03 · Implémenter et gérer l'identité hybride

Version : 1.1 · Date : 2026-10-22 · Domaine 1 de l'examen : Implement and manage user identities (20 à 25 %)

En une phrase : l'identité hybride, c'est un compte Active Directory synchronisé dans Microsoft Entra ID par Microsoft Entra Connect Sync ou Microsoft Entra Cloud Sync, avec une méthode de connexion choisie à part (Password Hash Synchronization, Pass-through Authentication ou fédération AD FS), complétée par Seamless SSO et surveillée par Microsoft Entra Connect Health.

Ce que l'examen demande#

Bloc Implement and manage hybrid identity du guide d'étude SC-300 (compétences au 28 octobre 2026) :

Le dépannage de la synchronisation (erreurs, hard match et soft match) est regroupé en section 9 : l'examen le teste à travers les compétences 1, 2 et 7.

1. Les bases à maîtriser#

Le cours SC-500 pose déjà les choix d'architecture : identité hybride (SC-500, 11.2), SSPR et password writeback (11.3), Microsoft Entra Password Protection (11.4). Ce chapitre va au niveau administrateur : installation, commandes, dépannage, migration.

1.1 Deux décisions indépendantes#

1.2 Les rôles#

Piège : un compte Hybrid Identity Administrator cloud-only est recommandé pour enregistrer les agents PTA. La doc de dépannage signale un problème connu avec les comptes soumis à la MFA lors de l'enregistrement.

1.3 Les objets et les attributs clés#

• sourceAnchor (ou immutableId côté Entra ID) : l'identifiant stable qui relie l'objet AD à l'objet Entra. Par défaut, c'est la valeur Base64 de ms-DS-ConsistencyGuid (ou d'objectGUID selon la configuration).
• userPrincipalName et proxyAddresses : doivent être uniques dans le locataire ; ce sont aussi les clés du soft match.
• Source of authority : un objet synchronisé se modifie dans AD, pas dans Entra ID.

2. Microsoft Entra Connect Sync#

2.1 Architecture et prérequis#

Obligatoire avant le 7 avril 2027 : passer à Microsoft Entra Connect Sync 2.6.84.0 ou plus récent et configurer l'application-based authentication. L'authentification héritée est retirée : sans cela, la synchronisation s'arrête. Les versions 1.x ne fonctionnent plus du tout. Chaque version 2.x est retirée 12 mois après la sortie de la suivante : toujours installer la dernière version.

Vérifier et basculer l'authentification de Connect Sync :

# Sur le serveur Entra Connect Sync : ServiceAccount (ancien) ou Application (attendu)
Import-Module "C:\Program Files\Microsoft Azure AD Sync\Bin\ADSync"
Get-ADSyncEntraConnectorCredential

# Pour basculer : relancer l'assistant > Additional tasks > Configure application-based authentication to Microsoft Entra ID

2.2 Installation : express ou personnalisée#

Après l'installation, l'assistant propose des Additional tasks : Customize synchronization options (forêts, filtrage, password writeback, group writeback, device writeback), Configure device options (hybrid join), Configure Staging Mode, Change user sign-in, Manage federation, Refresh directory schema, Troubleshoot.

Bonnes pratiques Microsoft avant l'installation : désactiver le soft match si l'on n'en a pas besoin, et bloquer la prise de contrôle par hard match (hard match takeover) des objets cloud ; ne jamais synchroniser un compte local avec un compte d'administration déjà présent dans Entra ID.

2.3 Le filtrage#

Avant de modifier le filtrage : désactiver le scheduler, faire le changement, vérifier l'export, réactiver.

Import-Module ADSync
Set-ADSyncScheduler -SyncCycleEnabled $false     # suspend les cycles automatiques
# ... modification du filtrage ...
Start-ADSyncSyncCycle -PolicyType Initial        # full import + full sync sur tous les connecteurs
Set-ADSyncScheduler -SyncCycleEnabled $true

Piège : un filtrage trop large supprime des objets dans Entra ID. Les utilisateurs reviennent de la corbeille si on corrige le filtrage ; un groupe supprimé, avec ses autorisations, ne se récupère pas.

