L'hybridation Windows Server, Entra ID, Azure et Microsoft 365

Informations vérifiées le 20 octobre 2026 dans la documentation Microsoft.

1. Le vocabulaire

2. Les trois modèles d'identité

L'hybride est souvent une étape : on garde l'AD pour ce qui en dépend encore (partages, applications, imprimantes), et l'on bascule progressivement vers le cloud.

3. Synchroniser les identités : Connect Sync ou Cloud Sync

Microsoft propose deux outils, qui copient les comptes de l'AD vers Entra ID :

Ce qu'il faut préparer avant de synchroniser

Vérifier et modifier les UPN en PowerShell (module Active Directory) :

$OU = "OU=Utilisateurs,DC=entreprise,DC=local"

# Afficher les UPN actuels
Get-ADUser -Filter * -SearchBase $OU |
    Select-Object SamAccountName, UserPrincipalName

# Les passer sur le domaine vérifié
Get-ADUser -Filter * -SearchBase $OU | ForEach-Object {
    Set-ADUser $_ -UserPrincipalName ($_.SamAccountName + "@exemple.fr")
}

Testez d'abord sur une OU pilote. Si l'adresse de messagerie diffère du SamAccountName, construisez l'UPN à partir de l'attribut mail : l'UPN doit, dans l'idéal, être identique à l'adresse de messagerie.

4. Choisir la méthode d'authentification

Le mot de passe n'est pas copié tel quel : seul un dérivé de son hachage, lui-même haché à nouveau, est transmis. Les nouvelles organisations n'ont généralement plus besoin d'AD FS ; Microsoft fournit un guide de migration de la fédération vers l'authentification cloud.

5. Les postes de travail

La jonction hybride est la transition naturelle d'un parc existant. Pour les nouveaux postes, Microsoft oriente vers la jonction Entra ID directe avec Windows Autopilot et Intune ; les gestionnaires de parc (MDM) feront l'objet d'une fiche dédiée.

6. La messagerie : Exchange hybride

Si la messagerie est encore sur un Exchange Server local, le déploiement hybride Exchange permet une cohabitation avec Exchange Online le temps de la migration : carnet d'adresses commun, calendriers partagés, déplacement progressif des boîtes aux lettres. Microsoft fournit l'assistant Hybrid Configuration Wizard.

Exchange 2016 et 2019 ne sont plus pris en charge depuis le 14 octobre 2025 : les organisations qui gardent une messagerie locale doivent passer à Exchange Server Subscription Edition (SE) ; la plupart choisissent de finir la migration vers Exchange Online. Même une fois toutes les boîtes migrées, un serveur Exchange (ou les outils de gestion Exchange) reste souvent nécessaire pour gérer les attributs de messagerie des comptes synchronisés.

7. Azure Arc : gérer les serveurs locaux depuis Azure

Azure Arc installe un agent (Connected Machine agent) sur vos serveurs Windows ou Linux, physiques, virtuels ou chez un autre fournisseur. Ils apparaissent alors dans le portail Azure comme s'ils y étaient hébergés.

Certaines fonctions sont incluses, d'autres sont facturées à l'usage : vérifiez le détail avant de les activer. Azure Arc ne déplace aucune donnée : les serveurs restent chez vous.

8. Les licences à connaître

9. Un plan de déploiement en étapes

1. Inventaire : comptes, groupes, OU, comptes de service, applications qui utilisent l'AD, état d'Exchange.
2. Préparation : domaine vérifié dans le tenant, suffixe UPN, nettoyage avec IdFix, choix des OU à synchroniser.
3. Comptes d'administration cloud : deux comptes d'urgence (break glass) cloud uniquement, et des comptes d'administration nominatifs, protégés par une double authentification résistante à l'hameçonnage (voir la fiche sur la double authentification, à venir).
4. Synchronisation pilote : une OU de test, PHS activé, vérification dans le centre d'administration Entra.
5. Double authentification pour tous, puis accès conditionnel (fiche dédiée à venir).
6. Généralisation de la synchronisation, puis des licences Microsoft 365.
7. Postes : jonction hybride, puis cogestion avec Intune.
8. Messagerie : Exchange hybride et migration des boîtes, si nécessaire.
9. Supervision : Entra Connect Health, journaux de connexion, alertes.

À retenir

• L'hybridation relie l'AD local et Entra ID pour un compte unique ; l'AD reste la source d'autorité.
• Cloud Sync est l'avenir (transition organisée par Microsoft depuis 2026) ; Connect Sync reste nécessaire pour les scénarios avancés.
• PHS recommandé, et activé en secours même avec PTA ou AD FS.
• Préparez les UPN sur un domaine vérifié, nettoyez avec IdFix, ne synchronisez pas les comptes privilégiés.
• Azure Arc gère les serveurs locaux depuis Azure ; l'accès conditionnel demande Entra ID P1.