Entra Connect uitschakelen en overstappen naar cloud-only

Je organisatie heeft de lokale Active Directory niet meer nodig en werkt volledig in de cloud. Dan kun je directorysynchronisatie uitschakelen en Microsoft Entra Connect (vroeger Azure AD Connect) verwijderen. Alle gesynchroniseerde gebruikers, groepen en contactpersonen worden dan cloudobjecten die je rechtstreeks in Microsoft 365 en Entra ID beheert. In dit artikel lees je hoe je dat veilig doet, in welke volgorde, en waar je op let.

Wanneer doe je dit?

Schakel synchronisatie alleen uit als je de lokale AD echt uitfaseert. Het is geen oplossing voor synchronisatieproblemen: Microsoft raadt dat uitdrukkelijk af. Heb je fouten in de sync, zoek dan eerst de oorzaak, bijvoorbeeld door een synchronisatie handmatig te starten en de foutmeldingen te bekijken.

Voor je begint

• Toestellen: zijn er nog pc's die hybrid joined zijn, of apps, file servers en printers die op AD rekenen? Breng die eerst over naar Entra join en Intune. Lees Entra join of hybrid join.
• Aanmelden: gebruik je pass-through-verificatie of federatie (AD FS)? Schakel eerst over naar wachtwoord-hashsynchronisatie en zet je domeinen op beheerd, zodat gebruikers met hun huidige wachtwoord kunnen blijven aanmelden.
• Wachtwoorden: zet Self-Service Password Reset klaar. Na de omzetting wijzigen gebruikers hun wachtwoord alleen nog in de cloud.
• Exchange hybride: plan het einde van je lokale Exchange-beheer. Na de omzetting beheer je mailboxen en adressen in Exchange Online.
• Rol: je hebt een account nodig met minstens de rol Hybrid Identity Administrator.
• Documentatie: noteer je huidige configuratie, filters en eventuele attribuutregels. Die info is weg zodra Entra Connect verwijderd is.

De juiste volgorde

Microsoft raadt aan om, als je synchronisatie definitief stopt, eerst de synchronisatieclient te verwijderen (Entra Connect Sync of Cloud Sync) en pas daarna directorysynchronisatie in de tenant uit te schakelen. Schakel je eerst uit, dan kan het Entra-beheercentrum een vreemde status tonen, zoals synchronisatie uitgeschakeld terwijl wachtwoord-hashsynchronisatie nog als ingeschakeld staat. Dat is niet schadelijk, maar wel verwarrend.

1. Draai nog een laatste synchronisatie, zodat de cloud de meest recente gegevens heeft.
2. Verwijder Microsoft Entra Connect van de server via Programma's en onderdelen in het Configuratiescherm (of Apps > Geïnstalleerde apps, afhankelijk van je Windows Server-versie).
3. Schakel daarna de synchronisatie uit in de tenant, zoals hieronder beschreven.

Synchronisatie uitschakelen met PowerShell

1. Installeer de Microsoft Graph PowerShell-module als je die nog niet hebt.

   Install-Module Microsoft.Graph -Scope CurrentUser

2. Maak verbinding met de juiste machtigingen:

   Connect-MgGraph -Scopes "Organization.ReadWrite.All","Directory.ReadWrite.All"

3. Controleer de huidige status en haal het ID van je organisatie op:

   Get-MgOrganization | Select OnPremisesSyncEnabled
   $orgId = (Get-MgOrganization).Id

4. Schakel de synchronisatie uit:

   Update-MgOrganization -OrganizationId $orgId -BodyParameter @{onPremisesSyncEnabled = $false}

5. Controleer opnieuw met Get-MgOrganization | Select OnPremisesSyncEnabled.

Het omzetten van alle objecten gebeurt op de achtergrond en kan in grote tenants even duren. Je oude scripts met Set-MsolDirSyncEnabled werken niet meer: de MSOnline-module is uitgefaseerd.

Wat verandert er?

• Gebruikers en groepen tonen niet langer dat ze gesynchroniseerd worden en zijn volledig bewerkbaar in het Microsoft 365-beheercentrum en het Entra-beheercentrum.
• Lokale kenmerken zoals OnPremisesSamAccountName, OnPremisesDistinguishedName, OnPremisesUserPrincipalName, NetBiosName en DnsDomainName worden leeggemaakt.
• Gebruikers houden hun laatst gesynchroniseerde wachtwoord, als wachtwoord-hashsynchronisatie actief was.
• Wijzig gegevens zoals afdeling, functie en telefoon voortaan in de cloud. Hoe, lees je in gebruikers en groepen beheren in Microsoft Entra ID.

Checklist na de omzetting

• Gebruikte je Seamless SSO? Verwijder dan het computeraccount AZUREADSSOACC uit je AD. Achtergrond vind je in Seamless Single Sign-On activeren.
• Verwijder het serviceaccount van de synchronisatie in Entra ID en in AD.
• Pas processen voor nieuwe medewerkers aan: accounts maak je voortaan in de cloud aan.
• Test aanmelden, wachtwoord wijzigen en MFA met een paar gebruikers.

Later toch weer synchroniseren?

Dat kan, maar pas 72 uur na het uitschakelen. Daarna moet je de AD-objecten opnieuw koppelen aan de cloudobjecten (soft match op e-mailadres of hard match op ImmutableId). Dat is foutgevoelig, dus beslis goed voor je de stap zet. Een nieuwe installatie begint bij Microsoft Entra Connect installeren en instellen.

Veelgestelde vragen

Kan ik dit ook in het beheercentrum doen?

Nee, het uitschakelen van directorysynchronisatie gebeurt met PowerShell.

Verliezen gebruikers hun mailbox of OneDrive?

Nee. Alleen de bron van de gegevens verandert. Mailboxen, bestanden, licenties en groepslidmaatschappen blijven.

Meer over Azure Active Directory