Entra Connect Sync in de herfst van 2026: drie deadlines die IT-teams niet mogen verwarren

Microsoft stuurt IT-beheerders drie aparte meldingen over Entra Connect Sync: een verplichte versie-upgrade vóór 30 september, een beveiligingshardening die al actief is, en uitnodigingen voor de Cloud Sync-migratie. Wie de verhalen verwart, mist actie op het verkeerde moment.

IT-beheerders met een hybride Entra en Active Directory-omgeving hebben de afgelopen weken meerdere meldingen ontvangen via het Microsoft 365 Message Center. De berichten gaan allemaal over Entra Connect Sync, de service die on-premises Active Directory synchroniseert met Entra ID in de cloud. Veel teams behandelen die meldingen als één groot migratieprojekt, maar dat is een vergissing. Er zijn drie aparte verhalen gaande, met drie aparte deadlines en drie aparte acties. Ze door elkaar halen kost functionaliteit of beveiliging.

Deadline 1 — De verplichte in-place upgrade vóór 30 september 2026

Dit is de meest urgente deadline en de eenvoudigste actie. Microsoft stopt de ondersteuning voor alle versies van Entra Connect Sync die ouder zijn dan versie 2.5.79.0 per 30 september 2026. Wie op die datum nog een oudere versie draait, verliest de synchronisatie. Identiteiten worden dan niet meer bijgewerkt tussen on-premises Active Directory en Entra ID, wachtwoorden worden niet meer gesynchroniseerd en gebruikersaccounts kunnen uit de pas lopen met wat in de cloud staat geregistreerd.

Dit is geen migratie naar Cloud Sync. Het is een verplichte in-place versie-update van de Connect Sync-service die on-premises draait. U controleert uw huidige versie via de Entra Connect Health-portal of via de eigenschappen van de synchronisatieserver zelf. Zit u onder versie 2.5.79.0, plan dan de upgrade zo snel mogelijk in. De upgrade volgt het standaard updatepad via het Microsoft Download Center en is doorgaans binnen een uur uitgevoerd, inclusief de herstart van de synchronisatieservice. Plan de uitvoering vóór eind augustus om voldoende buffer te houden voor de deadline van 30 september.

Deadline 2 — Hard match hardening, al actief sinds 1 juli

Per 1 juli 2026 heeft Microsoft een beveiligingsverharding doorgevoerd in de koppellogica van Connect Sync. De techniek heet hard match hardening en dicht een reëel beveiligingslek. Vóór 1 juli was het in theorie mogelijk dat een aanvaller met controle over een on-premises AD-object en kennis van het bijbehorende ImmutableID via de soft match-procedure een Entra ID-account kon overnemen. Dat risico bestaat niet meer.

De verharding heeft echter neveneffecten voor omgevingen waarbij de sourceAnchor niet consistent is ingesteld, of waarbij accounts in het verleden handmatig zijn gekoppeld via soft match zonder dat er een formele hard match is vastgelegd. In die gevallen zien sommige tenants na 1 juli onverwachte synchronisatiefouten of objecten die tijdelijk zijn verdwenen uit Entra ID. Als uw organisatie na 1 juli met sync-fouten te maken heeft gekregen, controleer dan het Entra Connect Health-dashboard op objecten met een ImmutableID-conflict. In de meeste gevallen is herstel eenvoudig, maar het vraagt actie voordat de in-place upgrade wordt uitgevoerd.

Deadline 3 — De Cloud Sync-migratie, een apart en gefaseerd traject

De meldingen die de meeste aandacht trekken zijn de uitnodigingen voor de overgang van Entra Connect Sync naar de cloud-native Entra Cloud Sync. Dit is een fundamenteel andere dienst. Cloud Sync draait volledig in de cloud, zonder lokale serverinstallatie. De configuratie verloopt via het Entra-portaal, updates worden automatisch uitgerold en de service is niet afhankelijk van de beschikbaarheid van één lokale server. In theorie is dat een aanzienlijke verbetering van de veerkracht van de identiteitsinfrastructuur.

