在 Entra ID 中擁有特權角色的混合帳戶 (即從 Active Directory 同步) 會帶來安全性風險，因為入侵 AD 的攻擊者可利用此類帳戶轉而入侵 Entra ID。Entra ID 中的特權帳戶必須為雲端專用帳戶。

如果貴公司已設定<a href="https://learn.microsoft.com/zh-tw/entra/identity/hybrid/what-is-inter-directory-provisioning">目錄同步</a>選項，例如與「<a href="https://learn.microsoft.com/zh-tw/entra/identity/hybrid/connect/whatis-azure-ad-connect">Microsoft Entra Connect</a>」(前稱「Azure AD Connect」) 或「<a href="https://learn.microsoft.com/zh-tw/entra/identity/hybrid/cloud-sync/what-is-cloud-sync">Microsoft Entra Cloud Sync</a>」(前稱「Azure AD Connect Cloud Sync」) 同步目錄，以將使用者 (及其他內容 ) 從內部部署 Active Directory 同步至雲端 Entra ID，建議您為 Entra ID 中的特權角色使用混合 AD 帳戶。然而，這樣做會讓攻擊者有機會在入侵 Active Directory 後擴展對 Entra ID 的惡意控制​。他們會運用多項技術假冒任何 AD 使用者，也會將這種假冒方式套用至 Entra ID。
為此，Microsoft 在「<a href="https://learn.microsoft.com/zh-tw/entra/architecture/protect-m365-from-on-premises-attacks">保護 Microsoft 365 免受本地攻擊</a>」文章中對此做法提出警告，認為「Microsoft 365 中不應存在任何具有管理特權的內部部署帳戶」，同時 Microsoft 還建議您確保「沒有內部部署帳戶對 Microsoft 365 具有較高的權限」。此外，在<a href="https://learn.microsoft.com/zh-tw/entra/fundamentals/configure-security#privileged-accounts-are-cloud-native-identities">設定 Microsoft Entra 以提高安全性</a>中也建議「特權帳戶是雲端原生身分識別」。

偵測

與 AD (混合帳戶) 同步的特權 Entra 帳戶

HIGH

版本 202507150942