2. 租户创建与初始配置

Entra ID 租户是 Azure 身份体系的根容器，它决定了目录边界、身份数据存储位置、默认域名以及全局管理员的归属。一个组织可以拥有多个租户，但每个租户在逻辑上彼此隔离，用户、组、应用注册、条件访问策略都不会跨租户自动共享。因此，在正式接入生产负载之前，先把租户创建、域名绑定、品牌呈现和紧急访问账户配置好，是后续所有权限与治理工作的前提。

创建租户：选择正确的入口与初始管理员

创建 Entra ID 租户通常有两种入口：一是通过 Azure 门户的“Microsoft Entra ID → 管理租户 → 创建租户”，二是通过 Microsoft 365 管理中心或 Entra 管理中心直接创建。两者最终都会生成一个独立的目录，但前者更适合以 Azure 资源管理为中心的场景。创建时需要填写组织名称、初始域名（形如 contoso.onmicrosoft.com）以及国家或地区。国家或地区一旦确定，会影响部分数据驻留和合规选项，因此应按照组织实际注册地选择，而不是随意填写。

创建过程中系统会要求指定第一位全局管理员。该账户通常使用初始 onmicrosoft.com 域名，例如 admin@contoso.onmicrosoft.com。这个账户是租户的“根管理员”，拥有最高权限，因此不应作为日常运维账户使用。建议在创建完成后立即创建至少一个命名规范的管理员账户，并将初始账户保留为紧急用途或按策略禁用。创建完成后，可以在 Entra 管理中心的“概述”页看到租户 ID、主域名和许可证状态，这些信息在后续配置联合身份、注册应用或排查登录问题时都会用到。

配置自定义域名：验证所有权并设为默认

初始 onmicrosoft.com 域名可以立即使用，但它不适合作为对外身份标识。企业通常会把已注册的公共域名（如 contoso.com）添加到租户中，使用户的 UPN 和邮箱地址与品牌一致。添加自定义域名的核心是“证明你拥有该域名”，Entra ID 会生成一条 TXT 记录，要求你在 DNS 服务商处添加。验证通过后，还可以按需添加 MX、CNAME 等记录，用于邮件路由或联合身份。

添加域名的操作路径是：Entra 管理中心 → 域名 → 添加自定义域名 → 输入域名 → 获取 TXT 记录 → 在 DNS 中添加 → 验证。验证成功后，域名状态会变为“已验证”。此时还需要决定是否将其设为默认域名。默认域名会影响新用户创建时的默认 UPN 后缀，但不会自动修改已有用户的 UPN。若组织有多个域名，应把最常用的主域名设为默认，其余域名按业务线或地区保留。

一个常见误区是：添加域名后直接创建用户，却发现 UPN 仍是 onmicrosoft.com。这是因为创建用户时没有手动选择域名。正确做法是在创建用户时，在“用户名”下拉框中选择已验证的自定义域名。对于已有用户，可以通过批量导入或 PowerShell 修改 UPN，但修改后用户的登录标识会变化，需要同步通知用户并检查依赖旧 UPN 的应用配置。

公司品牌：让登录页与访问面板呈现组织标识

公司品牌配置影响的是用户登录、访问面板和错误页面的视觉呈现。它不会改变身份验证逻辑，但会显著影响用户对钓鱼页面的辨识能力，也能降低“这是不是官方登录页”的困惑。配置入口在 Entra 管理中心的“公司品牌和自定义”中，可以上传背景图、横幅 logo、方形 logo，并设置登录页背景色、文本颜色和“保持登录”提示等。

品牌配置的关键不是“好看”，而是“一致且可识别”。建议使用组织官方 logo 的浅色和深色两个版本，避免在深色背景上使用深色文字。登录页背景图建议控制在 1920×1080 以内、文件小于 300 KB，否则会影响加载速度。配置完成后，可以通过“预览”功能查看不同语言和不同设备下的效果。需要注意的是，品牌配置对全局生效，但不会覆盖条件访问或外部身份提供商的登录页；如果使用了联合身份或第三方 IdP，最终用户看到的页面可能由外部系统决定。

紧急访问账户：为“锁死自己”预留后门

紧急访问账户（Emergency Access Account，也称 Break Glass Account）是租户治理中最重要的安全冗余之一。当条件访问策略配置错误、MFA 服务不可用、联合身份提供方故障或全局管理员被意外锁定，普通管理员可能无法登录。此时，紧急访问账户可以绕过部分策略，恢复对租户的控制。微软建议每个租户至少保留两个紧急访问账户，且它们应使用云原生账户（onmicrosoft.com 域名），不依赖本地 AD、不依赖联合身份、不依赖单一 MFA 设备。

紧急访问账户的配置要点包括：使用强密码并离线保管；排除在所有条件访问策略之外，或至少排除在“要求 MFA”和“要求合规设备”策略之外；不分配给具体个人，而是作为团队保管的凭据；启用登录监控，任何登录都应触发告警。可以在 Entra 的“登录日志”中筛选这些账户，或通过 Microsoft Sentinel、Azure Monitor 配置告警规则。需要强调的是，紧急访问账户不是“共享管理员账户”，它的使用必须伴随严格的审计和事后轮换流程。

配置顺序与常见问题

推荐的配置顺序是：先创建租户并确认初始管理员可用，再添加并验证自定义域名，然后配置公司品牌，最后创建紧急访问账户并配置监控。这个顺序的原因是：域名验证可能受 DNS 生效时间影响，品牌配置依赖租户已存在，而紧急访问账户需要在条件访问策略大规模启用之前就位，否则一旦策略锁死，可能连创建紧急账户的机会都没有。

常见问题包括：DNS TXT 记录未生效导致验证失败，通常需要等待几分钟到几小时；自定义域名与现有 Microsoft 365 租户冲突，需要先确认该域名是否已被其他租户占用；紧急访问账户被条件访问策略误伤，导致无法登录，因此必须在策略中显式排除；品牌配置上传的图片尺寸过大，导致登录页加载缓慢。对于这些问题，建议在变更前记录当前配置，变更后通过登录日志和审核日志确认行为符合预期。

可直接执行的初始配置检查清单