Synchroniser Microsoft Entra ID avec Sophos Fusion

La synchronisation Microsoft Entra ID importe dans Sophos Fusion (anciennement Sophos Central) les utilisateurs et les groupes du tenant. Ces objets sont ensuite disponibles pour les produits Fusion et les attributions de Policies concernés. Les appareils Entra ID sont exclus par défaut. Ils peuvent être sélectionnés séparément pour la synchronisation avec Enable devices ; l’importation des utilisateurs et groupes n’active pas automatiquement cette synchronisation des appareils.

La synchronisation de l’annuaire n’est pas une authentification unique. Elle met les utilisateurs et les groupes à disposition dans Sophos Fusion, mais n’active pas la connexion Entra au portail Sophos Fusion. La connexion des administrateurs et sa configuration Identity Provider sont mises en place indépendamment de la synchronisation de l’annuaire.

⚠️ L’application Entra obtient un accès étendu en lecture à l’annuaire avec Directory.Read.All. Elle doit donc être utilisée exclusivement pour cette synchronisation. Le secret client ne doit jamais apparaître dans un ticket, une capture d’écran, un chat ou le dépôt. L’ID d’application et le domaine du tenant ne sont pas des mots de passe, mais ils doivent tout de même être anonymisés dans les images publiques.

Certaines captures d’écran existantes affichent encore l’ancienne appellation Azure AD et une interface de portail antérieure. Le déroulement reste identifiable ; le texte actuel fait foi pour les noms de menus et les autorisations.

Prérequis

Avant la configuration, vérifier les points suivants :

• un rôle d’administrateur Sophos Fusion adapté
• Microsoft Entra ID et l’autorisation d’enregistrer une application à tenant unique
• un rôle Entra autorisé à accorder le consentement administrateur Microsoft Graph à l’échelle du tenant
• le domaine principal du tenant sous Microsoft Entra ID > Custom domain names
• des adresses e-mail pour les utilisateurs que Sophos Fusion doit importer
• un responsable et une échéance pour le renouvellement ultérieur du secret client

Les utilisateurs d’un même domaine ne doivent pas être synchronisés simultanément par l’Active Directory local et Microsoft Entra ID. AD peut toutefois continuer à fournir les appareils et groupes d’appareils, tandis qu’Entra ID fournit les utilisateurs et groupes d’utilisateurs du même domaine. Pour cette répartition, Enable devices reste désactivé dans la source Entra. L’option supplémentaire pour les appareils Entra ne prouve pas que les mêmes appareils peuvent être synchronisés sans risque depuis les deux sources. Office 365 GCC High n’est pas pris en charge pour cette synchronisation Entra ID.

Une seule source Entra ID peut être connectée par domaine. Les utilisateurs et les adresses e-mail ne doivent pas non plus être synchronisés simultanément vers plusieurs comptes Sophos Fusion.

Un compte Sophos Fusion accepte au maximum 25 sources d’annuaire ; au-delà, Sophos renvoie vers Sophos Central Enterprise. Les licences d’essai limitent également le nombre d’objets d’annuaire disponibles. Si les utilisateurs doivent accéder au Self Service Portal pour gérer eux-mêmes leur messagerie, configurer User access avant la synchronisation afin que les utilisateurs nouveaux et existants reçoivent la notification et l’accès prévus.

La sélection optionnelle des appareils ne change pas la limitation distincte concernant les détails de délégation des utilisateurs, groupes ou Shared Mailboxes : ces détails ne sont pas synchronisés. Les objets Shared Mailbox peuvent être importés, mais Fusion ne reconstruit pas depuis Entra les délégués qui leur sont associés. Cette limite est particulièrement importante avant une migration de l’AD local vers Entra ID.

Connecter Microsoft Entra ID à Sophos Fusion

1. Préparer la source d’annuaire dans Sophos Fusion

Dans Sophos Fusion, ouvrir l’icône Global Settings, puis accéder à :

Platform > Directory service > Add Microsoft Entra ID

Saisir un nom unique, une courte description et le domaine principal du tenant. Après Next, Fusion attend les données de l’application Entra créée lors des étapes suivantes.

