BitLocker + Entra Hybrid Join 2026: Sync AD Local com Entra ID

bitlocker entra hybrid join entra connect azure ad connect active directory device writeback password hash sync pass-through authentication windows 11 intune  |  ✎ Duarte Spínola  |  2026-06-15

Em 2026, mais de 70% das PMEs europeias com 25-250 colaboradores ainda têm Active Directory on-premises (AD DS) e mantêm-no durante 5-10 anos enquanto migram workloads para cloud. O problema: o BitLocker recovery key storage no Entra ID exige que o device esteja registado no Entra ID, e o AD local não tem essa capacidade. A solução é o Microsoft Entra Connect (formalmente Azure AD Connect): um sync engine que escreve uma “sombra” do objeto computador do AD no Entra ID, permitindo hybrid join — o device fica em ambos os mundos, on-premises E cloud, com single sign-on (SSO) transparente. Este artigo mostra como instalar o Entra Connect em modo Express, configurar Hybrid Azure AD Join, validar BitLocker recovery keys no Entra ID, e escolher entre Password Hash Sync, Pass-Through Authentication e Cloud Sync em cenários reais.

Conteúdos

• 1. 1. O que Está a Acontecer — A Convergência AD + Entra ID
• 2. 2. Cenários em que Este Problema Aparece
• 3. 3. Pré-requisitos (Validar Antes de Instalar Entra Connect)
• 4. 4. Instalar Entra Connect em Modo Express
• 5. 5. Configurar Hybrid Azure AD Join
• 6. 6. Configurar BitLocker Recovery Key Writeback
• 7. 7. Escolher Entre Pass-Through Auth, PHS e Cloud Sync
• 8. 8. Troubleshooting — 8 Problemas Comuns
• 9. 9. Outras Causas / Cenários Adjacentes
• 10. 10. Como Evitar Problemas no Futuro
• 11. Anexo A — Quick Reference: Cmdlets Entra Connect
• 12. Anexo B — Comparação Entra Connect vs Cloud Sync vs ADFS
• 13. Nota de Transparência (Obrigatória, 2026-06-15)

1. O que Está a Acontecer — A Convergência AD + Entra ID

A maioria das empresas europeias tem um legado de Active Directory on-premises que não pode ser descontinuado abruptamente: file servers, impressoras partilhadas, aplicações Win32 com kerberos authentication, GPO de conformidade. Migrar tudo para cloud-only Entra ID demora 18-36 meses. A Microsoft desenhou o Entra Connect para preencher a lacuna.

1.1 A Tríade de Autenticação Híbrida

O Entra Connect oferece 3 métodos de autenticação, cada um com trade-offs diferentes:

A regra de ouro Microsoft desde 2023: preferir Cloud Sync + PHS para greenfield e migrações. PTA é aceitável para PMEs com compliance específico. ADFS está em declínio (Microsoft investe menos nesta área a cada ano).

1.2 Porquê Hybrid Join (e não “Domain Join puro”)

Um device que só está joined ao AD on-premises (domain-joined puro) tem 5 limitações em 2026:

1. Não aparece no Entra ID → não pode usar Conditional Access baseado em device compliance
2. Não suporta FIDO2 passwordless em todos os apps (apenas em federados)
3. Não suporta Windows Hello for Business cloud-only (precisa de certficação on-premises ou Intune Certificate Connector)
4. Recovery keys do BitLocker não são centralizadas — ficam no AD (obscure) ou em ficheiro/USB (perigoso)
5. Wipe remoto do Intune não funciona — só o admin on-premises pode fazer dsrm

O Hybrid Join resolve todas estas limitações: o device está em AMBOS os mundos, herda GPOs do AD e políticas cloud do Entra ID/Intune, recovery keys ficam no Entra ID (auditável), e wipe remoto funciona.

1.3 Timeline 2014-2026

1.4 O que o Entra Connect NÃO Resolve

O Entra Connect sincroniza identidades, grupos, devices e (opcionalmente) BitLocker recovery keys. NÃO sincroniza:

• Passwords em cleartext (PHS envia apenas hash, encriptado)
• GPOs (continuam a ser aplicadas pelo AD on-premises)
• File shares / permissões NTFS (ficam no AD)
• Group memberships locais (fica no AD)
• Computer certificates (precisam de certficação on-premises)
• Exchange hybrid (precisa de HCW — Hybrid Configuration Wizard)

Para empresas com Exchange on-premises + Exchange Online (cenário híbrido), o Entra Connect é necessário mas insuficiente — precisa do HCW (Exchange Hybrid Configuration Wizard) também.

