使用階段性移轉 來進行雲端驗證

概觀

分段推出 （SRO） 是針對具有同盟網域的組織暫存測試機制，並允許在 將整個網域從同盟網域轉換為受控網域之前，先測試與一組使用者的雲端驗證。 這些功能包括 Microsoft Entra 多重要素驗證、條件式存取、防止認證洩漏的身分識別保護、身分識別治理等。 這種方法可讓您先驗證功能和用戶體驗，再完整轉換網域從同盟轉換到受控網域。

在開始分段推出之前，如果有下列一或多種情況，您應該思考其含意：

  • 您目前正在使用內部部署多因素驗證伺服器。
  • 您正在使用智慧卡進行驗證。
  • 目前伺服器提供某些僅限於聯邦使用的功能。
  • 您正從第三方同盟解決方案移至受控服務。

在嘗試這項功能前，建議先檢閱指南，以了解如何選擇正確的驗證方法。 如需詳細資訊，請參閱 選擇適用於您Microsoft Entra 混合式身分識別解決方案的正確驗證方法中的表格。

如需此功能的概觀，請觀賞「什麼是分段推出？」影片：

備註

分段推出 並非 設計為永久設定。 組織應該在分段推出測試期間維護同盟識別提供者 （IdP） 作為後援。 在未部署同盟 IdP 的情況下移轉至受控驗證後，若仍繼續使用分階段推出，可能會導致未預期的驗證失敗，並使使用者體驗下降。 為了確保順利轉換，建議您在測試成功之後，完成 網域切換至受控驗證 。

使用分段推出的最佳作法

  • 只針對試驗群組使用分段推出，在全網域變更之前驗證雲端驗證行為。
  • 在 SRO 測試期間保留您的同盟式 IdP，以確保有可用於驗證的備援途徑。
  • 除非您有明確的轉換至受管理驗證的計畫，否則請避免將所有使用者都納入分階段推出。
  • 在測試期間監視驗證流程，以儘早偵測異常狀況。
  • 一旦測試成功，請規劃及時移轉至受控驗證。

必要條件

  • 您有一個 Microsoft Entra 租戶，並包含 聯合網域。

  • 您已決定移動下列其中一個選項：

    針對這兩個選項，建議啟用單一登入 (SSO)，以實現無訊息登入體驗。 若為 Windows 7 或 8.1 網域聯結的裝置，建議使用無縫 SSO。 如需詳細資訊，請參閱 什麼是無縫 SSO。 針對 Windows 10、Windows Server 2016 和後續版本，請使用 主更新憑證（PRT） 進行 SSO。 針對 Microsoft Entra 已加入的裝置、Microsoft Entra 混合加入的裝置 或 個人註冊的裝置 使用 [新增公司或學校帳戶]。

  • 您需要為移轉至雲端驗證的使用者設定所有適當的租戶品牌和條件式存取政策。

  • 如果您從同盟移至雲端驗證，您必須確認 DirSync 設定 synchronizeUpnForManagedUsersEnabled 已設定為 true，否則 Microsoft Entra ID 不允許同步更新至 UPN 或使用受控驗證的授權使用者帳戶的替代登入標識符。 如需詳細資訊，請參閱 Microsoft Entra Connect Sync 服務功能。

  • 如果您打算使用 Microsoft Entra 多重要素驗證，建議您啟用 合併註冊。 這可讓使用者針對自助式密碼重設 （SSPR） 和多重要素驗證註冊其驗證方法一次。 注意 - 在分段推出期間，使用 SSPR 重設密碼或使用 MyProfile 頁面變更密碼時，Microsoft Entra Connect 需要在重設後同步新的密碼雜湊，可能需要長達 2 分鐘。

  • 若要使用分段推出功能，您必須是您租戶的混合身分識別管理員。

  • 若要在特定 Active Directory 樹系上啟用「無縫 SSO」，則您必須是網域系統管理員。

  • 如果您要部署混合式 Microsoft Entra ID 或 Microsoft Entra 聯結，則必須升級至 Windows 10 1903 更新。

支援的案例

支援分段推出的情境包括下列項目。 此功能僅適用於：

  • 使用 Microsoft Entra Connect 佈建至 Microsoft Entra ID 的使用者。 不適用於僅限雲端的使用者。

  • 瀏覽器和 新式驗證 用戶端上的使用者登入流量。 使用舊版驗證的應用程式或雲端服務，會切換回同盟驗證流程。 例如已關閉新式驗證的 Exchange online 的舊版驗證，或不支援新式驗證的 Outlook 2010。

