Risoluzione dei problemi di sincronizzazione utenti

By Mirko Peters · 2026-04-24 · Updated 2026-07-18

Risolvi un utente che non si sincronizza con Microsoft Entra ID, con controlli passo passo su identità di origine, ambito, attributi, connettori e stato della sincronizzazione.

Automatically translated with AI from the original post. Read the English original

Se sei arrivato qui, probabilmente stai lottando con il problema, fin troppo familiare, degli account utente che non compaiono nel cloud Microsoft. Che si tratti di un utente mancante in Microsoft Entra ID, di una sincronizzazione AD ibrida incompleta o di un singolo account ostinato che non ne vuole sapere di sincronizzarsi, sei nel posto giusto. Situazioni del genere sono un grattacapo per chiunque gestisca Microsoft 365, Azure o ambienti di identità ibridi.

Questa guida analizza i guasti di sincronizzazione più comuni: sincronizzazioni lente, utenti che scompaiono o vengono duplicati, errori "non trovato" e messaggi di stato poco utili. Otterrai un playbook che copre sia le basi sia gli scenari avanzati, dalle installazioni non riuscite dell'agente di directory ai conflitti complessi nella corrispondenza degli oggetti. Passeremo in rassegna tutti i punti di controllo critici, i log e gli strumenti necessari, e spiegheremo perché un approccio metodico, passo dopo passo, è fondamentale per risolvere i problemi di sincronizzazione degli utenti.

Ti aspettano indicazioni chiare, spiegazioni dei meccanismi di sincronizzazione sottostanti, strategie di intervento e modi per verificare che la correzione funzioni. Diamo per scontato che tu sappia muoverti con Active Directory, Windows Server e i portali di amministrazione Microsoft, ma per seguire non serve essere un esperto di missili. Indossa il cappello da amministratore: facciamo in modo che gli utenti si sincronizzino dove devono essere.

Diagnosi dei guasti di Cloud Sync nelle integrazioni locali di Microsoft Entra

Sincronizzare gli utenti dalla tua Active Directory locale a Microsoft Entra ID è essenziale per mantenere aggiornati identità e accessi ai servizi cloud. Il processo è basato su Microsoft Entra Connect, un ponte che copia le modifiche dal tuo ambiente nel cloud. Quando questo ponte inizia a vacillare, o peggio cede, a pagarne il prezzo sono utenti e organizzazioni, con accessi non funzionanti o account mancanti.

In sostanza, un'integrazione riuscita dipende da un'architettura solida, da prerequisiti corretti e da flussi di sincronizzazione prevedibili. Anche una piccola errata configurazione, una regola del firewall dimenticata o un'autorizzazione mancante per l'account di servizio possono innescare una lunga caccia a un utente o a un gruppo scomparso. Per questo è fondamentale capire il quadro generale, cioè il passaggio dall'ambiente locale al cloud, i tunnel di rete coinvolti e le dipendenze tra i servizi, prima di entrare nel dettaglio.

Questa sezione introduce i meccanismi alla base della sincronizzazione ibrida e gli errori in cui i team IT cadono più spesso, soprattutto quando nuovi requisiti o modifiche all'ambiente li colgono di sorpresa. Capire la logica di ogni componente rende ogni futura sessione di troubleshooting meno misteriosa e molto più rapida.

Come gli oggetti locali di Microsoft Entra si sincronizzano con il cloud

Negli ambienti di Microsoft Entra Connect, gli oggetti AD locali, come utenti e gruppi, vengono associati al cloud tramite un insieme specifico di attributi. Il più importante è l'ID immutabile, generato dal objectGUID della directory locale e usato come corrispondenza definitiva in Microsoft Entra ID.

Quando un oggetto viene creato o modificato, Entra Connect acquisisce i dati, applica eventuali regole di sincronizzazione o mappature degli attributi e decide se creare, aggiornare o collegare l'oggetto corrispondente nel cloud. Questo garantisce un'identità coerente per ogni utente in tutti gli ambienti, a condizione che nomi, GUID e logica di corrispondenza siano configurati correttamente. La maggior parte delle mancate corrispondenze e delle interruzioni della sincronizzazione deriva da un allineamento errato degli attributi o dalla confusione su quale oggetto "possiede" l'identità negli scenari ibridi.

