Introduction
Microsoft Entra Cloud Sync vient de recevoir une mise à jour qui change sa position face à Microsoft Entra Connect (anciennement Azure AD Connect). Jusqu'à présent, cet outil basé sur agent était perçu comme une alternative légère mais limitée pour synchroniser les identités d'Active Directory vers Entra ID. Les nouvelles capacités annoncées — synchronisation bidirectionnelle, writeback Exchange Hybrid, protection contre la suppression accidentelle — comblent une bonne partie de l'écart fonctionnel avec Entra Connect.
Ce qui suit détaille l'installation de l'agent, les trois scénarios de synchronisation disponibles, les nouveaux paramètres de configuration et les points de vigilance à connaître avant de basculer un environnement de production.
Contexte
Cloud Sync face à Entra Connect : ce qui a changé
Entra ID Cloud Sync repose sur un agent de provisionnement installé sur un serveur membre du domaine, sans nécessiter de serveur dédié à la synchronisation comme Entra Connect. Concrètement, l'agent interroge Active Directory et pousse les objets vers Entra ID via le service cloud, ce qui réduit la dépendance à une infrastructure on-premises figée.
Les limites historiques portaient sur :
- l'absence de synchronisation inversée (Entra ID vers AD) ;
- l'absence de writeback pour Exchange Hybrid ;
- l'absence de protection native contre les suppressions massives accidentelles ;
- une gestion des périphériques hybrides moins mature.
La mise à jour d'août 2026 traite chacun de ces points, avec un statut preview public pour certains scénarios.
Installer l'agent de provisionnement
L'agent se déploie depuis le portail Microsoft Entra, dans le module Entra ID > Cloud Sync. Deux points d'entrée existent : l'onglet Manage ou directement l'onglet Agents de Cloud Sync, via le bouton Download on-premises agent.
Télécharger et installer l'agent
Depuis l'onglet Agents, cliquez sur Download on-premises agent, acceptez la licence, puis lancez l'installation. Le processus prend généralement quelques minutes.
Authentifier le compte administrateur global
L'assistant de configuration (Provisioning Agent Wizard) demande d'abord une authentification avec un compte Global Administrator Entra ID.
Authentifier le compte administrateur local
L'étape suivante demande les identifiants d'un compte administrateur du domaine Active Directory local, nécessaire pour établir la connexion LDAP.
Finaliser et vérifier le statut
Une fois l'assistant terminé, le serveur apparaît dans l'onglet Agents du portail. Le statut initial est inactive tant qu'aucune configuration n'est associée à l'agent.
Prérequis à vérifier
Trois scénarios de synchronisation, dont deux inédits
La création d'une nouvelle configuration (Configuration > New configuration) propose désormais trois directions de synchronisation, contre une seule auparavant :
| Scénario | Direction | Statut |
|---|---|---|
| AD vers Entra ID | Active Directory local → Entra ID | Disponibilité générale |
| Entra ID vers AD | Entra ID → Active Directory local | Nouveau |
| Exchange Online vers AD | Attributs Exchange Online → Active Directory local | Preview public |
Le scénario classique AD vers Entra ID reste le plus courant. Il utilise par défaut la synchronisation de hachage de mot de passe (password hash sync) et détecte automatiquement le nom de domaine Active Directory. La création de la configuration établit la connexion en quelques minutes, avant d'ouvrir la page de configuration détaillée.
Le scénario inverse Entra ID vers AD permet de faire redescendre des changements effectués côté cloud vers l'annuaire local — un cas d'usage utile pour les organisations qui administrent certains attributs directement dans Entra ID tout en conservant Active Directory comme référentiel d'authentification.
Le scénario Exchange Online vers AD, en preview public, cible les environnements Exchange Hybrid : il synchronise certains attributs de boîtes aux lettres Exchange Online vers Active Directory local.
Attribute mapping, scoping filters et expression builder
La page de configuration regroupe plusieurs options à traiter avant de lancer la première synchronisation :
- Attribute mapping : mapping des attributs Active Directory vers les attributs Entra ID, disponible pour les utilisateurs, groupes et contacts.
- Scoping filters : par défaut, tous les objets sont synchronisés. Il est possible de restreindre par groupe de sécurité ou par unité d'organisation (OU), ce qui nécessite de renseigner le chemin LDAP correspondant.
- Expression builder : permet d'ajouter des règles de transformation supplémentaires sur les attributs synchronisés.
Bonne pratique
Nouveaux paramètres dans l'onglet Propriétés
L'onglet Properties > Basics de la configuration expose plusieurs paramètres absents des versions précédentes de Cloud Sync :
- Enable device sync : active la synchronisation des appareils joints en hybride (hybrid join) avec Active Directory. Ce mécanisme conserve un lien avec AD pour les appareils, une approche jugée dépassée par rapport à une gestion native via Intune.
- Exchange Hybrid writeback notifications : permet de désigner un administrateur ou une boîte de réception responsable des notifications liées au writeback Exchange Hybrid.
- Prevent accidental deletion : seuil de protection empêchant une suppression massive involontaire d'objets lors d'une synchronisation, une fonctionnalité qui existait déjà côté Entra Connect mais manquait à Cloud Sync.
Une fois ces paramètres ajustés et enregistrés, l'étape finale consiste à passer par Review and enable pour activer la configuration.
Réversibilité
Activation, délai de synchronisation et licences
Après activation, le premier cycle de provisionnement peut prendre entre 10 et 20 minutes, selon le volume d'utilisateurs et de groupes à synchroniser. La progression se vérifie depuis l'onglet Configurations (état de santé du connecteur) et l'onglet Agents (statut de l'agent).
Deux points opérationnels à anticiper :
- Les objets synchronisés arrivent sans licence dans Entra ID. L'attribution de licences (Microsoft 365, Entra ID P1/P2, etc.) reste une étape manuelle ou automatisée séparée, via le portail ou via des groupes d'attribution de licence.
- Pour les comptes dont la source of authority reste Active Directory, les propriétés de l'utilisateur ne sont pas modifiables directement dans Entra ID. Toute modification doit passer par l'annuaire local — un point de friction classique de tout modèle d'identité hybride, indépendant de l'outil de synchronisation utilisé.
Points clés à retenir
- Entra Cloud Sync gagne trois scénarios de synchronisation : AD vers Entra ID (GA), Entra ID vers AD (nouveau) et Exchange Online vers AD (preview public).
- Les nouveaux paramètres device sync, Exchange Hybrid writeback notifications et prevent accidental deletion réduisent l'écart fonctionnel avec Entra Connect.
- La configuration reste réversible : suppression et recréation sans perte des objets déjà synchronisés.
- Les objets synchronisés nécessitent une attribution de licence distincte, et la source of authority conditionne où les attributs peuvent être modifiés.
- Le calendrier de Microsoft, avec l'incitation à migrer depuis le 1er juillet, suggère une orientation progressive vers Cloud Sync comme outil de référence pour les nouveaux déploiements hybrides.
Pour approfondir les mécanismes de synchronisation hybride et les rôles Entra ID associés, la documentation officielle reste la référence : Microsoft Learn – Qu'est-ce que Microsoft Entra Connect.
