Configurer Microsoft Entra Connect pour un locataire existant

La plupart des articles sur l’utilisation de Microsoft Entra Connect supposent que vous commencez par un nouveau locataire Microsoft Entra qui n’a pas d’utilisateurs ou d’autres objets. En revanche, si vous avez commencé avec un locataire Microsoft Entra, que vous l'avez renseigné avec des utilisateurs et d'autres objets, puis que vous souhaitez maintenant utiliser Connect, cet article s'adresse à vous.

Concepts de base

Un objet dans Microsoft Entra ID est géré dans le cloud ou localement. Pour un seul objet, vous ne pouvez pas gérer certains attributs locaux et d’autres attributs dans l’ID Microsoft Entra. Chaque objet a un indicateur indiquant où l’objet est géré.

Vous pouvez gérer certains utilisateurs locaux et d’autres utilisateurs dans le cloud. Un scénario courant pour cette configuration est une organisation avec une combinaison de travailleurs comptables et de vendeurs. Les travailleurs comptables ont un compte Active Directory local (AD) et les vendeurs ne le font pas, mais les deux ont un compte dans Microsoft Entra ID. Vous gérez certains utilisateurs localement et certains dans Microsoft Entra ID.

Vous devez prendre en compte certaines préoccupations supplémentaires lorsque vous avez commencé à gérer les utilisateurs dans l’ID Microsoft Entra qui sont également présents localement, puis que vous souhaitez utiliser Microsoft Entra Connect.

Synchroniser avec les utilisateurs existants dans l’ID Microsoft Entra

Lorsque vous commencez à synchroniser avec Microsoft Entra Connect, l’API du service Microsoft Entra vérifie chaque nouvel objet entrant et tente de trouver un objet existant à mettre en correspondance. Il existe trois attributs utilisés pour ce processus : userPrincipalName, proxyAddresses et sourceAnchor/immuableID. Une correspondance sur userPrincipalName ou proxyAddresses est appelée « correspondance réversible ». Une correspondance sur sourceAnchor est appelée « correspondance dure ». Pour l’attribut proxyAddresses , seule la valeur avec SMTP :, qui est l’adresse e-mail principale, est utilisée pour l’évaluation.

La correspondance est évaluée seulement pour les nouveaux objets provenant d’Active Directory local. Si vous modifiez un objet existant afin qu’il corresponde à l’un de ces attributs, une erreur s’affiche à la place.

Si l’ID Microsoft Entra trouve un objet où les valeurs d’attribut sont identiques au nouvel objet entrant de Microsoft Entra Connect, il prend le contrôle de l’objet dans Microsoft Entra ID et l’objet précédemment géré par le cloud est converti en objet géré localement. Tous les attributs de Microsoft Entra ID avec une valeur dans AD local sont remplacés par la valeur locale correspondante.

Avertissement

Étant donné que tous les attributs de l’ID Microsoft Entra vont être remplacés par la valeur locale, vérifiez que vous disposez de bonnes données locales. Par exemple, si vous gérez uniquement l'adresse e-mail dans Microsoft 365 et que vous ne l'avez pas conservée mise à jour dans les services de domaine Active Directory locaux (AD DS), vous perdez les valeurs dans Microsoft Entra ID/Microsoft 365 qui ne sont pas présentes dans AD DS.

Importante

Si vous utilisez la synchronisation de hachage de mot de passe, qui est toujours activée avec l’installation Express, le hachage de mot de passe dans Microsoft Entra ID est remplacé par le hachage de mot de passe à partir d’AD local. Si vos utilisateurs ont l'habitude de gérer différents mots de passe, vous devez leur indiquer qu'ils doivent utiliser le mot de passe AD sur site.

Prenez en compte l’avertissement de perte de données précédent lorsque vous planifiez votre déploiement. Si vous avez apporté de nombreuses modifications dans Microsoft Entra ID qui n'ont pas été reflétées dans ad DS local, puis pour éviter toute perte de données, envisagez de remplir AD DS avec les valeurs mises à jour de Microsoft Entra ID avant de synchroniser vos objets avec Microsoft Entra Connect.

Si vous avez fait correspondre vos objets à l’aide d’une correspondance partielle, l’attribut sourceAnchor est alors ajouté à l’objet dans Microsoft Entra ID afin qu’une correspondance stricte puisse être utilisée ultérieurement.

Importante

Microsoft recommande vivement de ne pas synchroniser les comptes locaux avec des comptes administratifs préexistants dans Microsoft Entra ID.

