Entra Cloud Syncのインストールと設定方法

Microsoft Entra Cloud Sync は、オンプレミスの Active Directory と Microsoft Entra ID を同期する新しい軽量エージェントです。これにより、Microsoft Entra クラウドプロビジョニングエージェントを使用してユーザー、グループ、連絡先を同期できます。

Microsoft Entra Connectと比較して、Cloud Syncはオンプレミスのサーバーでは動作しません。処理、オブジェクトの選択、同期エンジンなどは、Microsoftクラウドで行われます。サーバーに軽量エージェントをインストールするだけで済みます。

この記事では、Microsoft Entra Cloud Syncのインストールと構成について見ていきます。

要件

Entra Cloud Syncをインストールする前に、このツールの要件を確認することが重要です。特に注意すべき最も重要な要件はライセンス要件です。

管理アカウント用のMicrosoft Entra ID P1ライセンス
少なくともハイブリッドアイデンティティ管理者の役割を持つMicrosoft Entraアカウント
Windows Server 2016以降
Windows Server Core はサポートされていません（フル GUI が必要です）
インストール用のローカルドメイン管理者アカウント
.Net Framework 4.7.1以降がインストールされています

Entraクラウド同期をインストールする

Cloud Syncをインストールするには、プロビジョニングエージェントをダウンロードし、サーバーにインストールする必要があります。ドメインコントローラーまたはメンバーサーバーにエージェントをインストールできます。エージェントをインストールするサーバーのセキュリティを強化することをお勧めします。サーバーのセキュリティ強化方法については、Microsoftのドキュメントをこちらでご覧ください。

必要な時間：5分

エージェントをダウンロードする
まず、Microsoft Entra Admin Centerでプロビジョニングエージェントをダウンロードします。ダウンロードはアイデンティティ >> ハイブリッド管理 > Microsoft Entra Connectの下にあります。

開始ページで、管理に移動し、プロビジョニングエージェントのダウンロードをクリックします。

エージェントをダウンロードするには、利用規約に同意する必要があります。私の経験では、ダウンロードが実際に開始されるまで数秒かかることがあります。
インストールを開始する
ダウンロードしたMSIを開き、Entraプロビジョニングエージェントを展開/インストールします。完了すると、設定ウィザードが開きます。
拡張機能を選択する
有効にしたい拡張機能を選択する必要があります。Active Directoryの場合、HR駆動のプロビジョニング/Microsoft Entra Cloud Syncを選択します。
Microsoft Entra IDに接続する
Microsoft Entra IDに接続する必要があります。グローバル管理者アカウントまたは少なくともハイブリッドアイデンティティ管理者の役割を持つアカウントで認証してください。
サービスアカウントを設定する
まだグループ管理サービスアカウント（gMSA）がない場合、インストーラーが自動的に1つ作成します。
Active Directoryを接続する
正しいドメインが選択されていることを確認し、「次へ」をクリックしてActive Directoryに接続します。
構成を確認する
オンプレミスアプリケーションのオプションは、オンプレミスアプリケーションをAzureにプロビジョニングする必要がある場合にのみ必要です。
エージェントのインストールを完了してください
エージェントは現在、Microsoft Entra IDにインストールされ、登録されています。インストールを終了し、Microsoft Entra 管理センターに切り替えてください。

Entraクラウド同期を構成する

エージェントがインストールされたので、Microsoft Entra 管理センターに切り替えて Cloud Sync を設定できます。この直接リンクを使用して Cloud Sync の設定を開くか、アイデンティティ >> ハイブリッド管理 > Microsoft Entra Connect > Cloud Sync に移動してください。

+ 新しい構成をクリックし、ADをMicrosoft Entra ID同期を選択します
私たちはパスワードハッシュ同期を有効にしたいので、それをオンのままにします。
作成をクリックして設定を追加します

構成を作成するのに少し時間がかかります。その後、概要ページに移動します。ここで、同期範囲を変更したり（同期または除外したいOUを選択）、属性をマッピングすることができます。

設定を有効にする前に、2つのプロパティを変更/設定したいと思います。

プロパティをクリックします
基本を編集する
通知用メールアドレスを入力してください。問題が発生したときに通知が届きます。
偶発的な削除の閾値を設定する

しきい値はデフォルトで500オブジェクトに設定されています。しかし、例えば100人のユーザーしかいない小規模な環境であれば、これを10に下げることを検討するかもしれません。このように、10以上のオブジェクトが削除されると同期が停止し、すべてが正しいか確認することができます。

設定をレビューして有効にする

完了したら、設定を有効にする必要があります。概要ページで、レビューと有効化をクリックします。これにより、設定の概要が表示されます。設定を有効にするをクリックしてください。

パスワード書き戻しを有効にする

クラウド同期が正常に設定されたので、同期されたユーザーのためにパスワードの書き戻しを有効にすることができます。これにより、ユーザーはMicrosoft 365でパスワードをリセットでき、それが自動的にActive Directoryに同期されます。

Microsoft Entraで、保護を展開し、パスワードリセットを開きます。
オンプレミス統合をクリックしてください
同期されたユーザーのためのパスワード書き戻しを有効にします
Microsoft Entra Connect クラウド同期で書き戻しパスワードを有効にする
保存をクリックします。

ステータスを確認しています

すべての設定を完了したら、最初の30分程度はクラウド同期のステータスに注意を払うことが重要です。設定に問題があると、設定が隔離され、同期が停止する可能性があります。

以下の例では、新しく作成されたサービスアカウントに対してMFAが強制されました。これは、条件付きアクセスポリシーに除外を作成することで簡単に解決されたが、このようなことは見落とされやすい。

問題を解決した場合は、設定から隔離をクリアする必要があります。3つのドットをクリックし、「隔離をクリア」を選択して同期を再開してください。

まとめ

Entra Cloud Sync エージェントは、Active Directory と Microsoft Entra の同期に関して前進する方法です。はい、コンピューターオブジェクトの同期はできませんが、それでも Intune で行った方が良いです。

もう一つの選択肢は、Entra Connect SyncとEntra Cloud Syncを並行して実行し、Entra Connectをコンピュータオブジェクト専用に使用することです。これにより、オンプレミスサーバーの負荷を軽減し、Cloud Syncの機能開発に備えることができます。

この記事を気に入っていただけたら幸いです。質問がある場合は、下にコメントを残してください。