Se você administra um ambiente híbrido, provavelmente já instalou o Microsoft Entra Connect (ex-Azure AD Connect) em algum servidor dedicado, cuidou do SQL Server/LocalDB por trás dele e aprendeu a temer as atualizações de versão. Existe, há algum tempo, um caminho mais simples para sincronizar identidades do Active Directory local com o Microsoft Entra ID: o Microsoft Entra Cloud Sync. Neste artigo, explico quando ele faz sentido, como ele difere do Connect Sync tradicional e como instalar o agente na prática.
O problema que o Cloud Sync resolve
O Microsoft Entra Connect Sync (o "sync engine" clássico) é extremamente customizável — suporta cenários complexos de múltiplos forests, filtragem avançada de atributos e integração com federação — mas isso tem um custo operacional: é preciso manter um servidor dedicado, um banco de dados (LocalDB ou SQL Server completo, dependendo da escala) e toda a lógica de sincronização roda localmente, nesse servidor.[1][3]
O Cloud Sync inverte essa lógica. Em vez de um "motor" de sincronização pesado rodando on-premises, você instala apenas um agente leve no servidor, que mantém uma conexão de saída persistente com os serviços do Microsoft Entra via Azure Service Bus. Quando chega a hora de sincronizar, o agente recebe requisições SCIM (System for Cross-domain Identity Management) da nuvem, consulta o Active Directory local e devolve a resposta — toda a orquestração, agendamento e processamento acontece no lado da Microsoft.[1][3]
Na prática, isso significa:
- Sem servidor SQL para manter. O agente não guarda estado de sincronização localmente.
- Alta disponibilidade nativa. Dá para instalar múltiplos agentes apontando para o mesmo diretório, formando um pool de failover automático — algo que no Connect Sync tradicional exige arquitetura de staging server separada.
- Múltiplos forests sem consolidação. O Cloud Sync sincroniza vários forests desconectados para um único tenant sem precisar unificá-los — útil em cenários de fusões e aquisições.[1]
Onde o Connect Sync ainda ganha
Não é um upgrade "sempre melhor". Hoje (fase atual de evolução do produto) o Connect Sync ainda tem recursos que o Cloud Sync não cobre totalmente, como group writeback completo e o merge de atributos de usuário entre múltiplos domínios — nesses pontos o Connect Sync continua na frente. Já o Cloud Sync tem vantagem em suporte a Microsoft Entra Domain Services em certos cenários.[3] A própria Microsoft é clara: o Cloud Sync é a direção estratégica — a meta é que ele atinja paridade funcional completa com o Connect Sync e o substitua —, mas enquanto essa paridade não é 100%, vale revisar a tabela de comparação de recursos antes de migrar um ambiente de produção.[1][3]
Resumindo quando escolher cada um:
| Cenário | Recomendação |
|---|---|
| Ambiente simples, único forest, só quer sincronizar usuários/senhas | Cloud Sync |
| Múltiplos forests desconectados (M&A, ambientes legados) | Cloud Sync |
| Precisa de group writeback completo ou merge de atributos entre domínios | Connect Sync |
| Já tem Connect Sync funcionando bem e sem dor | Avaliar migração com calma, sem pressa |
Pré-requisitos
Antes de instalar o agente, confirme:
- Um tenant do Microsoft Entra ID e uma conta com papel Hybrid Identity Administrator (ou Global Administrator para a configuração inicial).[4]
- Pelo menos um servidor Windows Server 2016 ou mais recente, ingressado no domínio, para hospedar o agente de provisionamento.[4]
- Portas de saída liberadas para os endpoints do Microsoft 365/Entra (HTTPS 443 e HTTP 80).[4]
- Resolução de DNS funcionando tanto para os controladores de domínio locais quanto para a internet.[4]
Passo a passo: instalando o agente de provisionamento
O roteiro abaixo segue a documentação oficial da Microsoft e o passo a passo documentado por administradores que já fizeram essa instalação em produção.[2][4]
- Acesse o Microsoft Entra admin center com a conta de Hybrid Identity Administrator.[2]