Verificare le porte e gli URL di accesso per Microsoft Cloud Sync

• Controlla le porte TCP in uscita: assicurati che il server di sincronizzazione possa connettersi ai servizi Microsoft principali. Normalmente devono essere aperte per il traffico in uscita le porte TCP 80 (HTTP) e 443 (HTTPS), e talvolta anche la 8080.
• Verifica l'accesso agli URL richiesti: Microsoft Entra Connect deve raggiungere endpoint come login.microsoftonline.com, graph.windows.net e *.servicebus.windows.net. L'elenco completo e aggiornato degli URL richiesti è disponibile nella documentazione Microsoft.
• Testa con PowerShell o il browser: usa strumenti come Test-NetConnection, curl o persino un browser per confermare che gli endpoint rispondano. Le connessioni bloccate possono rivelare problemi di DNS, firewall o proxy.
• Controlla i log di firewall e proxy: verifica che non vi sia un'intercettazione TLS/SSL silenziosa o un problema di autenticazione del proxy che blocca il traffico in uscita, soprattutto negli ambienti aziendali con controlli molto rigidi.

Controllare lo stato dei servizi per gli ambienti di sincronizzazione ibrida

Per mantenere la sincronizzazione attiva, tutti i servizi critici sia sul server Entra Connect sia nel cloud devono essere integri e in esecuzione. In locale significa verificare il servizio Microsoft Entra Connect Synchronization tramite services.msc oppure la console Synchronization Service Manager. Presta attenzione a servizi arrestati, disabilitati o in crash, perché spesso bloccano completamente la sincronizzazione.

Lato cloud, consulta il dashboard di integrità dei servizi Microsoft per individuare segnalazioni di incidenti che potrebbero influire sulla sincronizzazione. I log dei servizi, gli avvisi e i messaggi di stato ti indicano se aggiornamenti, interruzioni o problemi temporanei stanno compromettendo la connettività dell'identità ibrida. Riconoscere rapidamente lo stato di integrità dei servizi ti permette di escludere problemi ambientali e distinguerli da specifici problemi di configurazione.

Risoluzione dei problemi dell'agente e della configurazione del server di sincronizzazione

Parecchie cose possono andare storte prima ancora che un singolo oggetto utente lasci il server, soprattutto durante la distribuzione iniziale o gli aggiornamenti. Gli agenti di sincronizzazione richiedono le autorizzazioni corrette, i prerequisiti software e la raggiungibilità di rete necessaria. Ma gli ambienti reali sono complessi: i criteri di gruppo possono bloccare l'esecuzione, l'antivirus può impedire i passaggi di installazione oppure possono mancare i diritti di amministratore.

Questa sezione si concentra sul motivo per cui i problemi lato agente compaiono così spesso. Dalle installazioni non riuscite ai crash improvvisi dei servizi, molti dei problemi ricorrenti derivano da come l'agente di sincronizzazione è configurato e mantenuto sull'host Windows Server. Aggiornamenti non riusciti, dipendenze orfane o manutenzione trascurata possono bloccare la sincronizzazione e far divergere le directory utenti.

Prima di incolpare il cloud, conviene verificare direttamente il funzionamento dell'agente in locale. Le sezioni successive ti guideranno attraverso controlli rapidi e soluzioni solide, per aiutarti a confermare che il server di sincronizzazione stia facendo la sua parte prima di risolvere eventuali problemi lato cloud.

