AAD连接和域管理帐户-同步它们安全吗？

Question

我刚刚安装了Active Directory，希望将用户与我们已有的Azure同步。从技术角度看，这看起来相当容易。我创建了域ad.company.com，并添加了验证域company.com的UPN。比我创造了3个帐户：

1. first.user@company.com (域管理)
2. second.user@company.com (域管理)
3. third.user@company.com (普通用户)

UPN for (1)已经存在于Azure AD (常规用户)中，(2)和(3)目前并不存在于Azure AD中。我知道密码和(1)的其他属性将被Azure中的前提值覆盖。

我不怀疑(3)，但对(1)和(2)有一些问题：

1. 我是不是应该同步(1)和(2)，别担心
2. 我是否应该创建单独的first.user@ad.company.com和second.user@ad.company.com帐户来在本地管理AD，而根本不同步它们；另外，创建first.user@company.com和second.user@company.com，这样我们就可以使用我们的服务了。

我试图找出答案，但在Azure AD连接文档中，我只找到了

"Microsoft强烈建议不要将房地内帐户与Azure Active中预先存在的管理帐户同步。

这和我的案子完全相反。

任何建议都很感激。

Answer 1

将帐户1和2同步到Azure AD并不会提供任何特殊能力、特权或对Azure AD或Office 365中同步帐户的权限。此外，他们的成员在任何受保护的团体在您的房地广告不同步帐户在Azure广告。