2.4 Le scheduler et le cycle de synchronisation#

• Le scheduler lance un delta sync cycle toutes les 30 minutes (delta import, delta sync, export sur chaque connecteur).
• Il faut au moins un cycle tous les 7 jours, sinon un full sync devient nécessaire (vaut aussi en Staging mode).
• La PHS a son propre processus, toutes les 2 minutes, non modifiable.
• Les tâches de maintenance (renouvellement des clés du password reset et du Device Registration Service, purge des journaux, gardés 7 jours par défaut) passent aussi par le scheduler.

2.5 Le Staging mode : basculer et se protéger#

Un serveur en Staging mode importe et synchronise, mais n'exporte rien vers Entra ID ni vers AD. Il sert à :

• la reprise : si le serveur actif tombe, on désactive le staging sur le serveur de secours ;
• tester une nouvelle version ou une nouvelle configuration, puis vérifier ce qui partirait avec csexport et CSExportAnalyzer avant de l'activer ;
• la migration « swing » : monter un nouveau serveur (nouvelle version, SQL complet) en staging, puis l'activer.

Pièges : les changements faits sur le serveur actif ne se recopient pas sur le serveur en staging, c'est à l'administrateur de les reporter. Un seul serveur peut utiliser le password writeback à la fois : activer un second serveur casse la communication du premier. Avec Seamless SSO, la rotation de clé ne se fait pas sur un serveur en staging.

2.6 Protection contre les suppressions et mises à jour automatiques#

• Prevent accidental deletes : activé par défaut, il bloque l'export s'il contient plus de 500 suppressions (par cycle de 30 minutes) et envoie un e-mail. Seuil réglable avec Enable-ADSyncExportDeletionThreshold.
• Automatic upgrade : pousse les versions qui corrigent des problèmes importants ; toutes les versions ne sont pas proposées en mise à jour automatique, et toutes les configurations n'y sont pas éligibles.

3. Microsoft Entra Cloud Sync#

3.1 Architecture#

• Microsoft Entra provisioning agent sur un ou plusieurs serveurs joints au domaine (Windows Server 2016 à 2022 pour l'agent de gMSA), qui ne fait que des connexions sortantes vers Azure Service Bus, avec mise à jour automatique.
• Microsoft Entra provisioning service dans le cloud : configuration, planification (toutes les 2 minutes), traitement.
• Échanges au format SCIM ; delta par watermark.
• L'agent tourne sous un group Managed Service Account (gMSA) que l'installeur peut créer (domain\provAgentgMSA$).
• Plusieurs agents actifs : basculement automatique, pas de serveur unique.

3.2 Configurer Cloud Sync#

Chemin : Entra ID > Entra Connect > Cloud sync, puis New configuration (un domaine AD par configuration).

3.3 Limites et fonctions propres#

3.4 Coexistence et migration depuis Connect Sync#

• Les deux moteurs peuvent tourner dans la même forêt si leurs périmètres sont exclusifs (ou, s'ils se recouvrent, sans valeurs d'attributs en conflit).
• Un guided migration tool (Connect Sync 2.6.91.0) évalue la configuration, installe l'agent, crée les configurations Cloud Sync désactivées, fait un Provision on Demand, passe Connect Sync en Staging mode puis active Cloud Sync. Il se lance depuis le serveur actif (pas un serveur en staging) et la synchronisation des appareils bloque encore la migration guidée.
• Migration manuelle : règles cloudNoFlow et JoinNoFlow dans Connect Sync pour arrêter ses exports sur l'OU pilote, sans retirer l'OU de son périmètre avant la fin de la validation.

