Le 30 septembre 2026 à minuit, un bon nombre de serveurs Microsoft Entra Connect Sync ont basculé silencieusement dans un état cassé. Pas de crash spectaculaire, pas d’alerte rouge dans le centre d’administration : juste des synchronisations qui s’arrêtent, des comptes qui ne se créent plus côté cloud, et des changements de mot de passe qui ne remontent jamais. Si ton serveur tournait encore sous une version antérieure à 2.5.79.0 hier à cette heure, tu es probablement concerné, même si personne ne t’a encore appelé pour te le dire.
Ce qui s’est vraiment passé le 30 septembre
Microsoft a déployé une nouvelle application de service de première partie, baptisée « Microsoft Entra AD Synchronization Service » (ID d’application 6bf85cfa-ac8a-4be5-b5de-425a0d0dc016), visible dans Enterprise Applications du centre d’administration Entra. Cette application sert désormais de pivot d’authentification entre Entra Connect et Microsoft Entra ID — c’est le cœur du durcissement de sécurité annoncé par Microsoft pour la synchronisation hybride.
Le souci, c’est que seules les versions 2.5.79.0 et ultérieures savent dialoguer avec cette nouvelle application. En dessous, le canal de communication casse net. Microsoft a documenté le changement sans détour : « all synchronization services in Microsoft Entra Connect Sync will fail » pour tout le monde resté sous la barre.
Le piège : ça a l’air de marcher, au début
C’est là que ça devient intéressant, et pas dans le bon sens. Les connexions utilisateur continuent de fonctionner un moment, parce qu’Entra ID garde les hash de mot de passe synchronisés précédemment. Tu peux donc avoir l’impression que tout va bien pendant plusieurs jours.
Sauf qu’en coulisses, le plan de contrôle identitaire est figé. Concrètement :
- les nouveaux comptes AD créés sur site n’apparaissent plus dans Entra ID ;
- les changements de groupes et d’attributs restent bloqués côté annuaire local ;
- le password writeback (si tu l’utilises) ne fonctionne plus dans aucun sens ;
- un départ collaborateur désactivé sur site ne se répercute plus dans le cloud — ce qui est le scénario qui doit vraiment t’inquiéter côté sécurité.
Autrement dit : le symptôme le plus visible (les connexions) est justement celui qui te fait croire que tout va bien.
Vérifier ta version, maintenant
Deux façons rapides de savoir où tu en es. La première, en PowerShell, directement sur ton serveur Entra Connect :
(Get-Item "C:\Program Files\Microsoft Azure AD Connect\AzureADConnect.exe").VersionInfo.ProductVersionLa seconde, plus visuelle : clic droit sur AzureADConnect.exe, Propriétés, onglet Détails. Si le chiffre affiché commence par 2.4.x, 2.3.x ou pire, 1.x — tu es largement sous le seuil et ta synchro est probablement déjà en panne silencieuse depuis le 30 septembre.
Si tu es déjà en 2.5.79.0 ou au-delà, tu es formellement conforme. Mais je te le dis franchement : ne t’arrête pas là. La version recommandée au moment où j’écris ces lignes est 2.6.92.0 (sortie le 23 septembre 2026), qui corrige plusieurs problèmes connus des versions 2.5.x et 2.6.1.0 — dont une régression de synchronisation assez vicieuse (voir plus bas). Rester au strict minimum légal n’a pas grand intérêt quand la dernière version est disponible gratuitement sur le même centre d’administration.
Comment remettre ça d’aplomb
Microsoft propose trois chemins, et le bon dépend surtout de la taille de ton annuaire :
Mise à niveau automatique
Si tu es déjà sur une version 2.3.20.0 ou supérieure avec la fonction d’auto-upgrade activée, et que ton installation est en mode Express avec moins de 100 000 objets, la mise à jour peut se faire sans intervention. Vérifie l’état avec Get-ADSyncAutoUpgrade — si elle est désactivée, Set-ADSyncAutoUpgrade -AutoUpgradeState Enabled la réactive.
Mise à niveau sur place
Pour un serveur unique, c’est la méthode la plus directe : tu télécharges le nouvel installeur et tu lances la mise à niveau in-place. Le risque principal, c’est l’indisponibilité pendant l’opération — acceptable pour une petite structure, plus délicat pour un environnement critique.