2. Enregistrer une application Entra dédiée

Dans le centre d’administration Microsoft Entra, effectuer les étapes suivantes :

1. Ouvrir Enterprise applications > New application.
2. Sélectionner Create your own application.
3. Saisir un nom unique, par exemple Sophos Microsoft Entra ID Sync.
4. Sélectionner Register an application to integrate with Microsoft Entra ID, puis créer l’application.
5. Choisir Accounts in this organizational directory only (Single tenant) comme type de compte.
6. Choisir le type d’URI de redirection Web et saisir https://central.sophos.com.
7. Enregistrer l’application.

central.sophos.com est conservé ici comme URI de redirection technique compatible avec les systèmes existants. Pour la connexion actuelle au portail, utiliser Sophos Fusion.

Single tenant limite l’application au propre annuaire de l’organisation. L’application dédiée sépare également la synchronisation de l’annuaire de la connexion des administrateurs et des autres intégrations qui exigent des autorisations supplémentaires ou des URI de redirection différentes.

3. Relever l’ID client et le secret client

Sous Microsoft Entra ID > App registrations, ouvrir la nouvelle application. Dans Overview, relever l’Application (client) ID. L’Object ID n’est pas l’ID client recherché.

Ensuite, sous Certificates & secrets > Client secrets > New client secret, créer un secret avec une date d’expiration adaptée au processus d’exploitation. Deux informations différentes s’affichent immédiatement après la création :

• Value : cette valeur doit être saisie dans Sophos Fusion comme secret client.
• Secret ID : cet identifiant ne doit pas être utilisé pour la connexion.

La valeur du secret n’est visible qu’une seule fois. La stocker immédiatement dans un gestionnaire de mots de passe approuvé et documenter également son responsable et sa date d’expiration.

4. Accorder l’accès en lecture via Microsoft Graph

Dans l’enregistrement d’application, ouvrir API permissions > Add a permission > Microsoft Graph et ajouter exactement l’autorisation suivante :

Application permissions > Directory.Read.All

Sélectionner ensuite Grant admin consent for [Tenant]. Le statut doit alors afficher Granted for [Tenant].

Directory.Read.All est une autorisation d’application, car Sophos Fusion effectue la synchronisation en arrière-plan sans utilisateur Entra connecté. Les autorisations déléguées supplémentaires telles que openid, profile, User.Read.All ou Group.Read.All ne sont pas nécessaires pour cette synchronisation d’annuaire. Ne pas accorder non plus Directory.ReadWrite.All : la synchronisation a besoin d’un accès en lecture, et non d’un accès en écriture dans le tenant.

5. Enregistrer et tester la connexion dans Sophos Fusion

Revenir à la source d’annuaire préparée dans Sophos Fusion et saisir les valeurs suivantes :

• Client ID : Application (client) ID de l’application Entra
• Domain : domaine principal sous Custom domain names, et non l’ID du tenant
• Client secret : Value enregistré précédemment, et non le Secret ID
• Client secret expiration : date d’expiration du secret

Exécuter ensuite Test connection, enregistrer les paramètres avec Save, puis répéter le test de connexion avec les données enregistrées. Seuls deux tests réussis confirment que Fusion peut utiliser les valeurs stockées.

Sélectionner les utilisateurs et vérifier la première synchronisation

Choisir les filtres en connaissance de cause

Sophos Fusion peut importer tous les utilisateurs et groupes, des groupes sélectionnés par Object ID, ou des objets sélectionnés au moyen de filtres de groupes ou d’utilisateurs. Si Fusion contient déjà des utilisateurs, All users and groups est souvent l’option la plus sûre pour le premier rapprochement, car Fusion dispose ainsi du plus grand nombre de correspondances possibles. Avec une hiérarchie de groupes complexe, un ensemble pilote défini à l’avance via Add users by group filter ou Add users by user filter peut toutefois être utile. Un rôle Admin est nécessaire pour configurer ou modifier les filtres.

Un filtre de groupes ou d’utilisateurs peut contenir au maximum dix conditions binaires et trois niveaux de groupes AND/OR imbriqués. Ces limites doivent être intégrées avant de construire des filtres complexes; la vue des filtres ne peut pas prévoir entièrement l’impact sur les objets Fusion existants.