Problemi comuni di installazione dell'agente e passaggi di configurazione del server

• Autorizzazioni insufficienti durante la configurazione: una delle cause principali del mancato completamento dell'installazione dell'agente è eseguire il programma di installazione senza privilegi di amministratore locale o senza le autorizzazioni delegate necessarie in Active Directory. Verifica sempre le autorizzazioni prima di avviare il programma di installazione.
• Configurazione errata dell'account di servizio: il servizio di sincronizzazione richiede un account dedicato con specifici diritti sulla directory e sul server locale. Usare un account con ambito errato o lasciare scadere le password degli account porta a errori di avvio e di esecuzione.
• Problemi di certificati e attendibilità TLS/SSL: gli ambienti ibridi, soprattutto quelli con controlli di sicurezza stringenti, spesso incontrano problemi con CA radice mancanti o scadute. Questi generano errori silenziosi nell'handshake TLS tra agente e cloud. Verifica che l'archivio certificati di Windows includa tutte le CA radice attendibili necessarie.
• Sistema operativo e prerequisiti non aggiornati: eseguire Entra Connect su versioni di Windows Server non supportate o non aggiornate, oppure con dipendenze .NET Framework mancanti, è un problema ricorrente. Controlla sempre la presenza del sistema operativo supportato più recente e degli aggiornamenti dei prerequisiti prima di installare o aggiornare.
• Software in conflitto o criteri GPO: protezione degli endpoint, firewall o oggetti criteri di gruppo restrittivi possono interferire con l'avvio e il funzionamento dell'agente. Esamina i log del software di sicurezza e le impostazioni dei criteri di gruppo se le installazioni falliscono ripetutamente o i servizi si arrestano senza errori chiari.

Monitorare lo stato di sincronizzazione degli oggetti ed eseguire la sincronizzazione delta

• Visualizzare lo stato della sincronizzazione: apri Synchronization Service Manager sul server Entra Connect. Controlla la scheda « Operations » per i cicli di sincronizzazione recenti, gli errori e il numero di oggetti importati/esportati.
• Eseguire una sincronizzazione delta manuale: usa PowerShell sul server di sincronizzazione: Start-ADSyncSyncCycle -PolicyType Delta. Questo avvia la sincronizzazione delle sole modifiche recenti, riducendo i tempi di attesa rispetto a una sincronizzazione completa.
• Verificare i risultati della sincronizzazione: al termine del ciclo, controlla l'elenco « Operations » e i log eventi per individuare nuovi errori. Conferma che le modifiche a utenti, gruppi o attributi siano riflesse nel cloud verificando l'interfaccia di amministrazione di Microsoft Entra.
• Interpretare i messaggi di errore: cerca i dettagli dell'errore nei log di Synchronization Service o nell'output di PowerShell: utenti non associati, autorizzazioni negate o conflitti di attributi che spiegano le sincronizzazioni mancate.

Analisi dei problemi di sincronizzazione degli oggetti e degli errori di corrispondenza

Non tutti i problemi di sincronizzazione dipendono da un guasto generalizzato del server o del servizio: spesso il colpevole è un singolo utente o gruppo con un conflitto di attributi, un duplicato o una mancata corrispondenza tra ciò che si trova in locale e ciò che si trova nel cloud. Sono questi gli errori che tolgono il sonno agli IT pro: un ambiente di sincronizzazione perfettamente sano, ma quel singolo account ostinato che non compare, non si unisce o non si aggiorna correttamente.

La causa principale può essere qualsiasi cosa, da un refuso in un UPN a un oggetto obsoleto che ha lo stesso indirizzo email o lo stesso attributo proxy. L'identità ibrida di Microsoft si basa su un meccanismo chiamato "matching": il soft matching, basato sugli attributi principali, e l'hard matching, che usa l'ID immutabile. Quando qualcosa va storto, gli oggetti non vengono sincronizzati oppure—peggio ancora—compaiono come duplicati o orfani.

Questa sezione ti aiuta a diagnosticare i problemi di sincronizzazione a livello di oggetto e a riconoscere conflitti di nomi, mancate corrispondenze di attributi e errori di autorizzazione, qualunque sia la profondità dell'analisi necessaria. Alla fine saprai come far corrispondere e sincronizzare correttamente anche gli account più sfuggenti.