Migration par serveur de staging (swing migration)
C’est la méthode à privilégier pour les environnements de production sensibles : tu installes la nouvelle version sur un serveur de staging, tu valides que tout fonctionne, puis tu bascules la promotion vers ce serveur. Zéro coupure si c’est bien mené.
Dans tous les cas, le fichier d’installation n’est plus disponible nulle part ailleurs que sur le centre d’administration Microsoft Entra, section Gérer > Microsoft Entra Connect. L’ancien lien de téléchargement direct ne sert plus à rien.
Un bug à surveiller après la mise à niveau
Si ton fichier miiserver.exe.config a été modifié à un moment donné (ce qui arrive plus souvent qu’on ne le pense, notamment pour des ajustements de timeout), la synchronisation peut échouer après la mise à jour vers 2.5.190.0 ou 2.6.1.0 avec cette exception précise :
System.IO.FileLoadException: Could not load file or assembly 'System.Diagnostics.DiagnosticSource, Version=6.0.0.1'Le correctif tient en quelques lignes XML à ajouter dans la section assemblyBinding du même fichier :
<dependentAssembly>
<assemblyIdentity name="System.Diagnostics.DiagnosticSource"
publicKeyToken="cc7b13ffcd2ddd51"
culture="neutral" />
<bindingRedirect oldVersion="0.0.0.0-8.0.0.0" newVersion="8.0.0.0" />
</dependentAssembly>Garde ce bloc sous le coude avant de lancer ta mise à niveau si tu sais avoir touché à ce fichier de config par le passé.
La prochaine échéance est déjà posée
Et ce n’est pas fini : Microsoft a déjà fixé le prochain couperet au 7 avril 2027. À cette date, il faudra être en version 2.6.84.0 ou ultérieure ET avoir configuré l’authentification par application (application-based authentication) — l’authentification héritée sera retirée, point final. Si tu viens de faire la mise à jour pour le 30 septembre, autant viser directement une version qui coche aussi cette case plutôt que de refaire l’exercice six mois plus tard.
Pour ceux qui n’ont pas de contrainte forte à rester sur Entra Connect Sync classique, c’est aussi le bon moment pour regarder Microsoft Entra Cloud Sync, que Microsoft pousse explicitement comme alternative pour les nouveaux déploiements.
FAQ
Mon serveur n’affiche aucune erreur, suis-je vraiment concerné ?
Oui, et c’est justement le piège décrit plus haut. L’absence d’erreur visible dans le Synchronization Service Manager ne garantit rien : vérifie la version exacte avec la commande PowerShell donnée plus haut, pas l’historique des exécutions.
Puis-je revenir en arrière si la mise à niveau pose problème ?
Techniquement oui via une sauvegarde de la base ADSync, mais ça te renvoie directement dans la fenêtre de rupture puisque la version précédente ne reparlera plus avec le nouveau service d’application. Mieux vaut sécuriser l’upgrade via une migration de staging que planifier un retour arrière.
Et si j’utilise Entra Connect pour la fédération AD FS, est-ce impacté différemment ?
Le durcissement concerne spécifiquement le canal de synchronisation (sync engine), pas la fédération en tant que telle. Mais si AD FS et Entra Connect Sync tournent sur la même infrastructure, un blocage de synchronisation finit presque toujours par se répercuter sur les attributs utilisés par tes règles de claims.
Ce qu’il faut retenir
Vérifie ta version aujourd’hui, pas la semaine prochaine. La commande PowerShell prend dix secondes à exécuter, et le coût d’une synchronisation cassée pendant plusieurs jours — comptes fantômes, départs non propagés, mots de passe désynchronisés — est largement supérieur à celui d’une fenêtre de maintenance planifiée. Si ton infrastructure AD mérite un tour de vérification plus large pendant que tu y es, notre guide sur les changements sécurité d’Active Directory dans Windows Server 2025 couvre les autres fronts à surveiller. Et puisque la version 2.6.84.0 ajoute le support des clés d’accès (passkeys) via Windows Web Account Manager, ça vaut aussi le coup de relire notre article sur les passkeys par défaut dans Entra ID pour préparer la suite.
Laisser un commentaire