AD同期 - Azure AD Connect 構成方法 [パスワードハッシュ同期]

自分

閲覧ありがとうございます。ゆっくりよんでいってください

本記事に記載の内容は、
「AD同期 - Azure AD Connect 構成方法」方法に関する内容となっています。

なお、Azure AD Connect Cloud Syncについて知りたい方は以下記事をご参照くださいっ。
記事の最後に、構成方法を記載した記事へのリンクが記載されています。

Azure AD Connect とは

オンプレミスActive Directoryのユーザーアカウントやコンピュータオブジェクトを
Azure Active Directory (Azure AD)に同期する機能になります。

オンプレミスActive Directory (オンプレAD)のユーザー情報(パスワード含め)を同期することで
Azure ADとオンプレADでアカウントを2重管理する必要がなくなり、
オンプレADでのみアカウントを管理することで、自動的にAzure ADに反映されます。
※もちろん、オンプレADでパスワードを変更した時は、AzureADのユーザーアカウントに紐づくパスワードも変更されます。

入れた時に何が良いの？に関する回答は、ずばり・・・！
オンプレミスActive Directory と Azure ADでのID管理を一か所にまとめらるため
管理者が悩む複数契約しているSaaSや基幹システムのID統合を進められます！

Azure AD Connect 構成手順

Azure AD Connectの構成手順を記載しています。
とても簡単な手順にはなりますが、事前にAzure ADにパスワードを同期しても問題無いかは確認したほうが良いです。
また、前提条件が更新されWindows Server 2016以上となっているので、
今まで構築したことある方も、これを機に再度Docsを確認頂いたほうが安心ですよっ。

ちなみに、ステージングを有効化することで、2台構成にできます。
仮想環境でスナップショットを取得している場合は、必要無いかもしれませんが
物理マシンで念のため2台構成にしたい。という方は
以下手順のNo. にて、ステージング機能を有効にしてみてください。

まずは、Microsoft のダウンロードセンターより、[Microsoft Azure Active Directory Connect]をダウンロードします。
ダウンロードした、[AzureADConnect.msi]をダブルクリックで起動します。
[Azure AD Connect へようこそ]画面にて、
[ライセンス条項およびプライバシーに関する声明に同意します]にチェックを入れ、[続行]をクリックします。
[簡単設定]画面にて、[カスタマイズ]をクリックします。
※Azure AD Connect構成時には、基本的に[カスタマイズ]をクリックし
　構成を進めて頂いたほうが、問題が起きにくいです。
[必要コンポーネントのインストール]画面にて、
必要項目にチェックを入れ、[インストール]をクリックします。
※基本的に、何もチェックを入れずにスタートして問題ありません。
[Azure AD に接続]画面にて、
Azure ADのグローバル管理者権限を持った [ユーザー名]と[パスワード]を入力し、
[次へ]をクリックします。
※カスタムドメインでも、テナント開設時ドメインでも問題ありません。
[ディレクトリの接続]画面にて、
ディレクトリタイプが、[Active Directory]になっていることを確認し、
フォレスト欄に[同期対象フォレスト名]を入力します。
その後、[ディレクトリの追加]をクリックします。
[AD フォレストアカウント]画面にて、
[新しい AD アカウントを作成]を選択し、
エンタープライズ管理者ユーザー名とパスワード欄に
オンプレミス Active Directoryのエンタープライズ管理者の資格情報を入力し[OK]をクリックします。
※もし、Azure Directory Domain Service[ADDS]用のアカウントを作成済みの場合は、
　[既存のADアカウント]を選択して進みます。
[ディレクトリの接続]画面に戻るので、
[構成済みディレクトリ]欄に、先ほど指定したフォレストが追加されていることを確認し
[次へ]をクリックします。
[Azure AD サインインの構成]画面にて、
[Active Directory UPN サフィックス]欄と [Azure AD ドメイン]欄を確認します。
Azure AD ドメイン欄が、構成済みとなっていれば問題ありません。