flowchart TD
    A{"Forêt déconnectée<br/>ou besoin de plusieurs moteurs actifs ?"} -- Oui --> C["Microsoft Entra Cloud Sync"]
    A -- Non --> B{"Règles de synchronisation avancées,<br/>plus de 150 000 objets par domaine,<br/>groupes de plus de 50 000 membres ?"}
    B -- Oui --> S["Microsoft Entra Connect Sync"]
    B -- Non --> C
    C --> D["Configurer PTA ou AD FS à part<br/>si besoin (Cloud Sync ne les gère pas)"]

4. Password Hash Synchronization (PHS)#

4.1 Fonctionnement#

1. Toutes les 2 minutes, l'agent PHS du serveur Entra Connect demande à un contrôleur de domaine les hachages stockés (unicodePwd) par le protocole de réplication MS-DRSR.
2. Le hachage MD4 est transformé (sel, PBKDF2 avec HMAC-SHA256) ; c'est ce hachage du hachage qui part vers Entra ID.
3. À la connexion, Entra ID applique le même calcul au mot de passe saisi et compare.

Le hachage MD4 d'origine n'est jamais transmis ni stocké en SQL : le hachage gardé par Entra ID ne permet pas d'attaque pass-the-hash sur site. La PHS ne prend en charge que l'objet user (pas iNetOrgPerson). Un changement de mot de passe sur site arrive en général en quelques minutes et ne coupe pas la session cloud en cours.

4.2 Pourquoi l'activer partout#

• Méthode la plus simple et la plus résiliente (aucun serveur en plus).
• Secours si PTA ou AD FS tombe (bascule manuelle).
• Nécessaire au rapport Leaked credentials de Microsoft Entra ID Protection et à Microsoft Entra Domain Services.

4.3 Politiques de mot de passe#

Connect-MgGraph -Scopes "OnPremDirectorySynchronization.ReadWrite.All"
$OnPremSync = Get-MgDirectoryOnPremiseSynchronization
$OnPremSync.Features.CloudPasswordPolicyForPasswordSyncedUsersEnabled = $true
Update-MgDirectoryOnPremiseSynchronization -OnPremisesDirectorySynchronizationId $OnPremSync.Id -Features $OnPremSync.Features

# Aligner la durée de validité cloud sur celle d'AD (une politique par domaine enregistré, domaines gérés seulement)
Update-MgDomain -DomainId "contoso.com" -PasswordValidityPeriodInDays 120

Pièges : DisablePasswordExpiration n'est retiré qu'à la prochaine synchronisation du mot de passe de chaque utilisateur (son prochain changement sur site), pas d'un coup. Un compte de service synchronisé qui ne doit jamais expirer demande de remettre DisablePasswordExpiration à la main. Les politiques ne sont pas synchronisées : un utilisateur peut voir deux dates d'expiration si AD et Entra ID diffèrent. Update-MgUser et Update-MgDomain ne fonctionnent pas sur un domaine fédéré.

4.4 Activer ou désactiver#

La PHS s'active dans l'assistant Entra Connect (User sign-in ou Optional features) ou dans la configuration Cloud Sync. Avec plusieurs connecteurs, elle peut être coupée pour certains (Set-ADSyncAADPasswordSyncConfiguration). Depuis la version 2.6.84.0, la PHS ne se « répare » plus seule : si son indicateur côté cloud est désactivé, un administrateur doit le réactiver.

5. Pass-through Authentication (PTA)#

5.1 Fonctionnement#

1. L'utilisateur saisit son mot de passe sur la page de connexion Microsoft Entra.
2. Entra ID chiffre la demande et la place dans une file Azure Service Bus propre au locataire.
3. Un Authentication Agent sur site, connecté en sortant à cette file, récupère la demande.
4. L'agent valide le mot de passe auprès d'AD et renvoie le résultat.

Le mot de passe n'est jamais stocké dans le cloud. Les états du compte AD (désactivé, verrouillé, expiré, heures de connexion) s'appliquent à chaque connexion. Conditional Access, la MFA et Smart Lockout fonctionnent avec PTA.

