Depuis plus de vingt ans, Active Directory (AD DS) constitue le socle d’identité de la quasi-totalité des entreprises : comptes utilisateurs, groupes de sécurité, jointures de postes, stratégies de mots de passe et autorisations d’accès aux ressources internes. Mais ce référentiel, pensé pour un monde de serveurs sur site et de frontières réseau claires, atteint ses limites face au télétravail généralisé, aux applications SaaS et aux exigences de sécurité modernes. La bascule vers Microsoft Entra ID (ex-Azure AD) ne consiste pas à « supprimer » Active Directory, mais à bâtir une couche d’identité cloud moderne, capable d’imposer l’accès conditionnel et l’authentification multifacteur sur l’ensemble de vos ressources. C’est précisément cette migration d’identités que Performances Digital pilote de bout en bout.
Pourquoi sortir d’une gestion d’identités 100 % sur site ?
Le modèle historique d’Active Directory repose sur le protocole Kerberos et sur l’appartenance des postes à un domaine joint. Cette architecture fonctionne tant que les utilisateurs et les serveurs partagent le même réseau. Or, plusieurs signaux poussent aujourd’hui à la modernisation :
- l’explosion du SaaS (Microsoft 365, Salesforce, HRIS) exige une authentification fédérée via SAML 2.0, OIDC ou WS-Federation, que l’AD seul ne fournit pas ;
- le télétravail impose des accès sans VPN ni exposition du réseau interne ;
- les attaques par pass-the-hash, kerberoasting ou élévation de privilèges exploitent des faiblesses structurelles de l’AD vieillissant ;
- les GPO (stratégies de groupe) deviennent difficiles à faire évoluer et ne couvrent pas les appareils non joints.
Microsoft Entra ID apporte une réponse : un annuaire cloud, une authentification moderne (OAuth 2.0 / OpenID Connect), des politiques d’accès conditionnel évaluées en temps réel, et une intégration native à l’écosystème Microsoft.
Les deux modèles : hybridation ou bascule intégrale
Il existe deux trajectoires principales, et le choix conditionne toute la suite du chantier :
| Critère | Identité hybride (Entra Connect) | Cloud pur (Entra ID) |
|---|---|---|
| Source d’autorité | AD sur site | Entra ID |
| Synchronisation | Bidirectionnelle ou unidirectionnelle | Aucune |
| Appareils | Joints au domaine | Joints à Entra ID (ou Intune) |
| Applications legacy | Conservées via Kerberos | Réécrites ou relayées |
| Complexité | Modérée | Élevée au départ |
La majorité des entreprises choisissent d’abord l’identité hybride, en déployant Microsoft Entra Connect (ou le plus récent Entra Connect Sync) pour synchroniser utilisateurs, groupes et attributs. La bascule intégrale vers le cloud pur intervient dans un second temps, une fois les dépendances legacy purgées.
Les étapes précises d’une migration Active Directory vers Entra ID
- Audit du référentiel AD : cartographier forêts, domaines, unités d’organisation (OU), comptes orphelins, groupes imbriqués et attributs métier. Cette étape révèle souvent des années de dette : comptes de service dormants, groupes de distribution redondants, droits excessifs.
- Nettoyage et normalisation : corriger les UPN (UserPrincipalName) pour qu’ils correspondent aux adresses e-mail, dédupliquer les comptes, désactiver les entités obsolètes. Un attribut
immutableIDcohérent (souvent dérivé de l’objectGUID) est indispensable à la stabilité de la synchronisation. - Choix de la méthode d’authentification : synchronisation du hash de mot de passe (PHS), authentification directe (PTA) ou fédération via AD FS. PHS est le socle recommandé pour la plupart des cas, car il active le Seamless SSO et la détection de mots de passe compromis, tout en limitant l’exposition.
- Déploiement d’Entra Connect Sync : configurer le filtrage par OU, le mapping d’attributs et la synchronisation des groupes. La montée en charge se fait par vagues (pilotage, puis généralisation).
- Traduction des GPO en politiques cloud : mapper les stratégies de groupe vers Microsoft Intune (profils de configuration) et vers les politiques d’accès conditionnel.
- Mise en place de l’accès conditionnel et du MFA : définir des règles granuleuses (conformité de l’appareil, localisation, niveau de risque de connexion) et imposer l’authentification multifacteur sur les ressources sensibles.
- Tests de non-régression et bascule : vérifier l’authentification, l’accès aux applications, la jonction des postes, puis basculer progressivement les applications vers l’authentification Entra ID.
Les points de vigilance techniques
La migration d’Active Directory vers Entra ID réserve plusieurs pièges que l’expérience permet d’anticiper. La correspondance des attributs est le premier d’entre eux : un mauvais mapping entre onPremisesSamAccountName, userPrincipalName et immutableID génère des comptes dupliqués ou des pertes de correspondance. Le second concerne les applications legacy qui s’authentifient encore en Kerberos ou NTLM : il faut alors conserver des contrôleurs de domaine, voire mettre en place des relais de type Azure AD Domain Services ou des connecteurs d’application. Enfin, le plan de reprise doit prévoir la coexistence : un compte verrouillé côté AD ne doit pas se désynchroniser côté cloud au point d’interrompre un service critique.
Bonnes pratiques et conduite du changement
Une migration d’identités réussie repose sur une démarche rigoureuse. Sauvegardez systématiquement l’état du schéma AD avant toute modification ; utilisez un environnement de préproduction pour valider les règles de synchronisation ; adoptez une bascule progressive par population pilote avec possibilité de rollback. Côté humain, formez les équipes IT à la nouvelle console d’administration, au modèle d’attribution des licences et à la lecture des journaux de connexion (Sign-in logs), qui deviennent la première source de diagnostic. Communiquez également auprès des utilisateurs : l’arrivée du MFA et du Microsoft Authenticator modifie leurs habitudes de connexion.
Renforcer la posture avec Microsoft Entra ID Protection
Une fois la synchronisation des identités en place, la migration ouvre la voie à des briques de sécurité avancées qu’Active Directory seul ne peut pas fournir. Microsoft Entra ID Protection analyse en continu les connexions et attribue à chacune un niveau de risque (utilisateur compromis, sign-in atypique, mot de passe divulgué). Couplé à l’accès conditionnel, ce signal permet d’exiger un MFA supplémentaire ou de bloquer une session suspecte, en temps réel. Le Password Hash Sync devient ici un atout : il détecte les mots de passe compromis en les comparant à des listes de fuites connues, puis force leur réinitialisation. Ces capacités transforment la migration en véritable saut qualitatif en matière de cybersécurité, bien au-delà du simple déplacement de l’annuaire.
Pourquoi vous faire accompagner par Performances Digital ?
La migration d’un annuaire aussi structurant qu’Active Directory ne s’improvise pas : une erreur de mapping, une règle d’accès conditionnel trop large ou un oubli de dépendance Kerberos peuvent bloquer des centaines d’utilisateurs. Performances Digital pilote la bascule de bout en bout : audit du référentiel, stratégie d’hybridation, déploiement d’Entra Connect, traduction des GPO, mise en œuvre de l’accès conditionnel et accompagnement des équipes. Notre objectif est une identité sécurisée et continue, sans rupture de service pendant la transition.
Une identité cloud bien menée, c’est une entreprise qui accède à ses ressources partout, en toute sécurité, sans recréer les fragilités du passé. Demandez votre devis gratuit : nous évaluerons votre annuaire Active Directory et vous remettrons une feuille de route précise, adaptée à la maturité et à la taille de votre organisation.
