Entra Connect of Cloud Sync: welke past bij jouw organisatie?

Cloud Sync klinkt als de vanzelfsprekende moderne keuze, maar bestaande inrichting en uitzonderingen kunnen belangrijker zijn dan de techniek die nieuwer is.

Microsoft Entra Connect Sync is de opvolger van Azure AD Connect en DirSync. Je installeert hem op een eigen Windows-server, met een sync-engine, een database en een Synchronization Rules Editor waarin je alles kunt aanpassen. Staat die server stil, dan staat de sync stil; een tweede server kan alleen in staging mode meedraaien.

Microsoft Entra Cloud Sync werkt anders. Op een of meer servers in je netwerk, ook een domeincontroller, draait de Microsoft Entra provisioning agent. Die maakt alleen uitgaande verbindingen en wordt automatisch bijgewerkt. De configuratie, de planning en de verwerking zitten in de cloud, en je beheert alles vanuit het Entra-beheercentrum. Meerdere agents zijn tegelijk actief, dus als er een uitvalt, gaat de sync door.

Wanneer blijf je bij Connect Sync? Als je meer dan 150.000 objecten per domein hebt, groepen met meer dan 50.000 leden, complexe eigen syncregels, attributen uit meerdere forests samenvoegt, of pass-through authentication en AD FS vanuit de sync beheert. Voor de meeste organisaties met één forest en een paar duizend accounts past Cloud Sync. Microsoft heeft een migratietool en een beslisgids voor de overstap.

Voor IT is een halfuur vaak prima. Voor een medewerker die op zijn eerste dag niet kan inloggen, voelt dat heel anders.

Bij Connect Sync draait er standaard elke 30 minuten een synchronisatiecyclus. Je kunt dat interval langer maken, korter dan wat Microsoft toestaat gaat niet. Microsoft eist wel dat er minstens eens per zeven dagen een cyclus draait; anders heb je een volledige synchronisatie nodig om weer op het goede spoor te komen. Wil je een wijziging direct doorzetten, start dan zelf een delta-cyclus op de Connect-server:

Import-Module ADSync

# De huidige planning en het volgende tijdstip
Get-ADSyncScheduler

# Alleen de wijzigingen nu doorzetten
Start-ADSyncSyncCycle -PolicyType Delta

# Volledige cyclus, nodig na het aanpassen van syncregels of filters
Start-ADSyncSyncCycle -PolicyType Initial

Bij Cloud Sync is er geen cmdlet nodig. De sync loopt elke twee minuten, en voor één gebruiker kun je in het Entra-beheercentrum onder de configuratie kiezen voor Provision on demand. Je ziet dan per stap wat er met het object gebeurt, wat ook het snelste is om een mappingfout te vinden.

Begon je met accounts in de cloud en zet je daarna pas een sync aan, of bouw je een gebruiker in AD opnieuw op, dan moet Entra ID weten of het binnenkomende AD-object hetzelfde is als een account dat al bestaat. Dat heet matchen, en er zijn twee soorten:

• Accounts met een beheerdersrol worden standaard niet gematcht. Microsoft raadt af om AD-accounts te koppelen aan bestaande beheerdersaccounts in de cloud.
• `AttributeValueMustBeUnique` krijg je als een nieuw AD-object hetzelfde primaire e-mailadres of dezelfde SID heeft als een bestaand account, maar een andere sourceAnchor. Meestal is de gebruiker in AD opnieuw aangemaakt. De oplossing is de mS-DS-ConsistencyGuid van het AD-object gelijk te zetten aan de ImmutableId van het cloudaccount, zodat er een hard match komt.
• Matchen uitzetten kan per tenant, en Microsoft raadt dat aan zodra je het niet meer nodig hebt. Met BlockSoftMatchEnabled en BlockCloudObjectTakeoverThroughHardMatchEnabled voorkom je dat een AD-object per ongeluk een cloudaccount overneemt.

Connect-MgGraph -Scopes "OnPremDirectorySynchronization.ReadWrite.All"

$sync = Get-MgDirectoryOnPremiseSynchronization
$sync.Features.BlockSoftMatchEnabled = $true
Update-MgDirectoryOnPremiseSynchronization `
  -OnPremisesDirectorySynchronizationId $sync.Id `
  -Features $sync.Features

Een gesynchroniseerd account naar de cloud halen was lang omslachtig. Dat kan nu per gebruiker. Met de eigenschap isCloudManaged op onPremisesSyncBehavior zet je de source of authority (SOA) van één gebruiker naar Entra ID. Daarna negeert de sync wijzigingen uit AD voor dat account, en beheer je het in de cloud.

• Je hebt de rol Hybrid Administrator nodig en de permissie User-OnPremisesSyncBehavior.ReadWrite.All. Er is geen extra licentie voor nodig.
• De sync moet het ondersteunen: Connect Sync vanaf versie 2.5.76.0, of de Cloud Sync-agent vanaf 1.1.1370.0.
• De wijziging staat in de auditlogs als "Change Source of Authority from AD to cloud".
• Moet het account nog bij bronnen op locatie, zoals een fileserver, dan moet je de on-premises-attributen (zoals onPremisesSamAccountName en onPremisesSecurityIdentifier) zelf blijven bijhouden.
• Terugdraaien kan met isCloudManaged op false. Het is pas klaar na de volgende synccyclus.

Connect-MgGraph -Scopes "User-OnPremisesSyncBehavior.ReadWrite.All"

$id = (Get-MgUser -UserId "jan.jansen@bedrijf.nl").Id
Update-MgUserOnPremiseSyncBehavior -UserId $id -BodyParameter @{ isCloudManaged = $true }

# Controle
Invoke-MgGraphRequest -Method GET `
  -Uri "https://graph.microsoft.com/v1.0/users/$id/onPremisesSyncBehavior?`$select=isCloudManaged"

Veel synchronisatieproblemen beginnen bij onjuiste gegevens of bij wijzigingen op de verkeerde plek.

• Het account in de cloud aanpassen. Bij een gesynchroniseerde gebruiker zijn naam, afdeling, functie en de extension attributes in Entra ID alleen-lezen. Pas ze in AD aan. Welke velden ertoe doen, staat in gebruikersattributen in Entra ID.
• De wizard open laten staan. Zolang de installatiewizard van Connect Sync openstaat, staat de planning stil en wordt er niets gesynchroniseerd.
• Een tweede actieve Connect-server. Er mag er één actief zijn; een tweede draait in staging mode, en die moet je bewust omzetten als de eerste uitvalt.
• Uitgeschakeld in AD, maar actief in de cloud. Gebruik je een sync-interval van een uur of langer, dan kan een vertrokken medewerker na het uitzetten in AD nog even in Microsoft 365. Trek bij een spoedvertrek ook de sessies in.
• Een OU die buiten de scope valt. Verplaats je een gebruiker naar een OU die niet wordt gesynchroniseerd, dan ziet de sync dat als een verwijdering, en verdwijnt het account in Entra ID naar de prullenbak.