MSXFAQ MeetNow aktiv: Komm doch einfach dazu.

ExchangeManagedAttributeProvisoiningBlockedforTenant

Auf diesen Fehler können Sie stoßen, wenn Sie IsExchangeCloudManaged arbeiten und den Tenant auf ExchangeAttributesCloudManagedByDefault gestellt haben und weiter lokal Benutzer anlegen.

Zielumgebung

Immer mehr Kunden nutzen Exchange Online zu 100% und möchten den lokalen Exchange Server komplett entfernen oder haben ihn schon entfernt. Die Deinstallation von Exchange OnPremises ist aber nicht gleichbedeutend mit einer Abschaltung des Verzeichnisabgleich Wir werden also Benutzer, Kontakte und Gruppen haben, die in Entra ID den Status "DirSynced" haben und daher weiter im lokalen AD angelegt werden. Daher bietet sich ein Wechsel des "State of Authority" (SOA) für User und vielleicht auch für Gruppen an. Für Postfächer gibt es dazu extra die Funktion IsExchangeCloudManaged, um die Verwaltung aus dem lokalen Active Directory nach Exchange Online zu verlagern.. Das betrifft aber nur die Postfächer. Für Verteiler müssen wir uns andere Dinge anschauen.

Aber auch das lokale Provisioning muss darauf Rücksicht nehmen. Entra ID Connect Sync/Cloud Sync kann ja weiterhin lokal die eventuell vorhandenen oder gesetzten Exchange Felder lesen, synchronisieren und an den Entra ID Provisioning Service übergeben. Der Verzeichnisabgleich muss aktuell genug sein aber auch ihr eigenes Provisioning muss ggfls.. angepasst werden.

Vorarbeiten DirSync

Hinsichtlich Verzeichnisabgleich gibt Microsoft einige Informationen. Die erforderliche Mindestversion ist 2.5.190.0, damit Entra ID Connect Sync die Informationen aus ihrem Tenant korrekt einliest und den Export unterbindet. Ein möglicher Fehler in dem Umfeld ist ansonsten "ExchangeManagedAttributesUpdateNotAllowed"

Dieser Fehler kann über eine aktuelle Entra ID Connect Sync-Version gelöst werden.

Das Problem eines "zu alten DirSync" sollten Sie ernst nehmen. Siehe dazu auch Entra ID Connect Sync Sep 2026

Ein zweiter Fehler ist allerdings "ExchangeManagedAttributeProvisoiningBlockedforTenant". Der kann auch mit der aktuellsten Version von Entra ID Connect Sync auftreten.

Testumgebung

Um den Fehler zu reproduzieren, habe ich folgende Umgebung genutzt.

  • Windows 2022 Domain Controller
  • Entra ID Connect Sync 2.6.91.0 (stand Sep 2026)
  • Exchange Online auf ExchangeAttributesCloudManagedByDefault

    Ausgabe von : "Set-OrganizationConfig -ExchangeAttributesCloudManagedByDefault"

Lauf 1: ExchangeManagedAttributeProvisoiningBlockedforTenant

Ich habe dann einen neuen Benutzer im lokalen AD angelegt und das ExtensionAttribute1 gefüllt. Beim nächsten Sync wurde der Benutzer nicht in Entra ID angelegt und in Entra ID Connect Sync habe ich einen Fehler.

Im "Export Error" finde ich einige Details:

Leider liefert der Fehler keine Details, welches Feld hier der Cloud nicht gefällt. Ich kann aber über die Preview-Funktion sehen, dass hier das Feld angeblich keine "Data Source" hat. 

Das ist zwar nur ein indirekter Indikator aber schon ein deutlicher Hinweise.

Entra ID Connect Health

Im Entra ID-Portal ist der Fehler übrigens nicht zu sehen

Entra ID AuditLog

Allerdings finde ich im Entra ID Audit-Log sehr wohl einen "Failure" Eintrag.


Die Details verraten auch, dass es sich um einen neuen User handelt. In der Activity sehen wir den "Add User" mit dem Fehler und meinen Entra ID Connect Sync Account

Unter Target steht dann den UPN des neuen Benutzers:

Und bei den "Modified Properties" alle Felder, die ich gerne geschrieben hätte.

Allerdings taucht der Benutzer weder in Entra ID noch Exchange Online auf:

Er muss aber irgendwo sein und wir wissen ja, dass Entra ID Connect weder direkt ins Entra ID noch ins Exchange Verzeichnis schreibt, sondern ein Provisoining-Service in der Cloud als Vermittler dient. Ich weiß aber nicht, wie ich dessen Status oder Informationen einsehen kann.

