各位弓箭手村的冒險者，恭喜大家！我們終於一起度過了一半的修練日程（Day 15/30），正式踏入第三週的全新篇章：混合式身分基礎架構 (Hybrid Identity Infrastructure)。
在前兩週的訓練中，我們針對 Entra ID 實驗室創建了許多帳號，但這些帳號都是純粹的「雲端原住民 (Cloud-only Users)」，然而在真實世界裡，目前大多數的公會都還擁有一座冷氣吹得很冷的地端機房，裡面躺著努力奔跑的 Windows Server，而上面運行的，正是傳統且龐大的 Active Directory (AD DS)。
今天，我們先來聊聊雲端架構與 資安魔導團 必修的觀念課：究竟什麼是混合身分？為什麼我們不能乾脆把地端 AD 直接丟進垃圾桶？

• 什麼是「混合身分」？
  在微軟身份世界裡，地端 AD 和雲端 Entra ID 是兩個完全獨立的大陸，它們不僅住的地方不同，連溝通的「語言(通訊協定)」也完全不一樣：
  • 地端 AD (AD DS)： 講著古老而傳統的語言，例如 Kerberos、NTLM、LDAP。
  • 雲端 Entra ID： 講著現代化的網路協定，例如 SAML、OAuth 2.0、OpenID Connect。
• 混合身分的核心精神，就是在這兩個世界之間建立一座橋樑。
  透過「身分同步 (Identity Synchronization)」機制，讓公會裡的村民可以用「同一組帳號與密碼」，同時穿梭於地端機房的舊系統與雲端的現代化服務之間，這就是我們常聽到的終極魔法——單一登入 (SSO, Single Sign-On)。
• 為什麼企業極度依賴混合身分？

1. 歷史共業（丟不掉的舊包袱）
   公會裡可能有一套用了 15 年的 ERP 系統、老舊的打卡系統，或者是龐大的檔案伺服器，這些系統當初在設計時，只聽得懂地端 AD 的 Kerberos 驗證魔法，要把這些系統全部改寫成支援雲端驗證，成本可能高到公會長根本不願意簽核，因此，地端 AD 必須存在。

2. 擁抱未來（擋不住的雲端化）
   同時，公會也想導入 Microsoft 365、Salesforce、ServiceNow 等現代化雲端服務來提升戰力，這些服務無法直接連回你的地端機房進行驗證，它們只認得 Entra ID 發出來的權杖 (Token)。因此，雲端 Entra ID 也必須存在。

3. 終極的使用者體驗
   如果沒有混合身分，村民早上登入辦公室電腦要輸入一組帳號密碼，開啟網頁收 M365 信件又要另外輸入一組，這不僅會讓大家覺得麻煩，更可怕的是，為了記住多組密碼，村民很容易將帳密寫在便利貼上並貼在螢幕旁邊——這對資安魔導團來說，絕對是致命的資安破口！混合身分讓村民只要記住「唯一一組」密碼，就能暢行無阻。

4. IT 維運與資安的「單一真理來源 (Single Source of Truth)」
   如果地端與雲端帳號脫鉤，當有村民離職退會時，IT 騎士團必須在地端刪一次帳號，再登入雲端刪一次帳號，只要有一次忘記或交接失誤，就會產生危險的「幽靈帳號」。
   在混合身分架構下，地端 AD 通常會作為「授權來源 (Source of Authority)」，當員工離職時，IT 騎士只要在地端 AD 將帳號停權，同步橋樑就會在幾分鐘內，瞬間將雲端的 Entra ID 帳號同步鎖定，完美阻斷任何雲端存取與資料外洩的風險！

• 混合雲架構下的全新戰場
  當我們把地端與雲端打通後，資安防禦的思維也必須跟著升級，因為這座方便同步的橋樑，同時也會是暗影神偷眼中的「黃金通道」。
  近年來，有許多重大的攻擊事件，都是暗影神偷先透過釣魚信件入侵防護較弱的地端機房，在取得地端 AD 的控制權後，再利用同步機制或是「偽造權杖 (Golden SAML 等手法)」的技術，逆向打進雲端，最終接管整個 Entra ID 與 M365 環境。
  因此，在接下來幾天的實作中，我們不僅要學會如何把地端帳號推上雲端，更要謹記「最小權限原則」。我們必須嚴格保護那台負責同步的伺服器（Entra Connect / Cloud Sync Server），將其視為與網域控制站 (DC, Domain Controller) 同等重要的最高機密資產來防禦！