Un nouveau comportement par défaut a été annoncé pour les sources Entra nouvellement créées : les utilisateurs Guest ne seront pas synchronisés. Les sources existantes conservent leur configuration de filtrage ; il n’y a donc pas lieu de modifier préventivement un filtre qui fonctionne. Avant une nouvelle synchronisation, décider explicitement si les invités sont nécessaires. Si oui, configurer délibérément le filtre utilisateur proposé avec User Type et la valeur réellement utilisée dans Entra pour les invités, puis le vérifier avec des comptes invités connus. Pour une nouvelle source, All users and groups ne suffit pas à prouver que les invités sont inclus. Ce comportement fait partie d’un déploiement progressif ; seuls comptent la sélection enregistrée et le résultat vérifié dans le tenant, et non un supposé commutateur distinct pour les invités.

Lorsqu’un objet d’annuaire correspond à un objet Fusion identique jusque-là géré manuellement, la synchronisation peut reprendre cet objet comme objet d’annuaire. Avant la première exécution, consigner donc les correspondances attendues, les rôles et les principales attributions de stratégies dans la documentation du changement. Une purge ultérieure des données synchronisées est irréversible et peut supprimer les données associées.

⚠️ Une modification ultérieure du filtre adapte l’inventaire synchronisé. Les utilisateurs et groupes que le nouveau filtre n’inclut plus sont supprimés de Sophos Fusion lors de la synchronisation suivante. Les objets gérés manuellement ne sont pas concernés.

Enregistrer la variante choisie et ses critères avec Save. Configurer seulement ensuite la planification et l’exécution en production.

La documentation Sophos ne décrit pas encore l’aperçu de manière uniforme et la fonction n’est pas disponible dans tous les tenants. Si le tenant propose Preview une fois la configuration terminée, désactiver la source pour l’utiliser. L’aperçu montre l’ensemble de données sélectionné, mais pas toutes les conséquences pour les objets Fusion existants. Il reste valable sept jours ou jusqu’à la synchronisation suivante ; au-delà de 20 000 enregistrements, le résultat est uniquement disponible sous forme d’export JSON. Si cette fonction n’est pas disponible, exécuter la première synchronisation avec un ensemble pilote clairement défini et une liste documentée des objets attendus.

Synchroniser tous les utilisateurs et groupes

Pour le rapprochement le plus large, ouvrir Global Settings > Platform > Directory service et sélectionner Microsoft Entra ID sync. Sous Select users and groups to include in the synchronization, choisir All users and groups. Activer ensuite la source avec Turn on, lancer la synchronisation avec Synchronize et comparer le résultat à la liste attendue sous My Environment > Users & Groups.

Cette variante est souvent judicieuse pour la première synchronisation lorsque Fusion contient déjà des utilisateurs et des groupes, car le plus grand ensemble source possible permet aussi de faire correspondre le plus grand nombre d’objets existants. Elle n’est pas automatiquement adaptée à l’exploitation permanente ; après le premier rapprochement contrôlé, les comptes de service et groupes inutiles sont exclus au moyen d’un filtre plus restrictif.

Sélectionner des groupes par Object ID

Group Object ID importe les groupes sélectionnés avec leurs utilisateurs. Pour cela, ouvrir chaque groupe dans Microsoft Entra, copier son Object ID, puis l’ajouter dans Fusion via Group Object ID > Add group à la Group ID list. Plusieurs Object IDs peuvent être collés simultanément, séparés par des virgules ou à raison d’un ID par ligne. Fusion valide chaque ID lors de l’ajout et avertit s’il est invalide, ne correspond à aucun groupe existant ou figure déjà dans la Group ID list. En cas d’avertissement, comparer l’ID au groupe Entra sélectionné et corriger l’entrée erronée ou en double. Avant Turn on, contrôler toutes les entrées ; un groupe inutile peut être retiré de la liste à l’aide de son ID.

Le nombre maximal de Group IDs n’est actuellement pas documenté de façon univoque : le même guide indique dix à un endroit et quinze dans la section Group Object ID. Aucun maximum confirmé ne peut en être déduit. Avant un changement qui dépend de cette limite, clarifier le nombre autorisé pour le tenant au moyen de la validation du portail ou avec Sophos. Une liste acceptée par le portail ne dispense pas de vérifier le résultat réel de la synchronisation.

