Probleemoplossing gebruikerssynchronisatie

By Mirko Peters · 2026-04-24 · Updated 2026-07-18

Los het probleem op dat een gebruiker niet synchroniseert met Microsoft Entra ID, met stap-voor-stap-controles voor de brongebruiker, scope, attributen, connectors en de gezondheid van de synchronisatie.

Automatically translated with AI from the original post. Read the English original

Als je hier terechtkomt, heb je waarschijnlijk te maken met het bekende probleem dat gebruikersaccounts niet in de Microsoftcloud verschijnen. Of het nu gaat om een ontbrekende gebruiker in Microsoft Entra ID, een onvolledige hybride AD-synchronisatie of één hardnekkig account dat maar niet wil meewerken: je bent hier op het goede adres. Dit soort situaties is een hoofdpijndossier voor iedereen die Microsoft 365, Azure of een hybride identiteitsopzet beheert.

Deze gids behandelt de meest voorkomende synchronisatiefouten: trage synchronisaties, gebruikers die verdwijnen of dubbel voorkomen, foutmeldingen ‘niet gevonden’ en onduidelijke statusberichten. Je krijgt een playbook dat zowel de basis als geavanceerde scenario’s dekt, van mislukte installaties van de directory-agent tot complexe conflicten bij het koppelen van objecten. We behandelen alle kritieke controlepunten, logboeken en tools die je nodig hebt, en leggen uit waarom een grondige, stapsgewijze aanpak zo belangrijk is wanneer je gebruikerssynchronisatieproblemen ontwart.

Je krijgt duidelijke instructies, uitleg over de achterliggende werking van de synchronisatie, interventiestrategieën en een manier om te controleren of je oplossing werkt. We gaan ervan uit dat je thuis bent in Active Directory, Windows Server en de Microsoft-beheerportalen, maar je hoeft geen raketwetenschapper te zijn om mee te kunnen. Zet je beheerdershoed op: laten we ervoor zorgen dat de gebruikers synchroniseren waar ze thuishoren.

Synchronisatiefouten in de cloud diagnosticeren bij on-premises-integraties met Microsoft Entra

Gebruikers synchroniseren vanuit je on-premises Active Directory naar Microsoft Entra ID is essentieel om identiteit en toegang over cloudservices heen up-to-date te houden. Het proces wordt aangedreven door Microsoft Entra Connect, een brug die wijzigingen uit je omgeving naar de cloud kopieert. Wanneer die brug begint te haperen, of erger nog, uit elkaar valt, betalen gebruikers en organisaties de prijs met kapotte logins of verdwenen accounts.

In de kern hangt een geslaagde integratie af van een stevige architectuur, de juiste voorwaarden en voorspelbare synchronisatiestromen. Zelfs een kleine misconfiguratie, een over het hoofd geziene firewallregel of een vergeten machtiging op het serviceaccount kan een lange zoektocht naar een ontbrekende gebruiker of groep in gang zetten. Daarom is het essentieel om eerst het grote plaatje te begrijpen, namelijk de overdracht van on-premises naar de cloud, de betrokken netwerkverbindingen en de servicebouwstenen, voordat je in de details duikt.

Deze sectie legt de basis voor hoe hybride synchronisatie werkt en waar IT-teams het vaakst de mist ingaan, vooral wanneer nieuwe eisen of wijzigingen in de omgeving hen verrassen. Als je de logica achter elk onderdeel begrijpt, wordt elke volgende troubleshootingsessie minder mysterieus en een stuk sneller.

Hoe on-premises objecten van Microsoft Entra synchroniseren met de cloud

In Microsoft Entra Connect-omgevingen worden on-premises AD-objecten zoals gebruikers en groepen met een unieke set attributen aan de cloud gekoppeld. Het belangrijkste hierbij is de Immutable ID, die wordt gegenereerd op basis van de objectGUID in je on-premises directory en dient als de definitieve koppeling in Microsoft Entra ID.

