Entra Cloud Sync synchronisiert jetzt Geräte: Hybrid Join ohne Entra Connect Server

• Entra Cloud Sync synchronisiert laut Microsofts Entra-Übersicht für November 2026 jetzt auch Computerobjekte aus dem Active Directory nach Microsoft Entra ID, die Funktion ist allgemein verfügbar.
• Damit können Geräte per Hybrid Join an Entra ID angebunden werden, ohne dass dafür ein vollständiger Entra Connect Server nötig ist.
• Voraussetzungen sind der Provisioning Agent ab Version 1.1.1107, eine bestehende Cloud Sync Konfiguration von AD nach Entra ID und ein Service Connection Point in jedem Forest mit Domänencomputern.
• Der geführte Migrationsassistent in Entra Connect behandelt die Gerätesynchronisation weiterhin als Ausschlussgrund, der Wechsel gelingt dann nur über eine geplante manuelle Migration.
• Wer Entra Connect bis zum 7. April 2027 ohnehin aktualisieren oder neu installieren müsste, sollte den Umstieg auf Cloud Sync jetzt prüfen.

Entra Cloud Sync ist der schlanke Nachfolger von Entra Connect: Statt eines vollständigen Synchronisationsservers läuft im eigenen Netz nur ein Provisioning Agent, die Konfiguration liegt im Microsoft Entra Admin Center. Bisher hatte Cloud Sync eine entscheidende Lücke: Computerobjekte aus dem Active Directory ließen sich nicht synchronisieren. Wer Windows-Clients per Hybrid Join an Microsoft Entra ID anbindet, kam deshalb nicht um Entra Connect herum.

Diese Lücke ist geschlossen. Laut der Microsoft-Übersicht „What's new in Microsoft Entra: November 2026“ kann Cloud Sync Computerobjekte jetzt nach Entra ID synchronisieren und damit Hybrid Join ermöglichen. Die Funktion ist allgemein verfügbar. In der Dokumentation heißt sie Device sync und läuft als eigener Synchronisationsjob innerhalb einer bestehenden Cloud Sync Konfiguration von AD nach Entra ID.

In vielen mittelständischen Unternehmen war die Gerätesynchronisation der Hauptgrund, einen eigenen Entra Connect Server weiter zu betreiben. Dieser Server braucht Updates, ein unterstütztes Betriebssystem und Pflege. Gleichzeitig stehen Fristen an:

• Ab dem 7. April 2027 synchronisiert Entra Connect nur noch mit Version 2.6.84.0 oder neuer und anwendungsbasierter Authentifizierung. Details stehen in unserem Beitrag Entra Connect: Frist 7. April 2027.
• Viele Entra Connect Server laufen noch auf Windows Server 2016, dessen Support am 12. Januar 2027 endet.

Wer ohnehin einen neuen Server bräuchte, kann jetzt auch mit Hybrid Join auf Cloud Sync wechseln und sich den Betrieb des Synchronisationsservers sparen. Microsoft bezeichnet Cloud Sync als strategische Richtung und informiert berechtigte Organisationen laut Dokumentation im Produkt und per E-Mail über ein Zeitfenster für die Migration.

Langfristig empfiehlt Microsoft für neue Clients ohnehin Entra Join statt Hybrid Join. Warum, erklären wir im Beitrag Entra Join statt Hybrid Join. Für Bestandsgeräte, die noch an der Domäne hängen, bleibt Hybrid Join aber in vielen Unternehmen auf Jahre nötig.

Laut Microsoft-Dokumentation brauchen Sie:

• den Microsoft Entra Provisioning Agent ab Version 1.1.1107 im lokalen Netz
• eine bestehende Cloud Sync Konfiguration AD to Microsoft Entra ID
• die Mandanten-ID und die verifizierte Domäne, mit der sich die Geräte anmelden (bei Verbund die föderierte Domäne, sonst die primäre onmicrosoft.com-Domäne)
• einen Service Connection Point (SCP) in jedem AD-Forest mit Domänencomputern, eingerichtet von einem Konto der Gruppe Organisations-Admins (Enterprise Admins)
• für die Einrichtung im Admin Center mindestens die Rolle Hybrididentitätsadministrator (Hybrid Identity Administrator)

Die Gerätesynchronisation ist standardmäßig ausgeschaltet.

1. Service Connection Point prüfen: Vorhandene SCP-Werte zuerst notieren. Das Skript von Microsoft überschreibt bestehende Werte. Nur wenn der SCP noch nicht auf den richtigen Mandanten zeigt, das Skript mit Domäne und Mandanten-ID ausführen, danach die Organisations-Admin-Rechte wieder entziehen.
2. Gerätesynchronisation einschalten: Im Microsoft Entra Admin Center unter Entra ID > Entra Connect > Cloud Sync die Konfiguration öffnen, unter Eigenschaften (Properties) bei Grundeinstellungen (Basics) die Option Enable device sync aktivieren.
3. Einzelnes Gerät testen: Mit Bedarfsgesteuerter Bereitstellung (Provision on demand) auf dem Reiter Gerät (Device) den Distinguished Name eines Testcomputers eingeben und das Ergebnis prüfen.
4. Ausrollen und überwachen: Danach die Synchronisation für alle Computer im Bereich laufen lassen und die Geräte in Entra ID kontrollieren.

Synchronisiert werden unter anderem Geräte-ID, Anzeigename, Betriebssystem, Aktivierungsstatus, Sicherheits-ID und Benutzerzertifikat. Wird ein Gerät in Entra ID durch einen anderen Dienst oder von Hand gelöscht, legt Cloud Sync es erst wieder an, wenn sich das Computerobjekt im AD ändert. Wiederherstellen lässt es sich über Gelöschte Geräte im Admin Center, per Änderung am AD-Objekt oder per Provision on demand.

Seit Version 2.6.91.0 bietet Entra Connect einen geführten Assistenten für den Wechsel zu Cloud Sync. Wichtig: Der Assistent behandelt die Gerätesynchronisation weiterhin als Ausschlussgrund. Microsoft weist ausdrücklich darauf hin, dass Cloud Sync Geräte zwar unterstützt, der Assistent sie aber noch nicht überträgt, und dass man die Gerätesynchronisation nicht abschalten soll, nur um die Prüfung zu bestehen.

Für Umgebungen mit Hybrid Join heißt das: Der Wechsel ist jetzt möglich, aber als geplante Migration mit Pilot und Übergangsphase statt per Assistent. Dabei ist die Reihenfolge entscheidend, damit Geräte nicht doppelt gepflegt werden oder aus Entra ID verschwinden und Conditional Access Policies mit Gerätebedingungen weiter greifen.

Die InSys AG^® ist Microsoft Solutions Partner für Security und begleitet Unternehmen beim Anbinden von Active Directory an Microsoft Entra ID. Wir prüfen Ihre bestehende Synchronisation, bewerten, ob Cloud Sync mit Gerätesynchronisation für Sie passt, und planen den Wechsel mit Pilot, Test und Rückfallebene. Einen Vergleich von Entra Connect und Cloud Sync finden Sie auf unserer Seite zu Microsoft Entra ID, einen schnellen Überblick über Ihre Umgebung gibt der Microsoft Tenant Sicherheitscheck. Alle Leistungen finden Sie unter Microsoft 365 Security.

Rufen Sie uns an unter +49 (521) 260105-0 oder nutzen Sie das Kontaktformular am Ende dieser Seite.