Le passage aux Object IDs remplace les filtres configurés auparavant et peut donc modifier l’inventaire Fusion. Après Synchronize, contrôler sous My Environment > Users & Groups chaque groupe sélectionné, des membres représentatifs et les suppressions inattendues.

Sélectionner des utilisateurs avec un filtre de groupes

Sous Select users and groups to include in the sync > Add users by group filter, définir d’abord si any ou all doit s’appliquer aux conditions et aux groupes. Ajouter ensuite la condition principale, l’opérateur approprié et la valeur de comparaison. Les opérateurs disponibles dépendent de l’attribut. Last Dir Sync Time propose Equal, Not equal, Greater than or Equal, Less than or Equal, Greater than et Less than. Ils permettent de distinguer un horodatage exact des valeurs antérieures ou postérieures à une date de référence.

Pour Display Name, Mail et Mail Nickname, Equal, Not equal, Starts with et Ends with sont disponibles, ainsi que In et Not in. Object ID accepte Equal, Not equal, In et Not in. En revanche, Any proxy address ne propose que les comparaisons d’égalité, d’inégalité, de préfixe et de suffixe ; les champs booléens de Directory Sync et Security Enabled n’acceptent que l’égalité et l’inégalité. Vérifier donc toujours l’opérateur pour le champ sélectionné, sans reprendre celui d’un autre filtre.

Add condition permet de restreindre davantage les résultats. Add group crée un sous-ensemble imbriqué parmi les utilisateurs déjà trouvés. Un filtre peut ainsi combiner, par exemple, les utilisateurs dont le dernier Directory Sync est antérieur à une date de référence, qui possèdent une adresse proxy et dont le nom d’affichage commence par Admin. Fusion autorise au total dix conditions binaires et trois niveaux d’imbrication logique.

Après Turn on et Synchronize, contrôler le résultat sous My Environment > Users & Groups. Ne pas copier sans vérification un exemple contenant une date historique ; une date de référence actuelle et un ensemble cible connu sont déterminants.

Sélectionner des utilisateurs avec un filtre d’utilisateurs

Add users by user filter utilise directement les attributs des utilisateurs. Ici aussi, sélectionner d’abord any ou all, puis une condition principale, son opérateur autorisé et la valeur de comparaison. Pour les utilisateurs d’Allemagne, la condition peut par exemple être Country is Germany ; Country propose aussi Not equal, Starts with, Ends with, In et Not in.

In compare un champ à plusieurs valeurs dans une seule condition ; Not in exclut ces valeurs. Par exemple, Department In, avec les valeurs HR, Finance et Operations réellement utilisées dans le tenant, permet de sélectionner trois services sans créer une condition pour chacun. Ce sont les valeurs des attributs enregistrées dans Entra qui font foi, et non les noms d’affichage traduits. Saisir les valeurs multiples dans le champ prévu à cet effet ; ne pas supposer que la syntaxe avec virgules ou sauts de ligne des Group Object IDs s’applique aux autres champs de filtre.

Ces opérateurs multivaleurs sont disponibles dans le filtre d’utilisateurs pour City, Country, Department, Display Name, Employee ID, Given Name, Immutable ID, Mail, Mail Nickname, State, Surname, Usage Location et User Principal Name. Object ID propose Equal, Not equal, In et Not in, mais pas de recherche par préfixe ou suffixe. Other Mails et Any proxy address permettent les comparaisons d’égalité, d’inégalité, de préfixe et de suffixe, mais pas In ni Not in. Account Enabled, Creation Type, le champ booléen de Directory Sync et User Type n’acceptent que l’égalité et l’inégalité ; Any sign in name value et Any user identities issuer uniquement l’égalité. Last Dir Sync Time utilise les mêmes six opérateurs de date que le filtre de groupes.

D’autres blocs Add condition et Add group affinent la sélection, par exemple pour les utilisateurs allemands dont le nom d’affichage commence par Admin. Les limites de dix conditions binaires et de trois niveaux d’imbrication s’appliquent également. Le filtre ne devient actif qu’avec Turn on ; il est ensuite exécuté avec Synchronize et validé sous My Environment > Users & Groups par rapport aux utilisateurs et groupes attendus.

Inclure les appareils Entra dans la synchronisation en option

Les appareils Entra sont exclus par défaut de la synchronisation de l’annuaire. Si seuls les utilisateurs et groupes sont nécessaires, ou si les appareils proviennent toujours d’AD, laisser Enable devices désactivé. All users and groups n’est pas une sélection d’appareils.

