AD同期 - Azure AD Connect 構成方法

自分

閲覧ありがとうございます。ゆっくり よんでいってください

本記事に記載の内容は、
「AD同期 - Azure AD Connect 構成方法」方法に関する内容となっています。

なお、Azure AD Connect Cloud Syncについて知りたい方は以下記事をご参照くださいっ。
記事の最後に、構成方法を記載した記事へのリンクが記載されています。

Azure AD Connect とは

オンプレミスActive Directoryのユーザーアカウントやコンピュータオブジェクトを
Azure Active Directory (Azure AD)に同期する機能になります。

オンプレミスActive Directory (オンプレAD)のユーザー情報(パスワード含め)を同期することで
Azure ADとオンプレADでアカウントを2重管理する必要がなくなり、
オンプレADでのみアカウントを管理することで、自動的にAzure ADに反映されます。
※もちろん、オンプレADでパスワードを変更した時は、AzureADのユーザーアカウントに紐づくパスワードも変更されます。

入れた時に何が良いの？に関する回答は、ずばり・・・！
オンプレミスActive Directory と Azure ADでのID管理を一か所にまとめらるため
管理者が悩む 複数契約しているSaaSや基幹システムのID統合を進められます！

Azure AD Connect 構成手順

Azure AD Connectの構成手順を記載しています。
とても簡単な手順にはなりますが、事前にAzure ADにパスワードを同期しても問題無いかは確認したほうが良いです。
また、前提条件が更新されWindows Server 2016以上となっているので、
今まで構築したことある方も、これを機に再度Docsを確認頂いたほうが安心ですよっ。

ちなみに、ステージングを有効化することで、2台構成にできます。
仮想環境でスナップショットを取得している場合は、必要無いかもしれませんが
物理マシンで念のため2台構成にしたい。という方は
以下手順のNo. にて、ステージング機能を有効にしてみてください。

1. まずは、Microsoft のダウンロードセンターより、[Microsoft Azure Active Directory Connect]をダウンロードします。
   
   
   
2. ダウンロードした、[AzureADConnect.msi]をダブルクリックで起動します。
   
   
   
3. [Azure AD Connect へようこそ]画面にて、
   [ライセンス条項 および プライバシーに関する声明 に同意します]にチェックを入れ、[続行]をクリックします。
   
   
   
4. [簡単設定]画面にて、[カスタマイズ]をクリックします。
   ※Azure AD Connect構成時には、基本的に[カスタマイズ]をクリックし
   　構成を進めて頂いたほうが、問題が起きにくいです。
   
   
   
5. [必要コンポーネントのインストール]画面にて、
   必要項目にチェックを入れ、[インストール]をクリックします。
   ※基本的に、何もチェックを入れずにスタートして問題ありません。
   
   
   
6. [Azure AD に接続]画面にて、
   Azure ADのグローバル管理者権限を持った [ユーザー名]と[パスワード]を入力し、
   [次へ]をクリックします。
   ※カスタムドメインでも、テナント開設時ドメインでも問題ありません。
   
   
   
7. [ディレクトリの接続]画面にて、
   ディレクトリ タイプが、[Active Directory]になっていることを確認し、
   フォレスト欄に[同期対象フォレスト名]を入力します。
   その後、[ディレクトリの追加]をクリックします。
   
   
   
8. [AD フォレスト アカウント]画面にて、
   [新しい AD アカウントを作成]を選択し、
   エンタープライズ管理者ユーザー名とパスワード欄に
   オンプレミス Active Directoryのエンタープライズ管理者の資格情報を入力し[OK]をクリックします。
   ※もし、Azure Directory Domain Service[ADDS]用のアカウントを作成済みの場合は、
   　[既存のADアカウント]を選択して進みます。
   
   
   
9. [ディレクトリの接続]画面に戻るので、
   [構成済みディレクトリ]欄に、先ほど指定したフォレストが追加されていることを確認し
   [次へ]をクリックします。
   
   
   
10. [Azure AD サインインの構成]画面にて、
    [Active Directory UPN サフィックス]欄と [Azure AD ドメイン]欄を確認します。
    Azure AD ドメイン欄が、構成済み となっていれば問題ありません。
    
    次に、[ユーザー プリンシパル名]を選択しますが、ADの状況を確認し以下のように設定します。
    
    • ADの状況①：UserPrincipalName (UPN)がAzure ADで利用してるドメインと同一の場合
      → userPrincipalName を選択
      
      
    • ADの状況②：UserPrincipalName (UPN)がAzure ADで利用してるドメインと同一では無い場合
      → mail属性 等にAzure ADで利用しているドメインと同一で利用者に使わせたいID(メールアドレス)を
      　記入し、mail を選択
      
11. [ドメインと OU のフィルタリング]画面にて、
    [選択したドメインと OU の同期]を選択したうえで、
    Azure ADに同期したい OUにチェックをいれ、[次へ]をクリックします。
    ※[すべてのドメインと OUの同期]はゴミ情報がAzure ADに同期される可能性を考え、避けたほうが無難です
    
