Entra Connect Sync vs Entra Cloud Sync

Introduzione

Nel campo della gestione delle identità, le aziende si trovano spesso ad affrontare la sfida di sincronizzare le directory on-premises con gli ambienti cloud. Per la sincronizzazione delle identità da Active Directory Domain Services (AD DS) on-premises verso Microsoft Entra ID (in precedenza Azure Active Directory), Microsoft mette a disposizione due principali opzioni: Microsoft Entra Connect Sync e Microsoft Entra Cloud Sync. Entrambe consentono di sincronizzare dati di identità (ad esempio utenti, gruppi e attributi) tra AD on-premises e Microsoft Entra ID, ma differiscono in modo significativo per architettura, funzionalità supportate e casi d’uso. Comprendere queste differenze è fondamentale per scegliere l’approccio più adatto alle esigenze della propria azienda.

In questa guida vedremo nel dettaglio:

• Cos’è Microsoft Entra Connect Sync
  
• Cos’è Microsoft Entra Cloud Sync
  
• Funzionalità principali
  
• Casi d’uso
  
• Scegliere tra Entra Connect Sync e Cloud Sync
  
• Conclusioni
  

Panoramica di Microsoft Entra Connect Sync

Microsoft Entra Connect Sync è il motore di sincronizzazione (sync engine) di Microsoft Entra Connect, la soluzione on-premises (in precedenza Azure AD Connect) per integrare Active Directory Domain Services (AD DS) con Microsoft Entra ID. Installato tipicamente su un server Windows in ambiente on-premises, gestisce le operazioni necessarie a sincronizzare i dati di identità tra AD e Microsoft Entra ID, mantenendo allineati oggetti e attributi tra i due ambienti.

Funzionalità principali

Sincronizzazione della directory: Microsoft Entra Connect Sync supporta la sincronizzazione di utenti, gruppi e contatti da AD DS on-premises verso Microsoft Entra ID. Rispetto a Cloud Sync, supporta anche i device objects, elemento rilevante negli scenari di identità ibrida legati ai dispositivi.
Capacità di identità ibrida: Entra Connect è comunemente usato per abilitare e semplificare scenari come Microsoft Entra hybrid join (storicamente “Hybrid Azure AD Join”), in cui il dispositivo resta joinato ad AD DS e viene registrato anche in Entra ID, così da abilitare casi d’uso moderni (accesso condizionale, gestione cloud, ecc.).
Opzioni di autenticazione per l’identità ibrida: Entra Connect supporta più metodi di sign-in. Con Password Hash Synchronization sincronizza in Entra ID l’hash della password dell’utente; con Pass-through Authentication la password viene invece validata direttamente contro l’Active Directory on-premises tramite agenti (senza sincronizzazione della password). In alternativa, è possibile usare la federazione con AD FS.
Federazione e SSO: Entra Connect consente di configurare e gestire la federazione tra AD FS on-premises e Microsoft Entra ID, abilitando scenari di single sign-on verso servizi cloud basati su Entra ID.
Personalizzazioni avanzate e supporto multi-forest: il motore di sincronizzazione di Entra Connect permette un controllo esteso su regole e flussi attributo (incluse custom sync rules) ed è progettato per supportare topologie che includono più foreste AD, secondo i vincoli documentati da Microsoft.

Casi d’uso

Microsoft Entra Connect Sync è tipicamente la scelta più adatta in aziende medio-grandi o enterprise in cui l’infrastruttura di Active Directory è articolata (ad esempio più foreste o topologie ibride articolate) e serve una soluzione di sincronizzazione in grado di coprire configurazioni supportate e consolidate nel tempo. In questi contesti, la documentazione Microsoft posiziona Entra Connect Sync come “key integration solution” per diverse topologie on-premises↔cloud

• Ambienti complessi e requisiti di sincronizzazione avanzati
  Connect Sync diventa particolarmente indicato quando sono richieste personalizzazioni avanzate dei flussi attributo o filtri basati sui valori degli attributi degli oggetti (capability non disponibili in Cloud Sync secondo la matrice comparativa ufficiale). Questo aspetto è spesso determinante nei tenant con regole di provisioning non standard o con esigenze di correlazione/normalizzazione più spinte.
  
• Identità ibrida con requisiti legati ai dispositivi
  Se lo scenario richiede il supporto ai device objects (ad esempio per abilitare/gestire scenari di Microsoft Entra hybrid join), Connect Sync è l’opzione che copre esplicitamente questa capacità nella comparativa ufficiale tra Connect Sync e Cloud Sync. In termini pratici, Entra Connect viene usato per configurare le “device options” e abilitare il join ibrido.
  
• Metodi di autenticazione e federazione
  Quando la scelta architetturale include specifici metodi di autenticazione per l’identità ibrida (Password Hash Synchronization, Pass-through Authentication o federazione), Entra Connect Sync è normalmente parte del disegno: Microsoft lo cita come componente che consente di scegliere e implementare queste opzioni (inclusa la federazione).
  

