HybridEntraJoinのフェデレーション環境での手順について

Question

現在弊社ではフェデレーション環境でのHybridEntraJoinの設定を行っています。

 

MS様のLearnを確認したところ、以下のような記載がありました。

転載元： [https://learn.microsoft.com/ja-jp/entra/identity/devices/how-to-hybrid-join](https://jpn01.safelinks.protection.outlook.com/?url=https%3A%2F%2Flearn.microsoft.com%2Fja-jp%2Fentra%2Fidentity%2Fdevices%2Fhow-to-hybrid-join&data=05%7C02%7Cryo_yokoi%40electron.ctv.ne.jp%7Cc032efb1c9b04a1bbba808dd7c029f77%7Cccbcc53da0d24befa25d9f8015767fde%7C0%7C0%7C638803072912028561%7CUnknown%7CTWFpbGZsb3d8eyJFbXB0eU1hcGkiOnRydWUsIlYiOiIwLjAuMDAwMCIsIlAiOiJXaW4zMiIsIkFOIjoiTWFpbCIsIldUIjoyfQ%3D%3D%7C0%7C%7C%7C&sdata=e46wUpsB6u18kTwA3MTVyWzNSTOyjYv6PtoTJNnkt1U%3D&reserved=0"元の URL: https://learn.microsoft.com/ja-jp/entra/identity/devices/how-to-hybrid-join。このリンクを信頼する場合は、クリックまたはタップしてください。")

ーーーーーーーーーーーーーーーーーーーーー

フェデレーションに関する注意事項

Windows 10 1803 以降では、フェデレーション サービスを使用するフェデレーション環境の即時 Microsoft Entra ハイブリッド参加が失敗した場合、Microsoft Entra Connect に依存して Microsoft Entra ID のコンピューター オブジェクトを同期し、Microsoft Entra ハイブリッド参加のデバイス登録を完了します。

ーーーーーーーーーーーーーーーーーーーーー

以上の記載について確認させていただきたいです。

これは、Microsoft Entra Connectにて、デバイスの同期も行っていれば仮にADFSにクレームルールを追加しなくてもハイブリッド参加ができる、という解釈でよいでしょうか？SCPに関してはグループポリシーでレジストリを構成して設定する予定です。

 

※以前、弊社環境でMicrosoft Entra ConnectからSCP設定を行ったところ、ADにSCPの設定は反映されましたが、ADFSにクレームルールが追加されませんでした。原因は不明です。現在ドメイン全体へのSCP設定は削除しています。

Answer 1

チャブーンです。

この件ですが、前提知識が必要だと思いますので、記載しますね。質問者さんは、以下の「フェデレーションドメイン」相当の動作を行っている、と理解しています。

https://qiita.com/Shinya-Yamaguchi/items/d3dac2f091b42ec7336a

上記の場合、コンピューター(デバイス認証)をAD FSでやるのか、Entra IDでやるのかで、コンピューターアカウントの同期の必要性が変わります。従来だとAD FSだとムリに同期させない、がデフォルトだったのだと思います。

しかし昨今のEntra ID Connectだとひとまず「コンピューターオブジェクトの同期」はしてください、という運用になっているようです。(少なくても資料ではそう書いてあります)

この文脈だと、ローカルのデバイス上でデバイス認証用の証明書発行がされれば(内容は同期されるので)ダウンレベル認証として、Entra IDでのデバイス認証が動作する、ということなのではないでしょうか？AD FSがダウンしている場合、カスタムルールがあろうがなかろうが認証は失敗しますので。

ちなみにデバイス認証用の証明書発行はクライアントの「タスクスケジューラー」に登録されており、条件を満たすと発動します。どんな条件で動作するのか？については、以下に資料があるようですので、確認いただくとよいでしょう。

https://jpazureid.github.io/blog/azure-active-directory/troubleshoot-hybrid-azure-ad-join-managed/