Microsoft stuurt vanaf juli 2026 migratiemeldingen via het Message Center aan tenants waarvoor Cloud Sync al volledig voorziet in de synchronisatiebehoeften. Dit is Fase 1 van de overgang, gericht op omgevingen met een relatief eenvoudige configuratie. Fase 2, voor organisaties met grote Active Directory-omgevingen van honderdduizend objecten of meer, geavanceerde aangepaste synchronisatieregels of Exchange hybrid write-back, loopt door tot in 2027. Een Fase-1-melding is geen verplichting om morgen te beginnen. Het is een uitnodiging om de migratiegereedheid te beoordelen en een plan op te stellen op het moment dat het voor uw organisatie past.

Wat Cloud Sync nog niet kan

Wie overweegt te migreren naar Cloud Sync, doet er goed aan de functionele kloof te kennen. Cloud Sync ondersteunt op dit moment niet alle mogelijkheden van Connect Sync. Aangepaste synchronisatieregels en complexe transformaties op het niveau van de metaverse worden niet één-op-één overgenomen. Organisaties die zwaar leunen op geavanceerde filterlogica of specifieke attribuutmappings hebben meer voorbereiding nodig voordat ze kunnen migreren.

Bijzondere aandacht verdient de Exchange writeback-functie, waarmee e-mailattributen vanuit Entra ID worden teruggeschreven naar on-premises Active Directory. Dit is onmisbaar in hybride Exchange-omgevingen. Microsoft biedt voor dit scenario een coëxistentiepad: een minimale Connect Sync-installatie blijft uitsluitend de Exchange writeback verzorgen, terwijl de rest van de synchronisatie al via Cloud Sync loopt. Dit is de aanbevolen migratieroute voor organisaties die nog on-premises Exchange draaien.

Welke actie hoort bij welke deadline?

Om de drie verhalen concreet te maken: hier de checklist voor een IT-team dat vandaag begint. Ten eerste, controleer de versie van Entra Connect Sync via de Entra Connect Health-portal of de synchronisatieserver. Zit u onder versie 2.5.79.0, plan dan de upgrade zo snel mogelijk, bij voorkeur vóór eind augustus.

Ten tweede, controleer het Entra Connect Health-dashboard op synchronisatiefouten die zijn ontstaan na 1 juli 2026. Filter op objecten met ImmutableID-conflicten of soft match-problemen. Los die op voordat u de in-place upgrade uitvoert, zodat u niet met bestaande fouten én een nieuwe versie tegelijk aan de slag moet.

Ten derde, controleer het Microsoft 365-beheercentrum op Fase-1-meldingen voor Cloud Sync. Heeft u die ontvangen, start dan een migratiescreening: welke synchronisatieregels zijn actief, heeft u Exchange writeback geconfigureerd, hoe groot is uw Active Directory, en zijn er custom-attribuutmappings aanwezig? Op basis van die inventarisatie bepaalt u of uw organisatie binnen enkele maanden kan migreren of meer voorbereidingstijd nodig heeft. De drie acties zijn onafhankelijk van elkaar: zelfs als uw Cloud Sync-migratie pas in 2027 plaatsvindt, moet u de upgrade en de hard match-controle nu uitvoeren.

Waarom Cloud Sync de toekomst is

Cloud Sync is niet slechts een modernisering van Connect Sync op papier. Het verwijdert de on-premises synchronisatieserver als afhankelijkheid, wat de beheerslast verlaagt en de continuïteit versterkt. In een hybride identiteitsomgeving blijft synchronisatie een kritiek proces, maar met Cloud Sync bepaalt de beschikbaarheid van één lokale server niet meer het lot van die synchronisatie. Configuratiewijzigingen verlopen via het Entra-portaal, auditlogs zitten ingebakken in Entra ID en versie-updates worden automatisch uitgerold. Geen handmatige upgrades meer van een on-premises pakket, geen geplande onderhoudsvensers voor het patchen van de synchronisatieserver.

Voor IT-teams die de stap al hebben gezet, resulteert dat in minder incidenten rondom identiteitssynchronisatie en minder afhankelijkheid van specifieke kennis over een complexe on-premises installatie. De architectuur is eenvoudiger en daarmee minder foutgevoelig. Drie verhalen, drie deadlines, drie acties die u nu kunt plannen. Wilt u hulp bij het beoordelen van uw Connect Sync-configuratie, het voorbereiden van de versie-upgrade of het bepalen van uw migratiegereedheid voor Cloud Sync? Neem contact op met Zarioh voor een gesprek met een van onze specialisten.