Panoramica di Microsoft Entra Cloud Sync

Microsoft Entra Cloud Sync è l’offerta di sincronizzazione cloud-orchestrated di Microsoft per scenari di identità ibrida: consente di sincronizzare utenti, gruppi e contatti da Active Directory on-premises verso Microsoft Entra ID utilizzando il Microsoft Entra cloud provisioning agent, invece dell’applicazione Microsoft Entra Connect. L’approccio è “lightweight” perché richiede la distribuzione di agenti leggeri nell’ambiente on-premises (o IaaS), mentre configurazione e orchestrazione della sincronizzazione sono gestite dal servizio nel cloud. Questo riduce l’impronta infrastrutturale e rende la distribuzione tipicamente più lineare; inoltre Cloud Sync può essere adottato anche in parallelo a Entra Connect Sync (ad esempio per pilota o per foreste aggiuntive, incluse foreste disconnesse).

Funzionalità principali

Architettura basata su agent: il provisioning da AD a Microsoft Entra ID è orchestrato nel cloud; nell’ambiente on-premises (o IaaS) si distribuisce un agent leggero che funge da bridge verso Active Directory. La configurazione della sincronizzazione è gestita nel cloud come parte del servizio.
Distribuzione semplificata: Microsoft descrive Cloud Sync come installazione semplificata tramite agenti “lightweight”, con configurazione centralizzata nel cloud e minore impronta infrastrutturale rispetto a un sync engine completo.
Aggiornamenti automatici: il cloud provisioning agent include una funzionalità di aggiornamento automatico che riduce l’onere di manutenzione lato server.
Supporto multi-forest: Cloud Sync supporta la connessione a più foreste AD e anche a foreste disconnesse. Il livello di personalizzazione, però, non è paragonabile a Connect Sync per gli scenari avanzati (ad esempio non supporta filtri basati sui valori degli attributi e non supporta advanced customization dei flussi attributo). Nella progettazione multi-forest vanno inoltre considerati vincoli documentati, come l’assenza di matching tra foreste e l’impossibilità di cambiare l’attributo usato come source anchor.
Metodi di autenticazione supportati: Cloud Sync supporta Password Hash Synchronization; non supporta Pass-through Authentication. Può invece operare in scenari dove sono presenti federazione e Seamless Single Sign-On, come indicato nella matrice comparativa ufficiale.

Casi d’uso

Microsoft Entra Cloud Sync è particolarmente indicato quando l’obiettivo è adottare un modello di sincronizzazione cloud-orchestrated con impronta minima on-premises: l’azienda distribuisce agent leggeri che fungono da bridge verso AD, mentre orchestrazione e configurazione sono gestite nel cloud e conservate in Microsoft Entra ID. Questo approccio riduce la necessità di un’infrastruttura on-prem “estesa” e tende a rendere il deployment più lineare rispetto a un sync engine completo.

• Nuovi scenari di identità ibrida
  Microsoft include tra gli scenari supportati quello del “new hybrid customer”, in cui non si usa Entra Connect Sync e si adotta Cloud Sync per il provisioning da una foresta AD verso Microsoft Entra ID.
  
• Ambienti esistenti che aggiungono una nuova foresta (anche disconnessa)
  Un caso d’uso frequente è l’azienda già “hybrid” che mantiene Entra Connect Sync sulle foreste primarie e usa Cloud Sync per il provisioning da una nuova foresta, inclusa una foresta disconnessa (tipico scenario M&A).
  
• Pilota e adozione progressiva in parallelo
  Microsoft descrive anche il pilot di Cloud Sync in ambienti già sincronizzati, eseguendo Cloud Sync e Connect Sync in parallelo nello stesso forest con scoping separato (approccio “80/20”).
  

Microsoft Entra Connect Sync vs Microsoft Entra Cloud Sync

Microsoft Entra Connect Sync e Microsoft Entra Cloud Sync rispondono allo stesso obiettivo (sincronizzare dati di identità da AD DS on-premises verso Microsoft Entra ID), ma lo fanno con due modelli architetturali diversi. Con Connect Sync il provisioning viene eseguito sul server di sincronizzazione on-premises e la configurazione risiede localmente; con Cloud Sync, invece, la configurazione è conservata nel cloud e l’elaborazione avviene come parte del servizio di provisioning di Microsoft Entra, mentre in on-premises si installano agent leggeri che fungono da bridge verso Active Directory. Questa differenza di “control plane” non impatta solo il deployment, ma anche topologie supportate, alta disponibilità e (soprattutto) alcune capability funzionali che, secondo la matrice ufficiale Microsoft, non sono in completa parità tra i due approcci.

