Solução de problemas de sincronização de usuários

By Mirko Peters · 2026-04-24 · Updated 2026-07-18

Corrija um usuário que não sincroniza com o Microsoft Entra ID, com verificações passo a passo de identidade de origem, escopo, atributos, conectores e integridade da sincronização.

Automatically translated with AI from the original post. Read the English original

Se você chegou até aqui, provavelmente está lidando com aquela frustração bem conhecida de contas de usuário que não aparecem na nuvem da Microsoft. Seja um usuário ausente no Microsoft Entra ID, uma sincronização híbrida do AD incompleta ou uma conta teimosa que simplesmente não muda, você está no lugar certo. Essas situações são uma dor de cabeça para quem administra o Microsoft 365, o Azure ou ambientes de identidade híbrida.

Este guia analisa as falhas de sincronização mais comuns: sincronizações lentas, usuários que desaparecem ou aparecem duplicados, erros de "não encontrado" e mensagens de status pouco úteis. Você terá um roteiro que cobre tanto o básico quanto cenários avançados, desde falhas na instalação do agente de diretório até conflitos complexos de correspondência de objetos. Abordaremos todos os pontos de verificação críticos, logs e ferramentas necessários, e explicaremos por que uma abordagem completa e passo a passo faz diferença na hora de resolver problemas de sincronização de usuários.

Você vai encontrar instruções claras, explicações sobre a mecânica da sincronização, estratégias de intervenção e formas de validar a correção. Partimos do princípio de que você tem familiaridade com o Active Directory, o Windows Server e os portais de administração da Microsoft, mas não precisa ser nenhum especialista para acompanhar. Vista o chapéu de administrador e vamos fazer esses usuários sincronizarem onde deveriam.

Diagnóstico de falhas de sincronização na nuvem em integrações locais com o Microsoft Entra

Sincronizar usuários do seu Active Directory local com o Microsoft Entra ID é essencial para manter identidade e acesso atualizados em todos os serviços em nuvem. O processo é feito pelo Microsoft Entra Connect, uma ponte que copia as alterações do seu ambiente para a nuvem. Quando essa ponte começa a falhar, ou pior, deixa de funcionar, usuários e organizações pagam o preço com logons quebrados ou contas ausentes.

Na essência, uma integração bem-sucedida depende de uma arquitetura sólida, de pré-requisitos corretos e de fluxos de sincronização previsíveis. Até mesmo uma pequena configuração incorreta, uma regra de firewall esquecida ou uma permissão de conta de serviço não concedida pode gerar uma longa investigação sobre um usuário ou grupo ausente. Por isso, é crucial entender o panorama geral (a transferência do ambiente local para a nuvem, os túneis de rede envolvidos e as dependências de serviço) antes de mergulhar nos detalhes.

Esta seção apresenta o que faz a sincronização híbrida funcionar e onde as equipes de TI mais costumam errar, especialmente quando novos requisitos ou mudanças no ambiente as pegam de surpresa. Entender a lógica por trás de cada componente tornará cada futura sessão de solução de problemas menos misteriosa e bem mais rápida.

Como os objetos locais do Microsoft Entra sincronizam com a nuvem

Em configurações do Microsoft Entra Connect, objetos do AD local, como usuários e grupos, são mapeados para a nuvem usando um conjunto exclusivo de atributos. O principal deles é o Immutable ID, gerado a partir do objectGUID no seu diretório local e usado como a correspondência definitiva no Microsoft Entra ID.

Quando um objeto é criado ou modificado, o Entra Connect coleta os dados, aplica as regras de sincronização ou mapeamentos de atributos e decide se deve criar, atualizar ou vincular o objeto correspondente na nuvem. Isso garante uma identidade consistente para cada usuário nos diferentes ambientes, desde que nomes, GUIDs e a lógica de correspondência estejam configurados corretamente. A maioria das divergências e interrupções na sincronização vem de um alinhamento incorreto de atributos ou de dúvidas sobre qual objeto "é dono" da identidade em cenários híbridos.

