Azure用户身份迁移疑问：新用户关联旧域名是否有风险？

一、修改现有用户的主UPN（身份标识） #

你可以直接修改现有用户的用户主体名称（UPN，即你看到的"身份"），将其切换到新域名sugarmail.app下，操作步骤如下：

• 登录Azure门户，进入Azure Active Directory > 用户，找到目标用户（注：你提到的admin@sugarmail.cpp疑似笔误，应为admin@sugarmail.app）
• 点击用户进入详情页，选择配置文件 > 编辑用户主体名称
• 在弹出窗口中，将UPN后缀从kmansoft.onmicrosoft.com改为已设为默认的sugarmail.app，保存设置即可
• 修改完成后，用户的登录身份会变为admin@sugarmail.app，彻底脱离旧域名关联

二、创建全新的新域管理员用户 #

若更倾向于建立完全独立的新域用户，操作如下：

• 进入Azure AD的用户 > 新建用户
• 在创建页面，直接将用户主体名称（UPN）的后缀设为sugarmail.app，设置用户名（例如new-admin@sugarmail.app）
• 完成基本信息配置后，为用户分配全局管理员角色，确保其拥有管理Azure资源与OAUTH2应用注册的权限
• 新用户创建后，验证其权限正常访问目标资源即可

关键注意事项 #

• 确认新域名sugarmail.app已完成Azure AD域名验证且设为默认域名（你已完成此步骤）
• 修改UPN后，用户需使用新UPN登录Azure门户，旧关联身份自动失效
• OAUTH2应用注册的管理权限仅与用户角色相关，新域名下的全局管理员可正常操作，不受旧域名失效影响
• 旧Exchange Online订阅过期后，只要Azure AD租户仍处于有效状态（租户默认会保留一段时间），新域名下的用户身份依然有效

内容的提问来源于stack exchange，提问作者Kostya Vasilyev