事前にプロビジョニングされた展開のための Windows Autopilot Microsoft Entra ハイブリッド結合の手順:
- 手順 2: Active Directory 用 Intune コネクタをインストールする
- 手順 3: 組織単位 (OU) のコンピューター アカウントの制限を増やす
- 手順 4: デバイスを Windows Autopilot デバイスとして登録する
- 手順 5: デバイス グループを作成する
- 手順 6: Windows Autopilot の登録状態ページ (ESP) を構成して割り当てる
- 手順 7: Microsoft Entra ハイブリッド参加 Windows Autopilot プロファイルを作成して割り当てる
- 手順 8: ドメイン参加プロファイルを構成して割り当てる
- 手順 9: Windows Autopilot デバイスをユーザーに割り当てる (省略可能)
- 手順 10: 技術者のフロー
- 手順 11: ユーザー フロー
事前プロビジョニングされた展開の Windows Autopilot の Microsoft Entra ハイブリッド参加ワークフローの概要については、「事前にプロビジョニングされた展開用の Windows Autopilot の Microsoft Entra ハイブリッド参加の概要」を参照してください。
注:
Active Directory 用の Intune コネクタが既にインストールおよび構成されている場合は、この手順をスキップして、「手順 3: 組織単位 (OU) でのコンピューター アカウントの制限を増やす」に進みます。
Active Directory 用の Intune コネクタをインストールする
オフライン ドメイン参加 (ODJ) コネクタとも呼ばれる Active Directory 用 Intune コネクタは、Windows Autopilot プロセス中にコンピューターをオンプレミス ドメインに参加させます。 コネクタは、ドメイン参加プロセス中に、Active Directory の指定された組織単位 (OU) にコンピューター オブジェクトを作成します。
重要
6.2501.2000.5 より古いバージョンの Active Directory の Intune コネクタは非推奨であり、登録要求を処理できなくなりました。 詳細については、「Windows Autopilot ハイブリッド Microsoft Entra 参加デプロイの低特権アカウントを使用した Active Directory の Intune コネクタ」に関するブログ投稿を参照してください。
コネクタを更新するには、次の手順を実行する必要があります。
- 従来のコネクタを手動でアンインストールします。 自動オプションはありません。
- 更新されたコネクタをダウンロードしてインストールします (この記事で説明します)。
ヒント
複数のドメインを使用して Autopilot デバイスを登録する場合:
- ドメインごとに個別のコネクタ インスタンスが必要になります。 コネクタは、インストールされたサーバーと同じドメインの登録要求のみを処理できます。
- サーバー (VM または物理) ごとに最大 1 つのコネクタを設定できます。 ドメインごとに冗長性のためにサーバーを追加してセットアップでき、それぞれに独自のコネクタがインストールされます。 この設定では、1 つのコネクタに障害が発生すると、要求は同じドメイン内の別のサーバー上の別のコネクタに送信されます。
インストールされている Active Directory の Intune コネクタのバージョンに対応するタブを選択します。
コネクタの更新開始する前に
インストールする前に、Active Directory サーバー用の Intune コネクタの要件がすべて満たされていることを確認します。
Microsoft では、Active Directory 用 Intune コネクタをインストールおよび構成する管理者が、Active Directory 用 Intune コネクタの要件に記載されているドメイン権利を持つことをお勧めします (必須ではありません)。 これらの権限により、Active Directory インストーラーおよび構成プロセス用の Intune コネクタは、コンピューター オブジェクトが作成されるコンピューター コンテナーまたは OU で管理されたサービス アカウント (MSA) のアクセス許可を設定できます。
管理者にこれらのアクセス許可がない場合は、適切な権限を持つ別の管理者が組織 単位 (OU) のコンピューター アカウントの制限を増やす必要があります。
Internet エクスプローラーのセキュリティ強化の構成をオフにする
バージョン 6.2504.2001.8 以降、更新された Active Directory 用 Intune コネクタは、Microsoft Internet エクスプローラー上に構築された WebBrowser ではなく、Microsoft Edge 上に構築された WebView2 を使用するように切り替えられました。 この変更は、Windows Server の Internet エクスプローラーセキュリティ強化の構成設定をオフにする必要がなくなることを意味します。 Internet エクスプローラーのセキュリティ強化の構成設定での問題が発生しないようにするには、Active Directory 用 Intune コネクタのバージョン 6.2504.2001.8 以降をインストールしてください。
Active Directory 用の Intune コネクタをダウンロードする
Active Directory 用の Intune コネクタがインストールされているサーバーで、Microsoft Intune 管理センターにサインインします。
ホーム画面で、左側のウィンドウの [デバイス] を選択します。
[ デバイス] で[概要] 画面の [ プラットフォーム別] で、[ Windows] を選択します。
Windows で |Windows デバイス 画面の [ デバイス オンボード] で、[ 登録] を選択します。
Windows で |Windows 登録画面の [Windows Autopilot] で、[Active Directory 用 Intune コネクタ] を選択します。
[Active Directory 用の Intune コネクタ] 画面で、[追加] を選択します。