Verifique as portas e as URLs de acesso para o Microsoft Cloud Sync

• Verifique as portas TCP de saída: garanta que seu servidor de sincronização consiga se conectar aos principais serviços da Microsoft. Normalmente, as portas TCP 80 (HTTP) e 443 (HTTPS), e às vezes a 8080, precisam estar abertas para o tráfego de saída.
• Valide o acesso às URLs necessárias: o Microsoft Entra Connect precisa alcançar endpoints como login.microsoftonline.com, graph.windows.net e *.servicebus.windows.net. Você encontra a lista completa e atualizada de URLs necessárias na documentação da Microsoft.
• Teste com PowerShell ou navegador: use ferramentas como Test-NetConnection, curl ou até mesmo um navegador para confirmar que os endpoints respondem. Conexões bloqueadas podem revelar problemas de DNS, firewall ou proxy.
• Revise os logs de firewall e proxy: confirme que não há interceptação silenciosa de TLS/SSL nem problema de autenticação no proxy derrubando seu tráfego de saída, principalmente em ambientes corporativos com controles de rede muito restritos.

Verifique o status do serviço para ambientes de sincronização híbrida

Para manter a sincronização funcionando sem problemas, todos os serviços críticos, tanto no seu servidor do Microsoft Entra Connect quanto na nuvem, precisam estar íntegros e em execução. No ambiente local, isso significa verificar o serviço Microsoft Entra Connect Synchronization Service pelo services.msc ou pelo console Synchronization Service Manager. Fique atento a serviços parados, desabilitados ou que estejam travando, pois eles costumam interromper a sincronização por completo.

Do lado da nuvem, consulte o painel de integridade de serviços da Microsoft em busca de relatórios de incidentes que possam afetar a sincronização. Logs de serviço, alertas e mensagens de status informam se atualizações, interrupções ou problemas transitórios estão afetando a conectividade da identidade híbrida. Identificar rapidamente o status de integridade do serviço permite descartar problemas do ambiente e focar em problemas específicos de configuração.

Solução de problemas com o agente e com a configuração do servidor de sincronização

Muita coisa pode dar errado antes mesmo de um único objeto de usuário sair do seu servidor, especialmente durante a implantação inicial ou atualizações. Os agentes de sincronização precisam das permissões corretas, dos pré-requisitos de software e de acesso de rede adequado. Mas os ambientes reais são complexos: as políticas de grupo podem restringir a execução, um antivírus pode bloquear etapas da instalação, ou simplesmente faltam direitos de administrador.

Esta seção trata do motivo pelo qual problemas no lado do agente aparecem com tanta frequência. De instalações malfeitas a quedas inesperadas de serviço, muitos dos problemas recorrentes têm origem na forma como o agente de sincronização está configurado e mantido no host do Windows Server. Atualizações mal executadas, dependências órfãs ou manutenção negligenciada podem travar a sincronização e deixar seus diretórios de usuários fora de sincronia.

Antes de culpar a nuvem, vale a pena verificar o agente em execução localmente. As próximas seções vão orientar você em verificações rápidas e correções mais robustas, para que você tenha confiança de que o seu servidor de sincronização está fazendo a parte dele antes de investigar problemas no lado da nuvem.

Problemas comuns na instalação do agente e etapas de configuração do servidor

• Permissões insuficientes durante a configuração: Uma das principais causas de falha na instalação do agente é executar o instalador sem ser administrador local ou não ter os direitos delegados necessários no Active Directory. Sempre confirme as permissões antes de iniciar o instalador.
• Configuração incorreta da conta de serviço: O serviço de sincronização precisa de uma conta dedicada com direitos específicos no diretório e no servidor local. Usar uma conta com escopo incorreto ou deixar as senhas das contas expirarem leva a erros de inicialização e falhas em tempo de execução.
• Problemas de confiança em certificados e TLS/SSL: Ambientes híbridos, especialmente com controles de segurança rigorosos, costumam tropeçar em CAs raiz ausentes ou expiradas. Isso resulta em falhas silenciosas no handshake TLS entre o agente e a nuvem. Valide se o repositório de certificados do Windows inclui todas as CAs raiz confiáveis necessárias.
• Sistema operacional e pré-requisitos desatualizados: Executar o Entra Connect em versões sem suporte ou sem atualizações do Windows Server, ou sem as dependências do .NET Framework, é um problema recorrente. Sempre verifique o sistema operacional com suporte mais recente e as atualizações de pré-requisitos antes de instalar ou atualizar.
• Software conflitante ou políticas de GPO: Proteção de endpoint, firewalls ou objetos de política de grupo restritivos podem interferir na inicialização e na operação do agente. Revise os logs do software de segurança e as configurações de política de grupo se as instalações falharem repetidamente ou se os serviços travarem sem erros claros.

