Entra Connect Sync : sans mise à niveau, la synchronisation s'arrête le 7 avril 2027

Ce que Microsoft exige d'ici le 7 avril 2027

L'avis est affiché en tête de la documentation Microsoft Entra Connect depuis la fin septembre 2026 : mettre à niveau Entra Connect Sync vers la version 2.6.84.0 ou plus récente et configurer l'authentification applicative avant le 7 avril 2027. Passé cette date, l'authentification héritée est retirée et les services de synchronisation cessent de fonctionner tant que les deux conditions ne sont pas remplies.

Cet avis en remplace un autre, qui fixait l'échéance au 30 septembre 2026 avec la version 2.5.79.0 comme minimum. Microsoft a donné six mois de plus, mais a relevé la barre : la 2.5.79.0 ne suffit plus, et elle est de toute façon sortie du support le 23 octobre 2026. La règle n'a pas changé : chaque version 2.x est supportée 12 mois après la sortie de la suivante.

Mise à niveau d'Entra Connect Sync : la version ne suffit pas

Le piège est là. Depuis la version 2.6.84.0, publiée le 7 juillet 2026, Entra Connect Sync ne bascule plus automatiquement un serveur existant vers l'authentification applicative. La mise à niveau automatique installe la nouvelle version, puis s'arrête. Un serveur peut donc afficher 2.6.92.0 et continuer de s'authentifier avec l'ancien compte.

Pour vérifier, une commande PowerShell suffit : Get-ADSyncEntraConnectorCredential. Si le type d'identité indique ServiceAccount, le travail n'est pas fait. Il faut relancer l'assistant et choisir la tâche « Configure application-based authentication to Microsoft Entra ID ». Les nouvelles installations, elles, sont configurées ainsi dès le départ.

Pourquoi Microsoft retire l'ancien compte

Jusqu'ici, le serveur s'authentifiait avec le compte Microsoft Entra Connector : un compte utilisateur, un mot de passe généré qui n'expire pas et le rôle Directory Synchronization Accounts. Un secret permanent, à forts privilèges, sur un serveur que personne ne surveille : une cible de choix dans un environnement hybride.

L'authentification applicative remplace ce mot de passe par une identité d'application et un certificat. En mode géré, le certificat vit 90 jours, le planificateur le renouvelle lui-même et la clé privée reste protégée par la puce TPM du serveur quand il y en a une. Une fois la transition validée, l'ancien compte se supprime avec Remove-ADSyncAADServiceAccount.

Ce qui se passe si la date passe

Vos utilisateurs ne verront rien le matin du 8 avril : leurs comptes sont déjà dans Entra ID. Le problème se construit en silence.

• Les nouveaux comptes créés dans Active Directory n'apparaissent plus dans le nuage.
• Les changements de mot de passe faits sur place ne se propagent plus.
• Un compte désactivé dans Active Directory reste actif dans Microsoft 365 : c'est le scénario de l'employé parti qui garde ses accès.

Cloud Sync : la direction de Microsoft, pas une obligation

Le guide de décision Microsoft, mis à jour le 6 octobre 2026, est clair : Entra Cloud Sync est la direction stratégique pour la synchronisation hybride, et les nouvelles fonctions y sont développées en priorité. La version 2.6.91.0 du 16 septembre 2026 ajoute d'ailleurs un assistant de migration guidée, offert par vagues aux tenants admissibles.

Admissible veut dire : une seule forêt, au plus 2 000 objets dans la portée, au plus 30 unités d'organisation par domaine, et aucune fonction bloquante (règles de synchronisation personnalisées, filtrage de groupes, UPN personnalisé, extensions d'annuaire, synchronisation d'appareils). Les domaines de plus de 150 000 objets, les groupes de plus de 50 000 membres, les références entre forêts et la configuration de PTA ou d'AD FS par l'assistant restent propres à Connect Sync.

Aucune date de retrait de Connect Sync n'est annoncée, et une exception temporaire peut se demander au support Microsoft, sans garantie. Autrement dit : la mise à niveau d'avril 2027 vous concerne de toute façon, la migration vers Cloud Sync seulement si votre configuration s'y prête.

Le plan, en quatre gestes

• Inventorier chaque serveur Entra Connect, actif et en mode intermédiaire (staging), avec sa version et son type d'identité. Le serveur oublié depuis 2023 existe plus souvent qu'on pense.
• Mettre à niveau vers la 2.6.92.0 du 23 septembre 2026, un correctif de sécurité que Microsoft recommande d'installer sans attendre, plutôt que vers le minimum.
• Configurer l'authentification applicative, confirmer le type d'identité, puis retirer l'ancien compte après une période de validation. Depuis la 2.6.91.0, Entra Connect demande des permissions Microsoft Graph : revoir les politiques d'accès conditionnel ciblées sur des applications.
• Décider pour Cloud Sync : si vous êtes admissible et dans une vague, l'assistant guidé fait la transition et place Connect Sync en mode intermédiaire. Microsoft recommande de le garder deux semaines avant de le désinstaller. Sinon, documenter pourquoi vous restez, et quand vous reverrez la question.

Le serveur que personne ne regarde

Entra Connect Sync est le service qu'on installe une fois et qu'on oublie, parce qu'il fonctionne. C'est aussi celui qui relie votre Active Directory à tout Microsoft 365. Une revue de l'identité hybride, faite maintenant, se planifie. Découvrir le 8 avril que la synchronisation est arrêtée, non. L'équipe io4 fait cette revue : inventaire des serveurs, mise à niveau, bascule de l'authentification et admissibilité à Cloud Sync.