Lauf 2: User wird sichtbar

"Irgendwas" muss aber in Entra ID/Exchange Online schon geblieben sein. Wobei wir ja alle wissen, dass Entra ID Connect Sync nicht direkt in Entra ID oder das Exchange Online Verzeichnis schreibt, sondern nur einen "Provisioning Request" gegen den Entra ID Provisioning Service stellt. In dieser Metadatenbank scheint der Benutzer schon angekommen zu sein. Denn beim nächsten "Delta Import" aus Entra ID gab eine eine Änderung:

Normalerweise steht da ein "0". Bei darauffolgenden Export war der Fehler "verschwunden" und ein erfolgreiches "Add" wurde protokolliert:

Die Details dazu zeigen, welche Felder zu Entra ID geschrieben werden:

Ich sehe ich aber keine "ExtensionAttributes1-15 oder andere Felder, die ich OnPremises gesetzt habe. Beim Preview auf den Connector zu Entra ID sind die Felder aber noch da:

Der Benutzer war danach in Entra ID vorhanden. Er hatte sogar einen MailNickname, den Entra ID aus dem Userpart des UPN erzeugt. Er hatte aber keine Mailadresse und in Exchange Online war er noch nicht sichtbar. Ich konnte ihn nur mit "Get-User" als bekannte Identität anzeigen. (leere Felder und Systemfelder entfernt)

PS C:\> get-user newuser@msxfaqdev.de | fl

IsSecurityPrincipal                : True
DelayReleaseHoldApplied            : False
SamAccountName                     : $SEHES0-IA7M8I6S8B3O
Sid                                : S-1-5-21-754178508-xxxxxx-xxxxxxxxxx-xxxxxx
SidHistory                         : {}
UserPrincipalName                  : newuser@msxfaqdev.de
BulkMailEnabled                    : False
ResetPasswordOnNextLogon           : False
RemotePowerShellEnabled            : True
EXOModuleEnabled                   : True
WindowsLiveID                      : newuser@msxfaqdev.de
MicrosoftOnlineServicesID          : newuser@msxfaqdev.de
NetID                              : xxxxxxxxxxxxxxxxxxxxxxxxxxx
IsCloudCacheProvisioningComplete   : False
IsCloudCache                       : False
CloudCacheAccountType              : None
CloudCacheScope                    : 0
IsCloudCacheBlocked                : False
UserAccountControl                 : NormalAccount
IsLinked                           : False
CreationType                       : None
RoamingOptIn                       : False
UserType                           : Member
UserPersona                        : InternalMember
ExternalDirectoryObjectId          : xxxxxxxxxxxxxxxxxxxxxxx
SKUAssigned                        :
IsSoftDeletedByRemove              : False
IsSoftDeletedByDisable             : False
PreviousRecipientTypeDetails       : None
UpgradeRequest                     : None
UpgradeStatus                      : None
MailboxRegionSuffix                : None
MailboxWorkloads                   : Mail, Calendar, Contacts, Substrate
LegacyExchangeDN                   : /o=ExchangeLabs/ou=Exchange Administrative Group
                                     (FYDIBOHF23SPDLT)/cn=Recipients/cn=3162b217bbf444abba714f0948a9a074-336b8197-97
InPlaceHoldsRaw                    : {}
MailboxRelease                     : None
ArchiveRelease                     : None
AccountDisabled                    : False
StsRefreshTokensValidFrom          : 25.09.2026 10:48:10
IsInactiveMailbox                  : False
MailboxLocations                   : {1;be5f5747-b50a-42ae-8810-6544d1c4336e;ComponentShared;DEUP281.PROD.OUTLOOK.COM;3
                                     b27872d-1dc8-405c-a485-19322b524b94}
InformationBarrierSegments         : {}
CanHaveCloudCache                  : False
IsAgenticUser                      : False
PitrEnabled                        : False
PitrCopyIntervalInSeconds          : 0
PitrPaused                         : False
PitrState                          : None
M365BackupState                    : None
EnforcedTimestamps                 : [{"EventTimestamp":"2026-09-25T23:22:26.659563Z","EnforcedUntilTimestamp":"2026-09
                                     -25T23:17:26.659563Z","EventType":17}]
AssistantName                      :
City                               :
Company                            :
CountryOrRegion                    :
Department                         :
DirectReports                      : {}
DisplayName                        : New User
Fax                                :
FirstName                          : New
GeoCoordinates                     :
HomePhone                          :
Initials                           :
IsDirSynced                        : True
LastName                           : User
Manager                            :
MobilePhone                        :
Notes                              :
Office                             :
OtherFax                           : {}
OtherHomePhone                     : {}
OtherTelephone                     : {}
Pager                              :
Phone                              :
PhoneticDisplayName                :
PostalCode                         :
PostOfficeBox                      : {}
RecipientType                      : User
RecipientTypeDetails               : User
SimpleDisplayName                  :
StateOrProvince                    :
StreetAddress                      :
Title                              :
UMDialPlan                         :
UMDtmfMap                          : {}
AllowUMCallsFromNonUsers           : SearchEnabled
WebPage                            :
TelephoneAssistant                 :
WindowsEmailAddress                :
UMCallingLineIds                   : {}
SeniorityIndex                     :
VoiceMailSettings                  : {}
Identity                           : xxxxxxxxxxxxxxxx
IsValid                            : True
ExchangeVersion                    : 1.1 (15.0.0.0)
DirectoryObjectVersion             : 0
Name                               : 336b8197-973f-4a66-a3d3-15a3e56d6c82
ObjectClass                        : {top, person, organizationalPerson, user}
WhenChanged                        : 28.09.2026 17:10:58
WhenCreated                        : 26.09.2026 01:21:33
WhenChangedUTC                     : 28.09.2026 15:10:58
WhenCreatedUTC                     : 25.09.2026 23:21:33
ExchangeObjectId                   : 4872ccf7-312b-4280-bd45-775120532c5b
OrganizationalUnitRoot             : msxfaqdev.onmicrosoft.com
OrganizationId                     : deup281a017.prod.outlook.com/Microsoft Exchange Hosted
                                     Organizations/msxfaqdev.onmicrosoft.com - deup281a017.prod.outlook.com/Configurati
                                     onUnits/msxfaqdev.onmicrosoft.com/Configuration
Guid                               : 4e2364b2-f884-4123-bc97-20e230507af3
OriginatingServer                  : FR4P281A17DC002.deup281a017.prod.outlook.com
ObjectState                        : Changed