5.2 Les agents#

Installer un agent supplémentaire (Microsoft Entra admin center > Entra Connect > Connect Sync > Pass-through authentication > Download), en interactif ou sans surveillance :

AADConnectAuthAgentSetup.exe REGISTERCONNECTOR="false" /q
# puis enregistrement avec RegisterConnector.ps1 -Feature PassthroughAuthentication et un compte Hybrid Identity Administrator

Pièges : on ne clone pas une VM qui porte un agent pour en créer un autre (non pris en charge). Désactiver PTA se fait en relançant l'assistant Entra Connect (Change user sign-in) ; les agents des autres serveurs se désinstallent à la main. Avant de désinstaller Entra Connect, vérifier qu'il reste d'autres agents, sinon plus personne ne se connecte.

6. Seamless single sign-on#

6.1 Fonctionnement#

• À l'activation, Entra Connect crée dans chaque forêt un compte ordinateur AZUREADSSOACC et des SPN Kerberos, et partage de façon sûre la clé de déchiffrement Kerberos de ce compte avec Entra ID.
• Depuis un poste joint au domaine sur le réseau de l'entreprise, Entra ID répond par un 401 ; le navigateur demande un ticket Kerberos pour AZUREADSSOACC et le transmet ; Entra ID le déchiffre avec la clé partagée et connecte l'utilisateur sans mot de passe.
• Seamless SSO fonctionne avec PHS ou PTA (pas avec la fédération) et se configure avec Connect Sync comme avec Cloud Sync.

6.2 Déployer#

1. Activer Seamless SSO dans l'assistant Entra Connect (identifiants Domain Admin requis) ou par PowerShell.
2. Par GPO, ajouter https://autologon.microsoftazuread-sso.com à la zone Local intranet (Site to Zone Assignment List, valeur 1) et activer Allow updates to status bar via script.
3. Déployer progressivement (GPO sur un groupe d'utilisateurs, ou Staged Rollout).

6.3 Exploiter et sécuriser#

Import-Module "$env:ProgramFiles\Microsoft Azure AD Sync\Bin\ADSync\ADSync.psd1"
cd "$env:ProgramFiles\Microsoft Azure Active Directory Connect"
Import-Module .\AzureADSSO.psd1
New-AzureADSSOAuthenticationContext          # compte Hybrid Identity Administrator
Get-AzureADSSOStatus | ConvertFrom-Json      # forêts où Seamless SSO est activé
$creds = Get-Credential                      # Domain Admin au format contoso\admin
Update-AzureADSSOForest -OnPremCredentials $creds

Limites connues : ne fonctionne pas sur les navigateurs mobiles iOS et Android, ni en navigation privée Firefox ; un ticket Kerberos trop gros (trop de groupes) échoue ; au-delà de 30 forêts, activation manuelle ; mettre l'URL dans Trusted sites au lieu de Local intranet bloque la connexion. Après désactivation puis réactivation, le SSO revient à l'expiration des tickets en cache (en général 10 heures).

7. Migrer d'AD FS vers l'authentification cloud#

7.1 La démarche#

1. Inventorier : Get-MgDomainFederationConfiguration -DomainID contoso.com ; relever PreferredAuthenticationProtocol, federatedIdpMfaBehavior, SupportsMfa, PromptLoginBehavior ; recenser les applications qui utilisent AD FS.
2. Préparer : mettre Entra Connect à jour, activer la PHS (recommandée) ou PTA, préparer Seamless SSO, sauvegarder la configuration AD FS (AD FS Rapid Restore Tool, export de la relying party trust Microsoft Office 365 Identity Platform).
3. Tester avec Staged Rollout sur des groupes pilotes.
4. Basculer chaque domaine en authentification gérée, en dehors des heures ouvrées.
5. Migrer les applications restantes puis décommissionner AD FS et WAP.

7.2 Staged Rollout#

Chemin : Entra ID > Entra Connect > Connect sync > Enable staged rollout for managed user sign-in (Hybrid Identity Administrator).