次に、[ユーザープリンシパル名]を選択しますが、ADの状況を確認し以下のように設定します。
- ADの状況①：UserPrincipalName (UPN)がAzure ADで利用してるドメインと同一の場合
  → userPrincipalName を選択
- ADの状況②：UserPrincipalName (UPN)がAzure ADで利用してるドメインと同一では無い場合
  → mail属性等にAzure ADで利用しているドメインと同一で利用者に使わせたいID(メールアドレス)を
  　記入し、mail を選択
[ドメインと OU のフィルタリング]画面にて、
[選択したドメインと OU の同期]を選択したうえで、
Azure ADに同期したい OUにチェックをいれ、[次へ]をクリックします。
※[すべてのドメインと OUの同期]はゴミ情報がAzure ADに同期される可能性を考え、避けたほうが無難です
[一意のユーザー識別]画面にて、以下のみ必要に応じて変更します。
[Azure AD でのユーザーの識別方法を選択します]を[特定の属性を選択します]に変更し、
[objectGUID]にします。
※特に変更しなかった場合は、自動的に[mS-DS-ConsistencyGuid]となります。
※objectGUIDにしておくことで、将来他IdPを利用する時に楽だったりします・・・。
[ユーザーおよびデバイスのフィルタリング]画面にて、
正常に同期できるか確認したい場合は、設定して進めますが
基本的には規定値(すべてのユーザーとデバイスの同期)のまま[次へ]をクリックして進めます。
[オプション機能]画面にて、
[パスワードハッシュの同期]にチェックが入っていることを確認し、[次へ]をクリックします。
[シングルサインオンを有効にする]画面にて、
シームレスシングルサインオンを利用される場合は、[資格情報の入力]をクリックし、
ADのエンタープライズ管理者の資格情報を入力したうえで、[次へ]をクリックします。
※シームレスシングルサインオンの有効化には、GPO設定が必要なので
　本記事、下部の[シームレスシングルサインオンの有効化] を確認してください。
[構成の準備完了]画面にて、
[構成が完了したら、同期プロセスを開始する]にチェックを入れ、[インストール]をクリックします。
[構成が完了しました]画面にが表示されたら、
[終了]をクリックして完了です。

Azure AD Connect による同期が正常か確認をする

Azure Active Directory 管理センターに接続し、
画面左側に存在している[Azure Active Directory]をクリックして開きます。
開かれた画面の左側に存在している[Azure AD Connect]をクリックします。
[Azure AD Connect]の情報が表示されるので、以下を確認します。
- 同期状態：有効
- 最後の同期：〇時間前
- パスワードハッシュの同期：有効

AADC - シームレスシングルサインオンの有効化

シームレスSSOを行うために必要な、グループポリシーの設定手順になります。

オンプレミス Active Directoryにて、[グループポリシーの管理]を開きます。
グループポリシーを適用する[OU]を右クリックして、
[このドメインに GPO を作成し、このコンテナーにリンクする]をクリックします。
[新しい GPO]画面が表示されるので、
[名前]欄に、管理していくうえで分かりやすい名称を入力し[OK]をクリックします。
以下か所に存在している、[サイトとゾーンの割り当て一覧]をダブルクリックします。
```
 command
コンピューターの構成 > 管理用テンプレート > Windows コンポーネント > Internet Explorer > インターネット コントロール パネル > セキュリティページ 
```
[表示するコンテンツ]にて、以下を入力します。
- 値の名前："https://autologon.microsoftazuread-sso.com"
- 値：1
有効を選択し、[OK]をクリックします。
以下か所に存在している、[スクリプトを介したステータスバーの更新を許可する]をダブルクリックします。
```
 command
コンピューターの構成 > 管理用テンプレート > Windows コンポーネント > Internet Explorer > インターネット コントロール パネル > セキュリティページ > イントラネット ゾーン
```
有効を選択し、[スクリプトを介したステータスバーの更新]も有効にします。
その後、[OK]をクリックします。
Azure AD 認証が、シームレスシングルサインオンになっているか確認するため、
動作確認用オンプレミス AD参加済みの Windows 端末にて、管理者権限でコマンドプロンプトを起動します。
起動したコマンドプロンプトにて、以下コマンドを実行します。
```
 command
gpupdate /force
```
Windows 端末を再起動し、
Microsoft Edge を起動し、Microsoft 365へアクセスします。
ユーザーアカウントの入力画面が表示されるので、IDを入力します。
その後、パスワードが求められずに Microsoft 365 ページが表示されれば
シームレスシングルサインオンの構成が完了です。