Microsoft trekt elke paar maanden een oudere versie van Entra Connect Sync in en zet nu ook een harde deadline voor applicatiegebaseerde authenticatie op 7 april 2027. Wat de 12-maandenregel voor je hybride identiteitsomgeving betekent, en wanneer overstappen naar Cloud Sync zin heeft.
Veel Nederlandse organisaties draaien naast Microsoft 365 nog altijd een eigen Active Directory. Ergens in dat landschap staat dan een server met Entra Connect Sync, voorheen bekend als Azure AD Connect, die gebruikers, wachtwoorden en groepen naar de cloud synchroniseert. Die server werkt doorgaans jarenlang onopvallend op de achtergrond, tot de versie die erop draait plotseling de ondersteuning verliest.
Dat overkwam versie 2.5.79.0 op 23 oktober dit jaar, nog maar een kleine twee weken geleden. Die versie was op 1 september 2025 nog de nieuwste release. Binnen iets meer dan dertien maanden ging hij van actuele aanbeveling naar afgeschreven, zonder dat daar een los bericht aan voorafging dat de meeste beheerders op het netvlies hadden.
Sinds 15 maart 2023 hanteert Microsoft een vaste regel voor Entra Connect Sync: elke 2.x-versie verliest de ondersteuning twaalf maanden nadat er een opvolger verschijnt. Geen jaarlijkse patch-cyclus zoals bij Windows Server, maar een doorlopend rollend schema. Zodra een nieuwe versie uitkomt, begint de aftelklok voor de vorige te lopen, los van wanneer jouw organisatie die vorige versie heeft geinstalleerd.
Het tempo van de releases bepaalt dus het tempo van de verplichte upgrades. Alleen al in 2026 bracht Microsoft vier grote versies uit: 2.6.1.0 in februari, 2.6.3.0 in maart, 2.6.84.0 in juli en 2.6.91.0 in september. Wie dit strikt wil bijhouden, controleert realistisch elk kwartaal welke versie nog geldig is, in plaats van één keer per jaar.
Een afgeschreven versie stopt niet meteen met synchroniseren. Wat wegvalt, zijn de beveiligingsfixes, de bugfixes en de ondersteuning bij problemen. Microsoft waarschuwt zelf dat een verouderde versie onverwacht kan stoppen met werken. Voor een organisatie die aanmaak van gebruikers, groepslidmaatschappen en wachtwoord-hashsynchronisatie via dit ene component laat lopen, is dat geen theoretisch risico maar een directe vraag over bedrijfscontinuïteit.
Naast de doorlopende twaalfmaandenregel zet Microsoft nu ook een vaste streep in de grond. Vóór 7 april 2027 moet elke Entra Connect Sync-server draaien op minimaal versie 2.6.84.0 én zijn overgeschakeld op applicatiegebaseerde authenticatie. De oudere methode, waarbij de sync-server zich met een los serviceaccount bij Entra ID aanmeldt, wordt uitgefaseerd. Wie dat niet op tijd regelt, ziet de synchronisatie stilvallen, ongeacht welke versie er op dat moment nog draait.
Die omschakeling is meer dan een instelling aanvinken. In versie 2.6.84.0 heeft Microsoft ook de automatische terugval naar het oude serviceaccount verwijderd. Lukt het instellen van applicatiegebaseerde authenticatie niet, dan stopt de installatiewizard nu met een foutmelding in plaats van stilletjes terug te vallen op de kwetsbaardere methode. Dat is een bewuste keuze: half gemigreerde omgevingen worden zichtbaar gemaakt in plaats van dat ze onopgemerkt blijven doorlopen.
Een detail dat makkelijk over het hoofd wordt gezien: sinds versie 2.6.84.0 herstelt Entra Connect Sync de functie voor wachtwoord-hashsynchronisatie niet langer automatisch als die cloud-instelling uitstaat. Vroeger zette de sync-server die instelling zelf weer aan zodra hij een afwijking detecteerde. Nu moet een beheerder dat handmatig doen. Gebruikt jouw organisatie wachtwoord-hashsynchronisatie als vangnet voor het geval Pass-through Authentication uitvalt? Controleer dan na elke upgrade of de instelling nog actief staat.
Microsoft duwt organisaties ook richting het alternatief: Entra Cloud Sync, waarbij een lichte provisioning agent op een server draait in plaats van de volledige Connect Sync-installatie, en het beheer grotendeels in de cloud gebeurt. Sinds versie 2.6.91.0, half september uitgebracht, zit er een begeleide migratiestroom in de wizard zelf. Die doorloopt een assessment van de huidige configuratie, het opzetten van de provisioning agent, een gefaseerde activering en een validatiestap, allemaal vanuit dezelfde interface.
Cloud Sync is nog niet voor elke omgeving een directe vervanging. Complexe attribuutfiltering en sommige scenario's rond apparaatobjecten werken op dit moment nog niet volledig hetzelfde als in Connect Sync. Voor een organisatie met een eenvoudige hybride opzet, één domein en standaardgroepen, is de overstap meestal al haalbaar, en die scheelt flink in onderhoud: geen Windows-server meer om zelf te patchen en in de gaten te houden.
Vier stappen die geen grote planning vragen. Controleer eerst welke versie van Entra Connect Sync op je server draait, te vinden in de synchronisatieservice-manager of het Entra-beheercentrum, en vergelijk die met de actuele versietabel van Microsoft. Ten tweede, check of de server al is overgezet op applicatiegebaseerde authenticatie of nog het oude serviceaccount gebruikt. Ten derde, als wachtwoord-hashsynchronisatie een belangrijke vangnetfunctie is binnen je organisatie, controleer na elke upgrade handmatig of die instelling nog actief staat. Ten vierde, laat de assessment in de wizard beoordelen of Cloud Sync al een haalbare vervanging is, of blijf voorlopig bij Connect Sync en houd de upgrades gewoon bij.
Identity-synchronisatie staat bij veel IT-teams ergens onderaan de prioriteitenlijst, tot gebruikers op een ochtend niet meer kunnen inloggen. De twaalfmaandenregel en de deadline van april 2027 zijn geen reden tot paniek, wel een reden om nu een vast controlemoment in te plannen in plaats van er toevallig achter te komen. Wil je hulp bij het in kaart brengen van je hybride identiteitsomgeving of bij de overstap naar Cloud Sync? Neem contact op met Zarioh voor een vrijblijvend gesprek.
Was dit artikel nuttig?
Zarioh Digital Solutions
IT-specialisten uit Utrecht. Wij helpen bedrijven door heel Nederland met Microsoft 365, AI agents, hosting en telefonie, en delen hier wekelijks wat we in de praktijk tegenkomen. Volg ons op LinkedIn
Ontvang nieuwe artikelen direct in je inbox.
Geen spam. Afmelden kan altijd.
Microsoft 365
Microsoft 365
Microsoft 365