Les textes du fournisseur restent contradictoires sur ce point : le guide de configuration Entra exclut globalement la synchronisation des modifications d’appareils, tandis que le guide détaillé des filtres décrit explicitement Enable devices. Cette option documentée ne garantit donc pas toutes les fonctions d’appareils connues dans AD. Le guide des filtres mentionne les appareils Entra, pas les groupes d’appareils Entra ; on ne peut en déduire ni le rapprochement propre à AD, ni les structures d’OU, ni les effets sur les stratégies ou les suppressions.

Avant l’activation, documenter quels appareils doivent provenir de chaque source. L’option d’appareils sélectionne des objets pour la synchronisation de l’annuaire ; elle ne décrit ni l’installation d’un agent Sophos ni l’enregistrement d’un appareil dans Entra ID. La sélection seule ne garantit ni la protection d’un Endpoint ni la réussite d’une attribution de stratégie. Conserver la configuration existante de l’application avec Directory.Read.All sous Application permissions et le consentement administrateur ; ne pas accorder d’autorisations supplémentaires sur la base de suppositions.

Pour une source déjà configurée, suivre la procédure de modification décrite plus bas, avec Turn off, l’enregistrement de la configuration, puis une activation délibérée :

1. Ouvrir Global Settings > Platform > Directory service et sélectionner l’annuaire Microsoft Entra ID souhaité.
2. Dans Microsoft Entra ID Config, développer Select devices to include in the synchronization.
3. Activer Enable devices.
4. Choisir All devices pour synchroniser tous les appareils Entra, ou Filter devices pour importer uniquement ceux qui répondent aux critères de filtre définis.
5. Enregistrer la sélection avec Save. Avant Turn on et le prochain Synchronize, rouvrir la sélection d’appareils enregistrée et la comparer au périmètre prévu.

Les attributs disponibles dans Filter devices, l’emplacement des appareils importés, le rapprochement avec les objets existants et les effets d’une exclusion ultérieure ne sont pas encore suffisamment établis pour cette procédure. Les opérateurs d’utilisateurs et de groupes ci-dessus ne constituent donc pas une liste confirmée pour les filtres d’appareils. Les effets de suppression et de retour à l’état antérieur décrits pour les utilisateurs et groupes ne doivent pas non plus être transposés aux appareils. Avant une synchronisation d’appareils en production, clarifier ces points dans l’interface du portail du tenant et, si nécessaire, avec Sophos ; jusque-là, laisser l’option désactivée.

Après une exécution pilote approuvée, contrôler le statut de la source, l’heure de la dernière synchronisation et les appareils définis à l’avance par rapport à la liste attendue. Test connection confirme uniquement l’accès de l’application, pas le rapprochement des appareils, leur état de protection ou l’effet du filtre. Désactiver Enable devices ne doit pas être considéré comme une restauration des objets d’appareils déjà modifiés.

Définir la planification et lancer la première exécution

Sous Synchronization schedule, choisir une planification horaire, quotidienne, hebdomadaire ou mensuelle. Avec Hourly, définir l’intervalle et l’heure de début locale. Si le tenant propose déjà la nouvelle sélection, un intervalle de 30 minutes est également possible. La fonction n’est pas encore disponible pour tous les clients ; les sources existantes conservent leur planification sans changement. Si l’option manque, continuer à utiliser la planification actuelle plutôt que de recréer la source. Avec Daily, choisir l’heure locale ; avec Weekly, les jours de la semaine et l’heure. Monthly accepte jusqu’à deux jours du mois ; Add another day ajoute le second. None signifie que chaque exécution doit être lancée manuellement. Save enregistre la planification.

Dans le cadre des améliorations annoncées, une synchronisation complète est prévue à l’activation d’une source et à chaque Synchronize manuel. Les exécutions planifiées peuvent être complètes ou incrémentales selon le nombre d’objets et la planification ; au moins une synchronisation complète dans un délai de 24 heures est prévue. Il s’agit de l’état de l’annonce, pas d’une durée mesurée dans le tenant ni d’un délai garanti de prise en compte des modifications. Avant d’augmenter la fréquence, vérifier la taille de l’annuaire, la durée des exécutions et l’utilisation de l’API Microsoft Graph du tenant. L’avertissement du fournisseur concernant d’éventuelles conséquences financières ne signifie pas que chaque exécution supplémentaire est facturée séparément.