Monitorar o status de sincronização de objetos e executar etapas de delta sync

• Visualizar o status da sincronização: Abra o Synchronization Service Manager no seu servidor do Entra Connect. Verifique a aba “Operations” para ver os ciclos de sincronização recentes, os erros e a contagem de objetos importados e exportados.
• Executar um delta sync manual: Use o PowerShell no servidor de sincronização: Start-ADSyncSyncCycle -PolicyType Delta. Isso dispara a sincronização apenas das alterações recentes, reduzindo o tempo de espera em comparação com uma sincronização completa.
• Verificar os resultados da sincronização: Após a conclusão do ciclo, revise a lista “Operations” e os logs de eventos em busca de novos erros. Confirme se as alterações de usuários, grupos ou atributos foram refletidas na nuvem, verificando o centro de administração do Microsoft Entra.
• Interpretar mensagens de falha: Procure os detalhes de falha nos logs do Synchronization Service ou na saída do PowerShell: usuários não correspondentes, negações de permissão ou conflitos de atributos que explicam as sincronizações perdidas.

Investigando problemas de sincronização de objetos e erros de correspondência

Nem todo problema de sincronização é uma falha generalizada de servidor ou serviço. Muitas vezes, o culpado é um usuário ou grupo específico com um conflito de atributo, uma duplicata ou uma divergência entre o que está no local e o que está na nuvem. São esses erros que tiram o sono de quem trabalha com TI: um ambiente de sincronização perfeitamente saudável, mas aquela conta teimosa simplesmente não aparece, não se mescla ou não é atualizada corretamente.

A causa raiz pode ser desde um erro de digitação em um UPN até um objeto obsoleto que ainda existe com um endereço de e-mail ou atributo proxy correspondente. A identidade híbrida da Microsoft depende de um processo chamado "correspondência": a correspondência flexível (soft match), baseada em atributos primários, e a correspondência forte (hard match), que usa o ID imutável. Quando as etapas dão errado, os objetos não são sincronizados ou, pior, aparecem como duplicatas ou órfãos.

Esta seção ajuda você a diagnosticar falhas de sincronização no nível do objeto e a identificar colisões de nomes, divergências de atributos e erros de autorização, por mais fundo que seja preciso investigar. Depois disso, você saberá como fazer com que até as contas mais difíceis de localizar sejam corretamente correspondidas e sincronizadas.

Diagnóstico de objetos locais e status de sincronização de objetos do diretório

• Verifique conflitos de atributos: Use ferramentas como o Gerenciador do Serviço de Sincronização ou o PowerShell (Get-ADUser, Get-MsolUser) para comparar atributos-chave (UPN, e-mail, proxyAddresses) entre as contas locais e as da nuvem.
• Revise os logs e o status da sincronização: Analise os ciclos de sincronização recentes em busca de erros em nível de usuário, como "erros de exportação" ou avisos de "não sincronizando" na guia de operações do serviço de sincronização.
• Verifique a lógica de correspondência: Confirme que o ID imutável do objeto local (derivado do objectGUID) corresponde ao que está no Microsoft Entra ID. Divergências aqui são um sinal de alerta para problemas de sincronização.
• Procure duplicatas: Execute consultas ou use filtros do portal para identificar objetos existentes somente na nuvem que possam estar bloqueando a sincronização local por já existirem com os mesmos atributos.

Resolução de problemas em quarentena de provisionamento e autorização do serviço de diretório

• Identifique estados de quarentena: No centro de administração do Microsoft Entra ou nos logs de sincronização, procure usuários marcados como "em quarentena" por problemas de dados ou de permissões.
• Revise as permissões do diretório: Certifique-se de que a conta de serviço usada pelo Microsoft Entra Connect tenha acesso de leitura e gravação aos objetos e atributos necessários do AD.
• Verifique violações de atributos: Usuários podem ser colocados em quarentena se seus atributos violarem políticas (por exemplo, formatos inválidos ou valores restritos). Corrija esses atributos no ambiente local e execute a sincronização novamente.
• Remova o status de quarentena: Depois de corrigir as causas raiz, remova os usuários da quarentena pelo portal ou pelo PowerShell e, em seguida, acione uma sincronização delta para restaurar a operação normal.

Solução de problemas de sincronização na nuvem com logs, arquivos e o portal da Microsoft

Quando as verificações básicas e as configurações ainda deixam usuários sem sincronização, o próximo passo é explorar as ferramentas de diagnóstico disponíveis. O Microsoft Entra Connect e os serviços em nuvem geram um registro detalhado do que aconteceu em cada ciclo de sincronização, desde arquivos de log no servidor Windows, passando por mensagens de erro codificadas no Visualizador de Eventos, até painéis completos de status no centro de administração do Microsoft Entra.

