Configurer le filtrage d’attributs dans Azure AD Connect avec PowerShell

PS C:\Program Files\Microsoft Azure AD Sync\> Import-Module ADSync
PS C:\Program Files\Microsoft Azure AD Sync\> Get-ADSyncConnector | Format-Table Name,ConnectorId

Name        ConnectorId
----        ----------
ContosoAD   12345678-90ab-cdef-1234-567890abcdef

PS C:\Program Files\Microsoft Azure AD Sync\> $c = Get-ADSyncConnector -Name "ContosoAD"
PS C:\Program Files\Microsoft Azure AD Sync\> Get-ADSyncConnectorAttribute -Connector $c | Where-Object {$_.SourceAttribute -in ("employeeNumber","streetAddress")} | Format-Table SourceAttribute,IsSelected

SourceAttribute   IsSelected
---------------   ----------
employeeNumber    True
streetAddress     True

PS C:\Program Files\Microsoft Azure AD Sync\> Set-ADSyncConnectorAttribute -Connector $c -SourceAttribute "employeeNumber" -IsSelected $false
PS C:\Program Files\Microsoft Azure AD Sync\> Set-ADSyncConnectorAttribute -Connector $c -SourceAttribute "streetAddress" -IsSelected $false
PS C:\Program Files\Microsoft Azure AD Sync\> Start-ADSyncSyncCycle -PolicyType Delta
Synchronization cycle started.

Contexte

Azure AD Connect synchronise les objets et attributs de votre Active Directory on‑premise vers Azure AD. Par défaut, tous les attributs compatibles sont répliqués, ce qui peut engendrer un trafic réseau superflu et augmenter la surface d’attaque. Le filtrage d’attributs vous permet de n’envoyer que les attributs réellement nécessaires à vos services cloud.

Quand l’utiliser ?

• Environnements avec des centaines de milliers d’objets où la bande passante est critique.
• Conformité : limiter l’exposition d’attributs sensibles (ex. : employeeNumber, streetAddress).
• Optimisation des licences Azure AD Premium en ne synchronisant que les attributs requis par les applications SaaS.

🔹 Étapes de configuration

1. Se connecter à la machine où Azure AD Connect est installé

   # Ouvrir PowerShell en mode administrateur
   Import‑Module ADSync
   Connect‑ADSync

2. Identifier le connecteur AD à modifier

   # Lister les connecteurs
   Get‑ADSyncConnector | Format‑Table Name,ConnectorId

3. Afficher les attributs actuellement synchronisés

   # Remplacez ContosoAD par le nom du connecteur
   $connector = Get‑ADSyncConnector -Name "ContosoAD"
   Get‑ADSyncConnectorAttribute -Connector $connector | Format‑Table SourceAttribute,TargetAttribute,IsSelected

4. Désélectionner les attributs inutiles

   # Exemple : désactiver employeeNumber et streetAddress
   Set‑ADSyncConnectorAttribute -Connector $connector -SourceAttribute "employeeNumber" -IsSelected $false
   Set‑ADSyncConnectorAttribute -Connector $connector -SourceAttribute "streetAddress" -IsSelected $false

5. Lancer une synchronisation delta pour appliquer les changements

   # Synchronisation incrémentielle
   Start‑ADSyncSyncCycle -PolicyType Delta

6. Vérifier le résultat dans Azure AD

   # Utiliser AzureAD module
   Connect‑AzureAD
   Get‑AzureADUser -ObjectId user@contoso.com | Select‑Object DisplayName,EmployeeNumber,StreetAddress

🔹 Méthode alternative

Si vous préférez une approche graphique, vous pouvez désactiver les attributs via l’interface Azure AD Connect Sync Rules Editor : ouvrez le Synchronization Rules Editor, recherchez la règle In from AD – User, éditez‑la et décochez les attributs non désirés. La version PowerShell reste plus scriptable et réversible.

⚠️ Bonnes pratiques de sécurité

• Documentez chaque attribut désactivé et la raison (conformité, optimisation).
• Testez d’abord en environnement de pré‑production ; une désynchronisation accidentelle d’un attribut requis peut impacter les services SaaS.
• Sauvegardez la configuration actuelle avec Export‑ADSyncConfiguration avant toute modification.
• Appliquez le principe du moindre privilège : les comptes exécutant les scripts doivent appartenir au groupe ADSyncAdmins uniquement.

✅ Conclusion

Le filtrage d’attributs dans Azure AD Connect permet de réduire le volume de données synchronisées, d’améliorer la performance réseau et de limiter l’exposition d’informations sensibles. En suivant les étapes PowerShell présentées, vous disposez d’une méthode automatisable, traçable et réversible, adaptée aux environnements d’entreprise.