  • 群組中沒有用戶數量限制。 不過，每項功能最多可使用 10 個群組，而密碼雜湊同步、傳遞驗證及無縫 SSO 也各自可使用 10 個群組。

  • Windows 10 1903 版及更新版本的使用者在 UPN 可被路由且在 Microsoft Entra ID 中已驗證網域尾碼時，無需直接連接至聯合伺服器，即可獲得 Windows 10 混合式聯合或 Microsoft Entra 聯合的主重新整理權杖。

  • 若使用 Windows 10 版本 1909 或更新版本，Autopilot 註冊在分段推出策略中獲得支援。

不支援的場景

分階段推出不支援下列情境：

  • 不支援舊版驗證，例如 POP3 和 SMTP。

  • 為安全性群組啟用分段推出時，不支援自助式密碼重設 （SSPR） 並寫回內部部署網域。 雖然它在某些情況下可運作，但無法保證在啟用分段推出時一致運作。

  • 某些應用程式會在驗證期間將 "domain_hint" 查詢參數傳送至 Microsoft Entra ID。 這些流程會繼續，而已啟用分段推出的使用者會繼續使用同盟進行驗證。

  • 系統管理員可使用安全性群組來推出雲端驗證。 若要避免在使用內部部署 Active Directory 安全性群組時發生同步延遲，建議使用雲端安全性群組。 適用於下列條件：

    • 每項功能最多可使用 10 個群組。 亦即，您可將 10 個群組分別用於「密碼雜湊同步」、「傳遞驗證」及「無縫 SSO」。
    • 不支援巢狀群組。
    • 分段推出功能不支援動態群組。
    • 群組中的聯絡物件會阻止群組被新增。

  • 在第一次新增安全性群組以進行分段推出時，會限制為 200 位使用者，以避免 UX 逾時。新增群組後，即可視需要將更多使用者直接新增至群組。

  • 當使用者利用密碼雜湊同步 (PHS) 進行分段推出時，預設不會套用任何密碼到期。 您可以啟用 "CloudPasswordPolicyForPasswordSyncedUsersEnabled" 來實施密碼到期策略。 啟用 "CloudPasswordPolicyForPasswordSyncedUsersEnabled" 時，密碼到期政策會設定為從內部部署設定密碼的時間起計算的 90 天，且無法自訂該政策。 當使用者處於分段推出狀態時，不支援以程式設計方式更新 PasswordPolicies 屬性。 若要瞭解如何設定 『CloudPasswordPolicyForPasswordSyncedUsersEnabled』，請參閱 密碼到期原則。

  • 適用於版本低於 1903 的 Windows 10 混合聯結或 Microsoft Entra 聯結的主要重整權杖取得。 即使使用者登入在分段推出的範圍內，此案例仍會回退到同盟伺服器的 WS-Trust 端點。

  • 當使用者的內部部署 UPN 無法路由時，Windows 10 混合式加入或 Microsoft Entra 加入的主要刷新權杖取得適用於所有版本。 在分段推出模式下，此案例會回復到 WS-Trust 端點，但在分段移轉完成且使用者登入不再依賴同盟伺服器時，會停止運作。

  • 如果您有 Windows 10 版本 1903 或更新版本的非永續性 VDI 設定，則必須保留在同盟網域上。 非永續性 VDI 不支援移至受控網域。 如需詳細資訊，請參閱 裝置身分識別和桌面虛擬化。

  • 如果您有 Windows Hello 企業版混合式憑證信任，其中憑證是透過充當登錄授權單位或智慧卡使用者的同盟伺服器所發出，則在分段推出時不支援此案例。

    備註

    您仍然需要使用 Microsoft Entra Connect 或 PowerShell，從同盟到雲端驗證進行最終的切換。 分段推出不會將網域從同盟切換至受控。 如需網域移轉的詳細資訊，請參閱 將網域從同盟轉換為受控網域。

