AD同期 - Azure AD Connect によるフェデレーション解除 [パスワードハッシュ]

自分

閲覧ありがとうございます。ゆっくり よんでいってください

本記事に記載の内容は、
「AD同期 - Azure AD Connect によるフェデレーション解除 [パスワードハッシュ]」方法に関する内容となっています。

ADFSを利用しているが、サーバーメンテナンスや更改の手間を考え
構成を解除したいと考えている方が多くいるため記事にしました。
実際の作業を自身で行わないとしても、作業内容を把握しておくことで見えることがあると思うので
ぜひ、参考にしてくださいっ。

Active Directory Federation Services (ADFS)によるフェデレーションを解除する

本手順は、Active Directory Federation Services 構成を
Azure AD Connect を利用して解除する手順になっています。

構成解除後は、Azure AD Connect によるパスワードハッシュ同期を行う手順です。

1. Azure AD Connect サーバーに、オンプレミスADの[Domain Admin]アカウントでサインインします。
   
   
2. [Azure AD Connect] を [管理者として実行]にて起動します。
   
3. [Azure AD Connect へようこそ]画面が表示されるので、
   [構成]をクリックします。
   ※クリック後は、本画面を閉じるまで同期が停止されます。
   　作業後は必ず、本画面を閉じましょう。
   
   
   
4. [追加のタスク]画面にて、
   [ユーザー サインイン]を選択して、[次へ]をクリックします。
   
   
   
5. [Azure AD に接続]画面にて、
   Microsoft 365 テナントの グローバル管理者アカウント の資格情報を入力して
   [次へ] をクリックします。
   
6. [ユーザー サインイン]画面にて、
   [パスワード ハッシュ同期] と [シングル サインオン] を選択して [次へ] をクリックします。
   
   
   
7. [シングル サインオンを有効にする]画面にて
   [資格情報の入力] をクリックして
   オンプレミスADの Domain Admin 権限を持つアカウントの資格情報を入力して[OK]をクリックします。
   
   
   
8. [資格情報の入力]の横に、緑色のチェックマークがついたことを確認し、
   [次へ]をクリックします。
   
   
   
9. [構成の準備完了]画面にて、構成内容を確認して問題が無ければ [構成]をクリックします。
   
   
   
10. [構成が完了しました]画面にて、
    'Active Directory のサインオン方式は パスワード ハッシュ同期'と記載されていることを確認して[終了] をクリックします。
    

ADFS 構成解除後のシームレスSSO 構成

シームレスSSOを行うために必要な、グループ ポリシーの設定手順になります。

1. オンプレミス Active Directoryにて、[グループ ポリシーの管理]を開きます。
   
   
2. グループポリシーを適用する[OU]を右クリックして、
   [このドメインに GPO を作成し、このコンテナーにリンクする]をクリックします。
   
   
   
3. [新しい GPO]画面が表示されるので、
   [名前]欄に、管理していくうえで分かりやすい名称を入力し[OK]をクリックします。
   
   
   
4. 以下か所に存在している、[サイトとゾーンの割り当て一覧]をダブルクリックします。
   

    command
   コンピューターの構成 > 管理用テンプレート > Windows コンポーネント > Internet Explorer > インターネット コントロール パネル > セキュリティページ 
   

    
   
   
   
5. [表示するコンテンツ]にて、以下を入力します。
   • 値の名前："https://autologon.microsoftazuread-sso.com"
   • 値：1
     
6. 有効 を選択し、[OK]をクリックします。
   
   
   
7. 以下か所に存在している、[スクリプトを介したステータス バーの更新を許可する]をダブルクリックします。
   

    command
   コンピューターの構成 > 管理用テンプレート > Windows コンポーネント > Internet Explorer > インターネット コントロール パネル > セキュリティページ > イントラネット ゾーン
   

    
   
   
   
8. 有効 を選択し、[スクリプトを介したステータス バーの更新]も有効にします。
   その後、[OK]をクリックします。
   
   
   
9. Azure AD 認証が、シームレス シングル サインオン になっているか確認するため、
   動作確認用 オンプレミス AD参加済みの Windows 端末にて、管理者権限でコマンドプロンプトを起動します。
   
   
   
10. 起動したコマンドプロンプトにて、以下コマンドを実行します。
    

     command
    gpupdate /force
    

     
    
    
11. Windows 端末を再起動し、
    Microsoft Edge を起動し、Microsoft 365へアクセスします。
    
    
12. ユーザーアカウントの入力画面が表示されるので、IDを入力します。
    その後、パスワードが求められずに Microsoft 365 ページが表示されれば
    シームレス シングル サインオン の構成が完了です。

さいごに・・・

ここまで読んでいただきありがとうございます。

ADFS構成を解除したいけど、解除手順がイメージ出来ない方が多いと思います。
読んでいただいた結果から、解除手順をイメージして頂けるようになって頂けてれば嬉しいです。

手順は簡単ですが、実環境を見ないと確実に実施できるわけではないので、
リスクが無いかは、確認しておく必要がありますよ。

なお、Azure AD Connect について知りたい方は以下記事をご参照くださいっ。