La nuova funzionalità Device Sync, attualmente in preview, rimuove uno dei principali ostacoli alla migrazione da Entra Connect. Il deploy richiede ancora prudenza perché è in anteprima e la documentazione di migrazione non è del tutto allineata.
Cloud Sync ed Entra Connect Sync: cosa cambia
Prima di analizzare la nuova sincronizzazione dei dispositivi, è utile chiarire che Microsoft Entra Connect Sync e Microsoft Entra Cloud Sync perseguono lo stesso obiettivo – mantenere allineati Active Directory locale e Microsoft Entra ID – ma utilizzano architetture e modelli operativi differenti.
Entra Connect Sync, in precedenza Azure AD Connect, concentra sul server Windows locale il motore di sincronizzazione, il database, i connettori e le regole. Cloud Sync sposta invece l’orchestrazione e la configurazione nel servizio Microsoft Entra: nell’infrastruttura locale rimane un provisioning agent più leggero, incaricato di comunicare con Active Directory
| Aspetto | Entra Connect Sync | Entra Cloud Sync |
| Motore | Eseguito sul server locale. | Gestito dal servizio Microsoft Entra. |
| Componente locale | Server completo con motore, database e strumenti di sincronizzazione. | Provisioning agent leggero installabile su più server. |
| Alta disponibilità | Secondo server in staging mode, con attivazione pianificata. | Più agenti disponibili con failover automatico. |
| Scenari e regole | Maggiore personalizzazione e supporto consolidato agli scenari complessi. | Gestione più semplice, adatta soprattutto a configurazioni standard e multi-foresta. |
| Dispositivi hybrid joined | Supporto maturo e consolidato. | Device Sync ora disponibile in Public Preview. |
In termini pratici, Entra Connect Sync rimane oggi la soluzione più completa per ambienti con regole avanzate, dipendenze storiche o requisiti non ancora coperti da Cloud Sync. Cloud Sync riduce invece l’infrastruttura locale, semplifica l’alta disponibilità e rappresenta la direzione sulla quale Microsoft sta concentrando l’evoluzione del servizio.
La scelta tra i due prodotti riguarda soprattutto il provisioning e la sincronizzazione degli oggetti; non modifica automaticamente il metodo con cui gli utenti si autenticano. Prima di migrare è quindi necessario verificare separatamente utenti, gruppi, dispositivi, regole personalizzate, writeback e dipendenze Exchange o Windows Hello for Business.
Perché Device Sync è una novità importante
La sincronizzazione degli oggetti computer era una delle differenze più rilevanti tra le due soluzioni. La nuova funzione riduce questo divario e rende Cloud Sync valutabile anche negli ambienti che utilizzano Microsoft Entra hybrid join, pur restando per ora una funzionalità in anteprima.
In sintesi
| Funzionalità | Sincronizzazione degli oggetti computer di Active Directory verso Microsoft Entra ID. |
| Job utilizzato | AD2AADDeviceSync. |
| Stato | Public Preview; disabilitata per impostazione predefinita. |
| Prerequisito chiave | Microsoft Entra provisioning agent versione 1.1.1107 o successiva. |
| Verifica | dsregcmd /status: AzureAdJoined e DomainJoined devono risultare YES. |
| Impatto | Riduce la dipendenza da Entra Connect Sync negli ambienti con Microsoft Entra hybrid join, ma non autorizza ancora un cutover indiscriminato. |
La novità Device Sync
Microsoft ha pubblicato una nuova procedura per abilitare Device Sync in Microsoft Entra Cloud Sync. La funzione consente di sincronizzare gli oggetti computer presenti in Active Directory verso Microsoft Entra ID mediante un job dedicato denominato AD2AADDeviceSync. Dopo la sincronizzazione, il dispositivo Windows può completare il processo di Microsoft Entra hybrid join.
La funzionalità è disabilitata per impostazione predefinita ed è classificata come Preview. Questo significa che l’amministratore deve abilitarla esplicitamente e che il suo utilizzo va valutato secondo le condizioni applicabili ai servizi Microsoft in anteprima.
Fino a questa pubblicazione, la sincronizzazione dei dispositivi era uno dei motivi più rilevanti per mantenere Microsoft Entra Connect Sync negli ambienti che utilizzano l’hybrid join. Device Sync affronta direttamente questa lacuna.
Che cos’è Microsoft Entra Cloud Sync
Microsoft Entra Cloud Sync è il servizio di sincronizzazione ibrida cloud-managed che utilizza uno o più provisioning agent locali e un servizio di orchestrazione in Microsoft Entra. La configurazione, il monitoraggio e la pianificazione della sincronizzazione sono gestiti nel cloud; gli agenti mantengono connessioni in uscita e interrogano Active Directory quando ricevono le richieste del servizio. Il ciclo ordinario di sincronizzazione è basato su una pianificazione di circa due minuti.