Diagnosi degli oggetti locali e dello stato di sincronizzazione degli oggetti di directory

• Verifica i conflitti di attributi: usa strumenti come Gestione servizio di sincronizzazione o PowerShell (Get-ADUser, Get-MsolUser) per confrontare gli attributi chiave (UPN, email, proxyAddresses) tra gli account locali e quelli cloud.
• Controlla i log e lo stato della sincronizzazione: esamina i cicli di sincronizzazione recenti alla ricerca di errori a livello di utente, come "errori di esportazione" o avvisi "non sincronizzato" nella scheda delle operazioni del servizio di sincronizzazione.
• Verifica la logica di corrispondenza: conferma che l'ID immutabile dell'oggetto locale (derivato da objectGUID) corrisponda a quello presente in Microsoft Entra ID; le discrepanze in questo punto sono un chiaro segnale di problemi di sincronizzazione.
• Cerca i duplicati: esegui query o usa i filtri del portale per individuare gli oggetti solo cloud che potrebbero bloccare la sincronizzazione locale perché esistono già con gli stessi attributi.

Risoluzione degli stati di quarantena del provisioning e dell'autorizzazione del servizio di directory

• Individua gli stati di quarantena: nell'interfaccia di amministrazione di Microsoft Entra o nei log di sincronizzazione, cerca gli utenti contrassegnati come "in quarantena" a causa di problemi di dati o autorizzazioni.
• Verifica le autorizzazioni di directory: assicurati che l'account di servizio usato da Entra Connect disponga dell'accesso in lettura e scrittura agli oggetti e agli attributi di AD necessari.
• Controlla le violazioni degli attributi: gli utenti possono finire in quarantena se i loro attributi non rispettano i criteri (ad esempio formati non validi o valori soggetti a restrizioni). Correggili in locale, quindi riesegui la sincronizzazione.
• Rimuovi lo stato di quarantena: una volta risolte le cause, rimuovi gli utenti dalla quarantena tramite il portale o PowerShell, quindi avvia una sincronizzazione delta per ripristinare il funzionamento normale.

Risoluzione dei problemi di Cloud Sync con log, file e portale Microsoft

Quando i controlli di base e le configurazioni non bastano a sincronizzare gli utenti, il passo successivo è analizzare gli strumenti diagnostici a tua disposizione. Microsoft Entra Connect e i suoi servizi cloud registrano una traccia dettagliata di ciò che accade in ogni ciclo di sincronizzazione: dai file di log sul server Windows, ai messaggi di errore nel Visualizzatore eventi, fino ai dashboard completi di stato nell'interfaccia di amministrazione di Microsoft Entra.

Consultare i log giusti e usare le informazioni in tempo reale del portale ti permette di passare dalle supposizioni ai fatti: vedrai quali errori si sono verificati, quali oggetti si sono bloccati e se il problema riguarda la tua distribuzione o il servizio Microsoft stesso. Gli strumenti di automazione e i report basati su grafo del portale possono anche aiutarti a individuare schemi e a pianificare future azioni correttive per evitare che gli errori si ripetano.

Questa sezione introduce gli strumenti principali per capire la causa di interruzioni silenziose della sincronizzazione, discrepanze misteriose o quei casi anomali in cui il servizio di sincronizzazione segnala "operazione riuscita" ma un utente risulta comunque mancante. Con questi strumenti a disposizione, anche le sfide più complesse dell'identità ibrida diventano più facili da risolvere e da prevenire in futuro.

Analisi dei file di log e dell'output di risoluzione dei problemi di Cloud Sync

• Log di Gestione servizio di sincronizzazione: si trovano in C:\ProgramData\Microsoft\Azure AD Connect\Trace e registrano ogni azione di sincronizzazione e i codici di errore più comuni.
• Visualizzatore eventi di Windows: controlla i log Applicazione e Sistema per gli eventi "Directory Synchronization" o "Azure AD Connect"; filtra gli avvisi o gli errori.
• Log del portale Entra Connect Health: offrono una visualizzazione basata sul cloud e una cronologia degli errori, utili per individuare problemi ricorrenti o intermittenti.
• Output di PowerShell: Script come Get-ADSyncScheduler o Get-ADSyncRunProfile mostrano in tempo reale l'esito della sincronizzazione degli oggetti e i dettagli dei errori.

