Azure

Microsoft Entra Connect

Overview

Microsoft Entra Connect ist das Werkzeug, das ein lokales Active Directory mit Microsoft Entra ID verbindet. Der Kern ist Entra Connect Sync: ein Dienst auf einem Windows Server, der Benutzer, Gruppen, Kontakte und Geräte samt Kennwort-Hashes in die Cloud schreibt. Dazu gehört Entra Connect Health zur Überwachung von Sync, AD FS und AD DS. Bis 2023 hieß das Produkt Azure AD Connect, Version 1 wurde am 31. August 2022 eingestellt.

Das Konzept dahinter, also Anmeldemethoden wie Kennwort-Hash-Synchronisierung, Pass-through-Authentifizierung und Federation, beschreibt der Eintrag Hybrid Identity. Dieser Eintrag behandelt das Werkzeug, seine Versionen und den Betrieb.

Wichtige Pflicht: Bis zum 7. April 2027 muss Entra Connect Sync mindestens Version 2.6.84.0 haben und auf anwendungsbasierte Authentifizierung umgestellt sein, weil Microsoft die bisherige Anmeldung mit Benutzername und Kennwort des Synchronisierungskontos abschaltet. Danach fällt die Synchronisierung aus. Die ursprünglich genannte Frist 30. September 2026 hat Microsoft auf diesen Termin verschoben. Aktuell ist Version 2.6.92.0 vom 23. September 2026.

Microsoft bezeichnet Microsoft Entra Cloud Sync als Zukunft der Synchronisierung: einen schlanken Agenten ohne lokale SQL-Datenbank, mit Konfiguration in der Cloud und Unterstützung mehrerer getrennter Gesamtstrukturen. Vor einer Neuinstallation von Entra Connect solltest Du prüfen, ob Cloud Sync Deine Anforderungen bereits abdeckt.

How it works

Entra Connect Sync arbeitet mit Connectors und einer lokalen Datenbank (Metaverse):

  1. Der AD-Connector liest Objekte und Attribute aus den konfigurierten Domänen und Organisationseinheiten.
  2. Synchronisierungsregeln verbinden lokale Objekte über ein Quellanker-Attribut (Standard: ms-DS-ConsistencyGuid) mit Cloud-Objekten und transformieren Attribute.
  3. Der Entra-Connector schreibt Änderungen nach Entra ID, standardmäßig alle 30 Minuten, Kennwort-Hashes werden separat in kurzen Abständen übertragen.
  4. Optional schreiben Funktionen zurück ins AD: Kennwortrückschreiben für SSPR, Geräte- und Gruppenrückschreiben, Exchange-Hybrid-Attribute.
  5. Ein zweiter Server im Staging-Modus hält eine fertige Konfiguration bereit und übernimmt bei Ausfall.

Ab Version 2.6.84.0 meldet sich der Sync-Dienst über die Anwendung Microsoft Entra AD Synchronization Service an (anwendungsbasierte Authentifizierung). Voraussetzungen sind .NET Framework 4.7.2 und TLS 1.2, das Installationspaket gibt es nur im Entra Admin Center. Versionen 2.x erreichen 12 Monate nach Erscheinen einer neueren Version ihr Supportende, Version 2.5.79.0 etwa am 23. Oktober 2026.

Benefits

  • Eine Identität für lokal und Cloud: Benutzer melden sich mit demselben Konto an Windows und Microsoft 365 an.
  • Volle Kontrolle über Synchronisierungsregeln: Filterung, Attributtransformation und komplexe Topologien sind möglich, die Cloud Sync noch nicht abdeckt.
  • Kennwortrückschreiben: Self-Service-Kennwortzurücksetzung in der Cloud ändert auch das lokale Kennwort.
  • Ausfallvorsorge: Der Staging-Server verkürzt die Wiederherstellung nach einem Serverausfall erheblich.
  • Kostenlos: Entra Connect selbst kostet nichts, nur einzelne Funktionen setzen Entra-Lizenzen voraus.

Practical example

Ein Familienunternehmen aus der Metallverarbeitung mit 450 Mitarbeitenden synchronisiert sein AD seit 2019 mit Azure AD Connect auf einem Windows Server 2016. Bei der Prüfung im Herbst 2026 stellt die IT fest, dass Version 2.5.79.0 läuft, deren Support am 23. Oktober 2026 endet. Sie installiert einen neuen Server mit Windows Server 2022 und Version 2.6.92.0 im Staging-Modus, konfiguriert dort die anwendungsbasierte Authentifizierung, vergleicht die Exporte und schaltet dann um. Den alten Server baut sie zurück und dokumentiert den neuen als Tier-0-System im Notfallhandbuch.

Things to keep in mind

  • Plane das Upgrade auf mindestens 2.6.84.0 und die anwendungsbasierte Authentifizierung jetzt, nach dem 7. April 2027 stoppt die Synchronisierung sonst.
  • Behandle den Entra-Connect-Server wie einen Domänencontroller (Tier 0): eigener Server, eingeschränkte Admins, kein Internet-Browsing, Updates, EDR.
  • Halte einen Staging-Server bereit und prüfe Version und Konfiguration beider Server regelmäßig auf Gleichstand.
  • Bereinige vor der Erstsynchronisierung UPN-Suffixe und doppelte Attribute (proxyAddresses, userPrincipalName), sonst entstehen Synchronisierungsfehler.
  • Prüfe mit dem Check-Sync-Tool, ob Microsoft Entra Cloud Sync für Deine Umgebung reicht, das reduziert Serverbetrieb.

Licensing & availability

Entra Connect und Entra Cloud Sync sind kostenlos und in jedem Tenant nutzbar. Entra Connect Health erfordert Microsoft Entra ID P1, Kennwortrückschreiben im Zusammenspiel mit SSPR ebenfalls P1 (z. B. in Microsoft 365 Business Premium, E3 oder E5). Pflicht: Version 2.6.84.0 oder höher und anwendungsbasierte Authentifizierung bis 7. April 2027. Stand: Oktober 2026.

Conclusion

Entra Connect bleibt für viele hybride Umgebungen das Arbeitspferd der Synchronisierung. Bring den Server jetzt auf eine aktuelle Version mit anwendungsbasierter Authentifizierung und prüfe Cloud Sync als schlankere Alternative.

Further reading

Related articles