Autenticação de usuário remoto com o Active Directory vs. o diretório do Azure

Question

Estou um pouco confuso sobre as complexidades topológicas adicionadas que parecem ser defendidas ao projetar autenticação remota para o Active Directory.

Eu quero fazer logon único para todos os computadores em todos os aplicativos para usuários internos e externos. À primeira vista, faria sentido apenas encaminhar as portas adequadas para o meu servidor de diretório ativo local.

Então, eu poderia fazer o seguinte:

1. Quando meu site quer autenticar um usuário, o site só faria um ping no meu IP externo na porta correta e funcionaria.
2. Quando alguém deseja conectar um servidor ou estação de trabalho à rede remotamente, basta criar uma conexão VPN.

Isso parece bastante simples. No entanto, parece que outros defendem a criação de um servidor de diretório ativo local que replique o diretório do diretório inicial. Qual é a razão para isso?

Além disso, com o Azure Directory, ele deseja criar uma conexão de serviços federados com meu servidor de diretório ativo local - teoricamente, seria possível usar o Azure como meu diretório principal e autenticar todas as estações de trabalho, servidores, etc. usá-lo?