昨天我們一起討論了關於混合身分的重要性，了解為什麼公會不能輕易拋棄地端 AD，同時又要擁抱雲端 Entra ID。
既然地端與雲端要共存，那麼你有想過是誰負責在中間幫忙「傳遞資料」嗎？今天我們就要來認識混合身分架構中最核心的幕後功臣、這座橫跨天地的數位橋樑：Microsoft Entra Connect。

• Entra Connect 是什麼？它住在哪裡？
  Entra Connect 是一套由微軟提供的免費軟體，在實務部署上，它通常會被安裝在企業地端機房的一台 Windows Server 虛擬機上。
  這台伺服器就像是一位不知疲倦的皇家郵差，預設每 30 分鐘就會去地端 AD 巡視一圈，看看有沒有新報到的公會成員、有沒有人更換所屬遠征隊（部門）、或是誰已經離職被停權，接著他會把這些變更打包，透過加密通道往上推送到雲端的 Entra ID，讓兩邊的帳號與權限資料隨時保持一致。
• 運作核心：不可不知的「Metaverse (中介資料庫)」
  Entra Connect因為它的肚子裡藏著一個被稱為 Metaverse (中介資料庫) 的核心同步引擎，它的運作流程可以簡單想像成一個「海關與翻譯中心」：

1. 讀取
   它有兩個連接器 (Connector)，一個負責讀地端 AD 的資料，一個負責讀雲端 Entra ID 的資料。
2. 翻譯與比對
   讀進來的資料會送到 Metaverse 進行比對，例如，地端 AD 叫 sAMAccountName 的欄位，在這裡會被自動轉換並對應到雲端 Entra ID 的 UserPrincipalName (UPN)。
3. 匯出
   確認資料無誤後，把最終的結果寫入目標資料庫，完成兩邊的同步。

• 雲端大門要怎麼開？三大驗證架構
  除了同步人事資料，Entra Connect 最重要的任務是處理「身分驗證 (Authentication)」，面對混合身分，微軟提供了三種主要的驗證架構讓你選：

1. 密碼雜湊同步(Password Hash Synchronization, PHS)
   • 最主流、最推薦的做法，Entra Connect 會把地端 AD 的密碼，經過極度複雜的「加鹽與雜湊運算」後，再同步到雲端。
   • 因為雲端拿到的是「雜湊的雜湊」，連微軟都不會知道你的明文密碼。更重要的是，有了 PHS，當雲端 Entra ID 發現暗影神偷在暗網兜售你的帳號密碼時，系統才能立刻觸發「外洩認證防護 (Leaked Credentials)」來自動封鎖帳號，這是資安魔導團極度依賴的防禦機制！
2. 傳遞驗證 (Pass-through Authentication, PTA)
   • 雲端完全不會儲存任何密碼。當員工登入 M365 時，系統會透過一個安裝在地端的輕量級代理程式，直接把驗證請求丟回地端 AD，請求地端的守衛來確認這組密碼對不對。
3. 傳遞驗證 (Pass-through Authentication, PTA)
   • 架構最複雜、最龐大，登入雲端時，畫面會被重新黨項回公會自建的AD FS網頁，驗證過後再發送SMAL Token讓使用者進雲端。
   • 由於維護成本太高且容易成為攻擊目標，微軟目前強烈建議企業逐漸淘汰AD FS，轉向 PHS 或 PTA。

• 很多公會只把Entra Connect當作一台普通的同步伺服器，便放任 IT 騎士團的成員用高權限登入操作，甚至在上面安裝其他的雜亂軟體。
  但在現代資安架構中，Entra Connect 伺服器被歸類為與網域控制站 (DC) 同等等級的 Tier 0 (最高特權) 資產！
  為什麼？因為這台伺服器擁有讀取地端所有密碼雜湊的權限，同時也擁有修改雲端 Entra ID 的特權。如果暗影神偷透過橫向移動拿下了這台伺服器，他們就能輕易操控同步規則，把自己的假帳號提升為雲端的全域管理員。
  因此，在維護這台伺服器時，必須以最嚴格的標準落實最小權限原則 (PoLP)，嚴格管控登入權限，並限制網路存取，將其視為公會最後的底線來守護！