Ensuite :

1. Activer Turn on.
2. Lancer Synchronize.
3. Sous My Environment > Users & Groups, vérifier un utilisateur attendu, un groupe attendu et son appartenance.
4. Sur la source d’annuaire, contrôler le statut, l’heure de la dernière synchronisation et le nombre d’utilisateurs et de groupes importés.
5. En cas d’avertissement, ouvrir également Alerts et Reports > Logs > General Logs > Events.

Après Turn on > Synchronize, Fusion met à jour le statut de synchronisation. Les liens Users et Groups mènent directement aux objets importés, qui sont également contrôlés sous My Environment > Users & Groups.

Un test de connexion réussi prouve seulement que Fusion peut utiliser l’application Entra. Seul le contrôle de l’inventaire des utilisateurs et des groupes confirme que les filtres et la synchronisation produisent le résultat voulu.

Des notifications supplémentaires d’annuaire cloud ont été annoncées pour Entra ID et Google Directory : exécutions réussies, avertissements, erreurs, synchronisations surdimensionnées et désactivations. Lorsqu’elles sont disponibles dans le tenant, les analyser sous Alerts, avec le statut de la source et les événements sous Reports > Logs > General Logs > Events. Aucun nom précis de type d’alerte ni déploiement déjà généralisé n’est présumé. Si une notification manque, l’heure de la dernière synchronisation et l’inventaire réel des objets restent les contrôles ; l’absence d’alertes ne prouve pas la réussite d’une exécution.

Générer un aperçu de synchronisation

Un aperçu n’est disponible qu’une fois la configuration entièrement terminée. Si la source est déjà active, l’ouvrir sous Global Settings > Platform > Directory service et l’arrêter avec Turn off. Preview et l’onglet Preview n’apparaissent qu’une fois le changement de statut terminé.

Preview lance le calcul. Fusion affiche une bannière pendant l’opération ; lorsque celle-ci disparaît, contrôler le résultat dans l’onglet Preview. Le résultat reste valable sept jours ou jusqu’à la prochaine synchronisation en production. Il peut être exporté au format JSON. Au-delà de 20 000 enregistrements, Fusion n’affiche plus de tableau complet ; l’export JSON devient alors obligatoire.

L’aperçu décrit l’ensemble source sélectionné, mais ne remplace pas le contrôle des conséquences sur les Policies, les Mailboxes et les suppressions. Avant Turn on, comparer en particulier les utilisateurs et groupes qui ne sont plus inclus au dernier inventaire en production.

Migrer de l’Active Directory local vers Entra ID

Lors d’une migration, Entra ID remplace la source AD pour les utilisateurs et groupes d’utilisateurs d’un domaine. AD peut continuer à fournir les appareils et groupes d’appareils du même domaine. Les deux procédures suivantes concernent ce changement d’utilisateurs avec Enable devices désactivé dans Entra ID ; elles ne décrivent pas la migration des appareils AD vers la synchronisation optionnelle des appareils Entra. Les dossiers de messagerie publics ne peuvent toutefois être gérés que par AD, qui doit alors aussi synchroniser les utilisateurs et groupes d’utilisateurs de ce domaine. Vérifier cette dépendance avant le changement.

Synchroniser AD juste avant la bascule et Entra ID juste après l’ajout de la nouvelle source, puis comparer les objets des deux sources. Les utilisateurs AD sans correspondance sont supprimés de Fusion et leurs Mailboxes associées peuvent également disparaître. Fusion cesse de mettre à jour les Shared Mailboxes existantes depuis AD et n’affiche plus leurs utilisateurs délégués. Le contrôle porte donc sur les utilisateurs, groupes, Shared Mailboxes, appareils, groupes d’appareils et dossiers publics, pas seulement sur le nombre d’utilisateurs.