開いた [コネクタの追加] ウィンドウで、[Active Directory 用の Intune コネクタの構成] で、[Active Directory 用のオンプレミスの Intune コネクタをダウンロードする] を選択します。 リンクをクリックすると、
ODJConnectorBootstrapper.exeというファイルがダウンロードされます。
サーバーに Active Directory 用 Intune コネクタをインストールする
重要
Active Directory の Intune コネクタのインストールは、次のドメイン権限を持つアカウントを使用して行う必要があります。
- 必須 - 管理されたサービス アカウント コンテナーに msDs-ManagedServiceAccount オブジェクトを作成します。
- 省略可能 - Active Directory の OU のアクセス許可を変更する - 更新された Intune Connector for Active Directory をインストールする管理者にこの権限がない場合は、これらの権限を持つ管理者が追加の構成手順を実行する必要があります。 詳細については、「 組織単位のコンピューター アカウントの制限を増やす」の手順/セクションを参照してください。
ローカル管理者権限を持つアカウントを使用して、Active Directory 用 Intune コネクタがインストールされているサーバーにサインインします。
以前の従来の Intune Connector for Active Directory がインストールされている場合は、更新された Intune Connector for Active Directory をインストールする前に、まずそれをアンインストールします。 詳細については、「Active Directory 用の Intune コネクタのアンインストール」を参照してください。
重要
以前の従来の Intune Connector for Active Directory をアンインストールする場合は、アンインストール プロセスの一環として従来の Intune Connector for Active Directory インストーラーを実行してください。 従来の Intune Connector for Active Directory インストーラーの実行時にアンインストールを求めるメッセージが表示された場合は、アンインストールを選択します。 この手順により、以前のレガシ Intune Connector for Active Directory が完全にアンインストールされます。 従来の Intune Connector for Active Directory インストーラーは、Intune Connector for Active Directory からダウンロードできます。
ヒント
Active Directory 用の Intune コネクタが 1 つしかないドメインでは、最初に別のサーバーに更新された Intune Connector for Active Directory をインストールすることをお勧めします。 更新された Intune Connector for Active Directory を別のサーバーにインストールすることは、現在のサーバーで従来の Intune Connector for Active Directory をアンインストールする前に行う必要があります。 最初に別の場所に Active Directory 用の Intune コネクタをインストールすると、Active Directory 用の Intune コネクタが現在のサーバーで更新されている間のダウンタイムを回避できます。
ダウンロードした
ODJConnectorBootstrapper.exeファイルを開いて、Active Directory セットアップ用の Intune コネクタのインストールを起動します。Active Directory セットアップ用の Intune コネクタのインストールをステップ実行します。
インストールの最後に、[Active Directory の Intune コネクタを起動する] チェック ボックスをオンにします。
注:
Intune Connector for Active Directory セットアップ インストールが [Active Directory 用コネクタの起動] チェックボックスをオンにせずに誤って閉じIntune場合は、[Intune Intune Connector for Active Directory>] を選択すると、 Connector for Active Directory 設定を再開できますIntune[スタート] メニューから [Active Directory のコネクタ] を選択します。
Active Directory の Intune コネクタにサインインする
[Active Directory 用 Intune コネクタ] ウィンドウの [登録] タブで、[サインイン] を選択します。
[サインイン] タブで、Intune 管理者ロールの Microsoft Entra ID 資格情報を使用してサインインします。 ユーザー アカウントに Intune ライセンスが割り当てられている必要があります。 サインイン プロセスが完了するまでに数分かかる場合があります。
注:
Active Directory の Intune コネクタの登録に使用されるアカウントは、インストール時の一時的な要件にすぎません。 サーバーが登録された後、このアカウントは今後使用されません。
サインイン プロセスが完了したら、次の手順を実行します。
- [Active Directory の Intune コネクタが正常に登録されました] の確認ウィンドウが表示されます。 [ OK ] を選択してウィンドウを閉じます。
- 名前が "< の管理されたサービス アカウントMSA_name>" が正常にセットアップされました。確認ウィンドウが表示されます。 MSA の名前は、ランダムな 5 文字#####
msaODJ#####形式です。 作成された MSA の名前をメモし、[ OK ] を選択してウィンドウを閉じます。 OU でのコンピューター オブジェクトの作成を許可するように MSA を構成するには、後で MSA の名前が必要になる場合があります。