    
    
12. [一意のユーザー識別]画面にて、以下のみ必要に応じて変更します。
    [Azure AD でのユーザーの識別方法を選択します]を[特定の属性を選択します]に変更し、
    [objectGUID]にします。
    ※特に変更しなかった場合は、自動的に[mS-DS-ConsistencyGuid]となります。
    ※objectGUIDにしておくことで、将来 他IdPを利用する時に楽だったりします・・・。
    
    
    
13. [ユーザーおよびデバイスのフィルタリング]画面にて、
    正常に同期できるか確認したい場合は、設定して進めますが
    基本的には規定値(すべてのユーザーとデバイスの同期)のまま[次へ]をクリックして進めます。
    
    
    
14. [オプション機能]画面にて、
    [パスワード ハッシュの同期]にチェックが入っていることを確認し、[次へ]をクリックします。
    
    
    
15. [シングル サインオンを有効にする]画面にて、
    シームレス シングル サインオンを利用される場合は、[資格情報の入力]をクリックし、
    ADのエンタープライズ管理者の資格情報を入力したうえで、[次へ]をクリックします。
    ※シームレス シングル サインオンの有効化には、GPO設定が必要なので
    　本記事、下部の[シームレス シングル サインオン の有効化] を確認してください。
    
    
    
16. [構成の準備完了]画面にて、
    [構成が完了したら、同期プロセスを開始する]にチェックを入れ、[インストール]をクリックします。
    
    
    
17. [構成が完了しました]画面にが表示されたら、
    [終了]をクリックして完了です。
    

Azure AD Connect による 同期が正常か確認をする

1. Azure Active Directory 管理センターに接続し、
   画面左側に存在している[Azure Active Directory]をクリックして開きます。
2. 開かれた画面の左側に存在している[Azure AD Connect]をクリックします。
   
   
3. [Azure AD Connect]の情報が表示されるので、以下を確認します。
   
   • 同期状態：有効
   • 最後の同期：〇時間前
   • パスワード ハッシュの同期：有効

AADC - シームレス シングル サインオン の有効化

シームレスSSOを行うために必要な、グループ ポリシーの設定手順になります。

1. オンプレミス Active Directoryにて、[グループ ポリシーの管理]を開きます。
   
   
2. グループポリシーを適用する[OU]を右クリックして、
   [このドメインに GPO を作成し、このコンテナーにリンクする]をクリックします。
   
   
   
3. [新しい GPO]画面が表示されるので、
   [名前]欄に、管理していくうえで分かりやすい名称を入力し[OK]をクリックします。
   
   
   
4. 以下か所に存在している、[サイトとゾーンの割り当て一覧]をダブルクリックします。
   

    command
   コンピューターの構成 > 管理用テンプレート > Windows コンポーネント > Internet Explorer > インターネット コントロール パネル > セキュリティページ 
   

    
   
   
   
5. [表示するコンテンツ]にて、以下を入力します。
   • 値の名前："https://autologon.microsoftazuread-sso.com"
   • 値：1
     
6. 有効 を選択し、[OK]をクリックします。
   
   
   
7. 以下か所に存在している、[スクリプトを介したステータス バーの更新を許可する]をダブルクリックします。
   

    command
   コンピューターの構成 > 管理用テンプレート > Windows コンポーネント > Internet Explorer > インターネット コントロール パネル > セキュリティページ > イントラネット ゾーン
   

    
   
   
   
8. 有効 を選択し、[スクリプトを介したステータス バーの更新]も有効にします。
   その後、[OK]をクリックします。
   
   
   
9. Azure AD 認証が、シームレス シングル サインオン になっているか確認するため、
   動作確認用 オンプレミス AD参加済みの Windows 端末にて、管理者権限でコマンドプロンプトを起動します。
   
   
   
10. 起動したコマンドプロンプトにて、以下コマンドを実行します。
    

     command
    gpupdate /force
    

     
    
    
11. Windows 端末を再起動し、
    Microsoft Edge を起動し、Microsoft 365へアクセスします。
    
    
12. ユーザーアカウントの入力画面が表示されるので、IDを入力します。
    その後、パスワードが求められずに Microsoft 365 ページが表示されれば
    シームレス シングル サインオン の構成が完了です。

さいごに・・・

ここまで読んでいただきありがとうございます。

なるべく分かりやすく、画像付きで手順をまとめてみました。
Azure AD Connect Cloud Syncが登場してはいますが、
Azure AD Connectでないと、同期できないもの や 実行できない構成があるので
まだまだ、捨てきれない機能になります。

今まで構成されたことがある方は、大きく画面が変わっていることは無いので困惑少ないと思いますが
私が構成する中で気にしている部分も、記載してみたので、ざっと目を通してもらえれば嬉しいです。