Piège : pendant le Staged Rollout avec PHS, CloudPasswordPolicyForPasswordSyncedUsersEnabled fixe une expiration de 90 jours non personnalisable, et la mise à jour de PasswordPolicies par programme n'est pas prise en charge.

7.3 Convertir le domaine#

Connect-MgGraph -Scopes "Domain.ReadWrite.All", "Directory.AccessAsUser.All"
Update-MgDomain -DomainId "contoso.com" -AuthenticationType "Managed"
Get-MgDomain -DomainId "contoso.com"        # AuthenticationType doit valoir Managed

• La conversion peut prendre jusqu'à 60 minutes : à prévoir dans la fenêtre de maintenance. Les clients modern authentication continuent avec leur refresh token.
• Rollback : reconvertir en domaine fédéré avec New-MgDomainFederationConfiguration (d'où l'intérêt d'avoir documenté la configuration).
• Après la bascule : faire tourner la clé Seamless SSO tous les 30 jours, surveiller les agents PTA si PTA est choisie.

7.4 Migrer les applications AD FS#

L'AD FS application migration (Entra ID > Enterprise apps > Usage & insights) s'appuie sur les agents Connect Health pour AD FS et sur une licence P1 ou P2 :

• liste les relying parties actives sur les 30 derniers jours (hors relying parties Microsoft comme Office 365) ;
• classe chaque application : Ready to migrate, Needs review ou Additional steps required (par exemple attribut stocké hors d'AD, règles avec expressions régulières) ;
• crée en un clic une Enterprise application SAML (identifiant, reply URL, claims, groupes) ; OIDC, OAuth et WS-Fed ne sont pas pris en charge par l'assistant, le certificat de signature n'est pas migré et Conditional Access se configure ensuite.

8. Microsoft Entra Connect Health#

8.1 Ce qu'il surveille#

8.2 Licences et accès#

• Fonction de Microsoft Entra ID P1 ou P2 : 1 licence pour le premier agent, puis 25 licences par agent supplémentaire (tous rôles confondus). Exemple : un serveur Entra Connect et un DC = 2 agents = 26 licences. Les licences n'ont pas à être attribuées à des utilisateurs.
• Accès aux données délégué par Azure RBAC (Owner, Contributor, Reader) ; corriger une erreur de synchronisation depuis Connect Health demande au moins Contributor.
• La mise à jour automatique des agents est obligatoire.

8.3 Alertes utiles#

• Health Service data is not up to date : l'agent n'a pas envoyé de données depuis 2 heures (pare-feu, proxy, inspection TLS) ; tester avec Test-MicrosoftEntraConnectHealthConnectivity -Role Sync (rôles ADFS, Sync, ADDS).
• Seuil de suppressions atteint, échecs d'export, certificats AD FS proches de l'expiration.
• Si la configuration Connect Sync n'est pas la configuration par défaut (filtrage d'attributs modifié), l'agent n'envoie pas certains événements : réactiver la surveillance dans les Settings du service.

9. Dépanner la synchronisation#

9.1 Hard match et soft match#

Connect-MgGraph -Scopes "OnPremDirectorySynchronization.ReadWrite.All"
$OnPremSync = Get-MgDirectoryOnPremiseSynchronization
$OnPremSync.Features.BlockCloudObjectTakeoverThroughHardMatchEnabled = $true
Update-MgDirectoryOnPremiseSynchronization -OnPremisesDirectorySynchronizationId $OnPremSync.Id -Features $OnPremSync.Features

9.2 Les erreurs à connaître#

Outils : Synchronization Service Manager (connecteurs, run profiles, erreurs par objet), l'assistant Troubleshoot d'Entra Connect, les provisioning logs pour Cloud Sync, Connect Health > Sync errors.

10. Labs conseillés#

À faire dans un locataire de test et une forêt AD de test (une VM Windows Server en contrôleur de domaine dans un abonnement de test, plus une VM membre). Coût : deux petites VM ; les arrêter ou supprimer le groupe de ressources après les labs. Licence d'essai Microsoft Entra ID P1/P2 pour Connect Health.