Utiliser uniquement Entra ID pour le domaine

1. Synchroniser la source AD et contrôler utilisateurs, groupes, Mailboxes et appareils éventuels.
2. Ouvrir la source AD sous Global Settings > Platform > Directory service et sélectionner Turn off.
3. Choisir Add Microsoft Entra ID, configurer la source Entra comme décrit plus haut et la synchroniser.
4. Contrôler dans Fusion les utilisateurs et groupes mis à jour, créés ou supprimés. Les appareils, groupes d’appareils et dossiers publics existants restent présents, mais ne sont plus actualisés sans AD.
5. Ne désinstaller Active Directory Synchronization Setup qu’après validation de l’inventaire Entra et lorsqu’aucun objet AD ne doit plus être actualisé.

Conserver Entra ID pour les utilisateurs et AD pour les appareils

1. Synchroniser la source AD et contrôler l’inventaire actuel.
2. Modifier les filtres AD pour ne synchroniser que les appareils et groupes d’appareils, puis désactiver la source AD.
3. Ajouter et activer la source Entra, puis contrôler les utilisateurs, groupes d’utilisateurs et Shared Mailboxes.
4. Réactiver la source AD, la synchroniser et contrôler les appareils et groupes d’appareils.

Après la migration, Entra ID met à jour les utilisateurs et groupes correspondants et crée les nouveaux objets. Les utilisateurs AD sans correspondance sont supprimés, tandis que les groupes AD sans correspondance sont conservés sans nouvelles mises à jour. Les Shared Mailboxes AD restent dans leur dernier état AD mais perdent les associations visibles aux utilisateurs ; les nouvelles Shared Mailboxes Entra apparaissent aussi sous Users et Mailboxes. Ces effets distincts justifient une liste d’objets attendus propre à la migration.

Renouveler le secret client avant son expiration

Un secret expiré interrompt les synchronisations suivantes. Il faut donc commencer la rotation avant la date d’expiration :

1. Créer un nouveau secret client dans l’enregistrement d’application existant et consigner en sécurité sa Value et sa date d’expiration.
2. Mettre la source Entra ID en pause dans Sophos Fusion avec Turn off.
3. Saisir la nouvelle valeur du secret et sa nouvelle date d’expiration.
4. Exécuter Test connection, sélectionner Save, puis exécuter à nouveau Test connection.
5. Activer la source avec Turn on, lancer une synchronisation et contrôler les utilisateurs et groupes.
6. Supprimer l’ancien secret dans Entra ID uniquement après une vérification réussie.

Jusqu’à la réactivation de la source, une modification de configuration qui n’a pas encore été activée dans Fusion peut être annulée avec Revert. Après Turn on, la nouvelle configuration s’applique lors de l’exécution suivante.

Modifier, purger ou supprimer la source

Le nom, la description, les filtres et la planification ne peuvent être modifiés que lorsque la source est désactivée. La nouvelle configuration ne devient effective qu’avec Turn on et ne peut ensuite plus être rétablie à l’état précédent avec Revert. Avant toute modification de filtre, documenter donc la définition actuelle et établir une liste des utilisateurs et groupes attendus.

Purge data supprime irréversiblement les données synchronisées depuis cette source. Cette opération n’est ni un test de connexion normal ni la première mesure à prendre en cas d’expiration du secret. Avant la purge, vérifier les rôles, les associations d’appareils, les Mailboxes, les groupes et les liens avec les Policies. Si la source doit ensuite également disparaître, la désactiver, purger ses données, puis seulement la supprimer avec Delete directory source. Une source supprimée et ses données ne peuvent pas être restaurées.

Modifier la configuration de la source Entra

Selon le tenant, cette fonction peut ne pas encore être disponible. Pour effectuer une modification, ouvrir Global Settings > Platform > Directory service, sélectionner le nom de la source et arrêter la synchronisation avec Turn off. Le nom, la description, la configuration Azure, les filtres et la planification peuvent ensuite être modifiés.

Si le Client ID, le Domain ou le Client Secret a été modifié, exécuter Test connection. Save enregistre la nouvelle configuration. Tant que la source reste désactivée, Revert rétablit l’état qui était actif au moment de la désactivation. Turn on rend la modification définitive ; elle ne peut alors plus être annulée avec Revert et s’applique à la synchronisation suivante. Contrôler cette exécution par rapport aux valeurs attendues pour les utilisateurs, les groupes et les erreurs.

