Wer Microsoft Entra ID einsetzt, muss irgendwann klären, wie die lokalen Identitäten zuverlässig und sicher in die Cloud gelangen, ohne dass der Betrieb viel Pflege verlangt. Derzeit landet diese Frage in vielen Projekten wieder auf dem Tisch. Immer mehr Unternehmen verfolgen eine Cloud-first-Strategie und wollen ihre bestehende On-Premises-Infrastruktur modernisieren. In zahlreichen Tenants, die ich mir ansehe, geht es dann um eine Entscheidung: Bleibt das klassische Entra Connect Sync, oder passt Entra Cloud Sync inzwischen besser?

Entra Cloud Sync verlagert die Konfiguration komplett in die Cloud

Entra Cloud Sync begegnet mir seit einiger Zeit deutlich häufiger. Die gesamte Konfiguration liegt in der Cloud, vor Ort laufen nur schlanke Provisioning Agents auf Windows-Servern. Für die Synchronisierung braucht man keinen ausgewachsenen SQL Server mehr, die Agents sind schnell eingerichtet, und Upgrades laufen größtenteils automatisch im Hintergrund. Für kleinere und mittlere Organisationen, deren Benutzer- und Gruppensynchronisierung keine komplexen Anforderungen stellt, ist das ein echter Fortschritt.

Auch Hochverfügbarkeit lässt sich mit Cloud Sync leichter umsetzen. Bei Connect Sync baue ich dafür klassisch einen Server im Staging-Modus auf, bei Cloud Sync installiere ich einfach mehrere Agents an verschiedenen Standorten. Fällt einer aus, übernimmt der nächste. Interessant finde ich außerdem, dass Cloud Sync sogenannte „disconnected forests“ unterstützt. Nach Unternehmensübernahmen oder Fusionen kommt diese Konstellation regelmäßig vor. Cloud Sync lässt sich dann so konfigurieren, dass mehrere voneinander getrennte Active-Directory-Forests unabhängig angebunden werden. Details und die offiziell unterstützten Szenarien beschreibt Microsoft in den Grundlagen zu Cloud Sync.

Für einige Anforderungen bleibt Entra Connect Sync unverzichtbar

Bei allen Vorteilen ersetzt Cloud Sync die klassische Lösung nicht in jedem Szenario vollständig. Es lohnt sich, die aktuelle Vergleichstabelle durchzugehen, denn bei manchen Anforderungen hat Connect Sync nach wie vor die Nase vorn. Diese Beispiele sehe ich in der Praxis immer wieder:

  • Device Writeback für die hybride Geräteverwaltung
  • Exchange-Hybrid-Writeback (z. B. für einige Attribute)
  • Pass-through Authentication (PTA)
  • Sehr große Umgebungen mit komplexen Filtern, Transformationsregeln oder Attribut-Mappings
  • Eigene, kundenspezifische Sync-Regeln

Vor allem in Exchange-Hybridszenarien oder bei speziellen Writeback-Anforderungen kommt man an Connect Sync oft nicht vorbei. Bei sehr großen Verzeichnisstrukturen mit individuellen Anpassungen spricht zudem die Performance für die klassische Lösung.

Beide Lösungen lassen sich für einen Pilot parallel betreiben

Cloud Sync lässt sich im eigenen Tenant ausprobieren, ohne die bestehende Connect-Sync-Umgebung gleich aufzugeben. Microsoft unterstützt den Parallelbetrieb ausdrücklich, solange für den Test nur ausgewählte OUs oder Objekte synchronisiert werden. Damit bietet sich Cloud Sync für Pilotprojekte an neuen Standorten, in einzelnen Abteilungen oder nach einer Migration an, bevor die komplette Umstellung ansteht. Eine kurze Anleitung gibt es unter Cloud-Sync-Pilot im Parallelbetrieb.

flowchart TD
    AD1["On-Prem AD Forest 1"] --> Agent1["Cloud Sync Agent"]
    AD2["On-Prem AD Forest 2"] --> Agent2["Cloud Sync Agent"]
    Agent1 --> CloudSync["Entra Cloud Sync (Cloud-Service)"]
    Agent2 --> CloudSync
    CloudSync --> EntraID["Entra ID"]

Abbildung: Mehrere AD-Forests sind parallel über Cloud-Sync-Agents an Entra ID angebunden.

Auf diese Weise habe ich in mehreren Projekten schrittweise migriert, ohne den laufenden Betrieb zu gefährden. Im Parallelbetrieb kann man außerdem Mapping- und Transformationseinstellungen gefahrlos ausprobieren.

Auch Sync-Server brauchen regelmäßige Wartung und Härtung

Die Identitätssynchronisierung ist ein kritischer Baustein, deshalb sollte man Wartung und Sicherheit nie unterschätzen. Connect-Sync-Server sind Tier-0-Systeme und müssen entsprechend streng gehärtet werden. Trotzdem treffe ich noch oft auf Server, die jahrelang keinen Patch gesehen haben, oder auf veraltete Versionen von Entra Connect Sync. Microsoft setzt zunehmend auf automatische Updates und stellt den Support für alte Builds ein. Wer Connect Sync betreibt, sollte sich deshalb regelmäßig um Updates kümmern.

Praxis-Tipp: Sync-Server immer mit minimalen Berechtigungen betreiben, keine zusätzlichen Rollen oder Dienste darauf installieren und die lokalen Administratoren regelmäßig kontrollieren.

Cloud Sync nimmt einem viel Arbeit ab. Die Agent-Server zählen trotzdem zu den besonders schützenswerten Systemen, auch wenn Aufbau und Pflege deutlich weniger Aufwand machen.

Cloud Sync gewinnt in meinen Projekten spürbar an Boden

In den vergangenen Monaten habe ich immer mehr Projekte begleitet, in denen Entra Cloud Sync die klassische Lösung ablöst oder an neuen Standorten und nach M&A-Prozessen eingeführt wird. Viele Organisationen überzeugt das einfache Setup, dazu kommen die Konfiguration in der Cloud und eine Hochverfügbarkeit ohne großen Aufwand. Stehen weder Exchange-Writeback noch Pass-through Authentication oder besonders spezielle Filter auf der Liste, ist Cloud Sync häufig die modernere Option mit weniger Wartung. Identität und Governance greifen ohnehin immer stärker ineinander. Wer sich auf neue Cloud-Services wie Copilot vorbereiten möchte, findet in meinem Beitrag [/blog/copilot-fuer-microsoft-365-tenant-vorbereiten] passende Hinweise.

Pauschal lässt sich die Entscheidung allerdings nicht treffen. Cloud Sync ist mittlerweile ein leistungsfähiges Werkzeug, für bestimmte Spezialfälle braucht man Connect Sync aber weiterhin. Wer 2024 neu plant oder modernisiert, sollte beide Varianten kennen und regelmäßig prüfen, was sich am Funktionsumfang getan hat. Die Richtung ist eindeutig, und mich freut, dass hybride Identität endlich einfacher wird.