[登録] タブに、Active Directory 用 Intune コネクタが登録されていることが表示されます。 [ サインイン] ボタンが灰色表示され、[ 管理されたサービス アカウントの構成 ] が有効になっています。
[Active Directory の Intune コネクタ] ウィンドウを閉じます。
Active Directory の Intune コネクタがアクティブであることを確認する
認証後、Active Directory の Intune コネクタのインストールが完了します。 インストールが完了したら、次の手順に従って Intune でアクティブであることを確認します。
まだ開いている場合は、Microsoft Intune 管理センターにアクセスします。 [ コネクタの追加 ] ウィンドウがまだ表示されている場合は、閉じます。
Microsoft Intune 管理センターがまだ開いていない場合:
Microsoft Intune 管理センターにサインインします。
ホーム画面で、左側のウィンドウの [デバイス] を選択します。
[ デバイス] で[概要] 画面の [ プラットフォーム別] で、[ Windows] を選択します。
Windows で |Windows デバイス 画面の [ デバイス オンボード] で、[ 登録] を選択します。
Windows で |Windows 登録画面の [Windows Autopilot] で、[Active Directory 用 Intune コネクタ] を選択します。
[Active Directory 用の Intune コネクタ] ページで、次の手順を実行します。
- [コネクタ名] の下にサーバーが表示され、[状態] の下に [アクティブ] と表示されていることを確認します
- 更新された Active Directory 用 Intune コネクタの場合は、バージョンが 6.2501.2000.5 以上であることを確認します。
サーバーが表示されない場合は、[更新] を選択するか、ページから移動して、[Active Directory の Intune コネクタ] ページに戻ります。
注:
新しく登録されたサーバーが Microsoft Intune 管理センターの [Active Directory 用Intuneコネクタ] ページに表示されるまで数分かかる場合があります。 登録されたサーバーは、Intune サービスと正常に通信できる場合にのみ表示されます。
アクティブでない Intune Connectors for Active Directory は、[Intune Connector for Active Directory] ページに表示され、30 日後に自動的にクリーンアップされます。
Active Directory 用 Intune コネクタをインストールすると、アプリケーションとサービス ログ>Microsoft>Intune>ODJConnectorService のパス イベント ビューアーへのログインが開始されます。 このパスの下に、管理ログと操作ログが見つかります。
OU でのオブジェクトの作成を許可するように MSA を構成する (オプション)
既定では、MSA には、コンピューター コンテナーでコンピューター オブジェクトを作成するためのアクセス権のみが与えられ ます 。 MSA は、組織単位 (OU) でコンピューター オブジェクトを作成するためのアクセス権を持ちません。 MSA が OU でオブジェクトを作成できるようにするには、Intune Connector for Active Directory がインストールされたディレクトリ (通常はC:\Program Files\Microsoft Intune\ODJConnector\ODJConnectorEnrollmentWizard) にある ODJConnectorEnrollmentWizard.exe.config XML ファイルに OU を追加する必要があります。
OU でオブジェクトを作成できるように MSA を構成するには、次の手順を実行します。
Intune Connector for Active Directory がインストールされているサーバー上で、Intune Connector for Active Directory がインストールされたディレクトリ (通常は
C:\Program Files\Microsoft Intune\ODJConnector\ODJConnectorEnrollmentWizard) に移動します。ODJConnectorEnrollmentWizardディレクトリで、メモ帳などのテキスト エディターで既存のODJConnectorEnrollmentWizard.exe.configXML ファイルを開きます。ODJConnectorEnrollmentWizard.exe.configXML ファイルのadd key要素で、以下を実行します。- [
value=] の横で、MSA がコンピューター オブジェクトを作成するためにアクセスできる必要がある必要な OU を追加します。 - OU 名は LDAP 識別名 形式である必要があり、該当する場合はエスケープする必要があります。
- 各 OU をセミコロン (;) で区切ることで、複数の OU がサポートされます。
-
value=の横には引用符 (") を付けておいてください。 すべての OU 値は、1 対の引用符内になければなりません。 - キー要素の名前は変更しないでください
OrganizationalUnitsUsedForOfflineDomainJoin。
次の例は、LDAP 識別名形式の複数の OU を持つ XML エントリの例です。