1. Cloud Sync de bout en bout : installer le provisioning agent (gMSA créé par l'installeur), créer une configuration limitée à une OU, tester avec Provision on demand, activer la PHS. Résultat attendu : l'utilisateur apparaît dans Entra ID avec On-premises sync enabled = Yes et se connecte avec son mot de passe AD.
2. Accidental deletes : fixer le seuil à 5, sortir une OU de 10 utilisateurs du périmètre. Résultat attendu : Delete threshold exceeded, entrées StagedDelete dans les provisioning logs ; remettre l'OU puis Restart sync.
3. Connect Sync en staging (sur une seconde VM, autre périmètre) : installer en Staging mode, lancer Start-ADSyncSyncCycle -PolicyType Initial, inspecter l'export avec csexport et CSExportAnalyzer. Résultat attendu : Get-ADSyncScheduler affiche StagingModeEnabled : True et rien n'est exporté.
4. Seamless SSO : l'activer, pousser l'URL autologon en zone Local intranet par GPO, se connecter depuis un poste du domaine, puis faire une rotation de clé. Résultat attendu : connexion à myapps.microsoft.com sans saisir de mot de passe ; un événement de rotation dans les audit logs.
5. Politique d'expiration : avant d'activer la PHS sur une nouvelle OU, activer CloudPasswordPolicyForPasswordSyncedUsersEnabled et vérifier PasswordPolicies avec Get-MgUser. Résultat attendu : pas de DisablePasswordExpiration sur les nouveaux utilisateurs synchronisés.

11. Pièges d'examen#

12. Scénarios d'entraînement#

1. Contoso synchronise 80 000 objets avec Connect Sync et vient d'acquérir Fabrikam, dont la forêt n'a aucune connectivité avec le serveur Entra Connect. Les utilisateurs de Fabrikam doivent apparaître dans le locataire de Contoso. Que faire ?

• A. Ajouter la forêt Fabrikam au serveur Connect Sync existant.
• B. Installer un second serveur Connect Sync actif dans la forêt Fabrikam.
• C. Déployer Microsoft Entra Cloud Sync avec un provisioning agent dans la forêt Fabrikam.
• D. Créer une confiance entre les forêts puis attendre le prochain cycle.

C. Cloud Sync prend en charge les forêts déconnectées et peut coexister avec Connect Sync sur des périmètres distincts. A est impossible sans connectivité ; B est interdit (un seul serveur Connect Sync actif par locataire) ; D n'est pas nécessaire.

2. Un administrateur modifie une règle de synchronisation dans le Synchronization Rules Editor pour remplir jobTitle depuis un autre attribut. Rien ne change pour les utilisateurs existants. Quelle commande lancer ?

Start-ADSyncSyncCycle -PolicyType Initial (ou un override FullSyncRequired sur le connecteur puis un cycle delta) : un changement de règles demande un full sync. Un cycle delta ne traite que les objets modifiés.

3. La politique de sécurité exige qu'un compte désactivé dans AD ne puisse plus se connecter à Microsoft 365, immédiatement. Le client veut aussi le moins d'infrastructure possible. Que proposer ?

Pass-through Authentication avec 3 agents (sortants seulement), plus la PHS en secours. La PHS seule laisse un délai lié à la synchronisation ; AD FS apporterait aussi la vérification immédiate, mais avec une infrastructure bien plus lourde.

4. Après l'activation de la PHS, l'équipe constate que les mots de passe des utilisateurs synchronisés n'expirent jamais dans Entra ID, alors qu'ils expirent tous les 90 jours dans AD. Que faire, et dans quel ordre l'aurait-il fallu ?

Activer CloudPasswordPolicyForPasswordSyncedUsersEnabled et aligner la politique cloud du domaine (Update-MgDomain -PasswordValidityPeriodInDays). Le mieux était de l'activer avant la PHS : sinon DisablePasswordExpiration reste sur chaque utilisateur jusqu'à son prochain changement de mot de passe sur site.

