Azure AD Connect: forcing a sync and fixing an object that won't reach Entra ID

Qué vas a conseguir

Entender el camino que sigue una cuenta desde Active Directory hasta Entra ID, forzar una sincronización cuando no puedes esperar 30 minutos, y resolver los tres errores que explican casi todos los "no aparece en Microsoft 365".

Antes de empezar

Acceso al servidor donde está instalado Microsoft Entra Connect (el nombre nuevo de Azure AD Connect). Suele ser un servidor miembro, no un controlador de dominio.
Pertenecer al grupo local ADSyncAdmins de ese servidor, o ser administrador local. No necesitas ser Global Admin para forzar un ciclo.
Saber qué OUs están incluidas en la sincronización: si el usuario está en una OU fuera del filtro, nunca pasará, haga lo que haga.

1. Cómo viaja un objeto

Entra Connect sincroniza cada 30 minutos en tres pasos: importa de AD al espacio del conector, lo pasa al metaverso aplicando las reglas, y exporta a Entra ID. Un cambio en AD tarda, como mucho, 30 minutos más lo que tarde Entra ID en aprovisionar el buzón y las licencias.

Lo que sí es instantáneo es lo contrario: si quieres que algo se vea hoy, se fuerza; si se ve mal, el origen casi siempre es el objeto en AD, no el conector.

2. Forzar el ciclo

PowerShell · servidor de Entra Connect

›Import-Module ADSync›Get-ADSyncScheduler | Select-Object SyncCycleEnabled, NextSyncCycleStartTimeInUTC, SyncCycleInProgressSyncCycleEnabled            : TrueNextSyncCycleStartTimeInUTC : 21/10/2026 15:30:02SyncCycleInProgress         : False›Start-ADSyncSyncCycle -PolicyType DeltaResult------Success

Delta sincroniza solo los cambios y tarda un par de minutos. Initial relee todo y solo se usa tras cambiar el filtrado de OUs o las reglas. Si SyncCycleInProgress es True, espera a que acabe: lanzar otro no lo acelera.

Si SyncCycleEnabled es False, alguien lo desactivó (suele hacerse durante una migración o un cambio de reglas) y se olvidó de volver a activarlo. Set-ADSyncScheduler -SyncCycleEnabled $true lo devuelve a la normalidad.

3. El usuario sigue sin aparecer

Abre Synchronization Service Manager (miisclient.exe, en la carpeta de instalación) y mira la pestaña Operations: cada ejecución muestra el conector, el perfil y si hubo errores.

Synchronization Service Manager · Operations

Operationscontoso.localDelta Import · Success

Operationscontoso.onmicrosoft.com - AADExport · completed-export-errors

Errores1

ObjetoCN=Laura Prado,OU=Ventas,OU=Usuarios,DC=contoso,DC=local

ErrorAttributeValueMustBeUnique

AtributoProxyAddresses

Valor en conflictoSMTP:laura.prado@contoso.com

Los tres errores que verás una y otra vez:

AttributeValueMustBeUnique: otro objeto en Entra ID ya tiene ese correo o proxyAddresses. Suele ser un usuario antiguo (en la papelera de Entra ID o un invitado) o un buzón compartido. Busca el valor en Entra ID y en los eliminados (Get-MgDirectoryDeletedItemAsUser) y resuelve el duplicado.
InvalidSoftMatch o LargeObject: el UPN o el correo contienen caracteres no permitidos, o un atributo tiene más valores de la cuenta. IdFix (herramienta gratuita de Microsoft) recorre todo el AD y lista estos problemas antes de que lleguen al conector.
El objeto no está en el espacio del conector: no es error, es filtro. En Connectors → contoso.local → Properties → Configure Directory Partitions → Containers se ve qué OUs se sincronizan. Si la OU no está marcada, el usuario no existe para Entra ID.

Para ver un objeto concreto: pestaña Metaverse Search, busca por displayName y abre Connectors: tiene que aparecer en los dos (AD y Entra ID). Si solo está en AD, mira Lineage y la regla que lo dejó fuera (cloudFiltered).

4. Atributos que importan

userPrincipalName tiene que ser un dominio verificado en Entra ID. Un UPN @contoso.local se convierte en @contoso.onmicrosoft.com y el usuario no podrá iniciar sesión con su correo.
mail y proxyAddresses definen las direcciones del buzón. La principal lleva SMTP: en mayúsculas.
msExchUsageLocation rellena la ubicación de uso que exige la licencia (guía de Microsoft 365 y licencias).
extensionAttribute1-15 viajan si se seleccionaron en el asistente: son útiles para grupos dinámicos.

5. Qué poner en el ticket

Hora del último ciclo, el conector que dio error, el nombre del objeto y el texto del error. Con eso, quien administre Entra ID sabe si es un duplicado o un filtro sin abrir la consola.

