今年是塑造了身份同步的一年。当中小型企业批量地迁移到云上，另一些企业将一些工作流放在云端，将一些应用保留在本地，管理员对于用户名和密码的同步是很挣扎的。因此，你如何保证用户只拥有一个身份而且在整个雇佣生命周期内都被合理地管理呢？

在Azure云内，管理员可以使用Microsoft Identity Manager 2016。最新的版本旨在全面管理本地的Active Directory森林和Azure Active Directory实例之间身份同步的管理。它改善了用户对一些问题的处理能力，比如自助密码管理，动态组成员（能让用户对自己或别人在某些安全组内进行增加和移除）；可受森林管理员或其他的指派者委托；更简单的证书管理（如果能成为可能）。最后Microsoft Identity Manager 2016增加了报告和审计功能，因此管理员可以看到谁在做什么，他们在使用什么服务以及这些服务所运行的环境。

Identity Manager 的功能

Identity Manager 2016的特点是它的连接性。它能连接两个方向，因此一个用户可以在两个地方享用同一个账号，任何（账号）变更会自动进行同步。Identity Manager比起本地Active Directory具有更强的扩展性，因为它可以与SAML和其他联合技术一起为很多应用提供单点登录和授权的功能，其中包括了第三方服务例如DocuSign、合约签署服务和Saleforce。

当然，所有前身产品Forefront Identity Manager 2010 R2能支持的功能在Identity Manager 2016中也会得到支持，比如允许管理员自动创建Windows账号。同时你非常有用的检测，你可以设置SID历史审计来检测非法的行为。管理员也可以通过对权限重或比较敏感的组关系进行设置，来看是否有人在没有授权的情况下通过某种途径将自己加到管理员组中。

Identity Manager 2016也可以与Windows Server 2016的新功能协同工作，例如受时间限制的组成员功能。同时Identity Manager 2016包含了新的PowerShell cmdlets，其中一部分新引入的PowerShell支持Just Enough Administration模型（或者称之为JitJea），它可以使在正确的时候给予足够的权限来执行某一件事情。JitJea可以防范受感染的用户账号以及其他威胁。

微软在交互方面下了很大功夫，Identity Manager 2016通过脚本或者app表格的方式提供了RESTful APIs来服务于第三方，使其能调用工具来执行类似添加授权、处理组成员关系和其他身份管理任务。Identity Manager也可以与Oracle和PeopleSoft等应用以及其他基于标准认证的工具（例如Linux和Unix上的PAM）进行协作。

可用性、价格和许可证

Identity Manager 2016是基于用户接入客户端来计算许可的，管理员如果购买Enterprise Mobility Suite还能获得IM 2016的许可。Enterprise Mobility Suite包含了Active Directory Premium，确保边界区域数据安全的Azure Rights Management，基于云，可以统一管理Windows设备和未加域机器的Microsoft Intune。

在服务器端，最好购买带有Software Assurance的Windows Server许可，这种订阅可以提供额外的权利，并且会包含原许可协议日期起一到两年的更新，也会包含需要安装在Identity Manager 2016上的连接器部件。很多公司都购买了Windows Server许可证，但是将Software Assurance作为一种需求，有时候会需要额外付出30%到60%的许可证费用，这可能会让一些企业放弃Identity Manager 2016。

Identity Manager 2016一般来说随时可以在微软网站上下载，并且在今年晚一些的时候微软将会公布关于如何使用模板安全部署IM 2016的部署套件。