Comment désactiver la synchronisation Active Directory dans Microsoft Entra ID

Tout d'abord, installez le SDK Microsoft Graph PowerShell, qui a remplacé les modules Azure AD hérités. C'est votre principal outil pour gérer les paramètres de synchronisation Microsoft Entra ID.

Install-Module Microsoft.Graph -Scope CurrentUser -Force

Si vous rencontrez des problèmes de politique d'exécution, autorisez temporairement l'exécution de scripts :

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser

Vérification : Vérifiez la version installée pour confirmer l'installation réussie :

Get-Module Microsoft.Graph -ListAvailable | Select-Object Name, Version

Connectez-vous à Microsoft Graph avec les autorisations nécessaires pour modifier les paramètres de l'organisation. Le scope Organization.ReadWrite.All est requis pour désactiver la synchronisation.

Connect-MgGraph -Scopes "Organization.ReadWrite.All"

Cela ouvrira une fenêtre de navigateur pour l'authentification. Connectez-vous avec votre compte Administrateur Global ou Administrateur d'Identité Hybride. Après une authentification réussie, vous verrez un message de confirmation dans PowerShell.

Vérification : Confirmez votre connexion et vos autorisations :

Get-MgContext | Select-Object Account, Scopes

Avant de faire des modifications, documentez l'état actuel de la synchronisation. Cela vous aide à comprendre ce qui est actuellement activé et fournit une base pour la vérification.

Get-MgOrganization | Select-Object DisplayName, OnPremisesSyncEnabled, OnPremisesLastSyncDateTime, OnPremisesDomainName

La sortie montre :

• OnPremisesSyncEnabled : Devrait être True si la synchronisation est active
• OnPremisesLastSyncDateTime : Horodatage de la dernière synchronisation réussie
• OnPremisesDomainName : Votre domaine local en cours de synchronisation

Vérifiez également quelles fonctionnalités de synchronisation sont actuellement activées :

Get-MgOrganization | Select-Object OnPremisesPasswordSyncEnabled, OnPremisesPassthroughAuthenticationEnabled

Vérification : Documentez ces valeurs pour comparaison après la désactivation de la synchronisation. Prenez une capture d'écran ou enregistrez la sortie dans un fichier pour vos dossiers.

Si votre serveur Microsoft Entra Connect est toujours en ligne et accessible, arrêtez d'abord le planificateur de synchronisation. Cela empêche de nouveaux cycles de synchronisation de démarrer pendant que vous désactivez la fonctionnalité.

Sur le serveur Microsoft Entra Connect, ouvrez PowerShell en tant qu'administrateur et exécutez :

Import-Module ADSync
Set-ADSyncScheduler -SyncCycleEnabled $false

Vérifiez qu'aucune synchronisation n'est en cours d'exécution :

Get-ADSyncScheduler

La sortie devrait montrer SyncCycleEnabled: False et SyncCycleInProgress: False.

Si votre environnement local est hors ligne ou désaffecté : Passez complètement cette étape. Vous pouvez désactiver la synchronisation depuis le côté cloud sans accès local.

Vérification : Attendez 5 minutes, puis vérifiez à nouveau l'état du planificateur pour vous assurer qu'aucun cycle de synchronisation ne démarre.

Désactivez maintenant la synchronisation au niveau du locataire en utilisant Microsoft Graph. C'est l'étape critique qui indique à Microsoft Entra ID d'arrêter d'attendre la synchronisation depuis les locaux.

Update-MgOrganization -OnPremisesSyncEnabled $false

Alternativement, vous pouvez utiliser la méthode plus explicite :

$org = Get-MgOrganization
$org.OnPremisesSyncEnabled = $false
Update-MgOrganization -OrganizationId $org.Id -OnPremisesSyncEnabled $false

La commande devrait se terminer sans erreurs. Si elle réussit, vous ne verrez aucune sortie, ce qui est normal pour les commandes Graph PowerShell.

Vérification : Vérifiez immédiatement le statut (cela peut prendre quelques minutes pour se refléter) :

Get-MgOrganization | Select-Object DisplayName, OnPremisesSyncEnabled, OnPremisesLastSyncDateTime

Vous devriez voir OnPremisesSyncEnabled: False.

