用 Microsoft Entra Connect 组写回 V1 或 V2 写回的启用邮件的组和 DL。
有关详细信息，请参阅将 Microsoft Entra Connect Sync 组写回 V2 迁移到 Microsoft Entra 云同步。
使用 Microsoft Entra ID 治理来治理基于本地 Active Directory 的应用 (Kerberos)
方案：使用在云中预配和管理的 Active Directory 组管理本地应用程序。 通过 Microsoft Entra 云同步，可在 AD 中完全控制应用程序分配，同时利用 Microsoft Entra ID 治理功能来控制和修正任何与访问相关的请求。
有关详细信息，请参阅 使用 Microsoft Entra ID Governance 管理基于本地 Active Directory 的应用（Kerberos）。