2. Cenários em que Este Problema Aparece

Este artigo resolve 5 cenários reais de sysadmin em 2026:

• Cenário A — PME 50-100 cols, AD on-premises + M365: Tem Windows Server 2019/2022 com AD DS, ~100 portáteis Windows 11 em domínio. Quer mover parte para cloud (M365, Intune, BitLocker recovery keys no Entra ID) sem perder o GPO on-premises. Quer hybrid join.
• Cenário B — Migração gradual para cloud-only: Quer começar com hybrid join e em 2-3 anos cortar o AD on-premises. Precisa de Entra Connect + Cloud Sync bem configurado para migração limpa.
• Cenário C — Compliance NIS2/DORA: Auditor exige prova de que BitLocker recovery keys estão centralizadas e auditáveis (não em ficheiros nos users). Hybrid join + Entra ID backup é o “minimum viable compliance”.
• Cenário D — Empresa multi-geografia: AD on-premises em PT, escritórios em BR e MZ com latência alta para o DC. Pass-Through Authentication resolve latência, mas precisa de agentes PTA locais em cada geografia.
• Cenário E — Aquisição (M&A): Empresa X compra empresa Y. X tem Entra ID produtivo; Y tem AD on-premises. Precisam de configurar Entra Connect no AD de Y para federar identidades enquanto migram Y para o tenant de X.

Se o cenário é “cloud-only, sem AD on-premises” → este artigo é overkill, ler o artigo “BitLocker + Entra ID Join 2026” (cloud-only) em vez deste.

3. Pré-requisitos (Validar Antes de Instalar Entra Connect)

3.1 Infraestrutura On-Premises

3.2 Conta de Serviço no AD

Criar uma OU dedicada Service Accounts e uma conta svc-entra-connect com:

• Domain User standard
• Replicating Directory Changes permission
• Write permission no userCertificate attribute (para Hybrid Join)
• Não fazer expirar a password (sincronização falha após 1 ano se expirar)
• Não usar Domain Admin (risco de segurança)

3.3 Conta no Entra ID

Precisa de uma conta com role Hybrid Identity Administrator (não Global Admin — é mais restritivo e suficiente).

3.4 Verificar Versão Suportada do Entra Connect

Microsoft publica uma tabela de compatibilidade que cruza versões do Entra Connect com builds do Windows Server. Para Junho 2026, versões suportadas: 2.3.x e 2.4.x (versões mais antigas 1.x estão em fim de suporte a partir de 2024).

3.5 Comandos de Diagnóstico Pré-Instalação (Testado em: 2026-06-15, sintaxe Microsoft Learn)

Saída esperada de Test-NetConnection (testado em: sintaxe Microsoft Learn, 2026-06-15):

4. Instalar Entra Connect em Modo Express

O modo Express é o caminho padrão para 80% das PMEs: single-forest, password hash sync, forest prep automático.

4.1 Download e Instalação

1. Sign in ao servidor de sync (Windows Server 2019/2022) como Domain Admin local
2. Download Microsoft Entra Connect Sync da Entra Connect Version History (link de download direto na tabela)
3. Executar AzureADConnect.msi como Administrator
4. Na janela de boas-vindas, marcar “I agree to the licensing terms” > Continue
5. Escolher “Use express settings” (não Custom — Custom é para cenários multi-forest ou federation)
6. Connect to Microsoft Entra ID — inserir credenciais da conta Hybrid Identity Administrator
7. Connect to AD DS — inserir credenciais da conta Enterprise Admin (FABRIKAM\admin ou fabrikam.com\admin)
8. Sign-in configuration — se o UPN dos users no AD não corresponde ao domínio verificado no Entra ID, esta página permite configurar. Para 95% dos casos, está pré-configurado.
9. Ready to configure:

• Marcar “Start the synchronization process when configuration completes” (recomendado)
• Exchange hybrid: marcar se a empresa tem Exchange on-premises + Exchange Online em paralelo

1. Install — 5-15 min dependendo do tamanho do AD

CRÍTICO: Antes de usar o Synchronization Service Manager, sign out e sign in novamente no servidor (ou reiniciar). As permissões AD só ficam ativas após novo logon.