Le processus de désactivation peut prendre jusqu'à 72 heures pour se propager complètement à travers les systèmes de Microsoft. Surveillez régulièrement le statut pendant cette période.

Vérifiez le statut actuel :

Get-MgOrganization | Select-Object OnPremisesSyncEnabled, OnPremisesLastSyncDateTime

Vérifiez également dans le centre d'administration Microsoft Entra :

1. Accédez à https://entra.microsoft.com
2. Allez à Identité > Gestion hybride > Microsoft Entra Connect
3. Vérifiez que le statut de synchronisation est indiqué comme désactivé

Surveillez pendant les 72 prochaines heures. Le portail peut initialement afficher des informations contradictoires, mais PowerShell fournit le statut autoritaire.

Vérification : Exécutez cette commande quotidiennement pendant 3 jours pour confirmer que le statut reste désactivé :

Get-Date; Get-MgOrganization | Select-Object OnPremisesSyncEnabled

Si vous avez accès au serveur Microsoft Entra Connect et que vous n'en avez plus besoin, désinstallez le logiciel pour terminer le processus de nettoyage.

Sur le serveur Microsoft Entra Connect :

1. Ouvrez Programmes et fonctionnalités depuis le Panneau de configuration
2. Trouvez Microsoft Entra Connect ou Azure AD Connect
3. Cliquez avec le bouton droit et sélectionnez Désinstaller
4. Suivez l'assistant de désinstallation

Alternativement, utilisez PowerShell (si disponible) :

Uninstall-MicrosoftEntraConnect

Après la désinstallation, redémarrez le serveur pour vous assurer que tous les services sont correctement arrêtés.

Si vous utilisez Microsoft Entra Cloud Sync : Désinstallez l'agent de provisionnement de chaque serveur où il est installé.

Vérification : Confirmez que le logiciel est supprimé :

Get-WmiObject -Class Win32_Product | Where-Object {$_.Name -like "*Entra*" -or $_.Name -like "*Azure AD*"}

Cela ne devrait renvoyer aucun résultat si la désinstallation a réussi.

Avec la synchronisation désactivée, toute la gestion des utilisateurs et des groupes doit désormais être effectuée directement dans Microsoft Entra ID. Mettez à jour vos processus administratifs en conséquence.

Vérifiez les utilisateurs qui étaient précédemment synchronisés et qui sont maintenant gérés dans le cloud :

Connect-MgGraph -Scopes "User.Read.All"
Get-MgUser -Filter "userType eq 'Member'" -Property DisplayName,UserPrincipalName,OnPremisesImmutableId | Where-Object {$_.OnPremisesImmutableId -ne $null} | Select-Object DisplayName,UserPrincipalName

Examinez et mettez à jour les groupes dynamiques qui pouvaient dépendre des attributs locaux :

Get-MgGroup -Filter "groupTypes/any(c:c eq 'DynamicMembership')" -Property DisplayName,MembershipRule

Mettez à jour toutes les règles de groupe dynamique qui font référence à des attributs locaux (comme extensionAttribute1) pour utiliser des attributs basés sur le cloud à la place.

Changements clés à mettre en œuvre :

• Créer de nouveaux utilisateurs directement dans Microsoft Entra ID
• Gérer les adhésions aux groupes via le cloud
• Mettre à jour tous les scripts d'automatisation pour utiliser Microsoft Graph au lieu de l'AD local
• Reconfigurer toutes les applications qui dépendaient des adhésions aux groupes locaux

Vérification : Testez la création d'un nouvel utilisateur dans Microsoft Entra ID pour vous assurer que vos nouveaux processus fonctionnent :

$newUser = @{
    DisplayName = "Test User"
    UserPrincipalName = "testuser@yourdomain.com"
    MailNickname = "testuser"
    PasswordProfile = @{
        Password = "TempPassword123!"
        ForceChangePasswordNextSignIn = $true
    }
    AccountEnabled = $true
}
New-MgUser @newUser