Entra Cloud Sync ou Entra Connect Sync : choisir son moteur de synchronisation
Pendant des années, synchroniser Active Directory avec Entra ID signifiait installer Entra Connect, anciennement Azure AD Connect. Microsoft pousse désormais Entra Cloud Sync, plus léger et piloté depuis le cloud. Les deux outils ne couvrent pas exactement les mêmes besoins, et « plus léger » ne veut pas dire « moins sensible ».
Deux architectures différentes
Entra Connect Sync est une application complète installée sur un serveur Windows : moteur de synchronisation, base de données locale, règles de synchronisation modifiables et assistant de configuration. Toute la logique s'exécute sur site. La haute disponibilité repose sur un serveur en mode intermédiaire, prêt à prendre le relais.
Entra Cloud Sync repose sur un agent d'approvisionnement léger installé sur site. La configuration et le moteur de synchronisation sont hébergés dans Entra ID ; l'agent se contente d'exécuter les opérations sur Active Directory. Plusieurs agents peuvent être installés pour la haute disponibilité, et une même configuration peut couvrir des forêts non reliées entre elles.
Ce que chacun sait faire
Le périmètre fonctionnel évolue régulièrement, et Microsoft publie une matrice de comparaison qu'il faut consulter avant toute décision. À titre indicatif :
| Besoin | Connect Sync | Cloud Sync |
|---|---|---|
| Synchronisation des utilisateurs, groupes et contacts | Oui | Oui |
| Synchronisation du hachage de mot de passe | Oui | Oui |
| Authentification directe et intégration de la fédération | Oui | Non |
| Synchronisation des objets appareils pour la jonction hybride | Oui | Non, à vérifier selon l'évolution du produit |
| Forêts déconnectées | Complexe | Oui |
| Règles de synchronisation avancées | Oui | Plus limitées |
Il est possible de faire coexister les deux outils, chacun sur un périmètre distinct : c'est souvent la meilleure option pour intégrer une filiale ou une forêt acquise sans modifier l'existant.
L'empreinte de sécurité
Quel que soit l'outil, la synchronisation est un chemin direct entre Active Directory et le cloud. Avec Connect Sync, le serveur héberge un compte de service Active Directory qui, lorsque PHS est activé, dispose des droits de réplication des secrets de l'annuaire, ainsi que les informations d'authentification permettant d'écrire dans Entra ID. Sa compromission donne accès aux deux mondes.
Avec Cloud Sync, l'agent s'exécute sous un compte de service géré de groupe, qui reçoit lui aussi des droits étendus, notamment la réplication des secrets lorsque PHS est utilisé. La configuration étant dans le cloud, le serveur contient moins d'éléments sensibles, mais celui qui le contrôle contrôle l'agent. Et la configuration de synchronisation devient modifiable par les administrateurs Entra ID disposant du rôle adéquat : ce rôle doit être encadré.
Tier 0 dans les deux cas. Un serveur Connect Sync comme un serveur hébergeant un agent Cloud Sync doit être administré depuis le Tier 0, avec le même niveau de protection qu'un contrôleur de domaine. Multiplier les agents pour la haute disponibilité multiplie aussi les serveurs à protéger.
Choisir et migrer
Pour un nouveau projet sans besoin d'authentification directe, de fédération ni de règles complexes, Cloud Sync est un choix naturel. Pour un environnement existant, la migration se prépare :
- vérifier la matrice de fonctionnalités au regard de l'usage réel, notamment la jonction hybride et les attributs personnalisés ;
- tester sur une unité d'organisation pilote, en excluant ce périmètre de Connect Sync pour qu'un objet ne soit jamais géré par les deux outils ;
- contrôler que les objets conservent leur ancre source et ne sont pas recréés ;
- étendre progressivement, puis décommissionner proprement le serveur Connect Sync et ses comptes de service.
Ce qu'un audit vérifie
- L'outil utilisé, sa version et le périmètre synchronisé.
- Le niveau de protection des serveurs de synchronisation ou des agents.
- Les droits des comptes de service dans Active Directory.
- Les comptes Entra ID autorisés à modifier la configuration de synchronisation.
- L'absence d'objets gérés simultanément par les deux outils.