Entra cloud sync で Entra ID -> AD DSに ユーザが同期されない

Question

こんにちは！

Entra Cloud sync を使って Entra ID上のユーザをAD DSヘ同期を試みていますが、うまくいきません。何か有効な対処方法をご存知の方、アドバイスいただけますと幸いです。

プロビジョニングのエラーメッセージ：

EntrySynchronizationSkip

結果

Skipped

説明

The User '***' will be skipped due to the following reasons: 1) This object is not assigned to the application. If you did not expect the object to be skipped, assign the object to the application or change your scoping filter to allow all users and groups to be in scope for provisioning. 2) This object does not have required entitlement for provisioning. If you did not expect the object to be skipped, update provisioning scope to 'Sync all users and groups' or assign the object to the application with entitlement of provisioning category 3) This object did not pass a scoping filter. If you did not expect the object to be skipped, please review your scoping filters and ensure that the object passes your specified scoping criteria. The scope evaluation result is: {"On-prem Owned Users.dirSyncEnabled IS TRUE":false}

SkipReason

NotEffectivelyEntitled

IsActive

True

Assigned to the application

False

IsInProvisioningScope

False

ScopeEvaluationResult

{"On-prem Owned Users.dirSyncEnabled IS TRUE":false}

---

---

Answer 1

チャブーンです。

この件ですが、前提として以下のような技術背景で、Entra IDからAD DSへの同期を実現されようとしている、理解です。

https://learn.microsoft.com/ja-jp/entra/identity/hybrid/cloud-sync/how-to-configure-entra-to-active-directory

端的にいうと、ここでの同期が可能なオブジェクトは「Entra IDのセキュリティグループ」のみで、他のオブジェクトは同期が許可されない、ということです。おそらくユーザーを同期したい、のでしょうが、これは許可されないオブジェクトなので、同期ができなくて当然ということになります。エラーメッセージもそれを裏付ける内容になっています。

ちなみにMicrosoft 365グループも許可されないオブジェクトの種類に該当しますので、従来の「グループライトバック」機能を使うということになります。

蛇足かもしれませんが、よくEntra IDからAD DSへの同期が可能なフロー図が示されることがあります。これは単独ではムリで、「Cloud HR」という従業員データベースソリューションを間に挟むことで実現します。Entra IDで作成されたクラウドユーザーがいったんCloud HRに同期され、Cloud HRがAD DSに同期をかけることで、あたかもEntra IDからAD DSへの同期ができたかのように機能する、こういう仕掛けがあるわけです。ですので、本当にこの機能が使いたい場合、Cloud HRを別建てで契約する必要があります。