Ports et protocoles nécessaires à l’identité hybride

Le document suivant est une référence technique sur les ports et protocoles requis pour l’implémentation d’une solution d’identité hybride. Utilisez l’illustration suivante et reportez-vous à la table correspondante.

Tableau 1 - Microsoft Entra Connect et AD local

Ce tableau décrit les ports et protocoles requis pour la communication entre le serveur Microsoft Entra Connect et ad local.

Protocole	Ports maritimes	Descriptif
Système de noms de domaine (DNS)	53 (TCP/UDP)	Recherches DNS sur la forêt de destination.
Kerberos	88 (TCP/UDP)	Authentification Kerberos dans la forêt AD.
MS-RPC	135 (TCP)	Utilisé lors de la configuration initiale de l’Assistant Microsoft Entra Connect lorsqu’il est lié à la forêt AD, ainsi qu’au cours de la synchronisation du mot de passe.
LDAP	389 (TCP/UDP)	Utilisé pour l’importation de données à partir d’AD. Les données sont chiffrées avec le signe Kerberos et le sceau.
PME	445 (TCP)	Utilisé par l’authentification unique transparente pour créer un compte d’ordinateur dans la forêt AD et pendant l’écriture différée du mot de passe. Pour plus d’informations, consultez Modifier le mot de passe d’un compte d’utilisateur.
LDAP/SSL	636 (TCP/UDP)	Utilisé pour l’importation de données à partir d’AD. Le transfert de données est signé et chiffré. Utilisé uniquement si vous utilisez TLS.
RPC	49152- 65535 (port RPC élevé aléatoire) (TCP)	Utilisé lors de la configuration initiale de Microsoft Entra Connect lorsqu’il est lié aux forêts AD et pendant la synchronisation de mot de passe. Si le port dynamique a été modifié, vous devez ouvrir ce port. Pour plus d’informations, consultez KB929851, KB832017 et KB224196 .
WinRM	5985 (TCP)	Utilisé uniquement si vous installez AD FS avec l’Assistant Microsoft Entra Connect
AD DS Web Services	9389 (TCP)	Utilisé uniquement si vous installez AD FS avec l’Assistant Microsoft Entra Connect
Catalogue global	3268 (TCP)	Utilisé par l’authentification unique transparente pour interroger le catalogue global dans la forêt avant de créer un compte d’ordinateur dans le domaine.

Tableau 2 - Microsoft Entra Connect et Microsoft Entra ID

Ce tableau décrit les ports et protocoles requis pour la communication entre le serveur Microsoft Entra Connect et l’ID Microsoft Entra.

Protocole	Ports maritimes	Descriptif
HTTP	80 (TCP)	Utilisé pour télécharger des listes de révocation de certificats (listes de révocation de certificats) pour vérifier les certificats TLS/SSL.
HTTPS	443 (TCP)	Utilisé pour se synchroniser avec l’ID Microsoft Entra.

Pour obtenir la liste des URL et des adresses IP que vous devez ouvrir dans votre pare-feu, consultez les URL et plages d’adresses IP Office 365 etrésolution des problèmes de connectivité Microsoft Entra Connect.

Tableau 3 - Serveurs de fédération Microsoft Entra Connect et AD FS/WAP

Ce tableau décrit les ports et protocoles requis pour la communication entre le serveur Microsoft Entra Connect et les serveurs AD FS Federation/WAP.

Protocole	Ports maritimes	Descriptif
HTTP	80 (TCP)	Utilisé pour télécharger des listes de révocation de certificats (listes de révocation de certificats) pour vérifier les certificats TLS/SSL.
HTTPS	443 (TCP)	Utilisé pour se synchroniser avec l’ID Microsoft Entra.
WinRM	5985	Écouteur WinRM

Tableau 4 - Serveurs WAP et fédération

Ce tableau décrit les ports et protocoles requis pour la communication entre les serveurs de fédération et les serveurs WAP.

Protocole	Ports maritimes	Descriptif
HTTPS	443 (TCP)	Utilisé pour l’authentification.

Tableau 5 - WAP et utilisateurs

Ce tableau décrit les ports et protocoles requis pour la communication entre les utilisateurs et les serveurs WAP.

Protocole	Ports maritimes	Descriptif
HTTPS	443 (TCP)	Utilisé pour l’authentification de l’appareil.
TCP	49443 (TCP)	Utilisé pour l’authentification par certificat.

Tableau 6a & 6b - Authentification directe avec authentification unique (SSO) et synchronisation de hachage de mot de passe avec authentification unique (SSO)

Les tableaux suivants décrivent les ports et protocoles requis pour la communication entre Microsoft Entra Connect et l’ID Microsoft Entra.

Tableau 6a - Authentification directe avec l’authentification unique

Protocole	Ports maritimes	Descriptif
HTTP	80 (TCP)	Utilisé pour télécharger des listes de révocation de certificats (listes de révocation de certificats) pour vérifier les certificats TLS/SSL. Également nécessaire pour que la fonctionnalité de mise à jour automatique du connecteur fonctionne correctement.
HTTPS	443 (TCP)	Permet d’activer et de désactiver la fonctionnalité, d’inscrire des connecteurs, de télécharger les mises à jour du connecteur et de gérer toutes les demandes de connexion utilisateur.

En outre, Microsoft Entra Connect doit pouvoir établir des connexions IP directes aux plages d’adresses IP du centre de données Azure.

Tableau 6b - Synchronisation de hachage de mot de passe avec l’authentification unique

Protocole	Ports maritimes	Descriptif
HTTPS	443 (TCP)	Permet d’activer l’inscription de l’authentification unique (obligatoire uniquement pour le processus d’inscription de l’authentification unique).

En outre, Microsoft Entra Connect doit pouvoir établir des connexions IP directes aux plages d’adresses IP du centre de données Azure. Là encore, cela n’est nécessaire que pour le processus d’inscription de l’authentification unique.

Tableau 7a &7b - Agent Microsoft Entra Connect Health pour (AD FS/Sync) et ID Microsoft Entra

Les tableaux suivants décrivent les points de terminaison, les ports et les protocoles requis pour la communication entre les agents Microsoft Entra Connect Health et l’ID Microsoft Entra

Tableau 7a - Ports et protocoles pour l’agent Microsoft Entra Connect Health pour (AD FS/Sync) et l’ID Microsoft Entra

Ce tableau décrit les ports et protocoles sortants suivants requis pour la communication entre les agents Microsoft Entra Connect Health et l’ID Microsoft Entra.

Protocole	Ports maritimes	Descriptif
Azure Service Bus (plateforme de messagerie inter-applications)	5671 (TCP)	Utilisé pour envoyer des informations d’intégrité à Microsoft Entra ID. (recommandé mais non requis dans les dernières versions)
HTTPS	443 (TCP)	Utilisé pour envoyer des informations d’intégrité à Microsoft Entra ID. (restauration automatique)

Si 5671 est bloqué, l’agent revient à 443, mais l’utilisation de 5671 est recommandée. Ce point de terminaison n’est pas obligatoire dans la dernière version de l’agent. Les dernières versions de l’agent Microsoft Entra Connect Health nécessitent uniquement le port 443.

7b - Points de terminaison pour l’agent Microsoft Entra Connect Health pour (AD FS/Sync) et l’ID Microsoft Entra

Pour obtenir la liste des points de terminaison, consultez la section Configuration requise pour l’agent Microsoft Entra Connect Health.