Mise en correspondance stricte et mise en correspondance souple

Par défaut, la valeur SourceAnchor d’un objet, par exemple « abcdefghijklmnopqrstuv== », est la représentation sous forme de chaîne Base64 de l’attribut mS-Ds-ConsistencyGUID (ou ObjectGUID en fonction de la configuration) à partir de l’objet Active Directory local. Cette valeur est définie en tant qu'ImmutableId correspondant dans Microsoft Entra ID.

Lorsque Microsoft Entra Connect ou Cloud Sync ajoute de nouveaux objets, le service Microsoft Entra ID tente de faire correspondre l’objet entrant à l’aide de la valeur sourceAnchor correspondant à l’attribut ImmutableId des objets existants dans Microsoft Entra ID. S'il existe une correspondance, Microsoft Entra Connect prend le contrôle de la source d'autorité (SoA) de cet objet et le met à jour avec les propriétés de l'objet Active Directory local entrant, dans ce que l'on appelle une mise en correspondance stricte. Lorsque Microsoft Entra ID ne trouve aucun objet dont l’ImmutableId correspond à la valeur SourceAnchor, il tente d’utiliser le userPrincipalName ou l’adresse SMTP principale de l’objet reçu pour trouver une correspondance dans ce qu’on appelle une mise en correspondance approximative.

Le hard match et le soft match visent tous deux à faire correspondre les objets déjà présents et gérés dans Microsoft Entra ID avec les nouveaux objets entrants ajoutés qui représentent la même entité locale. Si Microsoft Entra ID ne parvient pas à trouver de mise en correspondance stricte ou de mise en correspondance souple pour l'objet entrant, il approvisionne un nouvel objet dans l'annuaire Microsoft Entra ID.

Si Microsoft Entra ID est en mesure d’effectuer une correspondance approximative du nouvel objet entrant avec un objet existant dans Microsoft Entra ID en se basant sur l’adresse SMTP principale, mais que ce nouvel objet possède une valeur sourceAnchor différente, alors Microsoft Entra ID tente de créer un nouvel objet. La tentative d’approvisionnement entraîne normalement un conflit où Microsoft Entra ID ne parvient pas à créer le nouvel objet. Ce conflit se produit dans des situations telles que :

• Une valeur différente de sourceAnchor a été définie dans l’attribut mS-Ds-ConsistencyGuid, pour l’utilisateur d’AD local d’origine qui a déjà été synchronisé avec l’ID Entra.

• Un nouvel utilisateur AD local a été créé avec la même adresse UPN et la même adresse SMTP principale, mais avec une sourceAnchor et un SID différents.

Dans de tels cas, une AttributeValueMustBeUnique erreur d'exportation est générée dans Microsoft Entra Connect ou Cloud Sync. En fonction des propriétés utilisateur entrantes, cette erreur peut faire référence à l'un des conflits d'attributs suivants :

• AttributeConflictName = OnPremiseSecurityIdentifier : le nouvel objet entrant a une sourceAnchor différente, mais le même SID (OnPremiseSecurityIdentifier) et l’adresse SMTP principale comme utilisateur existant dans le répertoire Entra ID.

• AttributeConflictName = ProxyAddresses : le nouvel objet entrant a une autre sourceAnchor et SID, mais a la même adresse SMTP principale que l’utilisateur existant dans le répertoire Entra ID.

Remarque

Dans certaines situations rares, un OnPremiseSecurityIdentifier conflit se produit en raison d’un problème avec le pool RID AD local (par exemple, un contrôleur de domaine récupéré à partir de la sauvegarde), qui peut générer un nouvel utilisateur avec le même SID. Dans ce cas, une erreur AttributeValueMustBeUnique est générée lors de la tentative d'approvisionnement de l'utilisateur, non pas en raison des tentatives de mise en correspondance souple, mais parce que OnPremiseSecurityIdentifier doit être unique dans l'annuaire Entra ID.

Ces scénarios signifient généralement que vous essayez de réapprovisionner le même utilisateur. Pour résoudre le conflit, vous devez mettre à jour l’attribut de mS-Ds-ConsistencyGuid l’utilisateur local pour qu’il corresponde à la même valeur que l’immuableID de l’utilisateur cloud existant. Cette modification permet à Microsoft Entra ID d'effectuer la mise en correspondance stricte appropriée.

