Soft Match vs Hard Match

By Mirko Peters · 2026-04-24 · Updated 2026-07-18

Vergelijk soft match en hard match in Azure AD Connect en lees hoe identiteitsmatching hybride synchronisatie en dubbele accounts beïnvloedt.

Automatically translated with AI from the original post. Read the English original

In een hybride Microsoft-omgeving is het synchroniseren van de identiteiten van je gebruikers tussen on-premises Active Directory en Azure Active Directory (Azure AD) een belangrijke zaak. Zonder een betrouwbare manier om mensen aan elkaar te koppelen, van de oude server tot in de cloud, krijg je al snel te maken met allerlei hoofdpijn, zoals dubbele accounts en verwarring bij het inloggen.

Daar komen de begrippen “soft match” en “hard match” om de hoek kijken. Dit zijn twee verschillende manieren waarop Azure AD Connect bepaalt welke on-premises gebruiker bij welke cloudgebruiker hoort. Soft matching draait om bekende zaken zoals e-mailadressen. Hard matching gebruikt een dieper technisch kenmerk, de GUID, die wordt vastgelegd met een attribuut dat immutableID heet.

Het verschil begrijpen is meer dan alleen een technisch detail. Het gaat om naadloos aanmelden, soepele migraties en het voorkomen van verstoringen voor gebruikers. Als je wilt dat je hybride omgeving soepel draait (zonder onbedoelde dubbele accounts of verloren inlogmogelijkheden), dan is het cruciaal om te weten wanneer en hoe je elke methode gebruikt.

Matching begrijpen: soft Azure en hard match GUID, immutableID-methoden

Wanneer je je on-premises Active Directory met Azure AD verbindt, is gebruikersmatching niet zomaar een technisch detail. Het vormt de basis van je hybride identiteit. Azure AD Connect biedt twee hoofdroutes: soft matching en hard matching. Elk van beide pakt identiteitssynchronisatie op zijn eigen manier aan, en de keuze die je maakt bepaalt alles, van het gemak van beheer tot de paraatheid bij failover en de gebruikerservaring op de lange termijn.

Soft matching lijkt misschien eenvoudig, omdat het leunt op alledaagse attributen zoals het e-mailadres van een gebruiker. Hard matching gaat juist een laag dieper. Het gebruikt de GUID uit on-premises AD, die als immutableID in Azure AD wordt opgeslagen, om een koppeling te maken die vrijwel onbreekbaar is en niet stukgaat als je accounts na een storing of migratie opnieuw moet koppelen.

Waarom is dit allemaal belangrijk? De manier waarop Azure AD Connect gebruikers matcht, heeft invloed op aanmeldstromen, de consistentie van single sign-on en of eindgebruikers iets merken van een verstoring tijdens een hybride uitrol of herstelscenario. Als je straks de details induikt, zie je precies hoe elke aanpak werkt, wat de sterke punten zijn, en waarom IT-professionals vanaf dag één goed op de juiste match letten.

Hoe soft matching met Azure werkt voor gebruikerssynchronisatie

Soft matching gebeurt wanneer Azure AD Connect bestaande cloudgebruikers probeert te koppelen aan gebruikers in on-premises Active Directory door veelvoorkomende attributen te vergelijken, vooral het primaire SMTP-adres (het belangrijkste e-mailadres) en de waarden in het veld proxyAddresses. Als deze attributen overeenkomen, herkent Azure AD dit als dezelfde persoon en koppelt het de accounts automatisch.

Voor beheerders blijft dit proces tijdens de eerste installatie vrijwel onzichtbaar, zeker als je gebruikers al in Microsoft 365 hebt aangemaakt voordat je synchronisatie uitrolt. Azure AD Connect controleert: “Heeft dit on-premises account hetzelfde e-mailadres als een Azure AD-gebruiker?” Zo ja, dan is dat een soft match. Er is geen speciale configuratie nodig; het werkt gewoon door die attributen tijdens de synchronisatiecycli te vergelijken.

Soft matching is van nature flexibel, wat handig is wanneer je een hybride identiteit pilotet of werkt in dynamische omgevingen waarin gebruikers nog worden toegevoegd of gewijzigd. Het is vaak de standaard in testomgevingen, pilots en kleinere organisaties die voor het eerst met hybride identiteit aan de slag gaan. Je hoeft de immutableID niet vooraf in te vullen; Azure koppelt de accounts simpelweg op basis van de e-mailvelden die je dagelijks al gebruikt.