- No menu lateral, vá em Identity > Hybrid management > Microsoft Entra Connect > Cloud Sync.[4]
- Clique em Agents e depois em Download on-premises agent.[2]
- Aceite os termos e baixe o
AADConnectProvisioningAgentSetup.exe.[2] - No servidor de destino (ingressado no domínio), execute o instalador como Administrador.[4]
- Aceite os termos de licença e clique em Install.[4]
- Ao final da instalação, abre automaticamente o wizard de configuração. Clique em Next.[2]
- Autentique com a conta de Hybrid Identity Administrator do Entra ID.[2]
- Na tela Configure Service Account, escolha Create gMSA — isso cria automaticamente a conta de serviço gerenciada
provAgentgMSA$no domínio onde o servidor está ingressado (recomendado: informe credenciais de administrador de domínio nesse passo).[2][4] - Na tela Connect Active Directory, se o seu domínio já aparecer em "Configured domains", siga adiante; caso contrário, adicione o nome do domínio e autentique com uma conta de administrador de domínio (sem senha expirada — se a senha expirar durante a instalação, será necessário reconfigurar o agente depois).[2]
- Clique em Next, revise e clique em Confirm para registrar e reiniciar o agente.[2]
- Ao ver a confirmação de que a configuração foi verificada com sucesso, clique em Exit.[2][4]
# Verificação pós-instalação direto no servidor, via PowerShell:
Get-Service -Name "AADConnectProvisioningAgent*", "AzureADConnectAgentUpdater*" | Select-Object Name, Status
# Conferir a versão instalada do agente
(Get-Item "C:\Program Files\Microsoft Azure AD Connect Provisioning Agent\AADConnectProvisioningAgent.exe").VersionInfo.ProductVersion
Verificando se está sincronizando de fato
Depois da instalação, confirme em dois lugares:
- No Microsoft Entra admin center: Entra Connect > Cloud Sync > Agents — o servidor deve aparecer listado com status Active.
-
No servidor local: em
services.msc, confirme que os serviços Microsoft Azure AD Connect Agent Updater e Microsoft Azure AD Connect Provisioning Agent estão em execução. Em Active Directory Users and Computers, a conta de serviço gerenciadaprovAgentgMSA$deve aparecer em "Managed Service Accounts".[2][4]
Importante: depois de instalado, o agente só começa a sincronizar depois que você cria e habilita uma configuração de sincronização (escopo de OUs, atributos, agendamento) no portal — a instalação do agente, por si só, não sincroniza nada ainda. Por padrão, o ciclo de provisionamento do Cloud Sync roda a cada 2 minutos, incluindo alterações de usuários, grupos e password hash.[4]
Conclusão
O Microsoft Entra Cloud Sync não substitui o Connect Sync em 100% dos cenários hoje, mas para quem está montando um ambiente híbrido novo, lidando com múltiplos forests desconectados, ou simplesmente cansado de manter um servidor dedicado de sincronização, ele reduz drasticamente a complexidade operacional: sem SQL local, failover nativo com múltiplos agentes, e toda a orquestração de sincronização acontece na nuvem. Antes de migrar um ambiente de produção que já usa Connect Sync, vale revisar com calma a tabela oficial de comparação de recursos — group writeback e merge de atributos entre domínios ainda pesam a favor do Connect Sync em alguns casos.
📚 Recursos recomendados
- Exam Ref AZ-104 Microsoft Azure Administrator Certification and Beyond (3ª edição) — cobre a fundo gerenciamento de identidades no Microsoft Entra ID e integração de redes on-premises com Azure, exatamente os dois pilares de qualquer projeto híbrido como este.
Sources
[1] https://learn.microsoft.com/en-us/entra/identity/hybrid/cloud-sync/what-is-cloud-sync — What is Microsoft Entra Cloud Sync - MS Learn
[2] https://learn.microsoft.com/en-us/entra/identity/hybrid/cloud-sync/how-to-install — Install the Microsoft Entra provisioning agent - MS Learn
[3] https://lazyadmin.nl/office-365/entra-connect-vs-cloud-sync — Entra Connect vs Cloud Sync - LazyAdmin
[4] https://www.alitajran.com/install-and-configure-microsoft-entra-cloud-sync — Install and Configure Microsoft Entra Cloud Sync - ALI TAJRAN
Top comments (0)