開始使用分段推出

若要透過階段性推行來測試「密碼雜湊同步」登入，請遵循下一節中的預備指示。

如需了解要使用哪些 PowerShell cmdlet 的資訊，請參閱 Microsoft Entra ID 2.0 預覽。

密碼雜湊同步的前置工作

  1. 從 Microsoft Entra Connect 中的 [選用功能] 頁面啟用 密碼哈希同步。 

    Microsoft Entra Connect 中 [選用功能] 頁面的螢幕快照

  2. 請確定已執行完整的「密碼雜湊同步」週期，以便所有使用者的密碼雜湊都同步至 Microsoft Entra ID。 若要檢查 密碼哈希同步的狀態，您可以使用 Microsoft Entra Connect Sync 進行密碼哈希同步的 PowerShell 診斷疑難排解。

    Microsoft Entra Connect 疑難解答記錄的螢幕快照

如果您想要使用 Staged Rollout 測試 直通式驗證 登入，請遵循下一節的前置指示加以啟用。

直通式身份驗證的前置工作

  1. 找出想要執行「傳遞驗證」代理程式的伺服器 (其執行 Windows Server 2012 R2 或更新版本)。

    請勿 選擇 Microsoft Entra Connect 伺服器。 請確認伺服器已加入網域、可使用 Active Directory 來驗證所選使用者，並可與輸出連接埠和 URL 上的 Microsoft Entra ID 通訊。 如需詳細資訊，請參閱 快速入門：Microsoft Entra 無縫單一登錄的<步驟 1：檢查必要條件>一節。

  2. 下載 Microsoft Entra Connect 驗證代理程式，並將其安裝在伺服器上。 

  3. 若要啟用 高可用性，請在其他伺服器上安裝額外的驗證代理程式。

  4. 請確定您已適當地設定 智慧鎖定設定 。 這樣有助於確保使用者的內部部署 Active Directory 帳戶不會遭到不良執行者鎖定。

不論您在分段推出時選擇哪個登入方法（「密碼雜湊同步」或「傳遞驗證」），都建議啟用「無縫 SSO」。 若要啟用 無縫 SSO，請遵循下一節的前置指示。

無縫單一登入(SSO)的前置工作

使用 PowerShell 在 Active Directory 樹系上啟用「無縫 SSO」。 如果您有多個 Active Directory 樹系，請針對每個樹系個別將其啟用。 只會針對為了分段推出而選取的使用者觸發「無縫 SSO」。 不會影響現有的同盟設定。

執行下列工作來啟用 無縫 SSO ：

  1. 登入 Microsoft Entra Connect 伺服器。

  2. 移至 %ProgramFiles%\Microsoft Azure Active Directory Connect 資料夾。

  3. 匯入 ADSync PowerShell 模組：

    Import-Module "$env:ProgramFiles\Microsoft Azure AD Sync\Bin\ADSync\ADSync.psd1"

  4. 匯入 無縫的 SSO PowerShell 模組：

    Import-Module .\AzureADSSO.psd1

  5. 以系統管理員身分執行 PowerShell。 在 PowerShell 中，呼叫 New-AzureADSSOAuthenticationContext。 此命令會開啟一個窗格，讓您可在其中輸入租用戶的混合式身分識別管理員認證。

  6. 呼叫 Get-AzureADSSOStatus | ConvertFrom-Json。 此命令會顯示已啟用這項功能的 Active Directory 樹系清單 (查看 [網域] 清單)。 根據預設，在租用戶層級會設為 False。

    PowerShell 輸出的範例

  7. 呼叫 $creds = Get-Credential。 出現提示時，輸入預定 Active Directory 樹系的網域管理員認證。

  8. 呼叫 Enable-AzureADSSOForest -OnPremCredentials $creds。 此命令會從 Active Directory 樹系的內部部署網域控制站建立「無縫 SSO」所需 AZUREADSSOACC 電腦帳戶。

  9. 「無縫 SSO」需要 URL 位於內部網路區域中。 若要使用組策略部署這些 URL，請參閱 快速入門：Microsoft Entra 無縫單一登錄。

  10. 如需完整逐步解說，您也可以下載適用於無縫 SSO 的部署計劃。

啟用分段推出

若要將特定功能 (「傳遞驗證」、「密碼雜湊同步」或「無縫 SSO」) 推出至群組中的一組所選使用者，請遵循下一節中的指示。

針對租用戶上的特定功能啟用分段推出

您可推出下列選項：

  • 密碼哈希同步處理 + 無縫 SSO
  • 直通驗證 + 無縫單一登入 (SSO)
  • 不支援 - 密碼哈希同步處理 + 傳遞驗證 + 無縫 SSO
  • 憑證式驗證設定
  • Azure 多重要素驗證