- Configurazione centralizzata nel Microsoft Entra admin center, con minore dipendenza da un singolo server Entra Connect locale.
- Più agenti attivi per failover, maggiore disponibilità e supporto nativo a foreste Active Directory disconnesse.
Figura 1 – Architettura generale: Active Directory locale viene collegata a Microsoft Entra ID attraverso Cloud Sync e il provisioning agent. Fonte: Microsoft Learn.
Che cosa fa Device Sync
Device Sync crea o aggiorna in Microsoft Entra ID l’oggetto corrispondente al computer presente in Active Directory. Questo passaggio non coincide con l’intero processo di registrazione del dispositivo: costituisce invece il prerequisito cloud che consente al client Windows di completare l’hybrid join.
Tre passaggi distinti
1. Cloud Sync legge l’oggetto computer da Active Directory e lo sincronizza in Microsoft Entra ID.
2. Il dispositivo Windows individua il tenant tramite il Service Connection Point e contatta il servizio di registrazione Microsoft Entra.
3. Il dispositivo completa la registrazione crittografica e raggiunge lo stato Microsoft Entra hybrid joined.
| Device Sync non è Device Writeback Device Sync opera da Active Directory verso Microsoft Entra ID. Non ripristina il vecchio Device Writeback e non introduce una sincronizzazione bidirezionale generica degli oggetti dispositivo. |
Prerequisiti e aspetti di sicurezza
La documentazione Microsoft richiede un ambiente Cloud Sync già configurato e indica alcuni prerequisiti specifici per la sincronizzazione dei dispositivi.
- Provisioning agent versione 1.1.1107 o successiva.
- Configurazione Active Directory to Microsoft Entra ID già esistente.
- Tenant ID e dominio verificato utilizzato dai dispositivi.
- Ruolo almeno Hybrid Identity Administrator per l’attivazione dal portale.
- Accesso temporaneo Enterprise Admins se occorre creare o modificare il Service Connection Point nella foresta.
Il Service Connection Point è un elemento critico
L’SCP deve essere configurato in ogni foresta che contiene computer da registrare. I dispositivi lo utilizzano per individuare il tenant Microsoft Entra corretto. Microsoft raccomanda di verificare e registrare i valori già presenti prima di eseguire lo script di configurazione, perché lo script sostituisce le keyword esistenti con i valori azureADName e azureADId.
| Rischio operativo Un Tenant ID o un dominio errato nell’SCP può indirizzare i computer della foresta verso il tenant sbagliato. La modifica deve essere preceduta da una verifica dei valori esistenti, da un backup logico e da una procedura di rollback. |
Come abilitare Device Sync
L’attivazione avviene nella configurazione Cloud Sync già esistente. Il percorso indicato da Microsoft è: Entra ID > Entra Connect > Cloud sync > configurazione AD to Microsoft Entra ID > Properties > Basics.
Figura 2 – Nelle proprietà della configurazione, Device sync risulta inizialmente Disabled. Fonte: Microsoft Learn
1. Accedere al Microsoft Entra admin center con un account almeno Hybrid Identity Administrator.
2. Aprire Entra ID > Entra Connect > Cloud sync.
3. Selezionare la configurazione Active Directory to Microsoft Entra ID esistente.
4. Aprire Properties e modificare la sezione Basics.
5. Selezionare Enable device sync e applicare la modifica.
Figura 3 – La funzione viene abilitata esplicitamente nella sezione Basics della configurazione Cloud Sync. Fonte: Microsoft Learn.
Attributi sincronizzati
Microsoft documenta le seguenti mappature per gli oggetti computer. Il valore DeviceTrustType viene impostato su ServerAd, che identifica il dispositivo come domain joined nel modello Microsoft Entra.
| Attributo Microsoft Entra | Origine in Active Directory | Tipo |
| AccountEnabled | userAccountControl | Expression |
| DeviceId | objectGUID | Direct |
| DeviceOSType | operatingSystem | Expression |
| DeviceTrustType | Valore fisso ServerAd | Expression |
| DisplayName | displayName / dNSHostName | Expression |
| OnPremiseSecurityIdentifier | objectSid | Direct |
| RegisteredOwnerReference | mS-DS-CreatorSID | Once |
| SourceAnchor | objectGUID | Direct |
| UserCertificate | userCertificate | Direct |
Nota: la mappatura RegisteredOwnerReference viene applicata soltanto la prima volta in cui Cloud Sync individua l’oggetto computer in Active Directory
Provisioning on demand e Microsoft Graph
Cloud Sync consente di avviare il provisioning di un singolo computer direttamente dal portale. È sufficiente aprire Provision on demand, selezionare la scheda Device e indicare il Distinguished Name dell’oggetto computer. Questa funzione è utile per i pilot, per la diagnosi delle mappature e per accelerare il recupero di un dispositivo.