Wanneer een object wordt aangemaakt of gewijzigd, haalt Entra Connect de gegevens op, past eventuele synchronisatieregels of attribuutkoppelingen toe en beslist of het het bijbehorende object in de cloud moet aanmaken, bijwerken of koppelen. Zo krijgt elke gebruiker over alle omgevingen heen een consistente identiteit, mits naamgeving, GUID’s en koppellogica correct zijn ingericht. De meeste mismatches en synchronisatiestops ontstaan door verkeerd uitgelijnde attributen of door onduidelijkheid over welk object de identiteit in hybride scenario’s ‘bezit’.

Poorten en toegangs-URL’s controleren voor Microsoft Cloud Sync

• Controleer de uitgaande TCP-poorten: Zorg dat je synchronisatieserver verbinding kan maken met de belangrijkste Microsoft-services. Doorgaans moeten TCP-poorten 80 (HTTP) en 443 (HTTPS), en soms 8080, open staan voor uitgaand verkeer.
• Valideer de toegang tot vereiste URL’s: Microsoft Entra Connect moet endpoints bereiken zoals login.microsoftonline.com, graph.windows.net en *.servicebus.windows.net. Een volledige, actuele lijst van vereiste URL’s vind je in de documentatie van Microsoft.
• Test met PowerShell of een browser: Gebruik tools zoals Test-NetConnection, curl of gewoon een browser om te bevestigen dat endpoints reageren. Geblokkeerde verbindingen kunnen wijzen op DNS-, firewall- of proxyproblemen.
• Controleer de firewall- en proxylogboeken: Controleer dubbel of er geen stille TLS/SSL-interceptie of proxyauthenticatieprobleem is dat je uitgaande verkeer blokkeert, zeker in streng afgeschermde enterprise-omgevingen.

Servicestatus controleren voor hybride synchronisatieomgevingen

Om de synchronisatie soepel te laten verlopen, moeten alle kritieke services op zowel je Entra Connect-server als in de cloud gezond zijn en draaien. On-premises betekent dit dat je de service Microsoft Entra Connect Synchronization controleert via services.msc of de console Synchronization Service Manager. Let op services die gestopt, uitgeschakeld of vastgelopen zijn, want die stoppen de synchronisatie vaak volledig.

Aan de cloudkant bekijk je het servicestatusdashboard van Microsoft op incidentmeldingen die de synchronisatie kunnen beïnvloeden. Servicelogboeken, waarschuwingen en statusberichten laten zien of updates, storingen of tijdelijke problemen de hybride identiteitsverbinding raken. Als je snel de servicestatus kunt herkennen, kun je omgevingsproblemen onderscheiden van specifieke configuratieproblemen.

Problemen met agents oplossen en de configuratie van de synchronisatieserver

Er kan veel misgaan voordat ook maar één gebruikersobject je server verlaat, vooral bij de eerste implementatie of bij upgrades. Synchronisatieagents hebben de juiste machtigingen, softwarevereisten en netwerktoegang nodig. In de praktijk zijn omgevingen echter rommelig: groepsbeleid kan uitvoering blokkeren, antivirussoftware kan installatiestappen tegenhouden, of er ontbreken gewoon beheerdersrechten.

In dit gedeelte kijken we naar waarom problemen met de agent zo vaak optreden. Van mislukte installaties tot onverwachte servicecrashes: veel terugkerende problemen komen voort uit de manier waarop de synchronisatieagent is geconfigureerd en onderhouden op de Windows Server-host. Mislukte updates, achtergebleven afhankelijkheden of verwaarloosd onderhoud kunnen de synchronisatie allemaal laten stilvallen, waardoor je gebruikersmappen uit de pas lopen.

Voordat je de cloud de schuld geeft, loont het om de agent lokaal goed na te lopen. In de komende secties lopen we snelle controles en robuuste oplossingen door, zodat je zeker weet dat je synchronisatieserver zijn deel doet voordat je cloudproblemen gaat onderzoeken.

