在 Entra ID 中具有特权角色的混合帐户（即从 Active Directory 同步）会构成安全风险，因为这类帐户允许入侵 AD 的攻击者转而入侵 Entra ID。Entra ID 中的特权帐户必须为纯云帐户。

如果贵公司已设置<a href="https://learn.microsoft.com/zh-cn/entra/identity/hybrid/what-is-inter-directory-provisioning">目录同步</a>，例如与“<a href="https://learn.microsoft.com/zh-cn/entra/identity/hybrid/connect/whatis-azure-ad-connect">Microsoft Entra Connect</a>”（之前称为“Azure AD Connect”）或“<a href="https://learn.microsoft.com/zh-cn/entra/identity/hybrid/cloud-sync/what-is-cloud-sync">Microsoft Entra Cloud Sync</a>”（之前称为“Azure AD Connect Cloud Sync”）同步，以将部分用户（以及其他用户）从本地 Active Directory 同步到云 Entra ID，您即可为 Entra ID 中的特权角色使用混合 AD 帐户。但是，这样做会为攻击者创造契机，使其能在入侵 Active Directory 后延伸对 Entra ID 的恶意控制​。他们会运用多项技术冒充任何 AD 用户，也会将这种冒充方式用于 Entra ID。
因此，Microsoft 在其文章“<a href="https://learn.microsoft.com/zh-cn/entra/architecture/protect-m365-from-on-premises-attacks">保护 Microsoft 365 免受本地攻击</a>”中对这种做法提出了警告，认为“Microsoft 365 中不应存在具有管理特权的本地帐户”，并建议您确保“任何本地帐户均不具有对 Microsoft 365 的提升权限”。在“<a href="https://learn.microsoft.com/zh-cn/entra/fundamentals/configure-security#privileged-accounts-are-cloud-native-identities">配置 Microsoft Entra 以提高安全性</a>”一文中，也提到了“特权帐户应采用云原生身份”。

检测

与 AD（混合帐户）同步的特权 Entra 帐户

HIGH

版本 202507150942

版本 202411071130

版本 202507150942 Jul 15, 2025, 9:42 AM Detection (Remove duplicate role assignments in displayed incriminating attributes) Release: 202507150942
版本 202411071130 Nov 7, 2024, 11:30 AM New Release: 202411071130