En bref
- Depuis le 30 septembre 2026, les serveurs Entra Connect Sync antérieurs à la version 2.5.79.0 ne synchronisent plus Active Directory avec Microsoft Entra ID.
- La panne dure jusqu’à la mise à jour du serveur : elle ne se résout pas seule.
- La version 2.5.79.0 arrive elle-même en fin de support le 23 octobre 2026. Visez donc la dernière version disponible.
- Après la mise à jour, contrôlez les comptes créés, modifiés ou désactivés depuis le 30 septembre.
Le 30 septembre 2026, Microsoft a activé le durcissement de sécurité annoncé pour Entra Connect Sync. Depuis cette date, tout serveur resté sur une version antérieure à 2.5.79.0 a cessé de synchroniser votre Active Directory avec Microsoft Entra ID. Votre établissement est peut-être concerné sans le savoir. En effet, les connexions continuent souvent de fonctionner, alors que les arrivées, les départs et les changements de groupes ne remontent plus. Cet article vous aide à vérifier votre situation, à mettre à jour le serveur, puis à contrôler les comptes touchés pendant l’interruption.
Entra Connect Sync : ce qui a changé le 30 septembre 2026
Entra Connect Sync, anciennement Azure AD Connect, synchronise votre Active Directory local avec Microsoft Entra ID. C’est lui qui fait apparaître dans Microsoft 365 les comptes créés dans l’AD. Il propage aussi les mots de passe, les attributs et les appartenances aux groupes.
Un durcissement de sécurité côté Microsoft
Pour renforcer la sécurité de la synchronisation hybride, Microsoft a déployé une application dédiée dans chaque tenant. Elle apparaît dans les applications d’entreprise du Centre d’administration Microsoft Entra, sous le nom « Microsoft Entra AD Synchronization Service ». La version 2.5.79.0 d’Entra Connect Sync intègre ce changement. Microsoft demandait donc à tous ses clients de l’installer au plus tard le 30 septembre 2026.
La documentation ne laissait aucune ambiguïté. Sous cette version, tous les services de synchronisation échouent à partir du 30 septembre. Ils restent en échec tant que le serveur n’est pas mis à jour. Autrement dit, rien ne repartira sans votre intervention.
Deux dates à retenir
La première date est passée : depuis le 30 septembre 2026, seules les versions 2.5.79.0 et suivantes synchronisent. La seconde arrive vite. D’après l’historique des versions publié par Microsoft, la version 2.5.79.0 atteint sa fin de support le 23 octobre 2026. Installer la version minimale ne vous fait donc gagner que quelques semaines. C’est pourquoi il vaut mieux viser directement la dernière version proposée par Microsoft.
Votre synchronisation est-elle arrêtée ? Les signes à surveiller
Une synchronisation à l’arrêt passe facilement inaperçue, car les utilisateurs déjà présents dans Entra ID continuent souvent de se connecter. Avec la synchronisation du hachage de mot de passe, par exemple, le mot de passe déjà synchronisé reste valable dans le cloud. Les problèmes apparaissent plutôt au fil des changements faits dans l’AD :
- un collaborateur créé dans l’AD le 1er octobre n’a ni messagerie ni accès à Teams ;
- un mot de passe changé sur un poste du domaine n’est pas pris en compte dans Microsoft 365, où l’ancien reste actif ;
- un ajout à un groupe de sécurité ne donne pas les droits attendus dans le cloud ;
- un compte désactivé lors d’un départ reste actif dans Entra ID.
Le dernier cas est le plus sérieux. Un ancien salarié garde alors l’accès à sa messagerie et à ses fichiers, alors que la DSI le croit bloqué.
Vérifiez aussi l’heure de la dernière synchronisation, affichée dans le Centre d’administration Microsoft Entra. Si elle date du 30 septembre ou d’avant, votre serveur est très probablement concerné.
Mettre à jour Entra Connect Sync : la marche à suivre
Microsoft décrit la procédure complète dans sa documentation de mise à niveau. Prévoyez l’opération hors des heures de pointe. Pendant la mise à jour, le planificateur de synchronisation delta, qui tourne toutes les 30 minutes par défaut, est suspendu. La synchronisation des mots de passe, elle, continue.
Étape 1 : vérifier la version d’Entra Connect Sync installée
Ouvrez « Programmes et fonctionnalités » sur le serveur et relevez la version de Microsoft Entra Connect Sync. Vous la trouvez aussi dans Synchronization Service Manager, via le menu Help puis About. Faites ce relevé sur chaque serveur, y compris celui en mode staging.
Ensuite, contrôlez l’état de la mise à niveau automatique avec la commande PowerShell Get-ADSyncAutoUpgrade. Beaucoup d’administrateurs se croient à jour grâce à elle. Toutefois, elle ne fonctionne qu’à partir de la version 2.3.20.0, et elle n’aboutit pas dans tous les cas. Seul le relevé de la version fait foi.
