Quando o PTA é ativado, cada logon que ocorre contra o Azure AD é redirecionado para o Agente PTA no local. O Agente PTA pergunta a um controlador de domínio do Active Directory no local se uma senha é válida para uma conta autenticada. Se válido, o Agente PTA responde ao Azure AD para conceder acesso ao solicitante. A Figura 1 fornece o fluxo de trabalho da Autenticação de Passagem e onde os AADInternals podem interceptar a solicitação.