Bloquer la mise en correspondance stricte dans Microsoft Entra ID

Nous avons ajouté une option de configuration pour désactiver la fonctionnalité de correspondance matérielle dans l’ID Microsoft Entra. Nous conseillons aux clients de désactiver la correspondance exacte, sauf s’ils en ont besoin pour prendre le contrôle de comptes cloud uniquement.

Pour désactiver la correspondance exacte, utilisez la cmdlet PowerShell Microsoft Graph Update-MgDirectoryOnPremiseSynchronization :

Connect-MgGraph -Scopes "OnPremDirectorySynchronization.ReadWrite.All"

$OnPremSync = Get-MgDirectoryOnPremiseSynchronization
$OnPremSync.Features.BlockCloudObjectTakeoverThroughHardMatchEnabled = $true
Update-MgDirectoryOnPremiseSynchronization `
    -OnPremisesDirectorySynchronizationId $OnPremSync.Id `
    -Features $OnPremSync.Features

Bloquer la mise en correspondance souple dans Microsoft Entra ID

De même, nous avons ajouté une option de configuration pour désactiver l’option de correspondance floue dans Microsoft Entra ID. Nous conseillons aux clients de désactiver le soft matching, sauf s’ils en ont besoin pour prendre en charge les comptes exclusivement cloud.

Pour désactiver le soft matching, utilisez le cmdlet PowerShell Update-MgDirectoryOnPremiseSynchronization de Microsoft Graph :

Connect-MgGraph -Scopes "OnPremDirectorySynchronization.ReadWrite.All"

$OnPremSync = Get-MgDirectoryOnPremiseSynchronization
$OnPremSync.Features.BlockSoftMatchEnabled = $true
Update-MgDirectoryOnPremiseSynchronization `
    -OnPremisesDirectorySynchronizationId $OnPremSync.Id `
    -Features $OnPremSync.Features

Remarque

BlockCloudObjectTakeoverThroughHardMatchEnabled et BlockSoftMatchEnabled sont utilisés pour bloquer la correspondance pour tous les objets s’ils sont activés pour le locataire. Les clients sont encouragés à désactiver ces fonctionnalités uniquement pendant la période où une procédure correspondante est requise pour leur location. Cet indicateur doit être à nouveau défini sur True une fois que toute correspondance a été terminée et n’est plus nécessaire.

Protections de sécurité de la mise en correspondance stricte

À compter du 1er juillet 2026, Microsoft Entra ID ajoute des protections supplémentaires pour les opérations de hard match. Ces protections permettent d’empêcher un objet Active Directory local de prendre le contrôle du mauvais compte cloud lorsque la réassociation du compte cible présente un risque.

Une mise en correspondance stricte peut être bloquée lorsque le compte cloud cible remplit une ou plusieurs des conditions suivantes :

• Le compte cloud possède déjà onPremisesObjectIdentifier.
• Le compte cloud reçoit un rôle de Microsoft Entra privilégié.
• Le compte cloud est éligible à un rôle de Microsoft Entra privilégié.

Ces protections de sécurité ne désactivent pas la mise en correspondance stricte. La mise en correspondance stricte initiale continue de fonctionner pour les cibles sûres, et la synchronisation continue des utilisateurs déjà correctement mis en correspondance n'est pas affectée. Les comptes gérés dans le cloud avec écriture différée activée sont exclus de cette application. La vérification est appliquée dans le cloud. Elle s’applique donc à la fois à Microsoft Entra Connect Sync et Microsoft Entra Cloud Sync, quelle que soit la version du client. Le comportement de correspondance partielle reste inchangé et continue d’être régi séparément par la fonctionnalité BlockSoftMatchEnabled.

Pour connaître les messages d’erreur exacts et les correctifs spécifiques à l’erreur, consultez Résoudre les erreurs InvalidHardMatch.

Caution

N’utilisez pas le hard match comme mécanisme général de réparation pour les comptes privilégiés ni pour les comptes déjà associés à un objet local. Si l’objet local incorrect est lié à un compte cloud, le compte peut hériter de la mauvaise source d’autorité. Vérifiez le mappage prévu avant de réessayer la synchronisation.

Avant d’effectuer un hard match, vérifiez que l’utilisateur cible dans le cloud remplit toutes les exigences suivantes :

• Il représente le même utilisateur que l’objet local.

• La valeur d’ancrage de la source locale correspond exactement à celle de l’utilisateur onPremisesImmutableId.

