前兩天，我們成功將地端帳號推上雲端，並且挺過了各種快取與屬性衝突的「修羅場」摧殘，現在我們已經擁有了一個極度健康的混合身分基底。
但在現代的公會（企業）環境中，光是把帳號同步上去是不夠的。從資安魔導團的防禦角度來看，我們還必須精準掌控「認證的源頭」與「存取的載體」，今天我們就要來拆解混合雲架構中，兩個進階但極度關鍵的觀念：密碼回寫與裝置同步。

1. 密碼回寫 (Password Writeback)：打通逆向的傳輸隧道
   預設狀態下，Entra Connect的同步是單向的從地端 AD 到雲端 Entra ID。

• 什麼是密碼回寫？
  這是一條安全開通的逆向隧道，當它被開啟後，如果村民在雲端更改了密碼，或是因為忘記密碼而透過「自助密碼重設 (SSPR)」機制設定了新密碼，這個新密碼會瞬間透過 Entra Connect，被寫回到地端的 Active Directory 裡。
  • 解放 IT 騎士團的雙手
    村民不再需要因為忘記地端電腦的開機密碼，而打電話給 IT 哭訴，他們可以直接用手機接收簡訊驗證碼，在雲端自己重設密碼，然後立刻用這組新密碼登入地端辦公室的電腦。
  • 無縫的資安聯防
    如果微軟的 AI 偵測到某個帳號有被暗影神偷外洩的風險，我們可以利用「條件式存取 (Conditional Access)」強制該使用者立刻在雲端重設密碼，有了密碼回寫，這個強制的安全動作就能零時差套用到地端，徹底阻斷風險。
  • 嚴格的權限控管
    要達成這個功能，Entra Connect 在地端用來寫入密碼的服務帳號，必須嚴格落實最小權限原則 (PoLP)，我們只能在特定的 OU (組織單位) 上，委派「重設密碼」與「變更密碼」的權限給該服務帳號，絕對不能直接賦予 Domain Admin 的極高特權！

2. 裝置同步 (Device Synchronization)：定義存取的合法載體
   如果說帳號同步解決了「你是誰」的問題，那麼裝置同步解決的就是「你用什麼設備登入」的問題。

• 什麼是裝置同步？
  在地端環境中，公會配發的電腦都會「加入網域 (Join Domain)」。當我們在 Entra Connect 開啟裝置同步後，它會把這些地端電腦的「電腦物件」也同步上雲端，讓這些設備在雲端註冊一個合法身分。這種橫跨天地的設備狀態，在微軟的世界裡被稱為 Hybrid Microsoft Entra joined。
  在零信任 (Zero Trust) 的防禦框架中，身分與裝置缺一不可。裝置上雲後，能解鎖以下進階應用：
  • 打造無敵的防禦規則
    當裝置有了雲端身分，我們就能在雲端寫下一條鐵律：「想存取公會的機密雲端資源，你不只要帳號密碼正確、有 MFA 多重驗證，你的裝置還必須是公會配發的 Hybrid Joined 設備。」這能直接封殺員工用家裡中毒的私人電腦存取公會資料的行為。
  • 極致的無縫單一登入 (Seamless SSO)
    當員工早上用 AD 帳號登入這台已經 Hybrid Joined 的地端電腦後，只要打開 Edge 或 Chrome 瀏覽器進入 Microsoft 365 或 Azure Portal，系統會直接帶著電腦底層的憑證自動登入，完全不需要再輸入一次密碼，體驗極度絲滑。
  • 整合進階端點防護
    裝置有了雲端身分後，能更容易與 Intune (MDM) 或端點偵測與回應系統 (EDR) 整合，確保每一次存取的設備都處於安全、更新且符合合規性政策的狀態。