Étape 2 : contrôler les prérequis
Microsoft exige au minimum .NET Framework 4.7.2 et TLS 1.2 sur le serveur. Vérifiez ces deux points avant de lancer l’installation. Un serveur ancien, jamais mis à jour depuis des années, peut aussi demander une remise à niveau préalable de Windows.
Étape 3 : installer la dernière version
Le fichier d’installation .msi n’est disponible que dans le Centre d’administration Microsoft Entra. N’utilisez donc pas un ancien installeur conservé sur un partage réseau. Si vous disposez d’un serveur en mode staging, mettez-le à jour en premier. Validez ensuite son fonctionnement avant de passer au serveur actif.
Étape 4 : relancer et contrôler la synchronisation
Une fois l’installation terminée, lancez un cycle delta avec Start-ADSyncSyncCycle -PolicyType Delta. Surveillez ensuite le résultat dans Synchronization Service Manager : aucune exécution ne doit se terminer en erreur. Enfin, vérifiez dans le Centre d’administration Microsoft Entra que la date de dernière synchronisation est revenue à l’heure courante.
Les comptes modifiés pendant l’arrêt d’Entra Connect Sync
La mise à jour relance la synchronisation, mais elle ne vous dit pas ce qui s’est passé pendant la coupure. Prenez donc le temps de contrôler les changements faits dans l’AD depuis le 30 septembre.
Commencez par les départs : chaque compte désactivé dans l’AD doit l’être aussi dans Entra ID. Passez ensuite aux arrivées, puis aux changements de poste.
Ce contrôle est bien plus simple si vos mouvements de personnel sont tracés au même endroit. Une liste à jour des arrivées et des départs vous sert alors de base de comparaison. Notre article sur l’onboarding et l’offboarding détaille les étapes à suivre pour chaque mouvement. De même, un annuaire des personnes centralisé permet de retrouver qui est arrivé ou parti sur la période.
Profitez aussi de l’occasion pour revoir vos accès sensibles. Si vous déployez une authentification unique, l’article SSO et authentification forte en ESMS présente les points de vigilance propres aux établissements médico-sociaux.
Et après : faut-il passer à Entra Cloud Sync ?
Microsoft encourage les clients éligibles à migrer vers Entra Cloud Sync. Ce service remplace le serveur de synchronisation par un agent léger, géré depuis le cloud et mis à jour automatiquement. Vous n’auriez ainsi plus à surveiller ce type d’échéance.
La migration n’a cependant rien d’urgent. Certaines fonctions restent propres à Entra Connect Sync, notamment l’authentification directe (PTA). Étudiez votre environnement avant de décider. La priorité reste de remettre la synchronisation en marche sur une version supportée.
En parallèle : OneDrive passe au domaine cloud.microsoft
Depuis juillet 2026, Microsoft fait évoluer progressivement les adresses OneDrive vers le domaine onedrive.cloud.microsoft (message MC1392563). Les utilisateurs voient cette nouvelle adresse à la place de l’ancienne, du type contoso-my.sharepoint.com. En revanche, les adresses des sites SharePoint ne changent pas, et les API Microsoft Graph continuent de fonctionner.
Côté DSI, trois vérifications s’imposent. Assurez-vous d’abord que vos règles réseau autorisent *.cloud.microsoft. Repérez ensuite les scripts et outils qui s’appuient sur les anciennes adresses OneDrive. Prévenez enfin le support, car les utilisateurs remarqueront le changement d’adresse.
Questions fréquentes
Notre établissement n’utilise que Microsoft 365 en cloud : sommes-nous concernés ?
Non, pas pour Entra Connect Sync. L’échéance du 30 septembre ne touche que les environnements hybrides, où un Active Directory local est synchronisé avec Entra ID. Si vous avez déjà migré vers Entra Cloud Sync, vous n’êtes pas concerné non plus. En revanche, le passage de OneDrive au domaine cloud.microsoft vous concerne.
Notre synchronisation s’est arrêtée le 30 septembre : que faire en premier ?
Mettez à jour le serveur vers la dernière version disponible dans le Centre d’administration Microsoft Entra. Microsoft précise que la synchronisation reste en échec jusqu’à cette mise à jour. Ensuite, contrôlez en priorité les comptes désactivés dans l’AD depuis le 30 septembre.
La version 2.5.79.0 suffit-elle ?
Elle permet de synchroniser après le 30 septembre, mais pas longtemps. Selon l’historique des versions de Microsoft, son support prend fin le 23 octobre 2026. Installez donc directement la version la plus récente.
Faut-il migrer vers Entra Cloud Sync maintenant ?
Pas en urgence. Remettez d’abord la synchronisation en marche sur une version supportée. Évaluez ensuite Cloud Sync à tête reposée : certaines fonctions, comme l’authentification directe (PTA), restent propres à Entra Connect Sync.
Après Entra Connect Sync, fiabilisez vos arrivées et vos départs
Une synchronisation interrompue rappelle une chose simple : un départ mal suivi laisse des accès ouverts. Isi-Identité, développé en collaboration avec Youzer, vous aide à piloter les arrivées et les départs de vos collaborateurs.