Veelvoorkomende installatieproblemen met de agent en stappen voor de serverinrichting

• Onvoldoende machtigingen tijdens de installatie: Een van de belangrijkste oorzaken van mislukte agentinstallaties is dat de installatie niet wordt uitgevoerd als lokale beheerder, of dat gedelegeerde rechten in Active Directory ontbreken. Controleer altijd je machtigingen voordat je het installatieprogramma start.
• Verkeerd geconfigureerd serviceaccount: De synchronisatieservice heeft een speciaal account nodig met specifieke rechten in de directory en op de lokale server. Een verkeerd afgebakend account, of wachtwoorden die verlopen, leiden tot opstartfouten en storingen tijdens het draaien.
• Problemen met certificaten en TLS/SSL-vertrouwen: Hybride omgevingen, zeker met strikte beveiligingsmaatregelen, lopen vaak vast op ontbrekende of verlopen root-CA's. Dit leidt tot stille TLS-handshakefouten tussen de agent en de cloud. Controleer of het Windows-certificaatarchief alle benodigde vertrouwde root-CA's bevat.
• Verouderd besturingssysteem en vereisten: Entra Connect draaien op niet-ondersteunde of niet-gepatchte versies van Windows Server, of ontbrekende .NET Framework-afhankelijkheden, is een terugkerend probleem. Controleer altijd of je het nieuwste ondersteunde besturingssysteem en de vereiste updates hebt voordat je installeert of upgrade.
• Conflicterende software of GPO-beleid: Endpointbeveiliging, firewalls of restrictieve groepsbeleidsobjecten kunnen de opstart en werking van de agent verstoren. Bekijk de logboeken van de beveiligingssoftware en de instellingen van het groepsbeleid als installaties herhaaldelijk mislukken of services crashen zonder duidelijke foutmelding.

Objectsynchronisatiestatus bewaken en delta-synchronisatie uitvoeren

• Synchronisatiestatus bekijken: Open de Synchronization Service Manager op je Entra Connect-server. Bekijk het tabblad ‘Operations’ voor recente synchronisatiecycli, fouten en het aantal geïmporteerde en geëxporteerde objecten.
• Handmatige delta-synchronisatie uitvoeren: Gebruik PowerShell op de synchronisatieserver: Start-ADSyncSyncCycle -PolicyType Delta. Dit start een synchronisatie van alleen recente wijzigingen, wat minder wachttijd oplevert dan een volledige synchronisatie.
• Synchronisatieresultaten controleren: Bekijk na afloop van de cyclus de lijst ‘Operations’ en de gebeurtenislogboeken op nieuwe fouten. Controleer of wijzigingen in gebruikers, groepen of attributen zichtbaar zijn in de cloud via het Microsoft Entra-beheercentrum.
• Foutmeldingen interpreteren: Zoek naar details over fouten in de logboeken van de Synchronization Service of in de PowerShell-uitvoer: niet-gekoppelde gebruikers, geweigerde machtigingen of attribuutconflicten die verklaren waarom synchronisaties zijn overgeslagen.

Objectsynchronisatieproblemen en koppelingsfouten onderzoeken

Niet elk synchronisatieprobleem is een breed server- of serviceprobleem. Vaak zit de boosdoener bij één gebruiker of groep met een attribuutconflict, een duplicaat of een afwijking tussen wat on-premises staat en wat in de cloud staat. Dit zijn de fouten waar IT’ers ’s nachts wakker van liggen: een volledig gezonde synchronisatieomgeving, maar dat ene hardnekkige account verschijnt, voegt zich samen of wordt bijgewerkt gewoon niet correct.

De oorzaak kan van alles zijn, van een typfout in een UPN tot een oud, achtergebleven object met een overeenkomend e-mailadres of proxy-attribuut. De hybride identiteit van Microsoft werkt met een dans die ‘matching’ heet: soft matching op basis van primaire attributen en hard matching via de immutable ID. Als die stappen misgaan, worden objecten niet gesynchroniseerd of duiken ze op als duplicaten of wezen.

Deze sectie helpt je om synchronisatiefouten op objectniveau te diagnosticeren en leert je naamconflicten, attribuutafwijkingen en autorisatiefouten te herkennen, hoe diep je ook moet graven. Daarna weet je hoe je zelfs de meest hardnekkige accounts correct gematcht en gesynchroniseerd krijgt.

