Password Hash Synchronization vs Pass-Through Authentication: выбор подходящего метода гибридной идентификации

By Mirko Peters · 2026-08-15

Сравните Password Hash Synchronization и Pass-Through Authentication в Microsoft Entra Connect. Выберите подходящий метод гибридной идентификации для вашей организации.

Automatically translated with AI from the original post. Read the English original

Выбор правильного метода аутентификации в Microsoft Entra Connect имеет решающее значение для успеха гибридной идентификации. В этом подробном обзоре сравниваются Password Hash Synchronization и Pass-Through Authentication, анализируются их архитектура, последствия для безопасности и преимущества в отказоустойчивости, чтобы помочь ИТ-администраторам выбрать оптимальный подход для их среды.

Главное

• Password Hash Synchronization позволяет Microsoft Entra ID выполнять облачную аутентификацию самостоятельно, не обращаясь к локальному Active Directory при каждом входе.
• Pass-Through Authentication направляет запросы на облачный вход через защищённые локальные агенты, поэтому Active Directory участвует в каждой проверке пароля.
• Облачная отказоустойчивость — главное преимущество Password Hash Synchronization: входы продолжают работать, даже если локальная сеть или контроллеры домена временно выходят из строя.
• Требования безопасности организации, нормативные требования и зависимости инфраструктуры должны определять, выбрать ли облачную аутентификацию или локальную проверку.

Понимание моделей гибридной аутентификации

Когда организации переносят рабочие нагрузки в Microsoft 365, сохраняя локальную инфраструктуру Active Directory, они входят в мир гибридной идентификации. Одно из самых фундаментальных архитектурных решений, которое ИТ-администратор должен принять на этом пути, — определить, как пользователи будут проходить аутентификацию. Синхронизация гарантирует, что записи об идентификации совпадают в вашей локальной «комнате записей» и в облачной «стойке регистрации», а аутентификация — это активная проверка, подтверждающая, что пользователь действительно тот, за кого себя выдаёт.

Microsoft Entra Connect поддерживает несколько способов подключения локального каталога к облачной аутентификации. Однако организации часто затрудняются выбрать между двумя основными методами: Password Hash Synchronization (PHS) и Pass-Through Authentication (PTA). Каждый подход по-разному выполняет проверку пароля, создаёт уникальные зависимости доступности и влияет на общую отказоустойчивость вашего современного рабочего места.

Password Hash Synchronization: подробное описание

Несмотря на тревожное название, которое поначалу часто настораживает специалистов по безопасности, Password Hash Synchronization на самом деле является самым широко применяемым и рекомендуемым методом аутентификации для сред Microsoft 365. Entra Connect не копирует читаемый пароль сотрудника в открытом виде в облако. Вместо этого Active Directory хранит информацию о паролях в сильно защищённом, хешированном формате.

Во время синхронизации Entra Connect берёт эту защищённую информацию, применяет дополнительный криптографический шаг защиты и синхронизирует полученный хеш с Microsoft Entra ID. Когда сотрудник пытается войти в Teams, Exchange Online или SharePoint, Microsoft Entra ID напрямую сверяет введённый пароль с этим синхронизированным хешем. Локальной инфраструктуре Active Directory не нужно участвовать в каждом отдельном запросе облачного входа.

Преимущества в отказоустойчивости и производительности

Главное преимущество Password Hash Synchronization — архитектурная устойчивость. Поскольку аутентификация полностью выполняется в облаке Microsoft, пользователи могут продолжать входить в систему и работать с облачными приложениями для повышения производительности, даже если ваш локальный дата-центр выйдет из строя, контроллеры домена станут недоступны или соединение между офисом и локальной сетью будет временно прервано. Для современных компаний, в которых работают удалённые сотрудники, мобильные устройства и распределённые филиалы, такая проверка в облаке снимает критические узкие места и снижает зависимость от постоянно работающей локальной инфраструктуры.

Механика сквозной аутентификации (Pass-Through Authentication)

Pass-Through Authentication построена на принципиально иной архитектурной модели. При этом подходе, когда сотрудник вводит учётные данные в приложение Microsoft 365, Microsoft Entra ID получает запрос на вход, но не может проверить пароль самостоятельно. Вместо этого Entra ID передаёт запрос защищённым программным агентам, установленным на серверах внутри вашей корпоративной сети.

Эти агенты PTA проверяют пароль напрямую по вашим локальным контроллерам домена Active Directory, после чего отправляют в облако ответ «да» или «нет». По сути, ваша локальная среда сохраняет полный контроль над проверкой пароля при каждом облачном входе.

Зависимости от инфраструктуры и риски

Pass-Through Authentication удовлетворяет специфическим требованиям комплаенса или внутренним политикам, которые предписывают участие локального каталога при каждом входе, однако это создаёт существенные операционные зависимости. Если локальная сеть выйдет из строя, если агенты PTA откажут или если контроллеры домена перестанут отвечать, облачный вход для всей организации может полностью остановиться. Для обеспечения высокой доступности необходимо развернуть несколько агентов аутентификации на разных локальных серверах, чтобы исключить единые точки отказа.

Как выбрать подходящий метод для вашей организации

Выбор между Password Hash Synchronization и Pass-Through Authentication требует трезвой оценки бизнес-требований вашей организации и допустимого уровня риска. Если ваши главные цели — высокая доступность, минимальные накладные расходы на локальную инфраструктуру и бесперебойная работа в облаке для удалённых сотрудников, Password Hash Synchronization почти always подходит лучше всего. Он устраняет ненужные зависимости аутентификации и при этом сохраняет высокие стандарты безопасности.

И наоборот, если строгие регуляторные требования или внутренние политики управления явно предписывают, что проверка паролей ни при каких обстоятельствах не может происходить за физическими границами вашего корпоративного дата-центра, Pass-Through Authentication обеспечивает такой локальный контроль — при условии, что вы выделите необходимые ресурсы на поддержку надёжной инфраструктуры агентов. Чтобы глубже разобраться в основах гибридной идентификации и в том, как синхронизация работает на практике, обязательно послушайте полный выпуск с экспертными рекомендациями и практическими стратегиями.

Часто задаваемые вопросы

Хранит ли Password Hash Synchronization пароли в открытом виде в облаке?

Нет. Password Hash Synchronization обрабатывает защищённые хеши паролей из вашего локального Active Directory и отправляет в Microsoft Entra ID зашифрованную хешированную версию. Пароли в открытом виде никогда не синхронизируются и не хранятся в облаке.

Могут ли пользователи входить в Microsoft 365 во время сбоя локальной сети при использовании PHS?

Да. Поскольку Microsoft Entra ID проверяет аутентификацию напрямую, используя синхронизированные хеши паролей, облачный вход продолжает работать, даже если ваши локальные контроллеры домена Active Directory или офисные сети полностью недоступны.

Что произойдёт, если мои агенты Pass-Through Authentication перестанут работать?

Если все агенты Pass-Through Authentication потеряют связь или выйдут из строя, пользователи не смогут входить в облачные службы Microsoft 365, поэтому резервное развёртывание агентов необходимо для обеспечения непрерывности бизнеса.

Выполняет ли Entra Connect многофакторную аутентификацию и условный доступ?

Нет. Entra Connect управляет синхронизацией идентификаторов и подключением методов аутентификации. Многофакторная аутентификация (MFA) и политики условного доступа применяются непосредственно Microsoft Entra ID после того, как происходит первичная проверка при входе.