Identité hybride : choisir entre Entra Connect Sync et Cloud Sync, et bien délimiter ce qui se synchronise
La synchronisation entre Active Directory et Entra ID est souvent installée une fois, avec les options par défaut, puis oubliée. Pourtant, elle détermine quels comptes existent dans le cloud, qui en est maître et ce qu'un attaquant peut faire en passant d'un monde à l'autre. Voici les choix de conception à reprendre sérieusement.
Deux moteurs, deux philosophies
Entra Connect Sync est le moteur historique : un serveur Windows installé sur site, avec sa base de données, son moteur de règles et un large éventail de fonctionnalités (écriture différée des appareils, attributs Exchange hybrides, règles de synchronisation personnalisées, grands volumes). Il est puissant, mais c'est un serveur lourd, à maintenir à jour et à protéger comme un actif de niveau 0, puisqu'il détient des droits élevés sur l'annuaire et des secrets permettant d'écrire dans Entra ID.
Entra Cloud Sync repose sur des agents légers installés sur site, la configuration et le moteur de synchronisation étant hébergés dans le cloud. Plusieurs agents peuvent être déployés pour la haute disponibilité, et l'outil gère bien les forêts déconnectées entre elles, par exemple après un rachat. Microsoft oriente clairement ses investissements vers Cloud Sync, mais toutes les fonctionnalités de Connect Sync n'y sont pas encore disponibles.
Avant de choisir. La comparaison des fonctionnalités entre les deux moteurs évolue à chaque trimestre. Consultez la matrice officielle au moment du projet, en particulier pour l'écriture différée Exchange, les appareils et les règles personnalisées.
Topologies : rester simple
Quelques règles structurent toutes les topologies :
- un objet ne doit être synchronisé que par un seul moteur ; Connect Sync et Cloud Sync peuvent coexister, mais sur des périmètres distincts ;
- un serveur Connect Sync actif ne synchronise que vers un seul locataire ;
- plusieurs forêts peuvent alimenter un même locataire, à condition de traiter la correspondance des identités en double (un même utilisateur présent dans deux forêts) ;
- chaque topologie inhabituelle doit être vérifiée dans la liste des topologies prises en charge par Microsoft.
Dans la pratique, nous rencontrons souvent des architectures plus complexes que nécessaire, héritées de projets successifs. La simplification est en soi une mesure de sécurité.
Le serveur en mode intermédiaire
Avec Connect Sync, la résilience passe par un second serveur en mode intermédiaire (staging) : il importe et calcule les changements, mais n'exporte rien. Il permet de basculer rapidement en cas de panne, et surtout de prévisualiser l'effet d'une modification de règle ou d'une mise à jour avant de la rendre active. Ce serveur détient les mêmes secrets que le serveur actif : il relève lui aussi du niveau 0 et doit être maintenu à jour au même rythme.
Ce qu'il faut synchroniser, et ce qu'il ne faut pas
La synchronisation de « tout l'annuaire » est la configuration la plus courante, et la plus risquée. Le filtrage doit être explicite :
- Filtrage par OU : ne synchroniser que les OU contenant des utilisateurs, groupes et appareils qui ont un usage cloud.
- Exclure les comptes privilégiés AD : les administrateurs du domaine, comptes de service et comptes de niveau 0 n'ont rien à faire dans Entra ID.
- Comptes d'administration cloud natifs : les rôles Entra ID privilégiés doivent être attribués à des comptes créés directement dans le cloud, jamais à des comptes synchronisés. Sinon, la compromission d'AD donne mécaniquement la main sur le locataire.
- Attributs : limiter les attributs synchronisés à ceux réellement utilisés.
Méthode d'authentification et source d'autorité
La synchronisation du hachage de mot de passe reste la méthode la plus résiliente : elle ne dépend d'aucune infrastructure sur site au moment de la connexion et active la détection des identifiants divulgués. L'authentification directe ou la fédération ajoutent des dépendances et des composants à protéger. Lorsque la fédération n'est plus justifiée, sa suppression simplifie l'architecture.
La source d'autorité désigne l'annuaire où un objet se gère. Pour un objet synchronisé, c'est AD : toute modification dans Entra ID sera écrasée. Microsoft propose progressivement des mécanismes pour transférer la source d'autorité de certains objets vers le cloud ; vérifiez leur disponibilité et leurs limites avant de bâtir un plan de migration dessus. L'objectif à long terme, pour beaucoup d'organisations, est de réduire la dépendance à AD pour les objets qui n'en ont plus besoin.
Ce qu'un audit vérifie
- La version et le niveau de mise à jour des serveurs ou agents de synchronisation.
- Le classement des serveurs Connect Sync, actif et intermédiaire, en niveau 0 et leur durcissement.
- Le périmètre de synchronisation : OU, filtres, absence des comptes privilégiés AD.
- L'absence de comptes synchronisés détenant des rôles Entra ID privilégiés.
- Les droits du compte de service de synchronisation dans AD.
- La méthode d'authentification et la justification d'une éventuelle fédération.