新建AD域控同步至现有Azure AD的可行性及影响咨询

完全不需要清空现有AAD全部配置从零部署，整个迁移可以在不破坏现有运行环境、不影响用户正常使用Teams等应用的前提下完成，最终能满足新domain.tldAD域同步、保留群组数据、用户沿用user@domain.tld账号登录的要求。

前置校验项（必须先完成，否则会出匹配问题） #

• 首先确认domain.tld已经在当前AAD租户中完成了域名所有权验证，你现有环境里用户的登录UPN本来就是user@domain.tld，和目标域名完全对齐，不需要额外调整用户登录后缀。
• 原有对接something.local域的AD Connect服务器不要提前卸载、删除，保持原有同步规则正常运行，直到新同步链路完全验证通过再做切换，这是实现零停机回滚的基础。
• 新搭建的domain.tldAD域中，所有对应用户的msDS-ConsistencyGuid属性值，必须和现有AAD中对应用户的Immutable ID值完全一致。操作时先把AAD侧所有用户的Immutable ID导出成清单，逐个填充到新AD对应用户的属性上即可，不需要做新旧AD域的域信任，这个属性是AAD识别同个用户的唯一锚点，只要值对得上，就不会生成重复账号，原有账号关联的Teams群组归属、许可证分配、应用权限都会完整保留。

零影响切换流程 #

1. 新AD域用户、基础架构配置完成后，单独部署一台新的AD Connect服务器，开启暂存（Staging）模式配置domain.tld域到当前AAD租户的同步规则。暂存模式下同步引擎会全量跑对象比对、规则计算，但不会向AAD写入任何修改，你可以在控制台完整查看所有待同步的对象、属性变更，确认所有用户、群组都能和AAD现有对象正确匹配，没有重复对象、误删对象、属性覆盖错误的问题。
2. 验证完全通过后，先把原有对接旧something.local域的AD Connect切换到暂存模式，关闭其自动同步调度，再把新的AD Connect从暂存模式切换为正式生产模式，开启同步调度。整个切换过程用户侧无感知，不会出现登录中断、Teams数据丢失的问题。
3. 新同步链路稳定运行24-48小时没有异常后，再清理AAD中残留的旧something.local域相关的无效同步属性，下线旧AD域和旧AD Connect服务器即可。

其他注意事项 #

• 你明确提到不需要保留用户个人OneDrive数据，迁移过程不需要做OneDrive的数据迁移、权限映射，切换完成后直接给用户重新分配OneDrive配额即可。
• 群组权限可以按你自己的运维节奏手动重新分配，不需要在切换阶段强制完成，不会影响核心同步逻辑的运行。

操作前建议先导出AAD侧所有用户、群组的属性快照做备份，万一出现匹配错误，可以立刻切回旧AD Connect的同步链路，几分钟内就能恢复业务，不会造成不可逆的故障。

内容的提问来源于stack exchange，提问作者JDHellequin