• Il n'est pas affecté ou éligible à un rôle de Microsoft Entra privilégié. Supprimez les attributions de rôles privilégiées ou l’éligibilité avant de continuer.

• Le compte cloud n’a pas déjà un autre onPremisesObjectIdentifier renseigné. Effacez la valeur si nécessaire avant de réessayer.

Scénarios de mise en correspondance stricte et procédures de récupération

Le tableau suivant récapitule les scénarios courants de hard match, indique si Microsoft Entra ID autorise ou bloque chacun d’eux, et explique comment y remédier.

Scénario	Result	Récupération
Un nouvel utilisateur sur site est associé de manière explicite à un utilisateur non privilégié dans le cloud qui n’est pas déjà associé	La mise en correspondance stricte se poursuit.	Aucune action n'est requise si la mise en correspondance est intentionnelle.
L’utilisateur cloud cible a un rôle privilégié attribué	Mise en correspondance stricte bloquée	Supprimez temporairement le rôle, effectuez la mise en correspondance stricte, puis réattribuez le rôle.
L’utilisateur cloud cible est éligible à un rôle privilégié	Mise en correspondance stricte bloquée	Supprimez temporairement l'éligibilité, effectuez la mise en correspondance stricte, puis rétablissez l'éligibilité.
L’utilisateur du cloud cible est supprimé de façon réversible et dispose de privilèges	Mise en correspondance stricte bloquée	Restaurez l’utilisateur si nécessaire, puis appliquez la récupération de rôle privilégié.
L'utilisateur cloud cible possède déjà onPremisesObjectIdentifier (par exemple, après la recréation d'un utilisateur AD, un déplacement de forêt ou de domaine, ou une fusion).	Remappage bloqué (AttributeUpdateNotAllowed)	Validez l’objet source cible, effacez la valeur de onPremisesObjectIdentifier à null, puis relancez la synchronisation.
Vous ne pouvez pas corriger avant l’application	Contournement temporaire	Activez allowOnPremUpdateOfOnPremisesObjectIdentifierEnabled, puis corrigez-le et désactivez-le.

Corriger une mise en correspondance stricte bloquée par un rôle privilégié

Si l’utilisateur cloud dispose d’une attribution de rôle ou d’une éligibilité privilégiée :

1. Vérifiez que l’objet local doit être lié à l’utilisateur cloud existant.
2. Si l'utilisateur est supprimé de manière réversible, restaurez-le depuis la Corbeille Microsoft Entra ID.
3. Supprimez temporairement l’attribution de rôle privilégiée ou l’éligibilité de l’utilisateur cloud.
4. Relancez la synchronisation pour terminer la mise en correspondance stricte.
5. Réaffectez le rôle privilégié ou restaurez l’éligibilité.

Importante

Ne laissez pas l’accès privilégié supprimé plus longtemps que nécessaire. Restaurez l'attribution du rôle ou l'éligibilité une fois la mise en correspondance stricte réussie.

Effacer onPremisesObjectIdentifier

Si la correspondance forcée est bloquée parce que onPremisesObjectIdentifier est déjà défini, effacez la valeur pour la remplacer par null, puis relancez la synchronisation. Utilisez Microsoft Graph ou ADSyncTools.

Pour effacer onPremisesObjectIdentifier avec Microsoft Graph afin que la synchronisation puisse continuer, envoyez la requête suivante :

PATCH https://graph.microsoft.com/beta/users/{userId}
Content-Type: application/json

{
  "onPremisesObjectIdentifier": null
}

Cette demande PATCH nécessite l’autorisation User-OnPremisesSyncBehavior.ReadWrite.All Microsoft Graph et le rôle Administrateur général ou Administrateur d’identité hybride.

Remarque

Vous ne pouvez effacer onPremisesObjectIdentifier qu’en le définissant sur null. Les tentatives de définition sur une autre valeur sont bloquées. Après avoir effacé la valeur et réexécuté la synchronisation, la synchronisation réussie suivante marque une nouvelle valeur.

Sinon, pour effacer onPremisesObjectIdentifier avec ADSyncTools version 2.5.0 ou ultérieure, exécutez les commandes suivantes :

# Import ADSyncTools module
Import-Module ADSyncTools -MinimumVersion 2.5

# Provide the user's identity.
$userId = "<userId>"

# Review the current on-premises attributes.
Get-ADSyncToolsOnPremisesAttribute -Id $userId

# Optional: back up the current values before making changes.
Get-ADSyncToolsOnPremisesAttribute -Id $userId | Export-Clixml backupOnpremisesAttributes.Clixml

# Clear onPremisesObjectIdentifier.
Clear-ADSyncToolsOnPremisesAttribute -Id $userId -onPremisesObjectIdentifier

Après avoir effacé la valeur, réexécutez la synchronisation.