5. Seamless SSO est activé mais les utilisateurs d'un site doivent toujours saisir leur mot de passe. La GPO place https://autologon.microsoftazuread-sso.com dans la zone Trusted sites. Cause ?

L'URL doit être dans la zone Local intranet ; dans Trusted sites, la connexion est même bloquée. Vérifier aussi que le poste est joint au domaine et sur le réseau de l'entreprise.

6. L'équipe sécurité demande une mesure régulière sur Seamless SSO. Laquelle, et avec quels droits ?

Faire tourner la clé de déchiffrement Kerberos du compte AZUREADSSOACC au moins tous les 30 jours avec Update-AzureADSSOForest, une seule fois par forêt, avec un Domain Admin de la forêt et un Hybrid Identity Administrator. Passer le compte en AES-256 après une rotation.

7. Fabrikam veut quitter AD FS. Elle veut d'abord vérifier sur 150 utilisateurs que la MFA Microsoft Entra et Conditional Access fonctionnent, puis tout basculer. Les utilisateurs sont dans un groupe dynamique. Que faut-il corriger, et quelle est la suite ?

Staged Rollout ne prend pas en charge les groupes dynamiques : créer un groupe de sécurité attribué (de préférence cloud) avec les 150 utilisateurs, l'ajouter à la fonction PHS (et Seamless SSO). Après le test, convertir le domaine (assistant ou Update-MgDomain -AuthenticationType Managed), car Staged Rollout ne convertit rien.

8. Une organisation surveille avec Connect Health un serveur Entra Connect, deux serveurs AD FS, deux WAP et trois contrôleurs de domaine. Combien de licences P1 ou P2 lui faut-il au minimum ?

8 agents : 1 + 7 × 25 = 176 licences.

9. À l'installation d'Entra Connect sur un locataire existant, un utilisateur AD prend le contrôle d'un compte administrateur cloud qui avait la même adresse SMTP. Quelles protections l'auraient empêché ?

Bloquer le soft match et la prise de contrôle par hard match (BlockCloudObjectTakeoverThroughHardMatchEnabled) avant l'installation, et ne jamais synchroniser des comptes locaux avec des comptes d'administration cloud existants.

10. Le service de synchronisation ne démarre plus : événement 6323 « SQL Server is out of disk space ». Que faire à court terme et à long terme ?

La LocalDB a atteint 10 GB. À court terme, Start-ADSyncPurgeRunHistory (mode -offline si le service est arrêté) ; à long terme, déployer un nouveau serveur avec SQL Server complet en Staging mode puis basculer (migration swing).

13. Pour aller plus loin#

• Group writeback et Group provisioning to AD : Cloud Sync provisionne des groupes de sécurité cloud vers AD, utile pour donner accès à des applications locales avec des groupes gérés dans Entra ID (et par Entitlement management, voir le chapitre 09).
• Source of authority (SOA) : basculer la gestion d'objets synchronisés vers le cloud, une piste que Microsoft pousse avec Cloud Sync.
• Microsoft Entra Kerberos pour les identités hybrides (Azure Files, Windows Hello for Business cloud Kerberos trust) : voir le chapitre 04.
• Password writeback et SSPR : configuration détaillée au chapitre 04 ; principe dans SC-500, 11.3.
• Device writeback et hybrid join : la synchronisation des objets ordinateur sert le Microsoft Entra hybrid join, voir le chapitre 01.
• Microsoft Entra Domain Services : domaine géré dans Azure, qui exige la PHS pour les comptes synchronisés.

