Migracja Active Directory (AD) wpływa na codzienną pracę ludzi: logowanie i autoryzacja dostępu do poczty, aplikacji, plików i urządzeń. Jeśli model tożsamości zaprojektujesz źle, to nie będzie to „drobna awaria”, tylko realne ryzyko utraty dostępu do kluczowych zasobów lub udostepnienie kluczowych zasobów dla osób które dostępu absolutnie mieć nie powinny.
Drugi częsty błąd to próba przeniesienia środowiska „1:1”, bez porządków. Wtedy do nowego modelu dostępu zabierasz stare konta, nadmiarowe grupy, nieaktualne uprawnienia i zależności, które generują koszty utrzymania, wprowadzają bałagan i generują ryzyko i na pewno zostaną wytknięte przy każdym audycie.
W ISCG prowadzimy organizacje przez transformację tożsamości w ekosystemie Microsoft. Poniżej masz trzy najczęstsze scenariusze architektury oraz listę pułapek, które warto zamknąć zanim projekt wejdzie w fazę wdrożenia.
Dlaczego migracja AD to najlepszy moment na porządki w tożsamości?
Migracja AD rzadko jest celem samym w sobie. Najczęściej jest koniecznym krokiem do wdrożenia Microsoft 365, wdrożenia podejścia Zero Trust lub nowego sposobu kontroli dostępu. W praktyce tożsamość staje się „centrum sterowania”: kto ma dostęp, skąd, na jakim urządzeniu i na jakich warunkach.
Zanim pójdziesz dalej, uporządkuj rzeczy, które później wracają jak bumerang:
- konta i grupy (wprowadź spójną konwencje nazewniczą, określ co naprawdę jest używane, a co jest „spadkiem po nieżyjących przodkach”),
- uprawnienia uprzywilejowane i dostęp do krytycznych zasobów,
- standard logowania (MFA jako minimum, zasady dostępu zależne od ryzyka),
- zależności aplikacji (czy potrzebują domeny, czy po prostu „tak było zawsze”).
Efekt jest prosty: mniej niespodzianek w pilotażu i mniejsze ryzyko w dniu przełączenia.
Trzy scenariusze docelowe, które spotyka się najczęściej
1) Hybryda: AD on-prem + Entra ID
Najczęstszy wybór w organizacjach z historią i zależnościami on-prem (aplikacje, serwery plików, urządzenia). Entra ID jest „dopięte” do lokalnego AD, a synchronizacja działa przez Entra Connect albo (w części scenariuszy) Cloud Sync.
Hybryda ma sens, gdy:
- masz aplikacje zależne od AD DS / domeny i nie zmodernizujesz ich szybko,
- część infrastruktury zostaje on-prem na dłużej,
- chcesz przejść etapami: porządek w tożsamości i dostępach → stopniowa redukcja on-prem.
2) Cloud-only: Entra ID jako podstawowa tożsamość
Model cloud-only działa najlepiej, gdy organizacja opiera się o SaaS, nowoczesne logowanie i zarządzanie urządzeniami przez Intune (Entra join / Autopilot). To podejście jest zwykle najprostsze operacyjnie — o ile nie ma twardych zależności domenowych.
Cloud-only ma sens, gdy:
- większość aplikacji wspiera SSO i nowoczesne protokoły,
- urządzenia mogą być Entra-joined i zarządzane centralnie,
- pliki i współpraca są w SharePoint/OneDrive/Teams.
Ważne doprecyzowanie: cloud-only jest realne, jeśli nie masz krytycznych zależności typu LDAP/Kerberos/NTLM czy domenowe GPO. Jeśli masz — przejdź do scenariusza 3.
3) Cloud-first z legacy: Entra ID + Entra Domain Services
To częsty „pomost”: chcesz ograniczyć własne kontrolery domeny, ale wciąż masz aplikacje lub VM-y wymagające AD DS (domain join, LDAP, Kerberos/NTLM, Group Policy).
Entra Domain Services daje te funkcje jako usługę zarządzaną — bez utrzymywania własnych DC w chmurze.
Rozważ ten wariant, gdy:
- potrzebujesz LDAP/Kerberos/NTLM dla części systemów,
- chcesz uniknąć stawiania i utrzymania własnych DC w Azure,
- modernizujesz aplikacje etapami, ale nie chcesz blokować transformacji.
Entra Connect czy Cloud Sync — krótko i praktycznie
W hybrydzie szybko pojawia się pytanie: „Connect czy Cloud Sync?”. To decyzja techniczna, ale wpływa na plan migracji i ryzyka operacyjne.
W skrócie:
- Entra Connect częściej spotyka się w starszych i rozbudowanych środowiskach oraz projektach „z historią”.
- Cloud Sync bywa wygodny w nowszych wdrożeniach, gdy zależy Ci na prostszej architekturze agentowej i zarządzaniu bliżej Entra.
Jeśli nie masz pewności, to jeden z tematów, które warto rozstrzygnąć na etapie readiness — przed pilotażem.
Planujesz konsolidację lub migrację Active Directory?
Zróbmy szybki przegląd zależności i wybierzmy scenariusz (trusty / migracja / standaryzacja), zanim projekt wejdzie w kosztowne poprawki.