Usare il portale Microsoft e il Centro automazione per monitorare la sincronizzazione

Il portale di amministrazione di Microsoft Entra è il punto di riferimento per avere una visione in tempo reale della sincronizzazione. Dalla sezione «Identità» puoi controllare lo stato di integrità della sincronizzazione, tenere traccia degli errori a livello di oggetto e approfondire i cicli di sincronizzazione più recenti. Il Centro automazione ti permette di pianificare le sincronizzazioni, configurare avvisi in caso di errore e applicare correzioni con un solo clic per i problemi più comuni.

Le risorse del Centro assistenza online, insieme ai report di Microsoft Graph, forniscono il contesto necessario per i problemi persistenti o i blocchi a livello di utente. Usare questi strumenti trasforma la risoluzione dei problemi da un gioco di congetture a un processo misurato e basato sui dati, permettendoti di passare dalla gestione delle emergenze alla gestione proattiva delle identità.

Verificare la risoluzione della sincronizzazione e i passaggi da documentare

• Verifica la presenza dell'oggetto: Cerca l'utente o il gruppo sincronizzato sia in AD locale sia nel portale cloud, per confermare che l'oggetto sia stato trasferito correttamente.
• Testa l'accesso e le autorizzazioni: Prova l'accesso al cloud con l'utente interessato per verificare che credenziali e criteri di accesso ora funzionino come previsto.
• Controlla i log di sincronizzazione: Verifica che gli ultimi cicli non mostrino errori e che gli oggetti segnalati in precedenza risultino ora «success» o «completed».
• Documenta la correzione: Registra passaggi, sintomi ed esito del problema nel registro degli incidenti o nella knowledge base del team, per riferimento futuro.
• Pianifica sincronizzazioni di follow-up: Configura controlli periodici o un monitoraggio per individuare segnali precoci nel caso in cui lo stesso problema si ripresenti.

Invia un feedback e impara dalle discussioni della community (21)

• Invia un feedback a Microsoft: Usa il pulsante di feedback nel portale di amministrazione di Entra o in Microsoft Docs per segnalare bug o richiedere nuove funzionalità: aiuta a migliorare gli strumenti per tutti gli amministratori.
• Partecipa alle discussioni nei forum: Unisciti a Microsoft Tech Community e agli spazi dedicati a Entra ID per fare domande e contribuire con le risposte. Almeno altri 21 amministratori hanno scritto di situazioni simili: approfitta della loro esperienza e delle loro particolarità.
• Condividi il tuo scenario nei commenti: Aggiungi i dettagli della tua particolare situazione di sincronizzazione agli articoli della knowledge base, così chi legge in futuro può fare riferimento a soluzioni reali.
• Sfrutta le risorse del portale di amministrazione: Usa i link alle guide per la risoluzione dei problemi e ai podcast come questo episodio su Entra ID e l'accesso condizionale per approfondire la materia.

Capire i conflitti di Immutable ID e di corrispondenza degli oggetti nella sincronizzazione ibrida

Qui le cose si fanno un po' più complesse: la corrispondenza degli oggetti nella sincronizzazione ibrida non è infallibile e una delle cause più insidiose dei problemi di sincronizzazione sono le mancate corrispondenze degli Immutable ID. Ogni utente sincronizzato dalla directory locale ha un Immutable ID univoco nel cloud, derivato dal suo objectGUID originale. Se ricrei o migri un utente senza una pulizia adeguata, il nuovo oggetto locale riceve un nuovo objectGUID, ma l'Immutable ID precedente resta associato all'account cloud. Questa mancata corrispondenza nascosta blocca silenziosamente la sincronizzazione o genera duplicati.