4.3 Validar que Sync Iniciou

1. Abrir Synchronization Service Manager (C:\Program Files\Microsoft Azure AD Sync\UIShell\miisclient.exe)
2. Verificar que o connector AD (on-premises) tem run profile “Delta Import” e “Delta Sync” com sucesso
3. Verificar que o connector Entra ID (Azure) tem run profile “Delta Sync” e “Export” com sucesso
4. O Azure AD Sync Scheduler (novo desde build 1.1.105.0) corre automaticamente a cada 30 minutos

O que FOI testado

• 2026-06-14 a 2026-06-15: Pesquisa em 10 URLs Microsoft Learn (Entra Connect express, scheduler, hybrid join, PTA, PHS, Cloud Sync, prerequisites, BitLocker Overview, group writeback, device writeback). Todas validadas a 200 OK com verificação manual de HTTP status.
• 2026-06-15: Pesquisa no kbase.pt (sitemap com 243+ artigos) — confirmada ausência de artigos dedicados a Entra Connect, Hybrid Azure AD Join, Pass-Through Authentication, Device Writeback, Group Writeback. Único artigo relacionado: active-directory-diagnostico-problemas-comuns (do Duarte, 2021) — não cobre Entra Connect nem Hybrid Join especificamente.
• 2026-06-15: PowerShell 7.4 em host Linux — verificação sintática dos cmdlets do módulo ADSync (todos validados contra Microsoft Learn, 2026-06-15): Get-ADSyncScheduler, Set-ADSyncScheduler, Start-ADSyncSyncCycle, Import-Module ADSync, Get-ADSyncConnectorRunStatus, Set-ADUser, Test-NetConnection. Sem execução real contra AD on-premises (Duarte não tem AD produtivo, não tem infra Windows Server em Termux).

O que NÃO foi testado

• Instalação real do Entra Connect Sync 2.x: o Duarte não tem Windows Server 2019/2022 para instalar. O wizard foi documentado visualmente com base em Microsoft Learn + screenshots oficiais, mas o output de Synchronization Service Manager é extrapolado.
• Hybrid Join real com AD on-premises: o Duarte não tem AD DS. Os cmdlets dsregcmd /status foram validados sintaticamente, mas o output “EnterpriseJoined: YES” é hipotético (esperado em ambiente produtivo).
• BitLocker recovery key writeback ao Entra ID: o Duarte não tem BitLocker ativo nem Entra ID produtivo. O writeback foi documentado com base em Microsoft Learn + casos públicos (Microsoft Tech Community blogs, 2024-2025).
• PTA, PHS em produção: o Duarte não tem AD nem Entra ID produtivo. A configuração de cada método foi documentada com base em Microsoft Learn.
• Staging mode e failover: documentado, não testado em produção.
• PIM, audit logs, Log Analytics integration: documentados, não deployados.

Hardware do autor

• Termux num Samsung SM-G986B (Android 13, OneUI 5.1, kernel 4.14.190-perf+). Sem Windows Server, sem AD DS, sem Entra ID produtivo, sem Windows 11 físico, sem TPM 2.0, sem M365 ativo (trial E5 expirado 2026-04-30). Validação feita em PowerShell 7.4 no host Termux (sintaxe) + Microsoft Learn (fontes oficiais).
• Limitação crítica: o Duarte não pode testar Entra Connect em ambiente real porque não tem infra Windows Server. Cmdlets foram validados contra a sintaxe da documentação Microsoft, mas o output pode variar em ambientes com AD multi-forest, federation ADFS, ou versões antigas do Entra Connect 1.x.

Vigilância temporal

• Validade deste artigo: até Dez-2027 (18 meses a partir de 2026-06-15).
• Razão: Entra Connect e Hybrid Join são frameworks estáveis com ciclo de vida previsível. Mudanças previsíveis até Dez-2027: (1) Microsoft Entra Connect Sync 2.5+ (possível release em 2027 com melhorias de performance), (2) Cloud Sync gaining Device Writeback (roadmap público Microsoft, possível 2026-Q4/2027-Q1), (3) depreciação do Entra Connect Sync 1.x (já deprecated desde 2024), (4) Windows 12 (provável Out-2026) com novos pré-requisitos TPM e possível nova mecânica de hybrid join, (5) NIS2 revisão bienal (próxima 2028).
• Verificar antes de aplicar: confirmar versões Entra Connect Sync suportadas (2.3.x e 2.4.x em 2026; 1.x é unsupported), cmdlets ADSync substituíram DirSync desde 2024, e interface do Entra admin center (Microsoft renomeia menus com frequência — “Devices > All devices > BitLocker keys” pode mudar).

Artigos relacionados

• BitLocker + Entra ID Join 2026 — a versão cloud-only deste guia, para dispositivos sem AD on-premises.
• Microsoft Entra MFA 2026 — autenticação multi-factor que complementa o Hybrid Join.
• Zero Trust para PMEs 2026 — enquadrar o Hybrid Join e BitLocker numa arquitetura Zero Trust.
• NIS2: Implementação em 90 Dias — encriptação e identidade híbrida como pilares de compliance NIS2.

← Voltar ao Índice