Terug naar de blog
14 oktober 2026

Azure AD vs Active Directory: zo kies je tussen beide

IT-beheerder vergelijkt traditioneel serverbeheer met cloudbeheer

Active Directory regelt je on-premises domein, Microsoft Entra ID (voorheen Azure AD) regelt inloggen en toegang tot cloudapps. Voor de meeste MKB-bedrijven is een hybride opstelling het meest praktisch: Entra ID voor SaaS en moderne authenticatie, Active Directory zolang legacy-applicaties Kerberos of LDAP nodig hebben. Synchronisatie via Entra Connect of Cloud Sync vormt de brug tussen beide.

Kort samengevat:

  • Entra ID ondersteunt geen rechtstreekse verbindingen via LDAP of Kerberos; inventariseer daarom oude boekhoudpakketten, printservers en intranetten voordat je domeincontrollers uitfaseert.
  • De gratis licentie biedt basisbescherming met meervoudige verificatie via standaardinstellingen, maar fijnmazige Conditional Access vereist minimaal P1; P2 voegt risicogestuurde functies en beheermogelijkheden toe.
  • Entra Connect past bij meerdere directorystructuren of complexe filterregels; Cloud Sync is lichter en kan gebruikers en groepen vanuit de cloud naar Active Directory terugzetten.
  • Een migratie duurt enkele weken tot maanden, afhankelijk van applicaties; test eerst met een kleine groep en controleer attributen en terugvalvoorwaarden.
  • Niet elke groepsbeleidsinstelling heeft een directe vervanger in Intune; breng maatwerkbeleid vóór de migratie in kaart en schrap verouderde regels.
Astia
Kies de juiste identiteitsomgeving
Astia beheert werkplekken, netwerken en telefonie voor mkb-bedrijven, zodat je team veilig kan doorwerken zonder zelf met techniek bezig te zijn.
Bekijk de IT-diensten

Inhoudsopgave

Wat is Active Directory en wat is Microsoft Entra ID?

Beide diensten beheren identiteiten, maar ze komen uit verschillende werelden. Voordat we gaan vergelijken, leggen we de begrippen vast, zodat we dezelfde woorden gebruiken.

  • Active Directory Domain Services (AD DS) is de directoryservice die op je eigen servers draait. Domain controllers bewaren gebruikers, computers en groepen. Je legt beleid vast met groepsbeleid (GPO) en organiseert objecten in organisatie-eenheden (OU’s). Voor authenticatie gebruikt AD DS LDAP, Kerberos en NTLM.
  • Microsoft Entra ID is een cloudgebaseerde identiteitsdienst (Identity-as-a-Service). Het is gebouwd voor single sign-on, meervoudige verificatie (MFA) en moderne, HTTP-gebaseerde protocollen zoals OAuth 2.0, OpenID Connect en SAML.
  • Het verschil in doel: AD DS beheert je interne netwerk en Windows-domein. Entra ID beheert toegang tot cloudapplicaties zoals Microsoft 365 en duizenden andere SaaS-diensten.

Let ook op de naam. Microsoft heeft Azure Active Directory hernoemd naar Microsoft Entra ID. De mogelijkheden blijven hetzelfde, alleen de naam is anders, en Microsoft adviseert om de nieuwe naam te gebruiken. In oudere documentatie, forums en licentieoffertes kom je nog “Azure AD” tegen. Het gaat dan om hetzelfde product.

De hernoeming heeft een praktische reden: de oude naam suggereerde dat Azure AD gewoon “Active Directory in de cloud” was. Dat is een misverstand dat in de praktijk voor veel verkeerde verwachtingen zorgt. Entra ID is een ander soort dienst met een ander toepassingsgebied. Ons eigen artikel over Entra ID en veelvoorkomende licentiefouten gaat dieper op de terminologie in.

Kernverschillen op technisch niveau

De vraag “welke van de twee moet ik hebben?” laat zich pas goed beantwoorden als je weet waar ze technisch uit elkaar lopen. Op meerdere punten zie je de grootste verschillen.

