Azure

Microsoft Entra Cloud Sync

Overview

Microsoft Entra Cloud Sync ist ein Synchronisierungsdienst für hybride Identitäten: Er überträgt Benutzer, Gruppen und Kontakte aus einer oder mehreren Active-Directory-Gesamtstrukturen nach Microsoft Entra ID, mit aktivierter Gerätesynchronisierung auch Computerobjekte für Microsoft Entra Hybrid Join. Anders als bei Entra Connect Sync liegen Konfiguration und Verarbeitung im Cloud-Dienst, lokal läuft nur der Microsoft Entra Provisioning Agent, der ausschließlich ausgehend kommuniziert.

Abgrenzung: Microsoft Entra Connect ist das klassische Werkzeug mit lokaler Synchronisierungs-Engine und SQL-Datenbank, Hybrid Identity beschreibt das Gesamtkonzept samt Anmeldemethoden wie PHS, PTA und Federation. Cloud Sync übernimmt nur die Synchronisierung: Pass-through-Authentifizierung und Seamless SSO konfigurierst Du weiterhin separat, beide laufen nach einer Migration weiter.

Microsoft entwickelt neue Synchronisierungsfunktionen vorrangig auf Cloud Sync und bezeichnet es als empfohlenen Weg für die meisten Organisationen. Die Migration von Connect Sync rollt Microsoft in Phasen aus und benachrichtigt Organisationen, sobald sie berechtigt sind. Wer im empfohlenen Zeitraum nicht migrieren kann, beantragt eine Ausnahme. Verpflichtend wird der Wechsel erst, wenn alle genutzten Funktionen in Cloud Sync verfügbar sind.

Nur in Cloud Sync gibt es die Gruppenbereitstellung von Entra ID nach Active Directory, mit der Cloud-Gruppen den Zugriff auf lokale Anwendungen steuern. Auf dem Server heißen die Dienste weiterhin Microsoft Azure AD Connect Provisioning Agent und Agent Updater.

How it works

Cloud Sync arbeitet mit einem lokalen Agenten und einem Cloud-Dienst:

  1. Der Microsoft Entra Provisioning Agent läuft auf einem domänenangehörigen Windows Server ab 2016 (empfohlen 2022 oder 2025, kein Server Core) mit .NET Framework 4.7.1 und aktiviertem TLS 1.2. Er nutzt ein gMSA (provAgentgMSA$) und kommuniziert ausgehend über Port 443, Port 80 dient dem Abruf von Sperrlisten.
  2. Der Provisioning-Dienst in Microsoft Entra ID hält die Konfiguration: Bereichsfilter nach OU oder Gruppe, Attributzuordnungen mit dem Expression Builder und den Zeitplan. Die Synchronisierung läuft inkrementell alle zwei Minuten.
  3. Der Agent hält über Azure Service Bus eine ausgehende Verbindung, empfängt SCIM-Anfragen, liest im AD, filtert und transformiert und sendet die Ergebnisse zurück.
  4. Für Hochverfügbarkeit empfiehlt Microsoft drei aktive Agenten auf verschiedenen Servern, die ohne Konfigurationsänderung füreinander einspringen.
  5. Eingerichtet wird im Microsoft Entra Admin Center unter Entra Connect und Cloud Sync. Nötig ist mindestens die Rolle Hybrid Identity Administrator, für das Anlegen des gMSA Rechte als Domänen- oder Unternehmensadministrator.

Benefits

  • Kein Sync-Server mit Datenbank: Der Agent ist schlank, aktualisiert sich automatisch und braucht keine lokale Verwaltungsoberfläche.
  • Hochverfügbarkeit ohne Staging-Server: Mehrere aktive Agenten übernehmen automatisch, geplante Ausfallzeiten für Updates entfallen.
  • Getrennte Gesamtstrukturen: Mehrere nicht verbundene AD-Forests lassen sich ohne Forest-Konsolidierung in einen Tenant synchronisieren, praktisch nach Firmenübernahmen.
  • Verwaltung aus der Cloud: Die Konfiguration erfolgt im Entra Admin Center, ohne VPN oder Anmeldung am Sync-Server.
  • Weiterentwicklung: Neue Synchronisierungsfunktionen entstehen vorrangig in Cloud Sync, die Gruppenbereitstellung nach AD gibt es nur dort.

Practical example

Ein Elektrogroßhändler mit 500 Mitarbeitenden übernimmt einen Wettbewerber, der ein eigenes Active Directory ohne Vertrauensstellung zur Muttergesellschaft betreibt. Statt die Gesamtstrukturen zusammenzuführen, installiert die IT im übernommenen Forest drei Provisioning Agents auf Tier-0-Servern und synchronisiert die Konten mit Kennwort-Hash-Synchronisierung in den gemeinsamen Tenant. Die neuen Kolleginnen und Kollegen arbeiten nach wenigen Tagen in Teams und SharePoint mit, ihre AD-Anmeldung bleibt unverändert. Das bestehende Entra Connect der Muttergesellschaft migriert die IT anschließend OU für OU auf Cloud Sync.

Things to keep in mind

  • Synchronisiere ein Objekt nie gleichzeitig mit Connect Sync und Cloud Sync. Bei der manuellen Migration bleiben Objekte im Connect-Bereich, die Regeln cloudNoFlow und JoinNoFlow unterbinden dort den Export bis zur Umstellung.
  • Gleiche die Grenzen vor dem Umstieg ab: Microsoft nennt bis 150.000 Objekte pro AD-Domäne und Gruppen bis 50.000 Mitglieder. Erweiterte Sync-Regeln, Cross-Forest-Referenzen und Device Writeback (abgelöst durch Cloud Kerberos Trust) gibt es nicht.
  • Installiere die Agenten auf Tier-0-Servern, Domänencontroller sind unterstützt, und lege ein Cloud-only-Konto mit der Rolle Hybrid Identity Administrator als Notfallzugang an.
  • Sichere vor der Migration die Connect-Konfiguration per Import/Export der Einstellungen und teste mit On-Demand-Provisioning an einzelnen Benutzern.
  • Aktiviert ein FIPS-Lockdown auf dem Agent-Server die MD5-Sperre, schlägt die Kennwort-Hash-Synchronisierung fehl, bis Du die FIPS-Durchsetzung in der Agent-Konfiguration anpasst.

Licensing & availability

Cloud Sync ist kostenlos und in jedem Microsoft-Entra-Tenant nutzbar. Microsoft Entra ID P1, etwa enthalten in Microsoft 365 Business Premium, E3 oder E5, brauchst Du für die Gruppenbereitstellung nach Active Directory und für das Kennwortrückschreiben im Zusammenspiel mit SSPR. Stand: Oktober 2026.

Conclusion

Microsoft Entra Cloud Sync ist der empfohlene Weg für neue hybride Umgebungen und für die meisten bestehenden Connect-Installationen. Wer erweiterte Sync-Regeln oder sehr große Gruppen braucht, bleibt vorerst bei Entra Connect und plant die Migration anhand des Entscheidungsleitfadens.

Further reading

Related articles