若要設定分段推出，請遵循下列步驟：

  1. 以至少混合式身分識別系統管理員身分登入 Microsoft Entra 系統管理中心。

  2. 流覽至 Entra ID>Entra Connect>同步處理。

  3. 在 [Microsoft Entra Connect] 頁面的 [分段推出雲端驗證] 下，選取 [為受控使用者登入啟用分段推出] 連結。

  4. 在 [ 啟用分段推出功能 ] 頁面上，選取您想要啟用的選項： 密碼哈希同步、 傳遞驗證、 無縫單一登錄或 憑證式驗證。 例如，如果您想要啟用 [密碼雜湊同步] 和 [無縫單一登入]，請將控制項滑動至 [開啟]。

  5. 將群組新增至您選取的功能。 例如，參透式驗證和無縫單一登入。 若要避免逾時，請確認安全性群組一開始不包含超過 200 位成員。

    備註

    群組中的成員會自動被啟用，進行分段推出。 分階段推出不支援巢狀及動態成員資格群組。 新增群組時，群組中的使用者 (一個新群組最多 200 個使用者) 將會更新為立即使用受控驗證。 編輯群組 (新增或移除使用者)，最多可能需要 24 小時的時間，變更才會生效。 只有當使用者位於無縫 SSO 群組，同時也位於 PTA 或 PHS 群組時，才會套用無縫 SSO。

分階段部署轉換期間的使用者認證行為

需要額外的同盟登入或受管理的登入的情境

  1. 使用者已加入分階段推出。 當使用者被新增至分階段推出群組，或其所屬群組已啟用分階段推出時，驗證體驗不會立即從同盟切換為受控。 使用者必須使用現有的聯邦認證方式完成一次額外的互動式登入。 登入後，Microsoft Entra 會更新使用者狀態，並為後續登入套用管理式認證。

  2. 已將使用者從分階段推出中移除。 當使用者被移除出分階段推出群組，或其群組被移除出分階段啟動時，使用者仍會繼續使用受管理的認證。 使用者必須透過 Microsoft Entra 完成一次額外的互動式登入。 登入完成後，Microsoft Entra 會將使用者切回聯邦認證，隨後的登入會重新導向聯邦身份提供者。

  3. Microsoft Entra ID Protection 修復事件。 某些帳號復原及 Microsoft Entra ID Protection 修復措施，包括自助密碼重設（SSPR）、風險修復及風險終止，皆可重置使用者的暫定部署狀態。 因此，使用者下一次登入時可能會被導向聯邦身份提供者。 使用者必須使用現有的聯邦認證方式完成一次額外的互動式登入。 登入完成後，Microsoft Entra 會重新建立管理式認證以供後續登入使用。

避免多一個聯邦登入的變通方法

當使用者新加入分階段推出時，可能需要在分階段啟動生效前，透過聯邦身份提供者進行額外一次認證。 你可以在使用者初次登入時使用臨時存取通行證（TAP）來避免這種情況。

由於 Microsoft Entra 會在將使用者重新導向至同盟身分識別提供者之前先驗證 TAP，因此管理員可在將使用者加入 Staged Rollout 後立即核發 TAP。

建議的流量如下：

  1. 將使用者加入「階段推出」群組。
  2. 為使用者產生臨時通行證（TAP）。
  3. 讓使用者使用 TAP 登入 Microsoft Entra。
  4. 成功登入後，使用者將被識別為分階段推出的一部分，並可：
    • 註冊更多認證方法，例如 Microsoft Authenticator 或通行金鑰。
    • 使用任何可供他們使用的現有 Microsoft Entra 驗證方法。