Wir finden hier aber keine "ExtensionAttributes" oder "CustomExtensionAttributes". Get-User liefert diese Daten nicht. Der User ist ein "Rumpfobjekt". Erst mit einer Exchange Plan 1/2-Lizenz wird ein Postfach daraus, welche auch diese Properties hat. Allerdings kommen Sie nicht aus dem lokalen AD.

Hinweis
Die in Exchange Online verwalteten Exchange Felder werden durch Entra ID Connect Sync/CloudSync nicht ins lokale AD zurückgeschrieben. Erst mit einer weiteren Konfiguration können Sie dem Verzeichnisabgleich mitteilen, dass die Felder in der Cloud "Autoritativ" sind und zurückgeschrieben werden sollen.

Betroffene Felder

Ich habe noch einige weitere Felder durchgespielt und immer wieder eine Erstreplikation gestartet. Alle Felder habe ich aber nicht durchprobiert. Gefunden habe ich

extensionAttribute1
...
extensionAttribute15
mail (WindowsEmailAddress)
proxyAddresses
mailNickname
targetAddress 
legacyExchangeDN. 
msExchRemoteRecipientType
msExchRecipientDisplayType
msExchArchiveGUID
msExchArchiveName.

Sobald ein neues AD-Konto mit ausgefüllten Erweiterungsattributen synchronisiert werden soll, schlägt die Bereitstellung für das gesamte Objekt mit diesem Fehler fehl. Ich gehe davon aus, dass alle Felder betroffen sind, die auch Microsoft in ihrer Liste als "Cloud Managed" aufführt.

Was ist mit Verteilern?

Wir wissen ja, dass IsExchangeCloudManaged nur auf Postfächer wirkt. Verteiler sollten hiervon nicht betroffen sein. In meinem Testfeld habe ich aber erst einmal auch global die Abkopplung durchgeführt.

Set-OrganizationConfig -ExchangeAttributesCloudManagedByDefault

Also habe ich meine Testgruppen angelegt und replizieren lassen.

Mich hat dann der erste ADSync-Lauf interessiert. Ich habe keine Fehlermeldungen bekommen.  In Entra ID habe ich aber nur sechs der acht Gruppen gefunden:

Domainlokale Gruppen werden von Entra ID Sync nicht berücksichtigt. Das ist aber erwartet.

In Exchange Online sind nur die vier Gruppen angekommen, die auch eine Mailadresse haben.

Auch das habe ich so erwartet.

Sie wissen nun aber, dass Sie die Fehlermeldung "ExchangeManagedAttributeProvisoiningBlockedforTenant" beim ersten Sync erst einmal ignorieren können, wenn Entra ID Connect Sync im zweiten Lauf dann die Benutzer korrekt provisionieren kann. Für Verteiler gibt es diese Probleme nicht, da diese gar nicht von "isExchangeCloudManaged" betroffen sind.

Weitere Links