Protocollen en applicaties. Entra ID ondersteunt geen directe LDAP- of Kerberos-bindingen en is geen drop-in vervanging voor AD DS. Een boekhoudpakket, printserver of oude intranetapplicatie die via LDAP zoekt of Kerberos-tickets verwacht, werkt dus niet zomaar tegen Entra ID. Moderne apps die SAML of OpenID Connect spreken, werken juist uitstekend met Entra ID en hebben geen domain controller nodig.

Twee routes tonen de compatibiliteit tussen app en directory

Device- en policybeheer. In AD DS dwing je instellingen af met GPO’s op domeingekoppelde machines. Bij Entra ID verschuift dat naar apparaatbeheer in de cloud, bijvoorbeeld met Intune, en naar beleid voor voorwaardelijke toegang (Conditional Access). Niet elke GPO-instelling heeft een een-op-eenvertaling. Wie veel maatwerk in groepsbeleid heeft, moet dat vóór een migratie in kaart brengen. Hoe je dat aanpakt, lees je in ons artikel over Intune voor beslissers in het MKB.

Beheer en delegatie. In AD DS delegeer je rechten per OU en stuur je gedrag met GPO’s. In Entra ID werk je met rolgebaseerde toegang (RBAC) en administratieve eenheden. Het model is vlakker en minder hiërarchisch. Dat is flexibeler, maar het vraagt een andere manier van denken van beheerders die jarenlang in OU-structuren hebben gewerkt.

Operationele last.

  • Bij on-premises AD draai en patch je zelf de domain controllers, bewaak je de replicatie en regel je back-ups en herstelprocedures.
  • Entra ID is een beheerde dienst: Microsoft zorgt voor de infrastructuur eronder. Jij beheert de configuratie, het beleid en de licenties.
  • Voor een klein IT-team scheelt dat flink in onderhoud, maar je blijft verantwoordelijk voor een goede inrichting. Wij zien in de praktijk dat slecht ingestelde cloudidentiteiten net zo goed een risico zijn als verouderde servers.

Wanneer heb je beide: hybride scenario’s en architectuurpatronen

Zuiver cloud of zuiver on-premises is bij het MKB eerder uitzondering dan regel. Dit zijn enkele patronen die we het vaakst tegenkomen.

  1. AD on-premises met synchronisatie naar Entra ID. Gebruikers blijven in het lokale domein bestaan en worden gesynchroniseerd naar de cloud. Medewerkers loggen met één identiteit in op Windows-applicaties én op Microsoft 365. Dit past bij organisaties met legacy-applicaties die niet weg kunnen, of met bestandsservers die nog op Kerberos leunen.
  2. Entra Domain Services voor legacy-apps in Azure. Een beheerd domein in Azure biedt beperkte ondersteuning voor LDAP, Kerberos en NTLM, zodat een oude applicatie kan meeverhuizen zonder eigen domain controllers. Je krijgt daarbij wel beperkte compatibiliteit: het is geen volwaardige AD-vervanger.
  3. Cloud-first met selectieve provisioning. Entra ID is de bron van waarheid. Alleen waar een lokale toepassing dat nodig heeft, worden gebruikers en groepen teruggeprovisioned naar een lokale AD. Dit is het eindpunt van een stapsgewijze cloudmigratie.

Typische aanleidingen voor een hybride opstelling zijn legacy-software, een gefaseerde migratie die over maanden loopt, en compliance-eisen waardoor bepaalde resources lokaal moeten blijven. Een overzicht van veelvoorkomende hybride scenario’s laat zien dat sommige scenario’s Connect Sync vereisen en andere met Cloud Sync toekunnen. Hybride is dus meestal geen mislukte tussenfase, maar een bewuste keuze.

Synchronisatie en compatibiliteit: Entra Connect, Cloud Sync en Entra Domain Services

Drie hulpmiddelen worden vaak door elkaar gehaald. Dit is wat elk ervan oplost.

