用途：Microsoft Entra ID（原 Azure AD）是负责云身份与访问管理的服务，用于为用户、设备和工作负载提供身份认证，也是零信任的控制平面。本技能聚焦身份基础配置：租户与用户/组、认证方法、应用 SSO、与本地 Active Directory 的混合身份。官方建议在配置条件访问、Identity Protection 或 PIM 前先打好 Entra ID 基线。它不适用于基于风险的登录检测、策略强制、即时管理员角色或生命周期工作流等场景。
主要能力：提供“目标到控件”的映射表，例如本地 AD 用户同步选 Entra Cloud Sync（新部署首选）或 Connect Sync；无密码方案按 Passkeys（FIDO2）> Windows Hello for Business > Microsoft Authenticator 排序；SaaS 单点登录用企业应用程序（OIDC 优先于 SAML）；自助密码重置用 SSPR 加云写回（需 P1）；委派管理可用管理单元配合自定义角色；应用调 Microsoft Graph 需应用注册并遵循最小权限。
必要用法与验证：需先决定纯云还是混合身份并统一命名规范，默认阻止租户级来宾邀请；混合身份建议用 Entra Cloud Sync，仅在需要 PHS 与写回时用 Connect Sync；认证方法通过认证方法策略管理，按 Authenticator（推送加号码匹配）→ 托管设备上的 WHfB → 管理员 FIDO2 → 全面推广的次序推进，并停用短信作为主要方式。资料给出的验证方式包括 Get-MgPolicyAuthorizationPolicy、Get-MgDirectoryOnPremisesSynchronization 等命令，以及用户注册详情报告中超过 90% 用户具备至少一种抗钓鱼方法等指标。
适用场景与限制：适用于企业身份基线的规划与落地，包括混合同步、无密码迁移、应用同意治理、SSPR、动态组和应急账户。限制方面：SSPR 写回需要 Entra ID P1，资料未提供其他价格与收费信息；应急账户须两个纯云账户、仅用 FIDO2 硬件密钥、排除于所有条件访问策略之外并监控每次登录；应避免新建 AD FS 部署；需阻止旧版身份验证（POP、IMAP、SMTP AUTH、基本认证）；应用同意须经管理员审批流程；管理员账户不宜仅依赖基于组的许可。其他具体平台支持、配额与效果数据暂未提供。