14. Fiche à retenir#

• Deux choix séparés : moteur (Connect Sync ou Cloud Sync) et méthode de connexion (PHS, PTA, fédération).
• PHS recommandée et à activer même avec PTA ou AD FS (secours, Leaked credentials, Entra Domain Services).
• Connect Sync : un serveur actif, staging pour le secours, LocalDB 10 GB ≈ 100 000 objets, cycle delta 30 min, au moins un cycle tous les 7 jours.
• Start-ADSyncSyncCycle -PolicyType Delta (urgent) ou Initial (règles, filtrage) ; Set-ADSyncScheduler -SyncCycleEnabled.
• Filtrage domaine / OU → full import ; filtrage attribut ou règles → full sync.
• Accidental deletes : 500 par défaut, Connect Sync et Cloud Sync.
• 2.6.84.0+ et application-based authentication avant le 07/04/2027 ; versions 2.x retirées 12 mois après la suivante.
• Cloud Sync : agents légers sortants (gMSA), 2 min, plusieurs actifs, forêts déconnectées, 150 000 objets par domaine, groupes de 50 000 membres, Provision on demand, Group provisioning to AD.
• PHS : MS-DRSR toutes les 2 min, hachage du hachage, DisablePasswordExpiration par défaut, CloudPasswordPolicyForPasswordSyncedUsersEnabled, UserForcePasswordChangeOnLogonEnabled.
• PTA : file Service Bus par locataire, agents sortants 443 / 80, 3 conseillés, 40 maximum, HA pas load balancing.
• Seamless SSO : compte AZUREADSSOACC, URL autologon en Local intranet, rotation 30 jours (Update-AzureADSSOForest), AES-256, PHS ou PTA.
• Quitter AD FS : inventaire → PHS → Staged Rollout (10 groupes, pas imbriqués ni dynamiques, temporaire) → Update-MgDomain -AuthenticationType Managed (jusqu'à 60 min) → applications (AD FS application migration, SAML).
• Connect Health : agents Sync, AD FS + WAP, AD DS ; P1/P2 : 1 + 25 par agent supplémentaire ; alerte au-delà de 2 h sans données.
• Hard match = sourceAnchor / immutableId ; soft match = UPN ou SMTP ; erreurs AttributeValueMustBeUnique, InvalidSoftMatch, InvalidHardMatch.

Références#

Toutes lues le 21/10/2026 sur Microsoft Learn :

• Study guide for Exam SC-300
• Prerequisites for Microsoft Entra Connect
• Microsoft Entra Connect: Version release history
• Authenticate to Microsoft Entra ID by using application identity
• Microsoft Entra Connect Sync: Scheduler
• Microsoft Entra Connect Sync: Configure filtering
• Microsoft Entra Connect: Staging server and disaster recovery
• Microsoft Entra Connect: Next steps and how to manage
• How to prevent accidental deletions
• What is Microsoft Entra Cloud Sync?
• Cloud sync deep dive - how it works
• Prerequisites for Microsoft Entra Cloud Sync
• Provision Active Directory to Microsoft Entra ID - Configuration
• Accidental delete prevention (Cloud Sync)
• Group Managed Service Accounts (Cloud Sync)
• Cloud Sync supported topologies
• Migrate from Connect Sync to Cloud Sync: decision guide
• Migrate to Microsoft Entra Cloud Sync with the migration tool
• Implement password hash synchronization
• Password policy overview and FAQ
• Pass-through authentication: Quickstart
• Pass-through authentication security deep dive
• Pass-through authentication FAQ
• Troubleshoot pass-through authentication
• Seamless single sign-on: Technical deep dive
• Seamless single sign-on: Quickstart
• Seamless single sign-on: FAQ
• Troubleshoot seamless single sign-on
• Migrate from federation to cloud authentication
• Migrate to cloud authentication using Staged Rollout
• AD FS application migration
• Install the Microsoft Entra Connect Health agents
• Microsoft Entra Connect Health FAQ
• Monitor Connect Sync with Connect Health
• Microsoft Entra Connect Health with AD FS
• Understanding errors during Microsoft Entra synchronization
• Configure Microsoft Entra Connect for an existing tenant (hard match, soft match)
• Diagnose and remediate duplicated attribute sync errors
• Recover from LocalDB 10-GB limit