active-directory - 本地 AD objectGUID 与 Microsoft Graph 中的对象 ID 不同

Question

我有一个类似的问题:On premise Active Directory ObjectId is different than Azure Active Directory ObjectId

我们在 AD 中使用 objectGUID 来唯一标识用户和组。我们还使用 objectGUID 维护组成员身份。使用 Microsoft Graph 查询 Microsoft 租户时，我们从用户或组对象中看到的 id 与我们从本地 AD 中获得的不同。这使得关联 AAD 和 AD 资源变得困难。

我尝试通过下面的请求使用 onPremisesImmutableId，却发现这个 id 是我的员工 id。

/v1.0/me?$select=id,userPrincipalName,onPremisesSecurityIdentifier,displayName,onPremisesImmutableId

知道如何在 AAD 世界中检索相同的 objectGUID 吗？通过查看 User documentation，我找不到任何接近的东西.

同样对于 Group 对象，我找不到属性 onPremisesDomainName，类似于 User 对象中的属性。这是设计使然吗？

Answer 1

那是写回时的正确答案，但从那以后情况发生了一些变化。在 Azure AD Connect: objectGUID vs. mS-DS-ConsistencyGuid 有一篇很棒的博文讨论这个变化。特别是这一点:

Before Azure AD Connect version 1.1.524.0, Azure AD Connect (but also Azure AD Sync and DirSync) defaulted to the objectGUID attribute for objects as the source anchor. Azure AD Connect version 1.1.553.0, and beyond, defaults to the mS-DS-ConsistencyGuid for user objects, but objectGUID for groups and computer objects.

在您的情况下，听起来您的特定租户映射配置不同(即您的员工 ID)。

考虑到博文中提出的问题，我建议不要将 objectGUID 用于此目的。如果您正在寻找跨用户和组资源的单个属性，我建议您查看 onPremisesSecurityIdentifier。这包含来自您的本地 AD 的 SID。