Let wel: als je op soft matching vertrouwt, moet je in beide omgevingen consistente, schone e-mailadressen hebben. Elke afwijking, typfout of dubbel e-mailadres kan het proces verstoren en leiden tot mislukte matches of gesplitste accounts. Toch biedt soft matching voor veel nieuwe implementaties of teststadia die snelle brug tussen legacy- en cloudidentiteiten zonder veel gedoe.

Hoe je GUID koppelt aan immutableID voor consistente identiteitskoppeling

Hard matching is een stevigere aanpak. Hierbij gebruikt Azure AD Connect de objectGUID uit je on-premises Active Directory als “source anchor”. Die wordt omgezet naar een Base64-gecodeerde waarde, de immutableID, die op het Azure AD-object wordt vastgelegd. Deze immutableID verandert niet, ook niet als je de gebruiker hernoemt, wachtwoorden reset of de meeste soorten migraties uitvoert.

In de praktijk controleert Azure AD Connect bij hard matching of “het objectGUID van deze on-premises gebruiker, na conversie, overeenkomt met de immutableID van een bestaand cloudaccount?” Als dat zo is, ontstaat een stevige koppeling. Dat betekent dat je, zelfs als accounts tijdens migraties, storingen of wijzigingen worden losgekoppeld, met hard matching snel opnieuw kunt koppelen, simpelweg door de immutableID’s op elkaar af te stemmen.

Deze methode is de voorkeur voor productieomgevingen, grotere organisaties of elke omgeving waarin je maximale stabiliteit en robuust disaster recovery nodig hebt. Doordat hard matching vertrouwt op unieke, niet-wijzigende identifiers, voorkom je dubbele accounts, verrassingen tijdens migraties en geleidelijke afwijkingen in de tijd. Dit is vooral belangrijk voor gereguleerde sectoren en bedrijfskritische omgevingen, waar identiteitsfouten doorwerken in toegang, compliance en zelfs auditlogboeken.

Hard matching instellen vraagt wel wat meer planning. Je moet het GUID van elk AD-object exporteren en dat instellen of synchroniseren als immutableID in Azure AD, meestal met PowerShell of tools binnen Azure AD Connect. Maar de voordelen op lange termijn, zoals soepelere failover, herstel en waterdicht koppelen van gebruikers, maken de moeite meer dan waard wanneer betrouwbaarheid echt telt.

Directory-attribuutrollen in Azure AD Connect Hybrid Identity

Azure AD Connect is afhankelijk van een aantal belangrijke directory-attributen om het matchen te laten werken. Het eerste is de source anchor. Dat is meestal het objectGUID uit on-premises Active Directory, dat in de cloud wordt omgezet naar immutableID. Deze source anchor werkt als het burgerservicenummer van elke gebruiker: uniek, onveranderlijk en essentieel voor een waterdichte match tussen je twee omgevingen.

Daarnaast zijn er de attributen die soft matching mogelijk maken, namelijk de userPrincipalName (UPN) en proxyAddresses. De UPN is meestal de hoofdinloggegevens van je gebruiker (iets als johndoe@jouwdomein.nl), terwijl proxyAddresses alle e-mailaliassen van de gebruiker bevat (denk aan gedeelde mailboxen en oude adressen die nog moeten werken). Azure AD Connect vergelijkt deze velden om cloud- en lokale gebruikersobjecten strak aan elkaar gekoppeld te houden.

Schone, consistente attribuutwaarden voorkomen per ongeluk dubbele gebruikers en zorgen ervoor dat iedereen zijn persoonlijke inloggegevens en mailboxtoegang behoudt zoals verwacht. Rommelige of niet-overeenkomende waarden daarentegen kunnen het synchronisatieproces in de war sturen en leiden tot verweesde accounts of dubbele gebruikers. Dat soort problemen kan in grotere omgevingen snel uit de hand lopen.

Of je nu hard of soft matching gebruikt, begrijpen welke directory-attributen ertoe doen (en waarom) is essentieel voor een stabiele hybride identiteit. Zorg dat je source anchors en e-mailadressen kloppen, dan bespaar je jezelf later een hoop ellende wanneer je gebruikers onboardt, migreert of herstelt binnen je hybride Microsoft-landschap.

De juiste hybride identiteitsaanpak kiezen voor matching: soft matching in Azure en hard match met GUID-immutableID

Kiezen tussen soft en hard matching is niet alleen een technische vraag, het bepaalt je hele aanpak voor identiteitsbeheer. Je keuze hangt sterk af van je huidige omgeving, de volwassenheid van je gebruikersdirectory en wat je organisatie wil bereiken met hybride identiteit.

