从混合Azure架构迁移至全云环境的技术咨询

前期准备（必做） #

• 核对Azure防火墙规则完整性：将本地防火墙的NAT、访问控制、VPN策略（IPsec/IKE算法、加密套件）与Azure虚拟防火墙逐一比对，用Get-AzFirewallRuleCollection导出Azure规则清单，交叉验证无遗漏。
• 确认云端DC完全接管角色：在云端VM域控制器上执行netdom query fsmo，确保所有FSMO角色已转移至云端；检查所有设备（Azure VM、办公笔记本、交换机）的DNS服务器指向为云端DC私有IP，验证DNS解析正常。
• 备份核心数据：
  • 用Windows Server Backup备份本地AD完整快照；
  • 导出Azure AD用户、组、应用权限清单（Azure Portal导出或Get-AzureADUser等PowerShell命令）；
  • 备份所有域笔记本的用户配置文件（含漫游/重定向内容）。

防火墙与VPN迁移步骤 #

1. 搭建冗余VPN隧道：部署Azure VPN Gateway（推荐VpnGw2+ SKU），与本地防火墙建立第二条IPsec VPN隧道，测试跨云-本地的AD认证、文件共享等流量正常传输。
2. 逐步切换流量路由：修改Azure虚拟网络路由表，将默认路由、本地访问路由指向Azure虚拟防火墙；同时在本地防火墙逐步关闭原VPN规则，仅保留冗余隧道，观察24-48小时确认流量全走Azure侧。
3. 移除本地VPN角色：确认流量完全切换后，断开本地到Azure的VPN隧道，停用本地防火墙的VPN网关功能；同步调整办公室交换机的默认网关/路由，确保办公设备流量通过Azure防火墙出口。

AD Connect断开与本地AD脱钩 #

• 切换身份验证模式：若使用密码哈希同步（PHS），用Get-ADSyncPasswordHashSyncConfiguration确认所有用户密码哈希已同步至Azure AD（确保用户近30天修改过密码），随后切换为云原生身份验证；若用传递身份验证（PTA），先部署Azure AD Connect Cloud Sync过渡，再停用PTA。
• 停止并卸载AD Connect：在AD Connect服务器执行Stop-Service ADSync停止同步服务，卸载AD Connect工具；登录Azure AD Portal确认同步状态为“已停止”，无本地同步任务。
• 清理本地AD依赖：在所有设备上运行nltest /dsgetdc:yourdomain.com，验证DC指向均为云端，无设备尝试连接本地AD。

域笔记本风险规避 #

• 预缓存云端认证信息：让用户通过Azure VPN或云端Wi-Fi登录笔记本，触发云端DC的认证缓存，避免断开本地AD后无法登录。
• 迁移漫游配置文件：将本地漫游配置文件复制至Azure Files共享，在云端DC组策略中修改文件夹重定向、漫游配置文件路径为Azure Files的SMB地址。
• 调整登录缓存次数：通过gpedit.msc将“交互式登录：缓存的登录次数”设为最大值（50次），执行gpupdate /force强制更新组策略，保障离线登录能力。

验证与回滚方案 #

验证步骤 #

• 断开本地防火墙、AD Connect服务器的网络连接，模拟全云环境；
• 测试用户登录笔记本，检查配置文件加载正常；
• 验证网络连通性（云端VM、互联网、办公设备）；
• 确认Azure AD云服务（Portal、Office 365）权限正常。

回滚方案 #

• 网络故障：立即恢复本地防火墙VPN隧道与原路由，切回本地流量；
• 身份验证故障：重启AD Connect服务，恢复本地AD到Azure AD的同步，排查问题后再继续操作。

内容的提问来源于stack exchange，提问作者Blu_Jolt3331