本地 AD + Azure AD 混合环境的统一审计方案：如何实现云端与本地身份关联？
企业采用 Microsoft 365、Azure 云服务后，身份管理往往不再局限于本地 Active Directory。本地 AD 负责域账号、组策略和内部资源访问，Microsoft Entra ID（原 Azure Active Directory，简称 Azure AD）则承担云端身份认证、应用访问与条件访问控制。两套身份体系相互关联，构成了企业常见的混合身份环境。
问题在于：本地 AD 与云端 Entra ID 的审计日志通常分散在不同平台，单独查看某一侧的事件，很难还原一次完整的身份安全事件。
例如，员工账号在本地被加入高权限组，随后使用同步到云端的身份访问 Microsoft 365。如果管理员只能查看本地域控日志，可能无法判断该账号是否进行了异常云端登录；如果只检查 Entra ID 登录记录，也可能遗漏权限变化在本地发生的起点。
对于需要开展安全审计、异常登录排查和合规检查的企业，建立覆盖本地 AD 与云端 Entra ID 的统一审计视图，是混合身份安全治理的重要环节。本文将说明什么是混合 AD 审计、混合身份审计最容易出现哪些盲区、如何建立本地 AD 与 Entra ID 的统一审计方案，以及 ADAudit Plus 可以在哪些环节提供帮助。
一、什么是混合 AD 审计？为什么不能只看一侧日志？
混合 AD 审计，是指对本地 Active Directory 与 Microsoft Entra ID 中的身份变更、认证活动、权限调整及相关安全事件进行持续记录、分析和调查。
微软在官方文档 What is Microsoft Entra monitoring and health? 中，将审计日志、登录日志和预配日志列为身份监控的重要数据来源：审计日志主要记录租户内执行过的每一项任务，登录日志则用于分析用户与客户端应用的身份认证活动。
这意味着，审计账号安全不能只关注“谁登录了”，还需要回答“账号发生了什么变化”“谁授予了权限”以及“权限变化后是否出现异常访问”。
在混合环境中，企业通常需要同时关注三类数据：
- 本地 AD 事件：用户创建、删除、启用和禁用，组成员变更，管理员权限调整，组织单位（OU）与组策略对象（GPO）配置修改，以及域控制器上的登录和认证相关事件。
- 云端 Entra ID 事件：用户与组变更、目录角色分配、应用注册与权限调整、条件访问策略变化，以及成功或失败的登录活动。
- 身份同步与关联信息：同一用户在本地与云端的身份映射、同步状态、事件时间、操作主体和目标对象。
需要注意，身份同步不等于日志同步。即使本地 AD 与 Entra ID 已经通过 Microsoft Entra Connect 等机制建立同步关系，也不能据此认定两侧的审计记录已经自动整合。身份数据的同步与审计数据的采集、存储和关联，是两项不同的工作。
二、混合身份审计最容易出现的三个盲区
1. 本地权限变更与云端异常登录无法串联
假设某个用户在本地 AD 中被加入高权限组，随后出现来自异常地点的云端登录。如果两侧日志分别由不同管理员查看，调查人员需要手动核对用户名、时间和操作记录，才能判断两件事是否有关联。
单独看到组成员变更，并不能证明后续登录一定由该变更引起；单独看到异常登录，也无法直接说明权限是如何获得的。真正有价值的是把这些事件放在同一条调查时间线上，进一步核实身份映射、权限变化与访问行为之间的联系。
2. 云端审计覆盖了登录，却遗漏了关键配置变化
企业排查账号风险时，往往优先查看登录失败、异常 IP 或多因素认证（MFA）情况，却忽略应用权限、目录角色、身份验证方法和条件访问策略的调整。
微软官方文档指出，Entra ID 审计日志可以记录用户、组、应用和许可证等对象的变更；相关日志详情还可能包含操作主体、目标资源以及属性变更前后的值。
因此，混合身份审计不能仅围绕登录日志展开，还应关注可能改变访问边界的配置事件。例如，管理员角色被分配、应用凭据被修改、条件访问策略被调整，都值得纳入审计范围。
3. 日志分散、留存不足，导致事后无法还原
本地 Windows 事件日志、Entra ID 登录记录和目录审计记录可能分布在不同控制台，保留周期也可能不同。一旦关键日志已经过期、被覆盖，或者没有及时导出，安全团队就可能无法还原事件发生的完整过程。
微软文档明确给出了云端日志的默认保留期限：Microsoft Entra ID Free 版审计日志与登录日志保留 7 天，P1 与 P2 版保留 30 天，超出保留期的数据需要提前通过 Azure Monitor、存储账户或事件中心等机制导出归档。换句话说，云端日志的可用性受数据保留策略约束，并不会永久保存。
企业应根据调查需求和适用法规，规划日志采集、保留、检索与归档策略。不要默认云端日志会永久保存，也不要把某个控制台能够查询的时间范围等同于企业完整的审计留存周期。
三、如何建立本地 AD + Entra ID 统一审计方案？
有效的混合身份审计，不只是把日志集中到一个界面，还需要让调查人员能够识别关键事件、核对身份、还原时间顺序。建议分四步推进。
第一步：明确本地与云端的审计对象
本地 AD 重点关注账号生命周期、组成员关系、管理员权限、OU 和 GPO 变更，以及域控登录活动；云端则需要关注用户和组变更、目录角色、应用权限、条件访问策略和登录行为。
