Microsoft Entra Connect et Cloud Sync

Dans beaucoup de PME et d’ETI, le serveur Microsoft Entra Connect a été installé il y a plusieurs années, puis plus personne n’y a touché. Il tourne, les comptes apparaissent dans Microsoft 365. Jusqu’au jour où la synchronisation s’arrête, où un mot de passe ne passe plus, ou où un audit révèle que ce serveur oublié détient les clés de tout l’annuaire. En 2026, Microsoft impose des échéances concrètes : mettre à jour, sécuriser, ou envisager le passage à Microsoft Entra Cloud Sync. Voici comment trancher.

Azure AD Connect est devenu Microsoft Entra Connect

Petit rappel de vocabulaire. Le 11 juillet 2023, Microsoft a annoncé le renommage d’Azure Active Directory en Microsoft Entra ID. Dans la foulée, Azure AD Connect est devenu Microsoft Entra Connect, et son moteur de synchronisation s’appelle désormais Entra Connect Sync. L’outil est le même : un serveur Windows installé dans votre domaine, qui lit Active Directory et pousse les utilisateurs, groupes et contacts vers Microsoft Entra ID.

À côté existe Microsoft Entra Cloud Sync : la configuration est stockée et pilotée depuis le centre d’administration Microsoft Entra, et seuls de légers agents de provisionnement sont installés sur site.

Les risques d’un serveur Entra Connect Sync ancien

Des versions qui expirent vite

Depuis mars 2023, chaque version 2.x d’Entra Connect Sync est retirée 12 mois après la sortie d’une version plus récente. Toutes les versions 1.x sont hors support et ne synchronisent plus. Microsoft prévient qu’une version retirée peut cesser de fonctionner sans préavis.

À la date de rédaction (novembre 2026), l’historique des versions publié par Microsoft indique notamment :

la version la plus récente est la 2.6.92.0 (septembre 2026), un correctif incluant des correctifs de sécurité ;
la version 2.5.79.0 a atteint sa fin de prise en charge le 23 octobre 2026, et la 2.5.190.0 l’atteindra le 2 février 2027 ;
la version 2.6.79.0 a été rappelée : si elle est installée, Microsoft demande de passer à la 2.6.92.0.

L’échéance du 7 avril 2027

C’est le point le plus urgent. Microsoft retire l’ancienne méthode par laquelle le serveur s’authentifie auprès d’Entra ID (le compte de service « Sync_… » avec identifiant et mot de passe). Il faut passer en version 2.6.84.0 ou ultérieure et configurer l’authentification par application avant le 7 avril 2027. Sans cela, la synchronisation s’arrêtera.

L’authentification par application remplace le mot de passe par un certificat, renouvelé automatiquement (durée de vie de 90 jours par défaut). Sur un serveur existant, elle s’active depuis l’assistant, dans les tâches supplémentaires. Attention : depuis la 2.6.84.0, la mise à niveau automatique ne bascule plus seule les serveurs existants vers cette méthode. Une action manuelle reste nécessaire.

Autres points de vigilance

Le fichier d’installation n’est plus disponible que depuis le centre d’administration Microsoft Entra.
Microsoft recommande Windows Server 2022 ou 2025 pour le serveur. Une version plus ancienne en support étendu peut nécessiter un programme de support payant.
La base SQL Express installée par défaut est limitée à 10 Go, soit environ 100 000 objets.

Le serveur Microsoft Entra Connect est un actif de niveau 0

Microsoft est explicite : le serveur Entra Connect doit être traité comme un composant de niveau 0 (Tier 0), au même titre qu’un contrôleur de domaine. Un attaquant qui le contrôle peut modifier des comptes dans Entra ID, et, avec la synchronisation du hachage de mot de passe, manipuler des données sensibles. Les recommandations à appliquer :

Restreindre l’administration du serveur à un groupe très limité de comptes, distincts des comptes utilisés pour la messagerie ou la navigation.
Utiliser des postes d’administration dédiés (PAW) pour les comptes à privilèges.
Imposer l’authentification multifacteur à tous les comptes privilégiés, dans Entra ID comme dans Active Directory.
Déployer Windows LAPS pour que chaque serveur ait un mot de passe d’administrateur local unique.
Refuser NTLM pour l’authentification sur le serveur.
Désactiver le soft matching et la prise de contrôle par hard match si vous n’en avez pas besoin, car ces mécanismes peuvent servir à prendre le contrôle d’un compte cloud existant.
Passer à l’authentification par application, protégée de préférence par une puce TPM, puis supprimer l’ancien compte de service.
Surveiller avec Microsoft Entra Connect Health : alertes, erreurs de synchronisation, performances. Cette fonctionnalité requiert des licences Microsoft Entra ID P1.

