Azure Active Directory租户间迁移：能否克隆配置及关联资源？

目前微软没有推出一键克隆整个AAD租户的原生功能，但你可以通过官方工具和脚本组合，实现全量或部分内容的跨租户迁移，不同类型的迁移对象支持程度、操作方式各有区别：

• 用户、用户组、AAD角色类：可以通过Microsoft Graph API、Azure AD 管理中心的批量导入导出功能，或者Azure AD Connect工具实现迁移，支持按需筛选只迁移部分对象，组内成员关系、自定义角色的分配关系也可以同步。唯一的限制是用户原始密码无法直接导出迁移，要么配置密码哈希同步，要么迁移后通知用户重置密码。
• AAD租户配置类：绝大多数配置都可以迁移，包括应用注册、企业应用配置、条件访问策略、身份验证策略、自定义域名设置等，你可以手动导出配置再导入新租户，也可以调用Graph API实现自动化迁移。只有少数绑定原租户唯一ID的特殊配置（比如原租户专属的服务主体标识、B2C自定义发布策略）需要调整适配后才能在新租户使用。
• 订阅关联租户迁移：你已经了解的订阅转绑AAD租户的功能是完全支持的，操作前清理掉原租户中绑定该订阅的RBAC权限、托管标识、角色分配，转绑完成后到新租户重新配置对应权限即可。注意如果订阅内有大量依赖原租户AAD身份的资源（比如Key Vault访问策略、应用服务的身份验证设置、资源的RBAC角色），转绑后需要统一重新配置才能正常使用。
• 跨租户的Azure资源迁移：如果是同个Azure账号下的不同租户，同区域的资源可以直接用官方的资源移动功能转移；如果是完全独立的两个租户，大部分资源可以通过导出ARM模板再跨租户部署的方式迁移，虚拟机磁盘、存储账户存量数据这类有状态资源，需要单独做数据拷贝同步。

迁移前建议先找测试租户做完整的演练，确认所有依赖AAD身份的业务服务在新租户中能正常运行，不要直接操作生产环境避免业务中断。

内容的提问来源于stack exchange，提问作者iqoOopi