Dans une infrastructure hybride Microsoft, certains composants travaillent dans l’ombre. Tant qu’ils fonctionnent, on finit presque par oublier leur existence. Microsoft Entra Connect Sync fait typiquement partie de cette catégorie. le type d’application « plug and forget 😉 ».

ENtra Connect (Anciennement Azure AD connect) si vous l’avez a ce point oublié, assure la synchronisation entre Active Directory local et Microsoft Entra ID. Il permet ainsi de maintenir une identité cohérente entre les ressources sur site et les services Microsoft 365, et comme toutes solutions, Entra Connect doit être maintenu à jour. Rien de trés original.

Comme a l’accoutumée , les nouvelles versions apportent des correctifs de sécurité et de fiabilité, des corrections de bugs ainsi que des améliorations de maintenance, de performances et de montée en charge.

Quelle version installer ? : Au moment de la rédaction de cet article, la version cible retenue est Microsoft Entra Connect Sync 2.6.92.0. Le package d’installation doit d’ailleur être récupéré depuis Microsoft Entra Admin Center et sa version doit être contrôlée avant l’intervention.

L’échéance du 7 avril 2027

Microsoft demande aux environnements de synchronisation de disposer de Microsoft Entra Connect Sync 2.6.84.0 ou d’une version ultérieure, ainsi que de l’authentification basée sur une application avant le 7 avril 2027. Les organisations qui utilisent encore un mécanisme d’authentification hérité doivent donc planifier cette intervention

Comment faire votre mise à jour.

Meme si cela est tentant, une mise à jour ne devrait pas commencer directement par l’exécution du MSI. Il faut en principe documenter l’état de l’environnement afin de distinguer une anomalie préexistante d’un incident provoqué par l’intervention. pour cela vous pouvez utilisez la commande suivante en Powershell

Import-Module ADSync Get-ADSyncScheduler | Format-List *

• Version actuellement installée et serveur actif.
• Présence éventuelle d’un serveur en Staging Mode.
• Méthode utilisée : Password Hash Synchronization, Pass-through Authentication ou fédération.
• État du scheduler et heure du dernier cycle réussi.
• Domaines et unités d’organisation inclus dans la synchronisation.
• Règles de synchronisation personnalisées et fonctionnalités de writeback.

Sauvegarder et documenter la configuration

Avant l’opération, exportez la configuration actuelle depuis l’assistant Entra Connect et conservez une documentation des connecteurs, des règles personnalisées et du périmètre synchronisé. Pour un serveur virtualisé, une stratégie de retour arrière (Snapshot) peut compléter cette sauvegarde, c’est ce que je fais systématiquement.

Vérifier les prérequis et les personnalisations

Avant de lancer l’installation, vérifiez les prérequis du serveur, notamment TLS 1.2 et la version de .NET Framework attendue par la version cible.

%ProgramFiles%\Microsoft Azure AD Sync\Bin\miiserver.exe.config

Si ce fichier a été personnalisé, sauvegardez-le et documentez les changements. Une configuration locale non standard peut compliquer le remplacement des composants et le diagnostic après la mise à niveau.

Réaliser la mise à jour

1. Télécharger la version validée depuis Microsoft Entra Admin Center.
2. Planifier une fenêtre de changement et informer les parties prenantes.
3. Exporter la configuration et préparer le retour arrière.
4. Contrôler une dernière fois le dernier cycle de synchronisation.
5. Lancer l’installation avec les droits administratifs requis.
6. Terminer l’assistant, puis engager immédiatement les contrôles post-installation

Après la mise à jour, pensez à vérifier le fonctionnement normal de votre service.

la mise à jour s’est bien déroulée , maintenant passons à la phase de vérification.

1. Confirmer la version installée

Vérifiez dans les applications installées que la version attendue est bien présente. Dans le cadre décrit ici, la cible est la version 2.6.92.0.

2. Vérifier le service ADSync

Get-Service ADSync

Le service doit être démarré. Toutefois, un service en état Running ne prouve pas que les imports, synchronisations et exports aboutissent correctement.

3. Contrôler le scheduler

Get-ADSyncScheduler | Format-List *

Vérifiez que le scheduler n’est pas suspendu et que le mode Staging correspond bien au rôle prévu pour le serveur.

4. Déclencher un cycle Delta contrôlé

Start-ADSyncSyncCycle -PolicyType Delta

Ce cycle doit être suivi dans Synchronization Service Manager afin de confirmer le résultat de chaque étape.

5. Examiner Synchronization Service Manager

Ouvrez miisclient.exe, puis contrôlez l’onglet Operations. Recherchez les erreurs d’import Active Directory, de synchronisation interne et d’export vers Microsoft Entra ID. Une installation réussie n’est pas suffisante si les exports échouent ensuite.

6. Réaliser un test fonctionnel

Utilisez un objet non critique. Modifiez une propriété autorisée dans Active Directory, lancez un cycle Delta, puis vérifiez que la modification apparaît dans Microsoft Entra ID. Ce test valide toute la chaîne, et pas uniquement l’état du service.

Active Directory       ↓ Microsoft Entra Connect       ↓ Moteur de synchronisation       ↓ Microsoft Entra ID

7. Contrôler Entra Connect Health

Après les premiers cycles, vérifiez l’absence de nouvelle alerte dans Microsoft Entra Connect Health. Portez une attention particulière au service de synchronisation et au mécanisme d’authentification utilisé par l’organisation.

Voila vous connaissez le principal. maintenant il ne reste plus qu’à vous lancer. Pour avoir réaliser cette opération de nombreuses fois c’est une opération plutot fiable. autrement dit je n’ai jamais eu le besoin de restaurer une ancienne configuration 😉

Bonne mise à jour

Laurent TERUIN