福利

使用TAP進行初次登入，能提供更順暢的入門體驗，原因包括：

  • 避免額外的聯邦認證步驟。
  • 避免使用者不得不改用需輸入密碼的舊版聯邦登入方式。
  • 減少從聯邦驗證遷移到管理驗證時的摩擦。

備註

此變通方法是針對新加入的分階段部署用戶設計，並可作為遷移策略的一部分，提供無縫過渡至 Microsoft Entra 管理認證。

稽核

針對我們在分段推出時執行的各種動作，我們已啟用稽核事件：

  • 對「密碼雜湊同步」、「傳遞驗證」或「無縫 SSO」啟用分段推出時的稽核事件。

    備註

    使用分段推出功能啟用「無縫 SSO」時，會記錄稽核事件。

    「建立功能佈局政策」窗格 - 活動標籤

    [建立功能發佈政策] 窗格 - [已修改的屬性] 索引標籤

  • 將群組新增至「密碼雜湊同步」、「傳遞驗證」或「無縫 SSO」時，就會發生稽核事件。

    備註

    當將群組新增至「密碼雜湊同步」用於分段部署時，會記錄稽核事件。

    [新增群組至功能發布] 窗格 - [活動標籤]

    [新增群組至功能推出] 窗格 - [已修改的屬性] 索引標籤

  • 使用者被新增至群組並啟用分段推出時的稽核事件。

    [將使用者新增至功能推出] 窗格 - [活動] 標籤

    [將使用者新增至功能部署] 窗格 - [目標] 索引標籤

驗證

若要使用 [密碼雜湊同步] 或 [傳遞驗證] (使用者名稱和密碼登入) 來測試登入，請執行下列工作：

  1. 在外部網路上，透過私密瀏覽器工作階段前往 [應用程式] 頁面，然後為分段推出已選的使用者帳戶，輸入其 UserPrincipalName (UPN)。

    已納入分段推出的使用者不會被重新導向至您的聯邦登入頁面。 反之，系統會要求其登入 Microsoft Entra 租用戶商標的登入頁面。

  2. 使用 UserPrincipalName 進行篩選，確定登入成功出現在 Microsoft Entra 登入活動報告中 。

若要使用 無縫 SSO 測試登入：

  1. 在內部網路上，使用瀏覽器會話移至 [ 應用程式] 頁面 ，然後輸入針對 [分段推出] 選取之用戶帳戶的 UserPrincipalName （UPN）。

    選定用於 [無縫 SSO] 分段推出的目標使用者會在自動且靜默登入之前看到「正在嘗試登入...」訊息。

  2. 使用 UserPrincipalName 進行篩選，確定登入成功出現在 Microsoft Entra 登入活動報告中 。

    若要追蹤仍在 Active Directory 同盟服務（AD FS）上針對所選階段性推出使用者發生的使用者登入，請遵循 AD FS 疑難解答：事件和記錄中的指示。 請參閱廠商文件，以了解如何透過協力廠商同盟提供者對此進行檢查。

    備註

    當使用者使用 PHS 進行分段推出時，因為有同步時間，變更密碼可能長達 2 分鐘才會生效。 確保為使用者設定預期，以避免他們更改密碼後撥打客服電話尋求幫助。

監視

您可以在 Microsoft Entra 系統管理中心中使用新的混合式驗證活頁簿，監視在分段推出中新增或移除的使用者和群組，以及在分段推出期間的使用者登入。

混合式驗證活頁簿

從分段推出中移除使用者

將使用者從群組中移除時，會為該使用者停用漸進式推行。 若要停用分段推出功能，請將控制項移回 [關閉]。

這很重要

在分段推出中從群組中移除使用者以進行憑證式驗證時，當使用者已使用憑證登入 Windows 裝置時，建議在 Entra ID 中為憑證型驗證方法保留用戶啟用。 在從進行中的階段性推出中移除後，使用者應該持續啟用憑證驗證，時間足夠以讓使用者能夠登入 Windows 並使用聯邦身份提供者刷新其主要刷新權杖。

常見問題集

問：我可以在生產環境中使用這項功能嗎？

答：是，您可在生產租用戶者中使用這項功能，但建議先在測試租用戶中試用。

問：這項功能是否可以用來維護永久的「共存」，其中有些使用者使用同盟驗證，而另一些使用者則使用雲端驗證？

A：否，此功能是專為測試雲端驗證所設計。 在成功測試後，您應該將一些使用者群組切換至雲端驗證。 我們不建議使用永久性混合狀態，因為此方法可能會導致非預期的驗證流程。

問：我可以使用PowerShell執行分段推出嗎？

A: 可以。 若要瞭解如何使用 PowerShell 執行分段推出，請參閱 Microsoft Entra ID Preview。

下一步

  • 上次更新時間：