Funzionalità e capacità	Microsoft Entra Connect Sync	Microsoft Entra Cloud Sync
Dove risiede la configurazione	Configurazione e provisioning sul server on-premises	Configurazione nel cloud; provisioning nel cloud con agent on-premises
Modello di installazione	Sync engine server-based	Modello lightweight agent
Connessione a una singola foresta AD	Sì	Sì
Connessione a più foreste AD	Sì	Sì
Foreste AD disconnesse (disconnected forests)	No	Sì
Alta disponibilità “nativa”	Pattern tipico con staging server	Più agent attivi per HA
Oggetti utente/gruppo/contatto	Sì	Sì
Oggetti dispositivo (device objects)	Sì	No
Password Hash Sync (PHS)	Sì	Sì
Pass-through Authentication (PTA)	Sì	No
Federazione (support for federation)	Sì	Sì
Seamless Single Sign-on	Sì	Sì
Filtro su domini / OU / gruppi	Sì	Sì
Filtro su valori degli attributi degli oggetti	Sì	No
Customizzazione avanzata dei flussi attributo	Sì	No
Aggiornamenti automatici	Meccanismo di automatic upgrade disponibile (con condizioni)	Agent auto-aggiornati da Microsoft (non disabilitabile)

Tabella 1: Key feature comparison: Microsoft Entra Connect Sync vs Microsoft Entra Cloud Sync

Scegliere tra Entra Connect Sync e Cloud Sync

La scelta tra Microsoft Entra Connect Sync e Microsoft Entra Cloud Sync non dipende tanto dalla dimensione dell’azienda, quanto dai requisiti funzionali e dalla topologia Active Directory. In particolare, i criteri decisivi sono: quali oggetti devono essere sincronizzati (ad esempio i device objects), quali metodi di autenticazione ibrida sono richiesti (PHS, PTA, federazione) e quanto controllo serve sui flussi attributo (filtri e personalizzazioni avanzate).

Microsoft Entra Connect Sync è in genere la scelta più coerente quando sono necessari elementi che, nella matrice ufficiale Microsoft, risultano esclusivi del modello “server-based”: supporto ai device objects (rilevante per scenari di Microsoft Entra hybrid join, ex Hybrid Azure AD Join), disponibilità di Pass-through Authentication e possibilità di applicare filtri basati sui valori degli attributi o personalizzazioni avanzate dei flussi attributo. In questi casi, Connect Sync non è “più completo” in senso generico: è semplicemente l’unica opzione che copre quei requisiti specifici.

Microsoft Entra Cloud Sync è invece più adatto quando i requisiti rientrano nelle funzionalità supportate dal modello cloud-orchestrated e l’obiettivo è ridurre l’impronta infrastrutturale on-premises adottando agenti leggeri. Cloud Sync risulta particolarmente vantaggioso anche in topologie dove la matrice evidenzia un punto di forza esplicito, come la sincronizzazione da ambienti multi-forest disconnessi (scenario tipico in contesti M&A o directory storicamente separate). Dal punto di vista dell’autenticazione, Cloud Sync supporta Password Hash Synchronization ma non supporta Pass-through Authentication; la presenza di federazione o di Seamless SSO, invece, non è di per sé un blocco secondo la comparativa ufficiale.

Conclusioni

Microsoft Entra Connect Sync e Microsoft Entra Cloud Sync consentono entrambi di raggiungere obiettivi di identità ibrida sincronizzando i dati di identità da Active Directory Domain Services on-premises verso Microsoft Entra ID, ma adottano due modelli architetturali differenti. Connect Sync è il componente di Microsoft Entra Connect che esegue le operazioni di sincronizzazione come sync engine server-based. Cloud Sync, invece, è un approccio cloud-orchestrated che utilizza agent leggeri come bridge verso AD e conserva la configurazione nel cloud, potendo anche essere adottato in parallelo a Connect Sync in specifici scenari.

La scelta corretta dipende da requisiti funzionali e topologia, più che da una generica semplicità dell’ambiente. La matrice ufficiale Microsoft evidenzia differenze nette su capability che in progetto sono spesso decisive: Connect Sync supporta i device objects (rilevanti per scenari di Microsoft Entra hybrid join), Pass-through Authentication e funzionalità avanzate come filtri basati sui valori degli attributi e advanced customization dei flussi attributo. Cloud Sync, invece, supporta in modo esplicito la sincronizzazione da foreste disconnesse e un modello di alta disponibilità basato su più agent attivi. Entrambi supportano Password Hash Sync, federazione e Seamless Single Sign-On; quindi, questi aspetti non sono di per sé discriminanti quanto i punti precedenti.

Infine, se oggi la vostra azienda utilizza Microsoft Entra Connect Sync, va considerato anche il lifecycle come parte della decisione: Microsoft richiede un upgrade obbligatorio (almeno versione 2.5.79.0) entro il 30 settembre 2026, altrimenti i servizi di sincronizzazione smetteranno di funzionare fino all’avvenuto aggiornamento (vedi pagina Microsoft Entra Connect: Version release history). Questo vincolo può diventare l’occasione per fare assessment e decidere se rimanere su Connect Sync per requisiti specifici o adottare Cloud Sync dove la matrice di supporto lo consente.