Najczęstsze pułapki projektowe i jak ich uniknąć
1) Oparcie migracji o ADMT bez planu alternatywnego
ADMT ma ograniczenia i nie jest zgodny z nowymi wersjami systemów. W praktyce to narzędzie nie powinno być „jedyną drogą”.Najtrudniejsze problemy zwykle wychodzą przy profilach użytkowników na urządzeniach.
Jak podejść bezpiecznie: traktuj ADMT jako opcję, a nie fundament. Zaplanuj wariant B (szczególnie dla urządzeń i profili).
2) Konflikty UPN/domen w tenant-to-tenant i brak mapowania tożsamości
W migracjach cross-tenant największe problemy biorą się z nieprzygotowanych zmian UPN, aliasów i domen. Jeśli nie masz mapowania tożsamości, ryzykujesz problemy z dostępem po przełączeniu.
Jak podejść: ustal docelowe UPN, domeny i strategię mapowania zanim dotkniesz harmonogramu.
3) Przenoszenie GPO „w całości”
Stare GPO to często lata wyjątków i ustawień „po drodze”. Kopiowanie 1:1 zwykle kończy się niestabilnością stacji i długim „odkręcaniem”.
Bezpieczniej: wybierz polityki krytyczne, odtwórz je świadomie i dopasuj do docelowego modelu zarządzania (np. Intune).
4) Zostawienie kont uprzywilejowanych na koniec
Konta adminów i zasady dostępu do nich powinny wejść na listę „Priorytet 1”, a nie „Priorytet na później”. Jeśli zostawisz je na później, rośnie ryzyko poważnych błędów w trakcie projektu.
Identity-readiness w 2–4 tygodnie: plan, który domyka decyzje
Tydzień 1: inwentaryzacja i zależności
Tydzień 2: porządki w tożsamości
Tydzień 3: model docelowy i pilot
Tydzień 4: harmonogram i plan przełączeń
Jak zacząc bez przeciągania projektu - checklista startowa
Żeby zaproponować sensowną architekturę i harmonogram, zwykle wystarczy:
- liczba użytkowników, urządzeń i serwerów w domenie,
- lista aplikacji i sposób uwierzytelniania (ADFS/LDAP/SSO),
- cel biznesowy: fuzja, podział, konsolidacja, odchodzenie od serwerowni,
- model zarządzania urządzeniami (SCCM/Intune/inne),
- zależności legacy: domain join, LDAP, Kerberos/NTLM, GPO — jeśli są, rozważ Entra Domain Services jako pomost.
To pozwala szybko ustalić scenariusz i plan prac bez wielotygodniowej fazy wstępnej.
FAQ – Najczęstsze pytania o migrację Active Directory
Czy podczas migracji użytkownicy stracą dostęp do komputerów i plików?
Nie musi tak być. Najbezpieczniejsze jest podejście etapowe: pilot, stopniowe przełączanie i utrzymanie dostępu w okresie przejściowym. Największe ryzyko wynika zwykle z nieprzygotowanego modelu tożsamości, nie z samego „dnia przełączenia”.
Czy cloud-only oznacza, że nie potrzebujemy już „domeny”?
Cloud-only jest możliwe, jeśli aplikacje i urządzenia nie wymagają klasycznych usług AD DS. Jeśli potrzebujesz LDAP/Kerberos/NTLM, domain join lub domenowych polityk, często sprawdza się Entra Domain Services jako pomost.
Co to jest Entra Domain Services i kiedy ma sens?
To zarządzana usługa domenowa w Azure, która zapewnia m.in. domain join, Group Policy, LDAP oraz Kerberos/NTLM bez utrzymywania własnych kontrolerów domeny.
Entra Connect czy Cloud Sync — co wybrać?
Zależy od wymagań środowiska i scenariusza hybrydowego. W praktyce wybór wpływa na plan migracji i ryzyka operacyjne, dlatego warto go rozstrzygnąć przed pilotażem.
Czy ADMT to dobry wybór do migracji domen?
Ma ograniczenia i nie jest rozwijany pod nowsze systemy. Jeśli go używasz, miej plan alternatywny — szczególnie dla urządzeń i profili.
Co jest najczęstszym ryzykiem w tenant-to-tenant?
Nieplanowane zmiany UPN/domen i brak mapowania tożsamości. Jeśli tego nie rozpiszesz wcześniej, problemy zwykle wychodzą po przełączeniu.
Porozmawiajmy o docelowej architekturze tożsamości i planie migracji
Poznaj nasze pozostałe usługi
Aplikacje biznesowe
Usługi dla aplikacji oraz gotowe rozwiązania w obszarze cyfryzacji procesów i nowoczesnego środowiska pracy.
Nowoczesne i kompleksowe wsparcie w obszarze cyberbezpieczeństwa dla Twojej firmy.
Cyberbezpieczeństwo
Pełne wsparcie i optymalizacja infrastruktury IT, zapewniające stabilny rozwój Twojego biznesu.
Infrastruktura IT
Bezpieczeństwo wdrożenia i utrzymania usług Microsoft 365 oraz Azure, które umożliwiają elastyczne zarządzanie i optymalizację kosztów.