¶ Synchronisation d'identités hybrides Microsoft
¶ 0a. Video de sync avec .local
¶ 0b. Video de sync avec .com
¶ 1. Mise en contexte — Le problème des deux silos
Vous avez déployé un Active Directory (AD) sur Windows Server 2022 et souscrit un abonnement Microsoft 365 Business. À ce stade, vous avez deux environnements d'identité complètement séparés :
| Environnement | Annuaire | Exemple de compte |
|---|---|---|
| On-premises (local) | Active Directory DS | [email protected] |
| Cloud | Microsoft Entra ID (Azure AD) | [email protected] |
Sans synchronisation, les conséquences sont immédiates :
- L'administrateur doit créer chaque utilisateur deux fois (une fois dans l'AD, une fois dans Microsoft 365)
- L'utilisateur gère deux mots de passe différents
- Toute modification (changement de nom, désactivation) doit être faite dans les deux annuaires
- Risque d'incohérence et de failles de sécurité
La solution : synchroniser les identités de votre AD local vers le cloud Microsoft 365. C'est ce qu'on appelle une infrastructure d'identité hybride.
¶ 2. L'annuaire cloud de Microsoft — Microsoft Entra ID
Avant de parler des outils de synchronisation, il est essentiel de comprendre la destination.
Microsoft Entra ID (anciennement Azure Active Directory / Azure AD) est l'annuaire cloud de Microsoft. C'est lui qui gère les authentifications pour tous les services Microsoft 365 : Teams, Outlook, SharePoint, OneDrive, etc.
Entra ID n'est pas un Active Directory dans le cloud. Ce sont deux technologies distinctes. L'AD utilise des protocoles comme LDAP et Kerberos ; Entra ID utilise OAuth 2.0, OpenID Connect et SAML. Les outils de synchronisation servent de pont entre les deux.
Lorsqu'un utilisateur est synchronisé depuis l'AD vers Entra ID, son compte devient un utilisateur hybride : il existe dans les deux annuaires, et les attributs proviennent de l'AD local (source de vérité).
¶ 3. Les deux solutions de synchronisation
Microsoft propose deux outils pour réaliser cette synchronisation. Ils ont le même objectif mais des approches différentes.
¶ 3.1 Microsoft Entra Connect
¶ Qu'est-ce que c'est ?
Microsoft Entra Connect (anciennement Azure AD Connect) est l'outil historique de synchronisation. Il se présente comme un service Windows installé sur un serveur de votre infrastructure (généralement un serveur membre dédié, distinct du contrôleur de domaine).
¶ Comment ça fonctionne ?
- L'agent Entra Connect lit les changements dans l'AD local via le protocole LDAP
- Il stocke un état intermédiaire dans une base SQL locale (SQL Server Express inclus)
- Toutes les 30 minutes (par défaut), il pousse les changements vers Entra ID dans le cloud
- Une synchronisation manuelle peut être déclenchée à tout moment
¶ Fonctionnalités principales
- Password Hash Synchronization (PHS) : synchronise le hash du mot de passe AD vers le cloud, permettant à l'utilisateur d'utiliser le même mot de passe pour ses sessions Windows et Microsoft 365
- Pass-Through Authentication (PTA) : l'authentification est validée en temps réel par le DC on-premises (le mot de passe ne quitte jamais le réseau local)
- Fédération (ADFS) : pour les organisations ayant déjà une infrastructure ADFS
- Règles de synchronisation personnalisées : filtrage par OU, transformation d'attributs, etc.
- Support multi-forêts : synchronisation depuis plusieurs forêts AD distinctes
- Writeback : réécriture de certains attributs du cloud vers l'AD (mots de passe, groupes, appareils)
¶ Prérequis
- Windows Server 2016 ou plus récent (serveur dédié recommandé)
- .NET Framework 4.7.2 ou supérieur
- SQL Server Express (inclus) ou SQL Server complet
- Compte de service AD avec les permissions adéquates
- Compte Global Administrator dans Microsoft 365
¶ Pour qui ?
Entra Connect est recommandé pour les grandes organisations ayant des besoins complexes : plusieurs forêts AD, règles métier avancées, infrastructure ADFS existante, ou besoin de writeback.
¶ 3.2 Microsoft Entra Cloud Sync
¶ Qu'est-ce que c'est ?
Microsoft Cloud Sync est la solution moderne et simplifiée, introduite par Microsoft pour couvrir la majorité des scénarios courants avec une approche allégée. Un agent léger s'installe directement sur le contrôleur de domaine (ou un serveur membre), et la logique de synchronisation s'exécute entièrement dans le cloud Azure.
¶ Comment ça fonctionne ?