Analisar os logs corretos e usar as informações em tempo real do portal ajuda você a sair das suposições e chegar aos fatos: você verá quais erros ocorreram, quais objetos ficaram travados e se o problema está na sua implantação ou no próprio serviço da Microsoft. Ferramentas de automação e os relatórios baseados em grafo do portal também podem ajudar a identificar padrões e agendar correções futuras para evitar falhas recorrentes.

Esta seção apresenta as principais ferramentas para investigar perdas silenciosas de sincronização, divergências misteriosas e os casos estranhos em que o serviço de sincronização informa "sucesso", mas um usuário continua ausente. Com essas ferramentas em mãos, até os desafios mais complexos de identidade híbrida ficam mais fáceis de resolver e de prevenir no futuro.

Análise de arquivos de log e saída de solução de problemas de sincronização na nuvem

• Logs do Gerenciador do Serviço de Sincronização: Localizados em C:\ProgramData\Microsoft\Azure AD Connect\Trace, eles detalham cada ação de sincronização e os códigos de erro mais comuns.
• Visualizador de Eventos do Windows: Verifique os logs de Aplicativo e Sistema em busca de eventos "Directory Synchronization" ou "Azure AD Connect"; filtre por avisos ou erros.
• Logs do portal do Microsoft Entra Connect Health: Eles oferecem visualização baseada na nuvem e histórico de erros, ótimos para identificar problemas contínuos ou intermitentes.
• Saída do PowerShell: Scripts como Get-ADSyncScheduler ou Get-ADSyncRunProfile mostram em tempo real os resultados da sincronização de objetos e os detalhes das falhas.

Usando o Portal da Microsoft e o Centro de Automação para monitorar a sincronização

O portal de administração do Microsoft Entra é o seu ponto único para acompanhar a sincronização em tempo real. Na seção “Identidade”, você pode ver a integridade da sincronização, acompanhar erros em nível de objeto e analisar os ciclos de sincronização recentes. O Centro de Automação permite agendar sincronizações, configurar alertas para falhas e aplicar correções com um clique para problemas comuns.

Os recursos da Central de Ajuda online, junto com os relatórios do Microsoft Graph, ajudam a entender problemas persistentes ou bloqueios de usuários específicos. Usar essas ferramentas transforma a solução de problemas de um jogo de adivinhação em um processo medido e baseado em dados, liberando você para deixar de apagar incêndios e partir para a gestão proativa de identidades.

Confirmando a resolução da sincronização e as etapas de documentação

• Valide a presença do objeto: Pesquise o usuário ou grupo sincronizado tanto no AD local quanto no portal da nuvem para confirmar que o objeto foi transferido com sucesso.
• Teste logons e permissões: Tente fazer login na nuvem com o usuário afetado para garantir que as credenciais e as políticas de acesso agora funcionem como esperado.
• Revise os logs de sincronização: Confira novamente se os ciclos recentes não apresentam erros e se os objetos marcados anteriormente agora aparecem como “success” ou “completed”.
• Documente a correção: Registre as etapas, os sintomas e os resultados do problema no log de incidentes ou na base de conhecimento da sua equipe para referência futura.
• Agende sincronizações de acompanhamento: Configure verificações de rotina ou monitoramento para identificar sinais de alerta precoces caso o mesmo problema volte a acontecer.

Compartilhe feedback e aprenda com as discussões da comunidade (21)

• Envie feedback à Microsoft: Use o botão de feedback no portal de administração do Entra ou na documentação da Microsoft para relatar bugs ou solicitar novos recursos. Isso ajuda a melhorar as ferramentas para todos os administradores.
• Participe das discussões em fóruns: Entre na Comunidade Técnica da Microsoft e nos espaços dedicados ao Entra ID para fazer perguntas e contribuir com respostas. Pelo menos outros 21 administradores já publicaram sobre situações semelhantes. Aprenda com a experiência deles, incluindo as peculiaridades de cada caso.
• Compartilhe seu cenário nos comentários: Adicione detalhes do seu desafio de sincronização específico aos artigos da base de conhecimento, para que futuros leitores possam consultar soluções reais.
• Aproveite os recursos do portal de administração: Use os links para guias de solução de problemas e podcasts como este episódio sobre Entra ID e acesso condicional para aprofundar seu entendimento.