企业可以根据账号类型和业务重要性划分审计范围，优先覆盖域管理员、云端全局管理员、服务账号、关键应用账号以及离职人员账号。
第二步：建立可用于调查的混合身份时间线
建议统一记录以下字段：事件时间、操作主体、目标账号或对象、操作类型、来源环境、结果和相关标识。
调查时，应将本地权限变化、身份同步记录和云端登录事件按时间排序，再核对用户标识、同步关系、来源 IP、设备、认证方式等信息。若存在时钟偏差、身份映射不一致或日志缺失，也应明确标记。
这里需要区分“时间上相邻”和“已证实存在因果关系”。统一时间线可以帮助缩小调查范围，但不能仅凭事件发生先后，就认定某次权限变更直接导致了异常访问。
第三步：建立异常事件告警与调查流程
针对高风险身份，企业可以为管理员组成员变化、敏感策略调整、异常登录、账号锁定和高权限账号启停等事件配置告警。
告警规则需要结合企业实际情况调整，避免因正常批量操作或维护任务产生大量误报。同时，应明确事件由谁复核、如何升级、需要保留哪些证据，以及如何形成审计报告。
第四步：验证日志覆盖与留存策略
在正式上线前，建议通过模拟账号创建、组成员调整、管理员权限变更和异常登录等场景，验证事件是否能够被正确采集、检索和告警。
还应核对本地审核策略、云端日志授权、采集连接状态、日志保留周期和归档机制。对于需要长期留存的审计记录，应提前设计导出或集中存储方案，而不是等到调查发生后再补建。
四、ADAudit Plus：本地 AD 与 Entra ID 混合审计工具推荐
对于希望减少多平台切换、提高身份事件调查效率的企业，ManageEngine ADAudit Plus 是一款面向 Active Directory、Microsoft Entra ID 及相关 IT 环境的审计软件。提供 250 多种报表，可用于查看 AD 对象变更、登录行为和文件服务器活动等信息，官方文档也列出了本地 AD 与 Entra ID 的审计配置指南。
在混合身份审计场景中，可以重点评估以下能力：
本地与云端身份变更审计。监控本地 AD 中的用户、组、OU、GPO 等对象变化，并审计 Entra ID 中相关的目录变更与登录活动，帮助管理员从统一的审计入口调查两侧事件。
登录活动与账号风险分析。结合成功或失败的登录记录、账号锁定信息和异常活动告警，帮助 IT 团队缩小排查范围。对于本地与云端出现的相似异常，应进一步核对身份映射和事件上下文，避免仅凭用户名相同就直接关联。
变更报表与审计证据。利用预置报表查看关键对象的变化记录，为权限复核、内部审计和安全事件调查提供依据。具体报表字段、云端事件覆盖范围及留存能力，应以实际版本和配置为准。
从身份审计扩展到服务器与文件活动。如果企业还需要追踪 Windows 服务器登录、文件访问、文件删除及权限变化，可进一步评估 ADAudit Plus 对相关数据源的支持，减少身份审计与文件审计之间的工具割裂。
产品选型时，需要确认 Entra ID 所需日志类型、租户授权与连接权限、版本功能、告警规则、数据保留方式，以及本地部署环境的容量要求。需要明确的是，ADAudit Plus 可以帮助集中审计与分析相关活动，但不能替代 Entra ID 原生身份治理、条件访问控制、身份同步健康检查或完整的 SIEM（安全信息和事件管理）关联分析平台。
五、企业如何判断混合 AD 审计方案是否有效？
评估方案时，不宜只看支持多少种日志源，更应通过实际事件验证调查链路是否完整。建议从以下四个方面开展验收：
| 验收维度 | 检查要点 |
|---|---|
| 覆盖度 | 本地 AD 与 Entra ID 的关键变更、登录和高权限操作是否纳入审计 |
| 关联度 | 是否能依据账号标识、时间、操作主体和目标对象，辅助还原本地与云端事件顺序 |
| 时效性 | 关键变更和异常登录能否按预期触发告警，告警是否存在明显延迟或过多误报 |
| 可追溯性 | 是否能够检索历史事件、查看必要的变更详情，并按企业策略导出和留存审计证据 |
如果企业当前仍依赖管理员分别登录本地域控和云端控制台、人工拼接事件记录，那么统一审计工具的价值不只是减少操作步骤，更在于建立可重复执行的调查流程。
结语
本地 AD 与 Microsoft Entra ID 混合环境的安全审计，核心不是简单汇总两类日志，而是建立从身份变更、权限调整到登录活动的可追溯调查链路。企业应结合日志覆盖、身份映射、告警准确性和留存要求设计方案。
常见问题（FAQs）
- 身份同步是否等于审计日志同步？
不等于。Microsoft Entra Connect 等机制同步的是身份数据（账号、属性、组成员关系等），而审计日志的采集、存储和关联需要单独设计和配置。即使两侧身份已同步，本地 AD 事件与 Entra ID 事件仍分散在不同平台，需要建立统一的采集与时间线才能开展关联调查。
- 混合身份审计应该优先覆盖哪些账号？
建议优先覆盖域管理员、云端全局管理员、服务账号、关键应用账号以及离职人员账号。这些账号一旦被滥用或配置不当，影响范围较大。在此基础上，再根据业务重要性逐步扩展到普通用户账号和常规登录活动的审计。
- ADAudit Plus 能替代 Entra ID 原生审计日志吗？
不能。Entra ID 原生审计日志仍是云端身份事件的基础数据来源。ADAudit Plus 的价值在于把本地 AD 与云端事件集中到统一入口，提供查询、报表、告警和变更追踪能力，减少多平台切换。
相关文章推荐
