Marcel Asked: 2017-02-04 02:06:29 +0800 CST2017-02-04 02:06:29 +0800 CST 2017-02-04 02:06:29 +0800 CST 使用 Azure AD Connect 时，AD 用户组的某些组成员未同步 772 当我们开始将本地 AD 同步到 Azure AD 实例时，我们注意到在某些情况下，Azure AD 上的组不包含本地组拥有的所有成员。 经过 IdFix 的建议，我们找不到这种不匹配的原因。所有用户均已正确同步。 azure-active-directory 2 个回答 Voted Best Answer Marcel 2017-02-04T02:06:29+08:002017-02-04T02:06:29+08:00 我们发现，如果本地 AD 中用户的主组不是“域用户”，则这些用户的组成员身份的同步是不可预测的。 Andy Liu - MSFT 2017-02-06T22:47:49+08:002017-02-06T22:47:49+08:00 默认情况下，Active Directory 用户的主要组是Domain Users。除非您有 Macintosh 客户端或符合 POSIX 的应用程序，否则无需更改主组。 如果将默认的 Primary Group 更改为新的，例如有两个用户：aadu01和aadu02，这两个用户都属于组aadg。用户aadu02，将组aadg设置为主要组（见截图 1），然后，组aadg的成员属性将排除用户aadu02，并且只有用户aadu01将包含在成员属性中（见截图 2）。 在 Azure AD Connect 同步期间，组的成员属性将同步到 Azure AD，并且根据成员属性，只有用户aadu01将与组aadg关联。 但是，如果用户包含在同步范围内，例如用户、域用户等，用户aadu02仍然可以同步到 Azure AD，但不会显示在组 aadg 中。 要解决此问题，建议将主要组更改为域用户。 截图 1 截图 2
我们发现，如果本地 AD 中用户的主组不是“域用户”，则这些用户的组成员身份的同步是不可预测的。
默认情况下，Active Directory 用户的主要组是Domain Users。除非您有 Macintosh 客户端或符合 POSIX 的应用程序，否则无需更改主组。
如果将默认的 Primary Group 更改为新的，例如有两个用户：aadu01和aadu02，这两个用户都属于组aadg。用户aadu02，将组aadg设置为主要组（见截图 1），然后，组aadg的成员属性将排除用户aadu02，并且只有用户aadu01将包含在成员属性中（见截图 2）。
在 Azure AD Connect 同步期间，组的成员属性将同步到 Azure AD，并且根据成员属性，只有用户aadu01将与组aadg关联。
但是，如果用户包含在同步范围内，例如用户、域用户等，用户aadu02仍然可以同步到 Azure AD，但不会显示在组 aadg 中。
要解决此问题，建议将主要组更改为域用户。
截图 1
截图 2