Attribuez aussi avec parcimonie le rôle Administrateur d’application : il permet d’ajouter des identifiants à l’application de Connect Sync. Pour aller plus loin, voir notre page expert Microsoft Entra ID.

Quelle méthode d’authentification choisir ?

Entra Connect configure aussi la manière dont vos utilisateurs se connectent à Microsoft 365. Trois options existent :

Synchronisation du hachage de mot de passe (PHS) : l’authentification se fait dans le cloud. C’est l’option la plus simple et la moins dépendante de l’infrastructure locale.
Authentification directe (PTA) : le mot de passe est vérifié en temps réel par des agents installés sur site. Si ces agents tombent, les connexions échouent.
Fédération (AD FS) : l’authentification est déléguée à une ferme AD FS. C’est l’option la plus lourde, réservée à des besoins précis (fournisseur MFA tiers exigeant la fédération, connexion par DOMAINE\utilisateur, etc.).

Microsoft recommande d’activer la synchronisation du hachage de mot de passe quelle que soit la méthode retenue. Elle sert de solution de secours si PTA ou AD FS deviennent indisponibles, par exemple après une attaque par rançongiciel sur le site. Elle est aussi nécessaire au rapport des utilisateurs dont les identifiants ont fuité dans Microsoft Entra ID Protection (licence P2). Pour une PME-ETI qui exploite encore AD FS sans besoin particulier, un passage progressif vers l’authentification cloud (fonction de déploiement intermédiaire, ou « staged rollout ») mérite d’être étudié.

Entra Connect Sync ou Entra Cloud Sync : comparaison factuelle

Microsoft indique que les nouvelles fonctionnalités de synchronisation sont développées en priorité sur Cloud Sync, présenté comme la voie recommandée pour la plupart des organisations. Mais la parité n’est pas totale. Selon le guide de décision publié par Microsoft (mis à jour en octobre 2026) :

Ce que Cloud Sync apporte

Plusieurs agents actifs en parallèle, avec bascule automatique : plus de serveur unique critique.
La prise en charge de forêts déconnectées entre elles, utile après une fusion ou une acquisition.
Le provisionnement de groupes du cloud vers Active Directory.
Le provisionnement à la demande pour tester un objet, et une configuration entièrement gérée depuis le portail.

Ce que Cloud Sync ne fait pas (encore)

Au-delà de 150 000 objets par domaine, ou pour des groupes de plus de 50 000 membres (contre 250 000 pour Connect Sync).
Les règles de synchronisation avancées : Cloud Sync se limite à un générateur d’expressions.
Le filtrage par attribut complet (capacité limitée), les références entre forêts et la fusion d’attributs provenant de plusieurs domaines.
La configuration de PTA et d’AD FS, qui se gère séparément (PTA et l’authentification unique transparente continuent de fonctionner après migration).
La réécriture d’appareils (device writeback), abandonnée au profit de Cloud Kerberos Trust.

La synchronisation du hachage de mot de passe, la réécriture des mots de passe, les attributs Exchange hybride et la synchronisation des appareils pour la jonction hybride sont pris en charge des deux côtés.

Migration Azure AD Connect vers Cloud Sync : quand et comment

Les cas où migrer a du sens

Une seule forêt, une configuration standard, sans règles personnalisées.
Un besoin de haute disponibilité sans maintenir un second serveur en mode intermédiaire (staging).
Une fusion avec des forêts sans relation d’approbation.