Siguientes pasos

Pasa IdFix antes de incorporar una OU nueva: evita los errores de exportación en bloque.
Activa Entra Connect Health para ver los ciclos y los errores desde el portal, sin entrar en el servidor.
En el Nivel 4 verás las migraciones de tenant, donde Entra Connect es la pieza que hay que desmontar y volver a montar con cuidado.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.

What you'll get

Understand the path an account takes from Active Directory to Entra ID, force a sync when you can't wait 30 minutes, and resolve the three errors behind almost every "doesn't appear in Microsoft 365".

Before you start

Access to the server where Microsoft Entra Connect (the new name for Azure AD Connect) is installed. It is usually a member server, not a domain controller.
Membership of that server's local ADSyncAdmins group, or local administrator. You don't need Global Admin to force a cycle.
Know which OUs are included in the sync: if the user sits in an OU outside the filter, it will never cross, whatever you do.

1. How an object travels

Entra Connect syncs every 30 minutes in three steps: import from AD into the connector space, pass to the metaverse applying the rules, and export to Entra ID. A change in AD takes at most 30 minutes plus whatever Entra ID needs to provision the mailbox and licences.

What is immediate is the opposite: if you need something visible today, you force it; if it looks wrong, the cause is almost always the object in AD, not the connector.

2. Force the cycle

PowerShell · Entra Connect server

›Import-Module ADSync›Get-ADSyncScheduler | Select-Object SyncCycleEnabled, NextSyncCycleStartTimeInUTC, SyncCycleInProgressSyncCycleEnabled            : TrueNextSyncCycleStartTimeInUTC : 21/10/2026 15:30:02SyncCycleInProgress         : False›Start-ADSyncSyncCycle -PolicyType DeltaResult------Success

Delta syncs only the changes and takes a couple of minutes. Initial re-reads everything and is only used after changing OU filtering or rules. If SyncCycleInProgress is True, wait for it to finish: launching another does not speed it up.

If SyncCycleEnabled is False, someone turned it off (usually during a migration or a rule change) and forgot to turn it back on. Set-ADSyncScheduler -SyncCycleEnabled $true restores normal service.

3. The user still doesn't appear

Open Synchronization Service Manager (miisclient.exe, in the installation folder) and look at the Operations tab: every run shows the connector, the profile and whether there were errors.

Synchronization Service Manager · Operations

Operationscontoso.localDelta Import · Success

Operationscontoso.onmicrosoft.com - AADExport · completed-export-errors

Errors1

ObjectCN=Laura Prado,OU=Sales,OU=Users,DC=contoso,DC=local

ErrorAttributeValueMustBeUnique

AttributeProxyAddresses

Conflicting valueSMTP:laura.prado@contoso.com

The three errors you will see again and again:

AttributeValueMustBeUnique: another object in Entra ID already holds that email or proxyAddresses. It is usually an old user (in the Entra ID recycle bin, or a guest) or a shared mailbox. Search the value in Entra ID and among deleted items (Get-MgDirectoryDeletedItemAsUser) and resolve the duplicate.
InvalidSoftMatch or LargeObject: the UPN or email contains characters that are not allowed, or an attribute has more values than permitted. IdFix (Microsoft's free tool) walks the whole AD and lists these problems before they reach the connector.
The object is not in the connector space: not an error, a filter. Connectors → contoso.local → Properties → Configure Directory Partitions → Containers shows which OUs are synced. If the OU is unticked, the user does not exist for Entra ID.

To look at one object: Metaverse Search tab, search by displayName and open Connectors: it has to appear in both (AD and Entra ID). If it is only in AD, check Lineage and the rule that left it out (cloudFiltered).

4. Attributes that matter

userPrincipalName has to be a domain verified in Entra ID. A @contoso.local UPN becomes @contoso.onmicrosoft.com and the user can't sign in with their email.
mail and proxyAddresses define the mailbox addresses. The primary carries SMTP: in upper case.
msExchUsageLocation fills the usage location the licence requires (see the Microsoft 365 and licences guide).
extensionAttribute1-15 travel if they were selected in the wizard: useful for dynamic groups.

5. What to put in the ticket

Time of the last cycle, the connector that errored, the object name and the error text. With that, whoever administers Entra ID knows whether it is a duplicate or a filter without opening the console.

Next steps

Run IdFix before onboarding a new OU: it avoids export errors in bulk.
Enable Entra Connect Health to see cycles and errors from the portal, without logging on to the server.
In Level 4 you'll see tenant migrations, where Entra Connect is the piece that has to be taken apart and rebuilt with care.

Is something missing, or different in your environment? Get in touch and I'll fix it.

Tech Career Lab · newsletter

¿Te ha servido? Cada dos semanas envío una idea práctica para perfiles IT: LinkedIn, proyectos, networking y procesos de selección.Found this useful? Every two weeks I send one practical idea for IT professionals: LinkedIn, projects, networking and hiring processes.

Apúntate y llévate las 33 ideasSign up and get the 33 ideas →