Voor organisaties die net beginnen, biedt soft matching een eenvoudige en flexibele oplossing. Het is ideaal voor pilots, tijdelijke labs en vroege hybride projecten waarin gebruikersgegevens nog kunnen veranderen en de omgeving nog in ontwikkeling is. Je krijgt flexibiliteit met minimale inrichting, waardoor je je kunt richten op experimenteren en ontdekken in plaats van op strikte governance vanaf het begin.

Maar zodra je richting productie gaat, of als je bedrijf afhankelijk is van betrouwbaarheid, snel disaster recovery en strikte compliance, wordt hard matching de gouden standaard. Door het on-premises objectGUID te koppelen aan de immutableID, verklein je het risico op gesplitste of dubbele identiteiten aanzienlijk, en kun je gebruikers met vertrouwen herstellen na grote wijzigingen of onbedoelde verwijderingen.

Hierna gaan we in op wanneer je de flexibele aard van soft matching in dynamische situaties kunt gebruiken, en waarom het koppelen van GUID aan immutableID in veilige, bedrijfskritische omgevingen geen optie maar een vereiste is. Of je nu een pilotproject draait of uitrolt naar duizenden gebruikers, de juiste keuze legt de basis voor naadloze synchronisatie en tevreden eindgebruikers.

Soft matching gebruiken met Azure AD in nieuwe of dynamische omgevingen

Soft matching komt goed van pas wanneer je hybride opzet nog in beweging is. Voor nieuwe implementaties, testlabs of stagingomgevingen waar gebruikers regelmatig worden toegevoegd, verwijderd of herschikt, biedt het direct een manier om lokale Active Directory-accounts aan cloudgebruikers te koppelen, zonder extra configuratie. De kenmerken primary SMTP en proxyAddresses fungeren als de lijm, zonder dat je vooraf een immutableID hoeft toe te kennen.

Deze methode is vooral handig als je Microsoft 365 pilot of een proof of concept opzet voordat je volledig voor hybride gaat. Je kunt snel experimenteren en itereren, wetende dat Azure AD Connect gebruikers koppelt op basis van wat er al in beide directory's gelijk is. Je hoeft immutableID niet vooraf in te vullen; zorg gewoon dat de e-mailkenmerken op elkaar aansluiten en je bent in principe goed bezig.

Maar al die flexibiliteit brengt verantwoordelijkheid met zich mee. Wanneer gebruikerskenmerken, zoals e-mailadressen, vaak veranderen, kunnen er afwijkingen ontstaan. Soft matching is minder vergevingsgezind in omgevingen waar de kwaliteit van attributen geen topprioriteit heeft. Je moet processen inrichten om e-mailadressen, UPN's en aliassen gestandaardiseerd te houden, zodat accountsplitsingen of mislukte koppelingen tijdens synchronisatie worden voorkomen.

De best practice is hier om je attribuutstromen te documenteren, de gebruikersobjecten on-premises en in de cloud periodiek te controleren en inconsistenties op te ruimen vóór grote synchronisatiewijzigingen. Zo verklein je de kans op dubbele of verweesde accounts, en die wil niemand opsporen tijdens de go-live van een project.

GUID koppelen aan ImmutableID voor veilige productie en herstel

Wanneer het tijd is om je hybride omgeving in productie te nemen, is hard matching de aanbevolen aanpak: je koppelt de objectGUID on-premises aan de immutableID in Azure AD. Deze methode creëert een permanente binding tussen de twee gebruikersobjecten, zodat je zelfs als een account wordt verwijderd, hernoemd of verplaatst, het kunt herstellen of herbouwen zonder verwarring of dubbele accounts.

Deze stabiele koppeling is essentieel voor gereguleerde sectoren die gegevensintegriteit en een duidelijk auditspoor vereisen, en voor organisaties die waarde hechten aan soepel herstel na een ramp en naadloze bedrijfscontinuïteit. Door de immutableID vast te leggen, zorg je dat gebruikers hun toegang behouden en dat authenticatie waterdicht blijft.

Als je identiteitsbeheerstrategie draait om beveiliging, het beperken van risico's en snel herstel tijdens incidenten, dan is hard matching de gouden standaard.

Problemen met soft matching oplossen zoals UPN- en proxyadresafwijkingen in Azure

Soft matching is krachtig, maar het is ook gevoelig voor details. Een van de meest voorkomende struikelblokken tijdens synchronisatie is wanneer de UPN of het proxyadres van de on-premises gebruiker niet exact overeenkomt met wat er in Azure AD staat. Zelfs een kleine tikfout of een verschil in notatie kan leiden tot het beruchte dubbele account, of erger, tot een gebruiker die helemaal niet kan inloggen.

