Active Directory重构场景下Azure DevOps组织迁移方案咨询

你当前的临时迁移方案是可落地的，但存在明确的风险和额外操作成本，需要提前核对前置条件：

• 迁移到个人Microsoft账户的默认目录后，旧AD关联的所有用户确实会直接失去组织访问权限，属于系统正常规则，如果你已经完成全量数据备份、且团队可以接受迁移窗口期内完全无法访问Azure DevOps，该方案可以正常执行。
• 需要提前规避几个风险点：
  • 提前确认个人租户的Azure DevOps配额是否能覆盖你的组织规模，免费个人租户的流水线并行数、存储空间、最大仓库数都存在限制，避免迁移后核心功能不可用。
  • 后续迁回公司新AD前，需要提前将你的个人账号添加为新AD的外部全局管理员，同时保留个人租户下的Azure DevOps组织所有者权限，避免二次迁移时权限不足。
  • 两次迁移后都需要全量重新配置用户权限，团队规模大的话会产生额外的运维工作量。

根据你的场景，优先推荐以下两种替代方案，不需要经过个人租户中转，风险更低：

方案一：一次性直接迁移（适合可接受短期停机的场景） #

不需要提前做中转迁移，等公司新AD部署完成后直接做单次迁移即可：

• 提前对接AD重构团队，拿到新AD的测试全局管理员账号，提前添加到当前Azure DevOps组织作为备用所有者。
• 旧AD下线前直接将Azure DevOps组织关联到新AD租户，后续通过Azure AD Connect同步新AD的域账号到Azure AD后，直接批量分配权限即可，只需要做一次迁移和一次权限配置。

方案二：双组织并行过渡（适合需要DevOps环境全程可用的场景） #

不需要修改现有Azure DevOps组织的目录关联，先搭建新组织并行过渡：

• 在新AD租户下新建空白Azure DevOps组织，用az devops命令行工具全量同步旧组织的仓库、工作项、流水线、构件等数据到新组织。
• 同步期间旧组织正常对外提供服务，新组织完成权限配置、功能验证后，再切全团队到新组织，旧组织留档即可，全程无业务中断，也不需要做租户切换操作。

• 任何迁移操作前必须导出全量离线数据备份，避免迁移故障导致数据丢失。
• 提前为当前生产Azure DevOps组织配置2-3个备用所有者账号，避免单账号异常导致组织锁定。
• 正式迁移前先找测试组织走通全流程，验证所有功能正常后再操作生产环境。

内容的提问来源于stack exchange，提问作者Michiel