Comment installer et configurer Entra Cloud Sync

Microsoft Entra Cloud Sync est le nouvel agent léger qui synchronise votre Active Directory sur site avec Microsoft Entra ID. Il vous permet de synchroniser des utilisateurs, des groupes et des contacts à l'aide de l'agent de provisionnement cloud Microsoft Entra.

Comparé à Microsoft Entra Connect, Cloud Sync ne fonctionne pas sur vos serveurs sur site. Le traitement, la sélection des objets, le moteur de synchronisation, etc., se déroulent dans le cloud Microsoft. Vous n'avez besoin d'installer qu'un agent léger sur le serveur.

Dans cet article, nous allons examiner l'installation et la configuration de Microsoft Entra Cloud Sync.

Exigences

Avant d'installer Entra Cloud Sync, il est bon de vérifier les exigences de l'outil. La plus importante à noter est l'exigence de licence :

Licence Microsoft Entra ID P1 pour le compte administrateur
Compte Microsoft Entra avec au moins un rôle d'administrateur d'identité hybride.
Windows Server 2016 ou version ultérieure
Windows Server Core n'est pas pris en charge (interface graphique complète requise)
Compte administrateur de domaine local pour l'installation
.Net Framework 4.7.1 ou une version plus récente est installé

Installer Entra Cloud Sync

Pour installer Cloud Sync, nous devons télécharger l'agent de provisionnement et l'installer sur le serveur. Vous pouvez installer l'agent sur le contrôleur de domaine ou sur un serveur membre. Il est recommandé de durcir le serveur sur lequel vous installez l'agent. Lisez-en plus sur la façon de sécuriser votre serveur ici dans la documentation Microsoft.

Temps nécessaire : 5 minutes

Téléchargez l'agent
Tout d'abord, téléchargez l'agent de provisionnement dans le Centre d'administration Microsoft Entra. Vous trouverez le téléchargement sous Identité >> Gestion hybride > Microsoft Entra Connect.

Sur la page de démarrage, allez dans Gérer et cliquez sur Télécharger l'agent de provisionnement

Vous devrez accepter les conditions pour télécharger l'agent. D'après mon expérience, il peut falloir quelques secondes avant que le téléchargement ne commence réellement.
Démarrer l'installation
Ouvrez le MSI téléchargé et décompressez/installez l'Agent de Provisionnement Entra. Une fois cela fait, l'assistant de configuration s'ouvrira.
Sélectionner l'extension
Nous devrons sélectionner l'extension que nous souhaitons activer. Pour Active Directory, nous voulons sélectionner Provisionnement piloté par les RH/Synchronisation Cloud Microsoft Entra.
Se connecter à Microsoft Entra ID
Nous devons nous connecter à Microsoft Entra ID. Authentifiez-vous avec un compte Administrateur Global ou un compte ayant au moins un rôle d'Administrateur d'Identité Hybride.
Configurer le compte de service
Si vous n'avez pas encore de compte de service géré par groupe (gMSA), l'installateur en créera automatiquement un pour vous.
Connecter Active Directory
Assurez-vous que le bon domaine est sélectionné et cliquez sur Suivant pour connecter l'Active Directory
Confirmer la configuration
L'option Applications sur site… n'est nécessaire que lorsque vous devez approvisionner des applications sur site à Azure.
Terminez l'installation de l'agent
L'agent est maintenant installé et enregistré dans Microsoft Entra ID. Quittez l'installation et passez au Microsoft Entra Admin Center.

Configurer Entra Cloud Sync

Avec l'agent installé, nous pouvons maintenant nous rendre au centre d'administration Microsoft Entra pour configurer la synchronisation dans le cloud. Utilisez ce lien direct pour ouvrir les configurations de synchronisation dans le cloud ou naviguez vers Identité > Gestion hybride > Microsoft Entra Connect > Synchronisation dans le cloud.

Cliquez sur + Nouvelle configuration et choisissez AD vers la synchronisation Microsoft Entra ID
Nous voulons activer la synchronisation des mots de passe hachés, donc nous la laissons activée.
Cliquez sur Créer pour ajouter la configuration

Il faudra un moment pour créer la configuration, après quoi vous serez dirigé vers une page de vue d'ensemble. Ici, vous pouvez changer la portée de synchronisation (sélectionner les OU que vous souhaitez synchroniser ou exclure) ou mapper des attributs.

Avant d'activer la configuration, nous voulons modifier/définir deux propriétés :

Cliquez sur Propriétés
Modifier les bases
Entrez une adresse e-mail de notification. Ainsi, lorsque il y a un problème, vous serez informé.
Définir le seuil de suppression accidentelle

Le seuil est fixé par défaut à 500 objets. Mais si vous avez un petit environnement, avec seulement 100 utilisateurs, par exemple, vous pourriez vouloir le réduire à 10. De cette façon, si plus de 10 objets sont supprimés, la synchronisation est arrêtée, vous permettant de vérifier si tout est correct.

Examiner et activer la configuration

Une fois terminé, nous devons activer la configuration. Sur la page Vue d'ensemble, cliquez sur Vérifier et activer. Cela vous donnera un aperçu de la configuration. Cliquez sur Activer la configuration.

Activer la réécriture du mot de passe

Avec la synchronisation Cloud correctement configurée, nous pouvons maintenant activer le retour de mot de passe pour les utilisateurs synchronisés. De cette façon, les utilisateurs peuvent réinitialiser leur mot de passe dans Microsoft 365 et il sera automatiquement synchronisé vers l'Active Directory.

Dans Microsoft Entra, développez Protection et ouvrez Réinitialisation du mot de passe
Cliquez sur l'intégration sur site
Activer l'écriture des mots de passe pour les utilisateurs synchronisés
Activer l'écriture des mots de passe avec la synchronisation cloud Microsoft Entra Connect
Cliquez sur Enregistrer.

Vérification de l'état

Après avoir tout configuré, il est important de garder un œil sur l'état de synchronisation Cloud pendant les 30 premières minutes environ. Tout problème de configuration peut entraîner la mise en quarantaine de la configuration, ce qui empêche la synchronisation.

Dans l'exemple ci-dessous, l'AMF a été forcée pour le compte de service nouvellement créé. Cela a été simplement résolu en créant une exclusion dans les politiques d'accès conditionnel, mais des choses comme ça sont facilement négligées.

Si vous avez résolu un problème, vous devrez vider la quarantaine dans la configuration. Cliquez sur les 3 points et choisissez Vider la quarantaine pour reprendre la synchronisation.

Conclure

L'agent de synchronisation Entra Cloud est la voie à suivre pour synchroniser Active Directory avec Microsoft Entra. Oui, il ne peut pas synchroniser les objets ordinateur, mais il est de toute façon préférable de le faire avec Intune.

Une autre option est de faire fonctionner Entra Connect Sync et Entra Cloud Sync côte à côte et d'utiliser Entra Connect uniquement pour les objets ordinateur. Cela réduirait la charge de travail sur vos serveurs sur site tout en vous assurant que vous êtes prêt pour toute évolution de fonctionnalité avec Cloud Sync.

J'espère que vous avez aimé cet article, si vous avez des questions, laissez simplement un commentaire ci-dessous.