- L'agent léger est installé sur le serveur (quelques Mo seulement)
- L'agent établit une connexion sortante sécurisée vers Azure (port 443 uniquement — pas d'ouverture de ports entrants)
- Le moteur de synchronisation dans le cloud Azure orchestre les opérations
- Les changements AD sont détectés et synchronisés vers Entra ID
¶ Fonctionnalités principales
- Password Hash Synchronization : inclus et activé facilement
- Installation multi-agents : plusieurs agents peuvent être déployés pour la haute disponibilité
- Support de plusieurs forêts AD vers un seul tenant (scénario limité mais possible)
- Configuration guidée depuis le portail Microsoft Entra (interface web intuitive)
- Mise à jour automatique de l'agent
¶ Prérequis
- Windows Server 2016 ou plus récent
- .NET Framework 4.7.1 ou supérieur
- Accès sortant HTTPS (port 443) vers les services Azure
- Compte de service AD avec les permissions adéquates
- Compte Global Administrator dans Microsoft 365
¶ Pour qui ?
Cloud Sync est recommandé pour les PME et environnements simples : un seul domaine AD, besoin de configuration rapide, ressources serveur limitées. C'est également le choix idéal pour un environnement de laboratoire comme le vôtre.
¶ 4. Comparaison des deux solutions
| Critère | Entra Connect | Cloud Sync |
|---|---|---|
| Architecture | Agent lourd, logique locale | Agent léger, logique dans le cloud |
| Installation | Serveur dédié recommandé | Directement sur le DC ou serveur membre |
| Complexité de configuration | Élevée | Faible (assistée via portail web) |
| Forêts AD multiples | Oui, complet | Oui, limité |
| Password Hash Sync | Oui | Oui |
| Pass-Through Authentication | Oui | Non |
| Writeback (cloud → AD) | Oui (groupes, appareils, MDP) | Partiel |
| Haute disponibilité | Staging server | Multi-agents natif |
| Ressources serveur requises | Importantes | Minimales |
| Idéal pour | Grandes entreprises | PME, labos |
Recommandation pour votre labo : utilisez Microsoft Cloud Sync. L'installation est rapide, la configuration est guidée depuis le portail Microsoft Entra, et il n'est pas nécessaire de provisionner un serveur supplémentaire.
¶ 5. Ce qui est synchronisé
Les deux solutions synchronisent les mêmes types d'objets depuis l'AD vers Entra ID :
- Utilisateurs : comptes, attributs (prénom, nom, UPN, email, département, etc.)
- Groupes de sécurité : pour l'assignation de licences et de permissions
- Groupes de distribution : pour Exchange Online
- Contacts : objets contact de l'AD
Les mots de passe ne sont pas synchronisés en clair. Avec le Password Hash Sync, c'est un hash chiffré dérivé du hash NTLM qui est transmis — jamais le mot de passe lui-même.
¶ 6. Notions importantes à retenir
¶ UPN Suffix
Le User Principal Name (UPN) est l'identifiant de connexion d'un utilisateur (format : [email protected]). Par défaut, votre AD utilise un suffixe local non routable comme .local (ex. [email protected]). Ce suffixe n'est pas utilisable dans Microsoft 365.
Avant de synchroniser, vous devrez ajouter votre domaine Microsoft 365 comme suffixe UPN alternatif dans l'AD et l'affecter aux utilisateurs concernés.
Active Directory Domains and Trusts → Right-click → Properties → Add UPN suffix
mycompany.com
Si vous commencez de zéro, il est fortement suggéré de nommer votre AD comme le nom de votre domaine.
¶ Source d'autorité (Source of Authority)
Une fois un utilisateur synchronisé, l'AD local devient la source d'autorité. Cela signifie que :
- Les modifications d'attributs doivent se faire dans l'AD local (pas dans le portail Microsoft 365)
- La désactivation ou suppression d'un compte doit se faire dans l'AD local
- Le cloud reflète l'état de l'AD, pas l'inverse
¶ Temps de synchronisation
- Entra Connect : cycle de 30 minutes (configurable, synchronisation delta)
- Cloud Sync : cycle de 2 minutes (quasi temps réel)
¶ 7. Vue d'ensemble de l'architecture hybride
¶ 8. Préparation avant le déploiement (checklist)
Avant d'installer l'un ou l'autre outil, vérifiez les points suivants :
¶ Références
- Documentation Microsoft Entra Connect
- Documentation Microsoft Cloud Sync
- Choisir entre Entra Connect et Cloud Sync
- Portail Microsoft Entra
- Entra Connect Sync / Entra Cloud Sync
*Cours rédigé pour le Cégep Ahuntsic par son excellence Pablo The God