W wielu polskich MŚP identyczna sytuacja: pod stołem stoi Windows Server, na którym trzyma się Active Directory z 2015 roku, a wszystko poza logowaniem do komputera dawno jest w Microsoft 365. Serwer kończy wsparcie w przyszłym roku, licencja CAL do odnowienia kosztuje jak nowy laptop, a każdą aktualizację robi ktoś w piątek wieczorem. Pytanie, które słyszymy raz w tygodniu: „a musimy w ogóle wymieniać ten serwer, czy da się go po prostu wyłączyć?".
Odpowiedź nie jest ideologiczna. Nie każdemu MŚP opłaca się teraz przejście na czystą chmurę i nie każdemu opłaca się trzymać AD DS jeszcze pięć lat. Decyzja zależy od tego, co naprawdę robi u Ciebie kontroler domeny — a większość właścicieli firm nigdy nie miała powodu, żeby to sprawdzić. Ten tekst jest o tym, jak to policzyć bez ideologii.
Co naprawdę robi u Ciebie kontroler domeny
Zanim zdecydujesz, czy wyłączyć AD, trzeba wiedzieć, po co ono w ogóle działa. W typowej 30-osobowej firmie handlowej albo produkcyjnej lista jest krótsza, niż się wydaje:
- Logowanie do komputerów pracowników (uwierzytelnianie Kerberos).
- Zasady grupowe (GPO) — mapowanie dysków sieciowych, ustawienia drukarek, polityki hasła.
- Uwierzytelnianie do udziałów plikowych na tym samym serwerze.
- Autoryzacja w ERP albo aplikacji branżowej („zaloguj się kontem z domeny").
- Uwierzytelnianie do wielofunkcyjnej albo skanera z wysyłką na e-mail.
I zwykle wychodzi jedno z dwóch. Albo połowa tej listy dawno jest w chmurze (dyski w SharePoint, mail w Exchange Online) i AD trzyma tylko logowanie do stacji roboczych — albo AD naprawdę pilnuje ERP i systemu magazynowego, które chodzą po Kerberos.
Różnica między tymi dwoma scenariuszami jest kolosalna. Pierwszy zwykle da się w ciągu kwartału przeprowadzić do Entra ID + Intune i zdemontować serwer. Drugi wymaga hybrydy przez najbliższe 2–3 lata, dopóki albo nie zmienisz ERP, albo dostawca ERP nie doda uwierzytelniania OAuth/SAML.
Co Entra ID zastępuje bez kompromisu
Entra ID (dawne Azure AD) w wariancie zawartym w Microsoft 365 Business Premium zastępuje AD DS w większości „miękkich" scenariuszy:
- Logowanie do laptopa — Windows 10/11 w trybie Microsoft Entra joined loguje się kontem chmurowym i pracuje w pełni bez kontrolera domeny w LAN.
- MFA i Conditional Access — logowanie tylko z zaufanych urządzeń, z Polski, w godzinach pracy, z dostępem do konkretnych aplikacji. Klasyczne GPO tego nie robi.
- SSO do M365, Teams, SharePoint, ale też do prawie każdego nowoczesnego SaaS-a (Salesforce, HubSpot, Slack, GitHub, Autenti, moduły chmurowe Comarcha).
- Zarządzanie grupami dostępu — te same grupy pilnują SharePoint, aplikacji SaaS i uprawnień w Intune.
- Automatyczne wygaszanie kont — konto wyłączone w M365 znika z wszystkich zintegrowanych systemów, bez pamiętania „gdzie on jeszcze miał login".
Do tego dochodzi Intune — chmurowy zamiennik GPO dla laptopów. Nie wszystko z GPO ma odpowiednik w Intune (o czym zaraz), ale 80% typowego zestawu polityk MŚP przenosi się bez rewolucji: BitLocker, blokada ekranu, konfiguracja Wi-Fi/VPN, ograniczenia USB, wymuszona aktualizacja Windows.
Czego Entra ID nie zastąpi jeden do jednego
Jeżeli ktoś sprzedaje Ci migrację jako „po prostu wyłączamy serwer", warto zapytać o konkretne przypadki. Typowe punkty tarcia w MŚP:
- ERP korzystający z Kerberos/NTLM — starsze wersje Comarch XL, Microsoft Dynamics AX 2012, dedykowane aplikacje .NET z pulą usług na koncie domenowym. Bez AD po prostu się nie zalogują. Rozwiązanie: hybryda przez Entra Connect Sync, albo docelowo migracja ERP.
- Serwer plików SMB — jeśli trzymasz kilkaset gigabajtów CAD-owych rysunków albo skanów księgowych, migracja do SharePoint bywa niewykonalna (limity długości ścieżek, wersjonowanie, koszty). Alternatywa: Azure Files z uwierzytelnianiem Entra Kerberos — ale to już architektura hybrydowa.
- Wydruki po kolejce serwera wydruku — starsze wielofunkcyjne Kyocera/Sharp/Konica po PrintNightmare zostały wyłączone z drukowania sieciowego. Universal Print działa, ale wymaga nowszych sterowników i osobnej licencji.
