Microsoft Entra Connect - インストールおよび設定方法
Microsoft Entra Connectは、Active DirectoryオブジェクトをMicrosoft Entra IDと同期するために使用されます。ADをEntra IDと同期させることで、シングルサインオンや簡単なパスワードリセットなど、そのすべての利点を持つハイブリッド環境を構築することができます。
Entra Connectのインストールを開始する前に、より軽量なバージョンであるEntra Cloud Syncがあることを知っておくと良いでしょう。この2つのソリューションの違いについては、進む前にこの記事で確認してください。
この記事では、Microsoft Entra ID Connectのインストールと設定方法について説明します。
要件
Entra ID Connectをインストールする前に、ツールの要件を確認しておくことが重要です。大規模なテナントを持っている場合は、必要なサーバーの仕様を必ず確認してください。他に重要な要件は次のとおりです:
- Windows Server 2016以降
- Windows Server Core はサポートされていません（フル GUI が必要です）
- .Net Framework 4.7.2以降がインストールされています
- TLS 1.2が有効になっています - これを使用してそれが有効かどうか確認してください
必要なシステム仕様を見ると、最小限70GBのディスクスペースが必要であることがわかります。小規模または中規模の環境では、少ないスペースでも問題ありませんが、1000以上のオブジェクトを同期する場合は、この要件を念頭に置いておくことが良いでしょう。
理論的には、ドメインコントローラーにEntra Connectをインストールすることは可能ですが、これは推奨されません。ドメインコントローラーはネットワークで最も高いレベルの保護が必要であるため、サービスを追加すると攻撃対象が増えるため、追加を避けるべきです。
さらに、大規模な環境の場合、同期プロセスがドメインコントローラーのパフォーマンスに影響を与える可能性があるため、ツールは別のドメインメンバーサーバーにインストールする方が良いです。
Entra ID Connectを展開する前に、アイデンティティエラーや重複を解決するためにIdFixツールを実行していることを確認してください。
Microsoft Entra Connectのインストール
Microsoft Entra Connectツールをインストールして構成します。インストール中に、Entra IDのグローバル管理者アカウント（アカウント名は
必要な時間：5分
まず、Microsoft Entra Connectの最新バージョンをダウンロードしていることを確認してください。面白いことに、MSIファイルはまだAzureADConnectと呼ばれています。
Entra Connectのインストールを開始する
.msiファイルを開いて、続行するために条件に同意してください。
エクスプレス設定を使用する
「エクスプレス」または「カスタマイズ」インストールのいずれかを選択できます。
90％のデプロイメントにとって、エクスプレスインストールは完璧です。これを使用するには、単一のADフォレストがあり、AD内に100,000未満のオブジェクトが必要です。これにより、シングルサインオンで使用できるパスワードハッシュの同期が有効になり、すべてのユーザー、グループ、連絡先、およびデバイスが同期されます（これは最後のステップで変更できます）、さらにMicrosoft Entra Connectの自動更新が有効になります。
Microsoft Entra IDのグローバル管理者資格情報を入力してください
ここではドメイン管理者アカウントを使用しないでくださいが、Entra ID グローバル管理者アカウントを使用するようにしてください。.onmicrosoft.comで終わるものです。
次に進むをクリックすると、認証情報を確認するための Microsoft 365 サインインダイアログが表示されます。
AD DS（ローカルアクティブディレクトリ）に接続する
次に、Active Directory ドメインサービスに接続する必要があります。ここでは、ドメイン管理者アカウントを使用します。
エクスプレス設定を使用しているため、Microsoft Entra Connect は AD にローカルサービスアカウントを作成します。このアカウントは、ユーザー名 MSOL_xxx によって認識できます。
UPNサフィックスを確認してください
Active Directory UPNサフィックスは、Microsoft Entra IDのカスタムドメインと一致する必要があります。一致しない場合、ユーザーはオンプレミスの資格情報を使用してサインインできません。
私は開発環境を使用しているので、下のスクリーンショットでは一致しないUPNでそのまま続行します。
インストールと設定
すべての設定が整ったので、Microsoft Entra Connect Syncをインストールして構成できます。どのOUをEntraと同期するかをカスタマイズしたい場合は、「同期プロセスを開始」をチェックを外してください。そうすれば、後で構成を変更できます。
インストールの完了
インストールと設定が完了するまでに数分かかることがあります。完了したら、Microsoft 365環境にログインしてユーザーアカウントを確認してください。
同期を確認しています
インストールツールは初期同期を行い、自動同期スケジュールを設定します。すべてが期待通りに同期されていることを確認しましょう。
同期状況を確認できる場所がいくつかあります:
- Microsoft 365 管理センター
- マイクロソフトエントラID
- 同期サービスマネージャー
Microsoft 365 管理センター
Microsoft 365管理センターでは、ダッシュボードで現在の同期状態を見ることができます。しかし、より良い場所はサイドバーのHealthの下にあるディレクトリ同期状態を確認することです。
これにより、最後のディレクトリおよびパスワード同期が実行された時期と、他の関連情報の簡単な概要が得られます。
マイクロソフトエントラID
Microsoft Entra IDでは、同期ステータスおよび潜在的なエラーに関する詳細を少し見ることができます:
- Microsoft Entra 管理センターを開く
- アイデンティティを展開し、ハイブリッド管理を選択してMicrosoft Entra Connectを選びます。
- 同期接続をクリックしてください
ここでは最終同期時間も確認でき、シームレスなシングルサインオンなどの機能が有効かどうかも確認できます。Microsoft Entra Connect Healthをクリックすると、同期エラーやその詳細も確認できます。
同期サービスマネージャー
私たちは、Entra Connectツールをインストールしたサーバーで同期状態を確認することもできます。スタートメニューには、Azure AD Connectの下に同期サービスマネージャーがあります。
ツールはすべての同期のステータスをリストします。ご覧のとおり、最初のものはフルインポートで、349件が追加されました。
構成の変更
私たちは、Express 設定を使用して Microsoft Entra Connect ツールをインストールしました。述べたように、これはほとんどの組織にとって完璧ですが、設定を変更する必要がある場合はどうでしょうか？たとえば、完全な Active Directory を同期させたくないが、一部の OU を同期から除外したいとしましょう。
これを行うには、Entra Connect Syncツールを開いて設定を変更するだけです。ただし、設定ツールを開いている間は、完了するまで同期が一時停止されることに注意してください。
- Microsoft Entra Connectを開きます（スタートメニューではまだAzure AD Connectという名前です…）
- 設定をクリックしてください
- 同期オプションをカスタマイズするを選択してください
- Microsoft Entra IDに接続する必要がありますので、次へ進んでEntra IDグローバル管理者アカウントでログインしてください。
- 次へをクリックして、ディレクトリの接続をスキップします
- 選択したドメインとOUを同期する
- もはや同期したくないOUを選択解除してください
- 次へをクリック
- オプション機能はそのままにして、 次へをクリックしてください
- 設定をクリックして変更を行い、同期プロセスを（再）開始します。
まとめ
Microsoft Entra Connectのインストールは、エクスプレス設定を使用することで非常に簡単になりました。同期を開始する前に、IdFixツールを使用してエラーを見つけることを忘れないでください。
Entra ID Connectをドメインコントローラーにインストールすることは可能ですが、テナントが小規模であり、サーバーの性能が十分である場合のみです。それ以外の場合は、ツールを別のドメイン参加サーバーにインストールする方が良いです。
この記事が役に立ったことを願っています。質問があれば、下にコメントを残してください。