  • Microsoft Entra Connect is de uitgebreide synchronisatietool voor complexe omgevingen, bijvoorbeeld met meerdere forests of uitgebreide regels voor attribuutfiltering. Het draait op een server in je eigen netwerk.
  • Microsoft Entra Cloud Sync is lichtgewicht en wordt vanuit de cloud aangestuurd, met een kleine agent on-premises. Het kan gebruikers, groepen en lidmaatschappen terug provisionen van Entra ID naar AD, waarbij de cloud de bron van autoriteit is.
  • Microsoft Entra Domain Services levert een beheerd domein met beperkte legacy-ondersteuning. Je kunt er geen schemawijzigingen doen en niet alle beheerrechten gebruiken zoals in een eigen domein.
  • Wat de keuze bepaalt: welke functies je nodig hebt (bijvoorbeeld writeback), de complexiteit van je omgeving en of je nog een eigen synchronisatieserver wilt onderhouden.

Houd bij de planning rekening met de bron van autoriteit. Een object in Entra ID is óf cloud-beheerd óf on-premises beheerd, en bij synchronisatie kan die bron veranderen. Synchronisatieregels bepalen welke attribuutwaarden behouden blijven. Dat heeft direct gevolgen voor wachtwoorden en voor applicaties die op LDAP leunen.

Pro-tip: Start met een proefsynchronisatie van een kleine groep en controleer per attribuut welke bron wint, voordat je de hele organisatie koppelt.

Beveiliging en licenties: MFA, Conditional Access en wat dat voor het MKB betekent

Een groot deel van de beslissing draait uiteindelijk om beveiliging en om wat je ervoor betaalt. Microsoft Entra ID kent drie licentieniveaus: Free, P1 en P2, met oplopende mogelijkheden.

  • Free: basisfuncties voor identiteitsbeheer. Beveiligingsinstellingen (security defaults) geven je basis-MFA zonder extra kosten.
  • P1: voegt fijnmazige Conditional Access toe, waarmee je toegang laat afhangen van locatie, apparaatstatus of toepassing. Voor Conditional Access is minimaal P1 nodig.
  • P2: voegt risicogestuurde mogelijkheden en governance-functies toe, zoals het automatisch reageren op verdachte aanmeldingen.
  • On-premises AD: heeft geen eigen licentiemodel voor MFA en Conditional Access. Wie dat wil, bouwt het er zelf omheen of koppelt het aan Entra ID.

Het licentiemodel van Microsoft Entra ID kent drie niveaus (Free, P1 en P2), en alleen vanaf P1 krijg je fijnmazige Conditional Access, volgens de licentiedocumentatie van Microsoft. Voor een MKB-bedrijf met Microsoft 365 is dat vaak de belangrijkste licentiebeslissing: begin met MFA voor iedereen, en ga naar P1 zodra je toegang per situatie wilt sturen. Ga je aan de slag met MFA? Onze stap-voor-stapgids voor MFA in Microsoft 365 helpt je op weg.

Praktische beslis- en migratiestappen: checklist voor een migratietraject

Een migratie slaagt of mislukt in de voorbereiding. Dit is de volgorde die wij aanhouden.

  1. Inventariseer applicatie-afhankelijkheden. Welke applicaties gebruiken LDAP, Kerberos of GPO-instellingen? Leg per applicatie vast wat er verandert als de domain controller verdwijnt.
  2. Doe een impactanalyse. Bepaal welke GPO’s een vervanger krijgen in Intune of Conditional Access, en welke instellingen vervallen.
  3. Kies de synchronisatie- of provisioningoplossing. Entra Connect, Cloud Sync of Entra Domain Services, afhankelijk van wat je in de vorige stappen hebt gevonden.
  4. Test met een pilotgroep. Kies een kleine, representatieve groep gebruikers en laat die een paar weken meedraaien voordat je breder uitrolt.
  5. Leg een terugvalplan vast. Bepaal vooraf onder welke voorwaarden je terugschakelt, en wie dat besluit.
  6. Voer de uitrol uit in fases. Werk per afdeling of locatie, zodat storingen beperkt blijven.
  7. Controleer na de migratie. Kijk naar aanmeldingen, MFA-dekking, synchronisatiefouten en toegangsrechten. Ruim daarna oude accounts en servers op.

Reken voor een MKB-omgeving op enkele weken tot maanden, afhankelijk van het aantal applicaties. Een praktische aanpak vind je ook in onze gids voor Microsoft 365-migratie.

Pro-tip: Bouw je omgeving niet één-op-één na in de cloud. Een migratie is het moment om oude GPO’s en verlaten accounts op te ruimen in plaats van mee te nemen.