| CN=PC-001,OU=Workstations,DC=contoso,DC=local |
La stessa operazione può essere automatizzata con Microsoft Graph. Per creare il job è necessario utilizzare il template ID AD2AADDeviceSync; per il provisioning on demand l’objectTypeName deve essere computer
Come verificare il completamento dell’hybrid join
Sul dispositivo Windows, Microsoft indica di eseguire il comando seguente e verificare la sezione Device State.
| dsregcmd /status |
Figura 4 – Un dispositivo correttamente aggiunto in modalità ibrida mostra AzureAdJoined: YES e DomainJoined: YES. Fonte: Microsoft Learn.
Il DeviceId visualizzato localmente deve corrispondere all’oggetto presente in Entra ID > Devices > All devices. Microsoft indica inoltre che DeviceTrustType deve risultare Domain Joined nell’interfaccia, equivalente al valore ServerAd usato dall’oggetto. [3]Oggetto presente non significa join completato La sola creazione dell’oggetto in Microsoft Entra ID non garantisce che il client abbia completato la registrazione. Lo stato Pending richiede un’analisi del dispositivo, dell’SCP, della connettività e dei log di Device Registration.
Eliminazione e recupero dei dispositivi
Microsoft descrive tre cause principali di eliminazione dell’oggetto dispositivo: rimozione del computer da Active Directory, esecuzione di dsregcmd /leave e cancellazione manuale dal portale. Quando l’eliminazione non viene effettuata da Cloud Sync, l’oggetto non viene necessariamente ricreato nel ciclo successivo finché il computer object locale non cambia.
- Ripristinare l’oggetto dalla sezione Deleted devices di Microsoft Entra ID.
- Modificare il computer object in Active Directory e attendere il ciclo successivo.
- Eseguire il provisioning on demand del dispositivo.
Che cosa cambia per la migrazione da Entra Connect
La sincronizzazione dei dispositivi era uno dei principali elementi di differenza tra Microsoft Entra Connect Sync e Cloud Sync. La nuova anteprima amplia quindi in modo sostanziale il numero di organizzazioni che possono iniziare una valutazione concreta della migrazione.
| Area | Vantaggio potenziale |
| Gestione | Configurazione e monitoraggio centralizzati nel cloud. |
| Disponibilità | Più provisioning agent attivi con failover automatico. |
| Infrastruttura | Riduzione della dipendenza da un singolo server di sincronizzazione locale. |
| Topologie | Migliore supporto alle foreste disconnesse. |
| Diagnostica | Provisioning on demand per utenti, gruppi e ora dispositivi. |
La documentazione Microsoft non è ancora completamente allineata
La pagina Device Sync, aggiornata il 27 luglio 2026, conferma il supporto in Preview. Tuttavia, la Decision Guide aggiornata il 24 febbraio 2026 continua a riportare Device Synchronization come non supportata da Cloud Sync; la procedura di migrazione aggiornata il 25 giugno 2026 dichiara inoltre che le istruzioni sono destinate agli ambienti che non sincronizzano dispositivi.
| Interpretazione prudente La discrepanza è coerente con una funzionalità appena pubblicata e con l’aggiornamento progressivo della documentazione. Dal punto di vista operativo, però, significa che non è ancora corretto considerare Device Sync come piena parità funzionale certificata in tutti gli scenari di migrazione. |
Conclusioni
Il supporto alla sincronizzazione degli oggetti computer in Microsoft Entra Cloud Sync è un cambiamento significativo. La funzione elimina una delle dipendenze più importanti da Microsoft Entra Connect Sync e rende plausibile una migrazione più ampia verso l’architettura cloud-managed proposta da Microsoft.
La conclusione corretta, tuttavia, non è che Entra Connect possa essere rimosso immediatamente. Device Sync è ancora in Public Preview, richiede una configurazione accurata dell’SCP e si inserisce in un quadro documentale non ancora completamente aggiornato. Per gli ambienti di produzione, la strategia più solida è un pilot limitato, con verifica end-to-end e rollback disponibile.
Uno dei principali ostacoli alla migrazione è stato affrontato. La rimozione di Entra Connect deve però restare una decisione progettuale, non una conseguenza automatica dell’annuncio.