On-premises objecten diagnosticeren en de synchronisatiestatus van directoryobjecten controleren

• Controleer op attribuutconflicten: Gebruik tools zoals de Synchronization Service Manager of PowerShell (Get-ADUser, Get-MsolUser) om belangrijke attributen (UPN, e-mail, proxyAddresses) te vergelijken tussen on-premises en cloudaccounts.
• Bekijk synchronisatielogs en -status: Controleer recente synchronisatiecycli op fouten per gebruiker, zoals ‘export errors’ of waarschuwingen ‘not synchronizing’ in het tabblad bewerkingen van de synchronisatieservice.
• Controleer de matchinglogica: Bevestig dat de Immutable ID van het on-premises object (afgeleid van objectGUID) overeenkomt met wat in Microsoft Entra ID staat. Afwijkingen zijn een duidelijk signaal van synchronisatieproblemen.
• Zoek naar duplicaten: Voer query’s uit of gebruik filters in het portaal om cloudobjecten te vinden die je on-premises synchronisatie blokkeren doordat ze al bestaan met dezelfde attributen.

Gequarantaineerde provisioningproblemen en autorisatie van de directoryservice oplossen

• Identificeer quarantainestatussen: Zoek in het Microsoft Entra-beheerportaal of in de synchronisatielogs naar gebruikers die als ‘quarantined’ zijn gemarkeerd vanwege gegevens- of machtigingsproblemen.
• Controleer de directorymachtigingen: Zorg dat het serviceaccount dat Entra Connect gebruikt, lees- en schrijfrechten heeft op de benodigde AD-objecten en -attributen.
• Controleer op attribuutschendingen: Gebruikers kunnen in quarantaine komen als hun attributen niet voldoen aan het beleid (bijvoorbeeld ongeldige formaten of beperkte waarden). Corrigeer deze on-premises en voer daarna de synchronisatie opnieuw uit.
• Hef de quarantainestatus op: Verwijder gebruikers na het oplossen van de hoofdoorzaken uit quarantaine via het portaal of PowerShell, en start daarna een delta-synchronisatie om de normale werking te herstellen.

Problemen met Cloud Sync oplossen met logs, bestanden en het Microsoft-portaal

Wanneer de basiscontroles en configuraties nog steeds gebruikers zonder synchronisatie laten, is de volgende stap het uitpluizen van de uitgebreide diagnosetools die je ter beschikking staan. Microsoft Entra Connect en de bijbehorende cloudservices leggen bij elke synchronisatiecyclus een gedetailleerd spoor vast: van logbestanden op je Windows-server tot gecodeerde foutmeldingen in de gebeurtenisweergave en volledige statusdashboards in het Microsoft Entra-beheerportaal.

Door de juiste logs na te lopen en de realtime inzichten van het portaal te gebruiken, ga je van gissen naar feiten: je ziet welke fouten zijn opgetreden, welke objecten zijn blijven hangen en of het probleem bij je implementatie ligt of bij de Microsoft-service zelf. Automatiseringstools en de op grafieken gebaseerde rapporten van het portaal kunnen je zelfs helpen patronen te herkennen en toekomstige herstelacties te plannen om herhaalde storingen te voorkomen.

Deze sectie introduceert de belangrijkste tools om te achterhalen waarom synchronisaties stilletjes mislukken, waarom er onverklaarbare afwijkingen zijn, of waarom de synchronisatieservice ‘geslaagd’ meldt terwijl een gebruiker toch ontbreekt. Met deze tools in je gereedschapskist worden zelfs lastige hybride identiteitsvraagstukken makkelijker te ontwarren en kun je ze in de toekomst voorkomen.

Logbestanden en uitvoer van de Cloud Sync-probleemoplossing bekijken

• Logs van de Synchronization Service Manager: Deze staan in C:\ProgramData\Microsoft\Azure AD Connect\Trace en bevatten elke synchronisatieactie en veelvoorkomende foutcodes.
• Windows-gebeurtenisweergave: Controleer de logboeken Application en System op gebeurtenissen met ‘Directory Synchronization’ of ‘Azure AD Connect’; filter op waarschuwingen of fouten.
• Logs van het Entra Connect Health-portaal: Deze bieden cloudgebaseerde visualisatie en historische foutregistratie, ideaal om terugkerende of intermitterende problemen op te sporen.
• PowerShell-uitvoer: Scripts zoals Get-ADSyncScheduler of Get-ADSyncRunProfile tonen realtime de resultaten van objectsynchronisatie en de details van fouten.