Purger les données Entra synchronisées

Pour supprimer toutes les données synchronisées, ouvrir la source Entra sous Global Settings > Platform > Directory service et l’arrêter avec Turn off. Sélectionner ensuite More > Purge data, confirmer explicitement que l’opération est irréversible, puis de nouveau Purge data. Surveiller le statut de la source jusqu’à ce qu’il indique la fin de la purge.

Une purge supprime les données importées depuis cette source, et non un simple cache. Il faut donc documenter auparavant les utilisateurs, groupes, Mailboxes, rôles et attributions de Policies concernés. Sans cette validation, l’opération doit être interrompue.

Supprimer entièrement la source Entra

Une source ne peut être supprimée qu’après la purge de ses données synchronisées. Sous Global Settings > Platform > Directory service, ouvrir la source, l’arrêter avec Turn off, puis la supprimer via More > Delete. Si elle contient encore des données synchronisées, Fusion demande d’abord Purge now, la confirmation du caractère irréversible et Purge data.

Une fois la purge terminée, sélectionner de nouveau Delete, puis Delete directory source. Ni la source ni les données supprimées ne peuvent être restaurées. Contrôler ensuite séparément l’Entra App et son secret et, s’ils servaient exclusivement à cette source, les supprimer de Microsoft Entra après une procédure de retrait documentée.

Diagnostiquer les erreurs courantes

Verification failed due to invalid client ID

L’Object ID a généralement été copié à la place de l’Application (client) ID, ou la connexion de l’Enterprise Application correspondante est désactivée. Vérifier ces deux points dans Entra ID, puis répéter le test de connexion.

AADSTS7000215: Invalid client secret

Fusion a besoin de la Value du secret, affichée une seule fois lors de sa création. Le Secret ID, qui lui ressemble, ne fonctionne pas. Si la valeur n’est plus disponible, créer un nouveau secret et le saisir avec soin.

AADSTS7000222: Client secret expired

Le secret a expiré. Créer une nouvelle valeur, l’enregistrer dans Fusion avec sa nouvelle date d’expiration et effectuer la procédure de rotation complète.

La connexion fonctionne, mais des utilisateurs ou des groupes manquent

Vérifier d’abord que la source est activée, qu’une synchronisation a été exécutée et que la planification attendue est active. Contrôler ensuite les filtres, l’adresse e-mail de l’utilisateur, l’appartenance au groupe et le domaine principal. Sous les autorisations API, Directory.Read.All doit apparaître comme autorisation Application avec le consentement administrateur accordé.

Des utilisateurs apparaissent en double

Sophos Fusion ne peut pas fusionner de manière fiable un utilisateur Entra et un utilisateur déjà créé lors d’une connexion Endpoint si l’UPN, l’adresse e-mail et l’identifiant de connexion diffèrent. Avant tout nettoyage manuel, consigner les deux identités, les appareils concernés et leurs attributions de stratégies.

Pour une fusion contrôlée, ouvrir Logins > Edit sur l’utilisateur créé par l’appareil, retirer le login, puis enregistrer la modification. Le même login est ensuite attribué à l’utilisateur Entra synchronisé. L’utilisateur créé par l’appareil, désormais vide, n’est supprimé que lorsque les appareils, Health et Policies apparaissent correctement sur l’objet Entra. S’il possédait un rôle d’administrateur, celui-ci est d’abord retiré puis attribué délibérément à l’utilisateur Entra.

L’association automatique ne fonctionne que si le login signalé par l’Endpoint correspond à l’UPN Entra. Des séparateurs différents, des sous-domaines supplémentaires ou un autre login local créent des objets distincts. Avant un déploiement étendu, il faut vérifier sur un appareil pilote quel UPN Sophos Fusion signale réellement.

Des utilisateurs disparaissent après une modification du filtre

Il ne s’agit souvent pas d’une erreur de transmission. Le nouveau filtre définit le prochain inventaire synchronisé et peut supprimer des objets importés auparavant. Désactiver ou corriger le filtre, documenter le périmètre attendu, puis seulement relancer la synchronisation.

Après chaque modification du filtre, Fusion exige à nouveau Test connection. La configuration peut ensuite être enregistrée avec Save ou Save & Sync. Le message The connection must be verified before saving the configuration correspond donc à un comportement de protection attendu et non à une erreur d’authentification.

Questions fréquentes