Microsoft indique aussi notifier les organisations éligibles, par e-mail et dans le portail, d’une fenêtre ou d’une échéance de migration propre à chaque locataire. Surveillez ces messages : cette échéance est distincte de celle du 7 avril 2027. Une prolongation peut être demandée au support Microsoft en cas de blocage avéré, sans garantie d’accord.

Les étapes d’une migration progressive

Inventorier : version, règles personnalisées, filtrage, extensions d’annuaire, synchronisation des appareils, réécritures.
Mettre à jour Connect Sync d’abord : la migration part d’un serveur sain et pris en charge.
Vérifier l’éligibilité à l’outil de migration guidée (lancé depuis le serveur actif). Il cible pour l’instant les petits périmètres : une forêt, au plus 2 000 objets. Sinon, suivre la procédure manuelle de pilote documentée par Microsoft.
Piloter sur une unité d’organisation test avec le provisionnement à la demande.
Basculer : Connect Sync passe en mode intermédiaire, Cloud Sync devient actif.
Valider manuellement utilisateurs, groupes, appartenances, responsables hiérarchiques, hachage de mot de passe et réécritures.
Conserver Connect Sync installé pendant la période de validation de deux semaines, avant de le désinstaller.

Checklist de santé Microsoft Entra Connect

Version installée identifiée et comparée à l’historique officiel des versions.
Plan de passage en 2.6.84.0 ou ultérieure, authentification par application activée, ancien compte Sync_ supprimé.
Serveur classé niveau 0 : accès administrateur restreint, MFA, LAPS, correctifs Windows à jour.
Système d’exploitation pris en charge, TLS 1.2 et .NET Framework conformes aux prérequis.
Synchronisation du hachage de mot de passe activée, même avec PTA ou AD FS.
Serveur en mode intermédiaire ou procédure de reconstruction documentée.
Connect Health déployé et alertes adressées à une boîte surveillée.
Aucune erreur de synchronisation persistante dans le portail.
Étude de compatibilité Cloud Sync réalisée et décision consignée.

Quand faire appel à un expert
Si vous ne savez pas quelle version tourne, si le serveur porte des règles personnalisées héritées d’un ancien prestataire, si vous exploitez encore AD FS ou plusieurs forêts, ou si l’échéance d’avril 2027 approche sans plan clair, un regard extérieur évite les coupures de synchronisation. Nos experts de niveau 3 interviennent à distance, au temps réellement passé, par exemple via un crédit d’heures NINA Flex ou notre support de niveau 3 Microsoft 365. Si vous réfléchissez plus largement à vos services d’annuaire dans Azure, voir aussi notre page expert Entra Domain Services.

Questions fréquentes

Ma synchronisation fonctionne : dois-je vraiment agir avant 2027 ?

Oui. Microsoft a annoncé que les serveurs Entra Connect Sync qui ne seront pas en version 2.6.84.0 ou ultérieure avec l’authentification par application au 7 avril 2027 cesseront de synchroniser. Le fait que tout fonctionne aujourd’hui ne garantit rien pour la suite.

Faut-il désinstaller Entra Connect pour passer à Cloud Sync ?

Pas immédiatement. Pendant la migration, Connect Sync passe en mode intermédiaire et doit rester installé durant la période de validation. Il n’est désinstallé qu’une fois la synchronisation Cloud Sync vérifiée.

Cloud Sync convient-il à toutes les PME ?

Non. Il convient bien aux configurations simples. En revanche, des règles de synchronisation avancées, des références entre forêts ou un très grand volume d’objets peuvent justifier de rester sur Connect Sync pour l’instant. Une analyse de l’existant permet de trancher.

Conclusion

Mettre à jour, sécuriser ou migrer : ce ne sont pas trois options exclusives, mais trois étapes. Commencez par une version à jour avec l’authentification par application, traitez le serveur comme un actif de niveau 0, puis évaluez Cloud Sync à froid. Pour faire le point sur votre serveur Microsoft Entra Connect, contactez nos experts.

Sources : historique des versions de Microsoft Entra Connect · guide de décision Connect Sync / Cloud Sync · prérequis et sécurisation du serveur

Microsoft Entra Connect : mettre à jour, sécuriser ou passer à Cloud Sync ?