Explanation:
ボックス1：ユーザー管理はオンプレミスで行われます。Azure ADは、オンプレミスのパスワードを使用して従業員を認証します。
ハイブリッド組織向けのAzureADドメインサービス
ハイブリッドITインフラストラクチャを使用している組織は、クラウドリソースとオンプレミスリソースを組み合わせて消費します。このような組織は、オンプレミスディレクトリからAzureADテナントにID情報を同期します。ハイブリッド組織は、より多くのオンプレミスアプリケーション、特にレガシーディレクトリ対応アプリケーションをクラウドに移行しようとしているため、AzureADドメインサービスが役立つ場合があります。
例：Litware Corporationは、オンプレミスディレクトリからAzure ADテナントにID情報を同期するために、Azure ADConnectを展開しました。同期されるID情報には、ユーザーアカウント、認証用の資格情報ハッシュ（パスワードハッシュ同期）、およびグループメンバーシップが含まれます。

Litwareのオンプレミスディレクトリのユーザーアカウント、グループメンバーシップ、および資格情報は、Azure ADConnectを介してAzureADに同期されます。これらのユーザーアカウント、グループメンバーシップ、および資格情報は、管理対象ドメイン内で自動的に使用可能になります。
ボックス2：ユーザー管理はオンプレミスで行われます。オンプロミスのドメインコントローラーは、従業員の資格情報を認証します。
オンプレミス環境をAzureADとフェデレーションし、このフェデレーションを認証と承認に使用できます。このサインイン方法により、すべてのユーザー認証がオンプレミスで確実に行われます。

参照：
https://docs.microsoft.com/en-us/azure/active-directory-domain-services/active-directory-ds-overview
https://docs.microsoft.com/en-us/azure/active-directory/hybrid/whatis-fed