Perspectief van ASTIA: wanneer een managed service waarde toevoegt

Niet elk bedrijf wil of kan dit zelf uitvoeren. Daar komen wij in beeld.

  • Cloud & Samenwerken: wij zetten Microsoft 365 en Entra ID op en begeleiden de cloudmigratie.
  • Werkplekbeheer: wij beheren de apparaten en het beleid ervoor, inclusief Intune.
  • Minder risico, meer tijd: je IT-team of directeur hoeft niet zelf uit te zoeken hoe synchronisatie, licenties en beleid samenkomen.

Meer achtergrond lees je in ons kennisbankartikel over Microsoft 365 versus een eigen server.

Waarom de keuze minder technisch is dan het lijkt

Mijn stelling: de meeste MKB-bedrijven besteden te veel tijd aan de vraag “AD of Entra ID?” en te weinig aan de vraag “wat hangt er eigenlijk aan mijn domain controller?”. Het antwoord op de eerste vraag volgt bijna altijd uit het antwoord op de tweede. Zijn er geen legacy-applicaties meer die Kerberos of LDAP nodig hebben, dan is de domain controller een kostenpost zonder reden. Staan er wel zulke applicaties, dan is hybride gewoon de verstandige stand.

Wat ik overschat vind, is de drang om alles in één keer te migreren. Een gefaseerde aanpak met een duidelijke bron van autoriteit is bijna altijd veiliger. Wat ik onderschat vind, is MFA: het kost weinig en dekt een groot deel van de realistische aanvallen af, ruim vóórdat je aan dure P2-functies toekomt. Mijn advies is dus: breng eerst je afhankelijkheden in kaart, zet MFA aan voor iedereen en pas daarna het architectuurplaatje. De techniek is zelden het struikelblok. Het gebrek aan overzicht is dat wel.

— Mick

Hoe wij je helpen met Entra ID en je identiteitsomgeving

Wil je weten welke opstelling bij jouw bedrijf past, zonder zelf alle documentatie door te ploegen? Met onze dienst Cloud & Samenwerken nemen wij de inrichting en het beheer van Entra ID en Microsoft 365 uit handen, samen met een veilige cloudmigratie en werkplekbeheer. Jij kiest een vaste prijs per werkplek, wij zorgen dat het werkt en veilig blijft.

Astia

Plan een kennismakingsgesprek via onze pagina over IT uitbesteden en we bekijken samen waar jouw omgeving staat.

Veelgestelde vragen

Gebruikt Microsoft zelf Active Directory?

Microsoft biedt Active Directory Domain Services aan als onderdeel van Windows Server en Entra ID als cloudtegenhanger. Beide zijn bedoeld voor verschillende situaties, en veel organisaties draaien ze naast elkaar in een hybride opstelling.

Is ADFS hetzelfde als single sign-on?

Nee. Single sign-on is het principe dat je één keer inlogt voor meerdere applicaties. ADFS is een specifieke dienst die dat on-premises mogelijk maakt via federatie. Entra ID kan dezelfde single sign-on leveren vanuit de cloud.

Zijn Microsoft Azure en Windows Azure hetzelfde?

Ja, Windows Azure is de oorspronkelijke naam van het cloudplatform dat nu Microsoft Azure heet. Dat staat los van de naamswijziging van Azure AD naar Microsoft Entra ID.

Wat is het verschil tussen Active Directory en een domain controller?

Active Directory is de directoryservice waarin identiteiten en beleid zijn vastgelegd. Een domain controller is de server waarop die dienst draait en die aanmeldverzoeken afhandelt. Zonder domain controller werkt on-premises Active Directory dus niet.

Is Azure AD veilig?

Entra ID biedt standaard basisbeveiliging, waaronder MFA via security defaults. Hoe veilig je omgeving uiteindelijk is, hangt af van je configuratie en licentieniveau, want Conditional Access begint pas bij P1.

Bronnen

Astia
Bespreek je identiteitsomgeving
Neem contact op met Astia om te bespreken hoe IT-beheer van werkplekken en netwerken aansluit op de behoeften van jouw bedrijf.

Aanbevelingen