- Aplikacje branżowe pytające o „domenę" — CAM-y, LIMS-y, systemy RCP i kontroli dostępu. Nawet w 2026 duża część z nich nie potrafi w OAuth. Zapytaj producenta na piśmie, zanim planujesz odłączenie DC.
- Klasyczne GPO, których Intune nie ma — mapowanie skryptami PowerShell, integracja z lokalną drukarką po IP, konfiguracja Outlooka plikiem .PRF. Da się to obejść w Intune, ale nie jednym kliknięciem.
Ścieżka migracji, która nie łamie firmy
Nie polecamy przenosin „na twardo" jednym weekendem. W dziewięciu projektach na dziesięć wygląda to jak przejście przez trzy etapy:
- Hybryda — instalujesz Entra Connect Sync, konta z lokalnego AD lądują w chmurze. Użytkownik loguje się dalej normalnie, ale MFA i SSO działają od razu.
- Cloud-first dla nowych laptopów — każdy nowy sprzęt jest Entra joined, konfigurowany przez Autopilot, zarządzany przez Intune. Stare laptopy zostają na AD do naturalnej wymiany.
- Wyłączenie DC — kiedy 80–90% stacji jest już Entra joined, ostatnie aplikacje spięte OAuth/SAML, a udziały plikowe w SharePoint lub Azure Files — wyłączasz kontroler domeny, robisz snapshot i archiwizujesz na trzy lata (na wszelki wypadek).
To zwykle 12–18 miesięcy w firmie 30-osobowej. Nie dlatego, że robota jest ciężka. Dlatego, że tempo dyktuje amortyzacja starych laptopów i cykl wydawniczy aplikacji branżowych.
Konkretny przykład — 35-osobowa firma dystrybucyjna
Na przełomie 2025/2026 przeprowadziliśmy taką migrację w 35-osobowej firmie dystrybucyjnej z okolic Poznania. Stan wyjściowy: Windows Server 2016 z EOL w styczniu 2027, licencje Server Standard + 35× CAL do odnowienia (wycena od resellera: 22 tys. zł), M365 Business Premium wdrożone dwa lata wcześniej, ERP Comarch Optima na osobnym serwerze z SQL Express.
Zrobiliśmy trzy rzeczy. Po pierwsze — audyt: okazało się, że AD trzyma już tylko logowanie do stacji i mapowanie dwóch dysków sieciowych, których zawartość dawno leżała w SharePoint (kopie z niepełną synchronizacją). Po drugie — plan: nowe laptopy z Autopilotem, Intune zamiast GPO, dyski sieciowe wygaszone po dokończeniu migracji do SharePoint z natywnymi uprawnieniami. Po trzecie — realizacja przez 4 miesiące, weekendami, bez ani jednego dnia postoju.
Wynik: kontroler domeny wyłączony w kwietniu, około 22 tys. zł oszczędności na licencjach, których nie musieliśmy przedłużać, około 6 godzin miesięcznie mniej pracy administratora zewnętrznego (rachunki obcięte o ok. 30%), i — co dla klienta najważniejsze — brak sytuacji „w piątek wieczorem nikt nie zaloguje się na komputer, bo padł serwer w schowku".
Kiedy lepiej zostać przy AD
Anti-hype: nie każdemu MŚP opłaca się teraz przechodzić. Warto zostać przy AD DS jeszcze rok, dwa, jeśli:
- Twój kluczowy system (ERP, CAM, LIMS) wymaga uwierzytelniania AD i dostawca nie ma roadmapy na Entra.
- Masz na miejscu duży zasób plików (2 TB+), którego SharePoint nie łyknie sensownie, a Azure Files nie mieści się w Twoim budżecie.
- Firma jest w środku innej migracji (ERP, WMS) i identyty byłyby trzecią zmianą na raz — sprawdzona recepta na chaos.
- Masz stacje produkcyjne z Windows LTSC albo starsze terminale, których nie da się w tym roku dołączyć do Entra.
W tych scenariuszach lepiej odnowić serwer, poczekać rok albo dwa, a decyzję o Entra podjąć w naturalnym cyklu wymiany sprzętu.
Co zrobić na początek
Zanim policzysz koszty licencji i sprzętu, spędź jeden dzień na audycie: co naprawdę uwierzytelnia się o AD. Otwórz Event Viewer na DC, sprawdź logi Kerberos, wyeksportuj listę GPO, zapytaj każdego kierownika działu, co „ma w domenie". W ośmiu przypadkach na dziesięć lista jest o połowę krótsza, niż wygląda w głowie, i decyzja robi się prostsza.
Jeśli chcesz to zrobić z kimś, kto rozliczy Ci to bez sprzedawania licencji na zapas — pogadaj z nami. Pierwsza rozmowa jest bezpłatna, trwa pół godziny, a wychodzisz z niej z listą konkretów, nie z ofertą.
Entra ID nie zastępuje AD w każdej firmie. Zastępuje go tam, gdzie AD nie robi już nic ważniejszego niż logowanie do laptopa.