A complicare le cose, a volte negli oggetti utente solo cloud restano le tracce di migrazioni precedenti, che bloccano i nuovi tentativi di sincronizzazione dall'ambiente locale. Se non individui e ripulisci questi oggetti obsoleti o orfani, i nuovi utenti non compaiono, oppure, peggio, ti ritrovi con due account per la stessa persona. La maggior parte delle guide passa questi scenari sotto silenzio, ma sono tra i mal di testa più grossi nelle implementazioni di identità reali.

Questa sezione svela come e perché si verificano i conflitti di Immutable ID e descrive i processi pratici per isolare e risolvere questi errori. Se le soluzioni semplici non hanno funzionato e sospetti una mancata corrispondenza dell'identità, queste prossime sottosezioni sono una lettura essenziale per il tuo bagaglio di strumenti.

Analisi delle cause principali delle mancate corrispondenze di Immutable ID durante il re-provisioning degli utenti

Le mancate corrispondenze di Immutable ID si verificano quando un utente locale viene eliminato e ricreato senza prima rimuovere o aggiornare l'oggetto cloud. Il nuovo utente locale può avere lo stesso UPN o la stessa email, ma un nuovo objectGUID, quindi l'Immutable ID generato non corrisponde a quello presente in Microsoft Entra ID. Di conseguenza, la sincronizzazione fallisce silenziosamente o genera errori di corrispondenza, lasciando l'account orfano o duplicato nel cloud.

Per risolvere il problema, gli amministratori devono individuare l'oggetto cloud in conflitto e, in alternativa, associarlo rigidamente al nuovo utente locale aggiornando l'Immutable ID, oppure eliminare l'oggetto cloud obsoleto prima di una nuova sincronizzazione. Questo processo è fondamentale durante migrazioni, ripristini o nuove provisioning di utenti, perché garantisce un passaggio fluido e nessun blocco invisibile a livello di directory.

Rilevare e risolvere gli oggetti utente duplicati tra ambiente locale e cloud

• Individua gli utenti solo cloud obsoleti: usa i filtri del portale e PowerShell (Get-MsolUser -All | Where-Object {$_.LastDirSyncTime -eq $null}) per trovare gli oggetti utente che non sono mai stati sincronizzati dall'ambiente locale.
• Verifica eventuali conflitti di attributi: confronta gli attributi principali, come UPN ed email, tra gli account solo cloud e quelli locali per individuare sovrapposizioni.
• Elimina o unisci i duplicati: elimina o unisci l'oggetto solo cloud tramite il portale o PowerShell prima di riprovare la sincronizzazione dall'ambiente locale. In questo modo si rimuove il blocco e l'oggetto previsto può essere visualizzato.
• Risincronizza l'utente locale: avvia una sincronizzazione delta e verifica che il nuovo oggetto arrivi nel cloud con gli attributi corretti e l'Immutable ID giusto.
• Documenta la pulizia: registra tutte le modifiche e i passaggi di risoluzione per evitare confusione e impedire che il problema si ripresenti durante future migrazioni o riorganizzazioni.

Ascolta anche questi episodi

Se stai esplorando il tema utente che non si sincronizza con Microsoft Entra ID, questi episodi offrono un contesto pratico su sicurezza delle identità, governance e affidabilità delle operazioni di Microsoft 365.

• Conditional Access – Simply Explained — Scopri come identità, dispositivo, posizione e segnali di rischio influenzano le decisioni di accesso.
• Privileged Identity Management – Simply Explained — Scopri come l'accesso privilegiato just-in-time e i flussi di approvazione riducono l'esposizione amministrativa.
• Microsoft Defender XDR – Simply Explained — Collega i segnali di identità al rilevamento, alle indagini e alla risposta agli incidenti.
• Microsoft Teams Governance – Simply Explained — Scopri come una proprietà chiara e regole sul ciclo di vita rendano sostenibile la collaborazione sicura.

Questi episodi aiutano a tradurre i passaggi tecnici in una strategia più ampia di identità e governance.