De Microsoft-portal en het Automation Center gebruiken voor synchronisatiebewaking

Het Microsoft Entra-beheercentrum is je one-stop shop voor realtime inzicht in synchronisatie. Onder de sectie ‘Identity’ zie je de gezondheid van de synchronisatie, houd je fouten per object bij en duik je in recente synchronisatiecycli. Met het Automation Center plan je synchronisaties, stel je waarschuwingen in bij fouten en pas je met één klik herstelacties toe voor veelvoorkomende problemen.

De resources in het Online Helpcentrum en de rapportage via Microsoft Graph geven context bij hardnekkige problemen of blokkades op gebruikersniveau. Met deze tools wordt probleemoplossing geen gokspel meer, maar een gemeten, datagedreven proces, zodat je van brandjes blussen kunt overschakelen naar proactief identiteitsbeheer.

Het bevestigen van het oplossen van synchronisatieproblemen en de rapportagestappen

• Controleer of het object aanwezig is: Zoek de gesynchroniseerde gebruiker of groep zowel in on-premises AD als in de cloudportal om te bevestigen dat het object succesvol is overgezet.
• Test aanmeldingen en machtigingen: Probeer je met de betreffende gebruiker in de cloud aan te melden om te controleren of de inloggegevens en toegangsbeleidsregels nu werken zoals verwacht.
• Controleer de synchronisatielogs: Kijk nogmaals of recente cycli nul fouten laten zien en of eerder gemarkeerde objecten nu de status ‘success’ of ‘completed’ hebben.
• Documenteer je oplossing: Leg de stappen, symptomen en resultaten van het probleem vast in het incidentlogboek of de kennisbank van je team, zodat je er later naar kunt verwijzen.
• Plan vervolgsynchronisaties: Stel routinematige controles of monitoring in om vroege waarschuwingssignalen op te merken als hetzelfde probleem opnieuw optreedt.

Feedback geven en leren van discussies in de community (21)

• Geef feedback aan Microsoft: Gebruik de feedbackknop in het Entra-beheercentrum of in Microsoft Docs om bugs te melden of nieuwe functies aan te vragen. Zo help je de tools te verbeteren voor alle beheerders.
• Neem deel aan forumdiscussies: Word lid van Microsoft Tech Community en de speciale Entra ID-spaces om vragen te stellen en antwoorden bij te dragen. Minstens 21 andere beheerders hebben al geplaatst over vergelijkbare situaties. Leer van hun ervaring of van de addertjes onder het gras.
• Deel je scenario in reacties: Voeg de details van jouw unieke synchronisatieprobleem toe aan kennisbankartikelen, zodat toekomstige lezers kunnen terugvallen op praktijkoplossingen.
• Gebruik de resources in het beheercentrum: Volg de links naar handleidingen voor probleemoplossing en podcasts zoals deze aflevering over Entra ID en voorwaardelijke toegang om je kennis te verdiepen.

Inzicht in Immutable ID- en objectmatchingconflicten bij hybride synchronisatie

Hier wordt het wat geavanceerder: objectmatching bij hybride synchronisatie is niet waterdicht, en een van de lastigste oorzaken van synchronisatiefouten zit in Immutable ID-mismatches. Elke gebruiker die vanuit je on-premises directory wordt gesynchroniseerd, krijgt in de cloud een unieke Immutable ID, afgeleid van de oorspronkelijke objectGUID. Als je een gebruiker opnieuw aanmaakt of migreert zonder goede opschoning, krijgt het nieuwe on-premises object een nieuwe objectGUID, maar blijft de oude Immutable ID aan het cloudaccount gekoppeld. Deze verborgen mismatch blokkeert de synchronisatie stilzwijgend of veroorzaakt dubbele accounts.