Autoriser temporairement les mises à jour onPremisesObjectIdentifier

Si vous ne pouvez pas corriger les objets affectés avant la mise en application, activez l’indicateur de fonctionnalité allowOnPremUpdateOfOnPremisesObjectIdentifierEnabled au niveau du client. Cet indicateur est désactivé par défaut. Laissez l’indicateur désactivé, sauf si vous avez besoin d’un contournement temporaire pendant la correction.

# Connect to Microsoft Graph.
Connect-MgGraph -Scopes "OnPremDirectorySynchronization.ReadWrite.All"

# Enable the temporary bypass.
$OnPremSync = Get-MgDirectoryOnPremiseSynchronization
$OnPremSync.Features.AllowOnPremUpdateOfOnPremisesObjectIdentifierEnabled = $true

Update-MgDirectoryOnPremiseSynchronization `
    -OnPremisesDirectorySynchronizationId $OnPremSync.Id `
    -Features $OnPremSync.Features

# Verify the current value.
$OnPremSync = Get-MgDirectoryOnPremiseSynchronization
$OnPremSync.Features.AllowOnPremUpdateOfOnPremisesObjectIdentifierEnabled

Pour réactiver la protection des correspondances matérielles après la correction, définissez l’indicateur sur $false:

$OnPremSync = Get-MgDirectoryOnPremiseSynchronization
$OnPremSync.Features.AllowOnPremUpdateOfOnPremisesObjectIdentifierEnabled = $false

Update-MgDirectoryOnPremiseSynchronization `
    -OnPremisesDirectorySynchronizationId $OnPremSync.Id `
    -Features $OnPremSync.Features

Avertissement

L'activation de cet indicateur de fonctionnalité réduit la protection offerte par les mécanismes de sécurité de la mise en correspondance stricte. Utilisez-le uniquement comme contournement temporaire pour une migration, une récupération ou un scénario de consolidation validés. Désactivez le contournement une fois la remédiation terminée.

Autres objets que les utilisateurs

Pour les groupes et les contacts compatibles avec la messagerie, vous pouvez effectuer une mise en correspondance souple basée sur proxyAddresses. La mise en correspondance stricte ne s'applique pas, car vous ne pouvez mettre à jour le sourceAnchor/immutableID (avec PowerShell) que pour les utilisateurs. Pour les groupes qui ne sont pas compatibles avec la messagerie, il n'existe aucune prise en charge de la mise en correspondance souple ni de la mise en correspondance stricte.

Considérations relatives à la correspondance réversible de l’utilisateur avec le rôle d’administrateur

Pour protéger les utilisateurs locaux non approuvés, l'ID Microsoft Entra ne fera pas correspondre les utilisateurs locaux à des utilisateurs cloud qui ont un rôle d'administrateur. Il s’agit du comportement par défaut. Pour contourner ce problème, procédez comme suit :

1. Supprimez les rôles d’annuaire de l’objet utilisateur cloud uniquement.
2. Supprimez en dur le nouvel objet mis en quarantaine créé dans le cloud.
3. Déclenchez un nouveau cycle de synchronisation.
4. Si vous le souhaitez, ajoutez les rôles d’annuaire à l’objet utilisateur dans le cloud une fois la correspondance terminée.

Créer un annuaire Active Directory local à partir de données dans l’ID Microsoft Entra

Certains clients commencent par une solution cloud uniquement avec l’ID Microsoft Entra et ils n’ont pas d’AD local. Plus tard, ils souhaitent consommer des ressources locales et souhaitent créer un AD local basé sur les données Microsoft Entra. Microsoft Entra Connect ne peut pas vous aider dans ce scénario. Il ne crée pas d'utilisateurs sur site et n'a pas la capacité de définir le mot de passe sur site pour qu'il soit identique à celui de l'ID Microsoft Entra.

Si la seule raison pour laquelle vous envisagez d’ajouter un Active Directory local est de prendre en charge des applications métier (LOB), envisagez plutôt d’utiliser Microsoft Entra Domain Services.

Contenu connexe

Apprenez-en davantage sur l’intégration de vos identités locales avec Microsoft Entra ID.