AADCによるユーザ同期の計画に関するご質問です。

Question

AADC計画

1.　テナントを構築し、AzureADへ作成したアカウントを、マイクロソフトアカウントとして利用します。

2.　カスタムドメインはありません。

3　フィルター処理を行い、ユーザアカウントはグループのメンバーとなっているユーザのみとし、属性はサムアカウントネームとしますが、パスワード

　　の同期は行います。

4　将来的にはフィルターを変更し、ドメイン全体の同期とし、メールの利用も考え属性も増やす可能性があります。

質問

Q1  フィルターの変更で、ドメイン全体同期としたとき、以前からあったユーザも他のユーザと同様に属性等同期されるようになりますか？

Ｑ2　その時点でカスタムドメインを追加する事に何か問題はありますでしょうか？

Q3  AADC始めの計画でADFSは考えおらず、ドメイン全体への移行時にADFS連携できれば考えておりますが、この計画に問題はありますか？

すみません、よろしくお願い致します。

Answer 1

A1.

作成するフィルタにより、反映にフルインポートや完全同期が必要になりますが、特に問題なく同期されるようになります。

詳細は以下のドキュメントなどをご参照ください。

Azure AD Connect Sync: フィルター処理の構成

https://docs.microsoft.com/ja-jp/azure/active-directory/connect/active-directory-aadconnectsync-configure-filtering

A2ならびにA3.

カスタムドメインが無い状態でAAD Connect同期を実施すること自体は問題ありませんが、ユーザーから見た場合にログインアカウントが ******@hogehoge.onmicrosoft.com のようになり、オンプレミスにログインする場合とAzureADを利用する場合でアカウント名が変わってしまう形になります。

また、前提として

>「AzureADへ作成したアカウントを、マイクロソフトアカウントとして利用します。

Azure AD Connectで作成したアカウントはマイクロソフトアカウントとしては利用できません。AzureADのアカウントになりますので組織アカウントとなります。

>メールの利用も考え属性も増やす可能性があります。

同期するオブジェクトを指定するためのフィルタ処理はサポートされていますが、同期する属性自体をフィルタするカスタマイズはサポートされていません。

技術的にはルールを直接変更すれば可能ですが、バージョンアップした際に値が戻ってしまうということもありますので余程の事情が無い限りはデフォルトの同期項目で利用されることをお勧めいたします。