Daarbij komt dat cloud-only gebruikersobjecten soms overblijven van eerdere migraties en nieuwe synchronisatiepogingen vanuit on-prem blokkeren. Als je deze verouderde of verweesde objecten niet opspoort en opruimt, verschijnen je nieuwe gebruikers niet, of erger nog, heb je twee accounts voor dezelfde persoon. De meeste handleidingen laten deze scenario's links liggen, maar in echte identiteitsimplementaties zijn ze een van de grootste hoofdpijnen.

In dit gedeelte kijken we achter de schermen naar hoe en waarom Immutable ID-conflicten ontstaan, en beschrijven we praktische processen om deze fouten te isoleren en op te lossen. Als de eenvoudige oplossingen niet hebben gewerkt en je een identiteitsmismatch vermoedt, zijn deze volgende subsecties essentiële lectuur voor je toolkit.

Oorzaakanalyse van Immutable ID-mismatches bij het opnieuw inrichten van gebruikers

Immutable ID-mismatches ontstaan wanneer een on-premises gebruiker wordt verwijderd en opnieuw aangemaakt zonder eerst het cloudobject te verwijderen of bij te werken. De nieuwe on-prem gebruiker kan dezelfde UPN of e-mailadres hebben, maar heeft een nieuwe objectGUID, waardoor de gegenereerde Immutable ID niet overeenkomt met wat er in Microsoft Entra ID staat. Het gevolg is dat de synchronisatie stilzwijgend faalt of matchingfouten geeft, waardoor het account in de cloud verweesd of gedupliceerd blijft.

Om dit op te lossen moeten beheerders het conflicterende cloudobject identificeren en het ofwel hard koppelen aan de nieuwe on-premises gebruiker door de Immutable ID bij te werken, of het verouderde cloudobject verwijderen voordat er opnieuw wordt gesynchroniseerd. Dit proces is cruciaal bij het migreren, herstellen of opnieuw inrichten van gebruikers. Zo verloopt de overdracht soepel en blijven er geen onzichtbare blokkades op directoryniveau achter.

Dubbele gebruikersobjecten in on-premises en de cloud opsporen en oplossen

• Verouderde cloudgebruikers identificeren: Gebruik filtering in het portaal en PowerShell (Get-MsolUser -All | Where-Object {$_.LastDirSyncTime -eq $null}) om gebruikersobjecten te vinden die nooit vanuit on-premises zijn gesynchroniseerd.
• Controleren op attribuutconflicten: Vergelijk primaire attributen zoals UPN en e-mail tussen cloudaccounts en on-premises accounts om overlappingen op te sporen.
• Dubbele objecten verwijderen of samenvoegen: Verwijder of voeg het cloudobject alleen in het portaal of via PowerShell samen voordat je de synchronisatie vanuit on-premises opnieuw probeert. Zo wordt de blokkade opgeheven en verschijnt het beoogde object alsnog.
• On-premises gebruiker opnieuw synchroniseren: Start een delta-synchronisatie en controleer of het nieuwe object met de juiste attributen en Immutable ID in de cloud terechtkomt.
• De opschoning documenteren: Leg alle wijzigingen en de oplossingsstappen vast om verwarring te voorkomen en te voorkomen dat het probleem bij toekomstige migraties of reorganisaties opnieuw optreedt.

Luister ook naar deze afleveringen

Als je bezig bent met gebruiker synchroniseert niet naar Microsoft Entra ID, bieden deze afleveringen praktische context voor identiteitsbeveiliging, governance en betrouwbaar gebruik van Microsoft 365.

• Conditional Access – Simply Explained — Ontdek hoe identiteit, apparaat, locatie en risicosignalen toegangsbeslissingen bepalen.
• Privileged Identity Management – Simply Explained — Zie hoe just-in-time privileges en goedkeuringsworkflows de blootstelling van beheerders verminderen.
• Microsoft Defender XDR – Simply Explained — Koppel identiteitssignalen aan detectie, onderzoek en incidentrespons.
• Microsoft Teams Governance – Simply Explained — Leer hoe duidelijk eigenaarschap en levenscyclusregels samenwerking veilig en houdbaar maken.

Deze afleveringen helpen je om de technische stappen te vertalen naar een bredere identiteits- en governancestrategie.