Azure AD Sync

Azure AD Sync — это устаревший инструмент корпорации Microsoft для синхронизации каталогов, предназначенный для объединения локальной инфраструктуры Active Directory (AD) с облачной службой Azure Active Directory (ныне Microsoft Entra ID). Он обеспечивал одностороннюю синхронизацию объектов (пользователей, групп, контактов) из локального домена в облачный каталог, позволяя использовать единые учётные данные для доступа к локальным и облачным ресурсам. Инструмент был выпущен в 2010 году и официально заменён более современным решением — Azure AD Connect в 2015 году. Поддержка Azure AD Sync прекращена, и корпорация Microsoft рекомендует всем пользователям выполнить миграцию на Azure AD Connect.

История

Предпосылки создания

До появления облачных служб Microsoft (Office 365, Azure) организации управляли пользователями и доступом исключительно через локальные службы каталогов, такие как Active Directory. С развитием облачных сервисов возникла необходимость в синхронизации учётных записей между локальной средой и облаком. Первым инструментом для этой задачи стал Microsoft Online Services Directory Synchronization Tool (DirSync), выпущенный в 2008 году. Он поддерживал синхронизацию с Microsoft Online Services, предшественником Office 365.

Выпуск Azure AD Sync

В 2010 году Microsoft выпустила Azure AD Sync (также известный как Directory Sync Tool или AADSync) как часть пакета инструментов для управления гибридными идентификациями. В отличие от DirSync, Azure AD Sync был тесно интегрирован с Azure Active Directory и поддерживал более широкий набор функций, включая синхронизацию паролей (Password Hash Sync) и возможность настройки фильтров синхронизации. Инструмент работал на сервере Windows Server и требовал установки локального агента.

Замена на Azure AD Connect

В 2015 году Microsoft представила Azure AD Connect — унифицированный инструмент, объединивший возможности Azure AD Sync, DirSync и других компонентов (например, ADFS). Azure AD Connect предложил упрощённый интерфейс настройки, поддержку гибридных развёртываний (Pass-Through Authentication, Seamless SSO) и улучшенную производительность. Поддержка Azure AD Sync была прекращена в 2017 году, а последняя версия (1.0.0.0) больше не получает обновлений безопасности. С 2019 года Microsoft полностью заблокировала возможность использования Azure AD Sync для новых клиентов, а существующие пользователи были вынуждены мигрировать на Azure AD Connect.

Функциональность

Основные возможности

Azure AD Sync выполнял следующие задачи:

• Синхронизация объектов: передача данных о пользователях, группах, контактах и подразделениях из локального Active Directory в Azure AD.
• Синхронизация паролей: хеширование паролей локальных пользователей и передача их в облачный каталог для обеспечения единого входа (Single Sign-On).
• Фильтрация: возможность настройки правил, определяющих, какие объекты и атрибуты синхронизируются (например, по OU, группам или атрибутам).
• Обратная запись: ограниченная поддержка записи изменений (например, паролей) из облака обратно в локальный AD (только для определённых сценариев).

Ограничения

Azure AD Sync имел ряд недостатков по сравнению с более поздними инструментами:

• Отсутствие поддержки гибридных развёртываний: не поддерживал Pass-Through Authentication и Seamless SSO, которые появились в Azure AD Connect.
• Сложность настройки: требовал ручного редактирования конфигурационных файлов (XML) и использования PowerShell для расширенных сценариев.
• Ограниченная производительность: не оптимизирован для крупных каталогов (более 100 000 объектов).
• Отсутствие обновлений: после 2017 года не получал исправлений безопасности и новых функций.

Устройство и архитектура

Компоненты

Azure AD Sync состоял из следующих основных компонентов:

• Сервер синхронизации: Windows Server с установленным инструментом, который подключался к локальному контроллеру домена и к Azure AD.
• База данных синхронизации: локальная база данных (SQL Server Express или SQL Server), хранящая метаданные о синхронизируемых объектах и их изменениях.
• Агент синхронизации: служба Windows (Microsoft Azure AD Sync Service), выполняющая циклическую синхронизацию по расписанию.
• Коннекторы: модули для подключения к локальному AD (LDAP) и к Azure AD (Graph API).

Процесс синхронизации

1. Импорт: сервер получает данные из локального AD (пользователи, группы, атрибуты).
2. Синхронизация: сравниваются данные из локального AD и Azure AD, выявляются изменения (создание, обновление, удаление).
3. Экспорт: изменения передаются в Azure AD через REST API.
4. Проверка: Azure AD подтверждает успешность операции.

Синхронизация выполнялась по расписанию (по умолчанию каждые 3 часа) или вручную через PowerShell.

Применение

Сценарии использования

Azure AD Sync применялся в организациях, которые:

• Использовали Office 365 (ныне Microsoft 365) и хотели синхронизировать локальные учётные записи с облачным каталогом.
• Внедряли гибридную инфраструктуру, где часть ресурсов оставалась локальной, а часть — в облаке.
• Требовали единого входа (SSO) для пользователей без необходимости настройки сложных федеративных решений (например, ADFS).

Примеры

• Корпоративная среда: компания с 10 000 сотрудников, использующая локальный Active Directory, развернула Azure AD Sync для синхронизации учётных записей с Office 365. Пользователи могли входить в облачные сервисы (Exchange Online, SharePoint Online) с теми же паролями, что и в локальной сети.
• Образовательное учреждение: университет синхронизировал данные студентов и преподавателей из локального AD в Azure AD для доступа к облачным приложениям Microsoft.

Критика и ограничения

Недостатки

Azure AD Sync подвергался критике за:

• Сложность обновления: процесс миграции на Azure AD Connect требовал ручного вмешательства и мог привести к потере данных при неправильной настройке.
• Отсутствие поддержки современных протоколов: не поддерживал OAuth 2.0, OpenID Connect и другие протоколы, используемые в современных облачных приложениях.
• Проблемы с масштабируемостью: для крупных организаций с сотнями тысяч объектов инструмент работал медленно и требовал дополнительной оптимизации.

Сравнение с Azure AD Connect

Azure AD Connect превзошёл Azure AD Sync по следующим параметрам:

• Упрощённая настройка: графический интерфейс и мастер установки.
• Дополнительные функции: Pass-Through Authentication, Seamless SSO, поддержка гибридных развёртываний.
• Улучшенная производительность: оптимизирован для каталогов до 1 миллиона объектов.
• Регулярные обновления: Microsoft выпускает обновления безопасности и новые функции.

Интересные факты

• Azure AD Sync был первым инструментом Microsoft, который поддерживал синхронизацию паролей (Password Hash Sync) — функция, позволяющая пользователям входить в облачные сервисы с теми же паролями, что и в локальной сети.
• Инструмент использовал технологию Microsoft Identity Manager (MIM) для обработки изменений в каталогах.
• После прекращения поддержки Azure AD Sync Microsoft рекомендовала выполнить миграцию на Azure AD Connect, используя встроенный инструмент миграции (Azure AD Connect Migration Tool).
• В 2021 году Microsoft объявила о прекращении поддержки Azure AD Connect для некоторых версий, но сам инструмент остаётся основным для гибридных развёртываний.

Источники

• Microsoft Docs: Azure AD Sync (устаревшая документация)
• Microsoft Docs: Azure AD Connect — обзор
• Microsoft Support: Миграция с Azure AD Sync на Azure AD Connect
• TechNet: Directory Sync Tools for Microsoft Online Services
• Microsoft 365 Blog: Evolution of Identity Synchronization Tools