Als gebruikers na synchronisatie nieuwe accounts zien bij het inloggen, of geen toegang hebben tot hun mailbox, controleer dan eerst de kenmerken primary SMTP en proxyAddresses. Zorg dat het primaire e-mailadres van elke lokale AD-gebruiker overeenkomt met wat in de cloud bestaat, inclusief hoofdlettergebruik en domeinachtervoegsel (zoals .com versus .org).

Bij UPN-afwijkingen pas je het kenmerk userPrincipalName on-premises aan zodat het overeenkomt met de Azure AD-aanmeldnaam van de gebruiker. In sommige gevallen moet je het UPN-achtervoegsel in de lokale AD wijzigen zodat het overeenkomt met een geverifieerd domein in Azure. Voer na het uitlijnen van de attributen een synchronisatie uit om de accounts samen te voegen (niet te dupliceren).

Proactief blijven is de sleutel. Controleer je directory periodiek op inconsistenties met tools of PowerShell-scripts, vooral als je gebruikers in batches onboardt of na grote domeinwijzigingen. Afwijkingen opsporen vóórdat ze synchroniseren, bespaart later een hoop opruimwerk en frustratie bij gebruikers. Met de praktijk worden deze reparaties makkelijker, en wordt wat als een nachtmerrie klinkt een makkelijke dag op kantoor.

Monitoring van Active Directory en verder lezen voor Microsoft 365-consultants

• Stel Active Directory-monitoring in: Gebruik beproefde oplossingen voor Active Directory-monitoring om de synchronisatiestatus te volgen, dubbele objecten op te sporen en synchronisatiefouten te signaleren voordat ze gebruikers raken. Proactieve monitoring zorgt ervoor dat je hybride identiteitssysteem robuust blijft en dat probleemoplossing eenvoudiger wordt. Voor meer over actieve monitoring, bekijk deze speciale bron.
• Gebruik de Azure AD Connect-diagnostiek: Maak gebruik van de ingebouwde Azure AD Connect-statusrapporten. Deze tools brengen synchronisatiefouten, attribuutconflicten en riskante wijzigingen in kaart. Door deze inzichten regelmatig te bekijken, blijft aanmelden soepel verlopen en los je problemen op voordat gebruikers er last van krijgen.
• Lees expertblogs en communityhandleidingen: Op de hoogte blijven is cruciaal. Volg toonaangevende blogs over identiteitsbeheer, zoals itpromentor, en diepgaande handleidingen voor Microsoft 365-consultants. Deze bronnen bieden praktische tips, stap-voor-stap probleemoplossingen en frisse inzichten over identity governance, vaak gebaseerd op ervaringen uit complexe omgevingen.
• Verken categorieën, tags en archieven: Voor doorlopende kennisopbouw kun je blogcategorieën doorbladeren, content filteren op interesse via tags en in de archieven duiken voor updates over functies, best practices en nieuwe release notes.
• Blijf leren: Hybride identiteit is geen klus die je “instelt en vergeet”. Gebruik de nieuwste artikelen, webinars en kennisbanken om voorop te blijven lopen bij nieuwe synchronisatiefuncties, wijzigingen in de verwerking van attributen en beveiligingsaanbevelingen. Een goed geïnformeerde beheerder voorkomt de meeste problemen voordat ze zich voordoen.

Door actief te monitoren, je kennis regelmatig bij te werken en de juiste communitycontacten te onderhouden, houd je je hybride omgeving gezond en ben je klaar voor elke identiteitsuitdaging die op je pad komt.

Luister ook naar deze afleveringen

Als je soft match versus hard match verkent, geven deze afleveringen praktische context over identiteit, samenwerking, governance en veilige adoptie van AI.

• Conditional Access – Simply Explained — Ontdek hoe identiteit-, apparaat-, locatie- en risicosignalen toegangsbeslissingen bepalen.
• Microsoft AI Agent Harness – Simply Explained — Ontdek de controles die AI-automatisering betrouwbaarder en beter zichtbaar maken.
• Microsoft Teams Governance – Simply Explained — Leer hoe eigenaarschap- en levenscyclusregels samenwerking duurzaam houden.
• Microsoft Purview – Simply Explained — Verbind samenwerking en identiteit met classificatie, bewaring en compliance.

Deze afleveringen vertalen het technische onderwerp naar praktische uitrol- en governancebeslissingen.