<appSettings> <!-- Semicolon separated list of OUs that will be used for Hybrid Autopilot, using LDAP distinguished name format. The ODJ Connector will only have permission to create computer objects in these OUs. The value here should be the same as the value in the Hybrid Autopilot configuration profile in the Azure portal - https://learn.microsoft.com/en-us/mem/intune/configuration/domain-join-configure Usage example (NOTE: PLEASE ENSURE THAT THE DISTINGUISHED NAME IS ESCAPED PROPERLY): Domain contains the following OUs: - OU=HybridDevices,DC=contoso,DC=com - OU=HybridDevices2,OU=IntermediateOU,OU=TopLevelOU,DC=contoso,DC=com Value: "OU=HybridDevices,DC=contoso,DC=com;OU=HybridDevices2,OU=IntermediateOU,OU=TopLevelOU,DC=contoso,DC=com" --> <add key="OrganizationalUnitsUsedForOfflineDomainJoin" value="OU=SubOU,OU=TopLevelOU,DC=contoso,DC=com;OU=Mine,DC=contoso,DC=com" /> </appSettings>ヒント
この例では、
value=の横にある赤いテキストの例を、LDAP 識別名形式のorganizationの OU に置き換えます。 例に示すように、すべての OU エントリが引用符 (") 内にあり、各 OU がセミコロン (;) で区切られることを確認してください。- [
目的の OU がすべて追加されたら、
ODJConnectorEnrollmentWizard.exe.configXML ファイルを保存します。OU アクセス許可を変更する適切な権限を持つ管理者として、[スタート] メニューから [Active Directory 用コネクタIntune Active Directory 用コネクタ>Intune コネクタ] に移動して、Active Directory 用 Intune コネクタを開きます。
重要
Active Directory 用の Intune コネクタをインストールおよび構成している管理者に OU アクセス許可を変更するアクセス許可がない場合は、組織単位内のコンピューター アカウント制限を増やすセクション/手順に続いて、代わりに OU アクセス許可を変更するアクセス許可を持つ管理者が必要です。
[Active Directory 用の Intune コネクタ] ウィンドウの [登録] タブで、[管理されたサービス アカウントの構成] を選択します。
An Managed Service Account with name "<MSA_name>" was successfully setup (名前が "" の管理されたサービス アカウント) の確認ウィンドウが表示されます。 [ OK ] を選択してウィンドウを閉じます。
カスタムの管理されたサービス アカウントを使用する (オプション)
必要に応じて、コネクタによって自動的に設定される MSA ではなく、独自の管理されたサービス アカウントを使用するようにコネクタを構成できます。
MSA の要件
このセクションでは、MSA の要件について説明します。
指定されたアカウントは、Active Directory で次のいずれかのオブジェクト カテゴリを持つサービス アカウントである必要があります。
CN=ms-DS-Group-Managed-Service-Account,CN=Schema,CN=Configuration,DC=contoso,DC=comCN=ms-DS-Managed-Service-Account,CN=Schema,CN=Configuration,DC=contoso,DC=com
サービス アカウントの構成値は、次の形式である必要があります。
<msaAccountName@domain>サービス アカウントは、ODJ コネクタのサーバーと同じドメインに存在する必要があります。
ODJ コネクタをホストしているサーバーにサービス アカウントをインストールする必要があります。 詳細については、「 Install-ADServiceAccount」を参照してください。
- sMSA を使用する場合、アカウントは 1 台のマシンにのみリンクできます。
- gMSA を使用する場合、gMSA をインストールするサーバーがパスワードにアクセスできる必要があります。
サービス アカウントには、サービス としてログオン するローカルのアクセス許可が必要です。このアクセス許可は、直接設定することも、グループ メンバーシップを介して設定することもできます。 詳細については、「 サービス ログオンを有効にする」を参照してください。
ハイブリッド Autopilot フロー用のコンピューター オブジェクトを作成するには、サービス アカウントに対してアクセス許可を手動で付与する必要があります。 詳細については、「 組織単位 (OU) でのコンピューター アカウントの制限を増やす」を参照してください。
設定方法
ODJConnectorEnrollmentWizard.exe.configを更新します。 既定の場所は C:\Program Files\Microsoft Intune\ODJConnector\ODJConnectorEnrollmentWizard です。
ファイルの appSettings セクション に次の行を追加します。
<add key="TenantConfiguredManagedServiceAccount" value="{accountname}" />コネクタにサインインします。
OU 更新プログラムを無効にする
独自の MSA を使用すると、OrganizationalUnitsUsedForOfflineDomainJoin で構成されている内容に関係なく、コネクタが OU を更新できなくなります。 エラーを防ぐには、 ODJConnectorEnrollmentWizard.exe.config を更新して OU 更新プログラムを無効にします。 既定の場所は C:\Program Files\Microsoft Intune\ODJConnector\ODJConnectorEnrollmentWizard です。
ファイルの appSettings セクション に次の行を追加します。
<add key="DisableOUUpdates" value="true" />コネクタにサインインします。