Entendendo o Immutable ID e os conflitos de correspondência de objetos na sincronização híbrida

Agora as coisas ficam um pouco mais avançadas: a correspondência de objetos na sincronização híbrida não é infalível, e uma das fontes mais complicadas de falhas de sincronização está nas divergências de Immutable ID. Cada usuário sincronizado do seu diretório local recebe um Immutable ID exclusivo na nuvem, derivado do objectGUID original dele. Se você recriar ou migrar um usuário sem a limpeza adequada, o novo objeto local recebe um objectGUID novo, mas o Immutable ID antigo continua associado à conta na nuvem. Essa divergência oculta bloqueia a sincronização silenciosamente ou gera duplicatas.

Para complicar, objetos de usuário somente em nuvem às vezes permanecem de migrações anteriores e bloqueiam novas tentativas de sincronização vindas do local. Se você não identificar e limpar esses objetos obsoletos ou órfãos, os novos usuários não aparecerão, ou, pior, você acabará com duas contas para a mesma pessoa. A maioria dos guias passa por cima desses cenários, mas eles estão entre as maiores dores de cabeça em implantações reais de identidade.

Esta seção revela exatamente como e por que os conflitos de Immutable ID acontecem e descreve processos práticos para isolar e resolver esses erros. Se as correções simples não funcionaram e você suspeita de uma divergência de identidade, estas próximas subseções são leitura essencial para o seu conjunto de ferramentas.

Análise de causa raiz para divergências de Immutable ID durante o reprovisionamento de usuários

As divergências de Immutable ID acontecem quando um usuário local é excluído e recriado sem antes remover ou atualizar o objeto na nuvem. O novo usuário local pode ter o mesmo UPN ou e-mail, mas um objectGUID diferente, então o Immutable ID gerado não corresponde ao que está no Microsoft Entra ID. Como resultado, a sincronização falha silenciosamente ou gera erros de correspondência, deixando a conta órfã ou duplicada na nuvem.

Para resolver isso, os administradores precisam identificar o objeto de nuvem em conflito e, em seguida, fazer a correspondência direta com o novo usuário local atualizando o Immutable ID, ou remover o objeto de nuvem obsoleto antes de uma nova sincronização. Esse processo é essencial ao migrar, restaurar ou reprovisionar usuários, garantindo uma transição sem problemas e sem bloqueios invisíveis na camada de diretório.

Detectando e resolvendo objetos de usuário duplicados entre o ambiente local e a nuvem

• Identifique usuários obsoletos existentes apenas na nuvem: use a filtragem do portal e o PowerShell (Get-MsolUser -All | Where-Object {$_.LastDirSyncTime -eq $null}) para encontrar objetos de usuário que nunca foram sincronizados a partir do ambiente local.
• Verifique colisões de atributos: compare atributos principais, como UPN e e-mail, entre contas existentes apenas na nuvem e contas locais para identificar sobreposições.
• Remova ou mescle duplicatas: exclua ou mescle o objeto existente apenas na nuvem pelo portal ou pelo PowerShell antes de tentar sincronizar novamente a partir do ambiente local. Isso remove o bloqueio e permite que o objeto correto apareça.
• Sincronize novamente o usuário local: acione uma sincronização delta e confirme se o novo objeto chega à nuvem com os atributos corretos e o Immutable ID.
• Documente a limpeza: registre todas as alterações e as etapas de resolução para evitar confusão e impedir que o problema volte em futuras migrações ou reestruturações.

Você também deve ouvir

Se você está investigando usuário que não sincroniza com o Microsoft Entra ID, estes episódios trazem contexto prático sobre segurança de identidade, governança e operações confiáveis do Microsoft 365.

• Conditional Access – Simply Explained — Entenda como sinais de identidade, dispositivo, localização e risco influenciam as decisões de acesso.
• Privileged Identity Management – Simply Explained — Veja como o privilégio sob demanda e os fluxos de aprovação reduzem a exposição administrativa.
• Microsoft Defender XDR – Simply Explained — Conecte sinais de identidade com detecção, investigação e resposta a incidentes.
• Microsoft Teams Governance – Simply Explained — Saiba como a propriedade clara e as regras de ciclo de vida tornam a colaboração segura sustentável.

Esses episódios ajudam a traduzir as etapas técnicas em uma estratégia mais ampla de identidade e governança.