Hybrid Azure Active Directory 参加の実装を計画する

  • [アーティクル]

オンプレミスの Active Directory Domain Services (AD DS) 環境があるときに、AD DS ドメイン参加済みコンピューターを Azure AD に参加させたい場合は、Hybrid Azure AD Join を実行することで、このタスクを実行できます。

ヒント

オンプレミスのリソースへの SSO アクセスは、参加して Azure AD デバイスでも使用できます。 詳しくは、「How SSO to on-premises resources works on Azure AD joined devices」(Azure AD 参加済みデバイス上でのオンプレミスのリソースへの SSO の動作) をご覧ください。

前提条件

この記事では、Azure Active Directory でのデバイス ID 管理の概要を理解していることを前提とします。

Note

Windows 10 以降の Hybrid Azure AD Join に最低限必要なドメイン コントローラー バージョンは、Windows Server 2008 R2 です。

Hybrid Azure AD Join を使用したデバイスには、ドメイン コントローラーへのネットワーク接続が定期的に必要になります。 この接続がない場合、デバイスは使用できなくなります。

ドメイン コントローラーへの通信経路がないと利用できないシナリオには、次のようなものがあります。

  • デバイスのパスワードの変更
  • ユーザー パスワードの変更 (キャッシュされた資格情報)
  • TPM をリセットしたため

実装の計画

ハイブリッド Azure AD の実装を計画するには、以下を理解する必要があります。

  • サポート対象デバイスを確認する
  • 知っておくべきことを確認する
  • Hybrid Azure AD Join の対象を絞ったデプロイを確認する
  • ID インフラストラクチャに基づいてシナリオを選択する
  • ハイブリッド Azure AD 参加でのオンプレミス AD UPN サポートを確認する

サポート対象デバイスを確認する

ハイブリッド Azure AD 参加は、幅広い Windows デバイスをサポートしています。 旧バージョンの Windows を実行しているデバイスの構成の場合、他の手順が必要なので、サポートされるデバイスは 2 つのカテゴリにグループ化されます。

最新の Windows デバイス

  • Windows 11
  • Windows 10
  • Windows Server 2016
    • 注:Azure 国内クラウドのお客様にはバージョン 1803 が必要です
  • Windows Server 2019

Windows デスクトップ オペレーティング システムを実行しているデバイスの場合、サポートされているバージョンについてはこの記事「Windows 10 リリース情報」を参照してください。 ベスト プラクティスとして、Microsoft は Windows の最新バージョンにアップグレードすることをお勧めします。

ダウンレベルの Windows デバイス

  • Windows 8.1
  • Windows 7 のサポートは 2020 年 1 月 14 日に終了しました。 詳しくは、Windows 7 のサポート終了に関する記事をご覧ください
  • Windows Server 2012 R2
  • Windows Server 2012
  • Windows Server 2008 R2 Windows Server 2008 および 2008 R2 のサポート情報については、Windows Server 2008 のサポート終了の準備に関するページを参照してください

最初の計画手順として、環境を確認し、ダウンレベルの Windows デバイスをサポートする必要があるかどうかを判断する必要があります。

知っておくべきことを確認する

サポートされていないシナリオ

  • Hybrid Azure AD Join は、ドメイン コントローラー (DC) ロールを実行している Windows Server ではサポートされていません。
  • 資格情報のローミングや、ユーザー プロファイルまたは必須のプロファイルのローミングを使用している場合、Hybrid Azure AD Join はダウンレベルの Windows デバイスではサポートされていません。
  • Server Core OS では、どの種類のデバイス登録もサポートされていません。
  • ユーザー状態移行ツール (USMT) では、デバイス登録は処理されません。

OS イメージングの考慮事項

  • システム準備ツール (Sysprep) を使用していて、インストールに Windows 10 1809 より前のイメージを使用している場合は、そのイメージが、既に Hybrid Azure AD Join を使用して Azure AD に登録されているデバイスからのものではないことを確認します。

  • 仮想マシン (VM) のスナップショットを利用して追加の VM を作成する場合は、そのスナップショットが、既に Hybrid Azure AD Join を使用して Azure AD に登録されている VM からのものではないことを確認します。

  • 再起動時にディスクへの変更をクリアする統合書き込みフィルターおよび類似のテクノロジーを使用している場合、デバイスで Hybrid Azure AD Join が使用された後にそれらを適用する必要があります。 Hybrid Azure AD Join を完了する前にこのようなテクノロジーを有効にすると、再起動のたびにデバイスが切断されることになります。

Azure AD 登録状態のデバイスの処理

Windows 10 以降のドメイン参加済みデバイスが既にテナントへの Azure AD 登録済みである場合、デバイスは、Hybrid Azure AD Join を使用し、かつ Azure AD に登録済みの二重状態になる可能性があります。 このシナリオに自動的に対処するには、(KB4489894 が適用された) Windows 10 1803 以降にアップグレードすることをお勧めします。 1803 より前のリリースでは、Hybrid Azure AD Join を有効にする前に、Azure AD の登録済み状態を手動で削除する必要があります。 1803 以降のリリースでは、この二重状態を回避するために次の変更が行われています。

  • "デバイスで Hybrid Azure AD Join が使用され、同じユーザーがログインした後"、ユーザーの既存の Azure AD 登録済み状態は自動的に削除されます。 たとえば、ユーザー A がデバイスに Azure AD 登録済み状態を持っている場合は、ユーザー A がデバイスにログインしたときにのみ、ユーザー A の二重状態はクリーンアップされます。 同じデバイスに複数のユーザーがいる場合、それらのユーザーがログインすると、二重状態は個別にクリーンアップされます。 管理者が Azure AD の登録済み状態を削除すると、Windows 10 では、自動登録を介して Azure AD 登録の一部として登録が行われた場合に、Intune またはその他の MDM からもデバイスの登録が解除されます。
  • デバイス上のすべてのローカル アカウントの Azure AD 登録済みの状態は、この変更による影響を受けません。 ドメイン アカウントにのみ適用されます。 ローカル アカウントのユーザーはドメイン ユーザーではないため、ユーザーのログオン後でも、Azure AD 登録済みの状態は自動的には削除されません。
  • 次のレジストリ値を HKLM\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin に追加すると、ドメイン参加済みデバイスが Azure AD 登録済みになることを防ぐことができます:"BlockAADWorkplaceJoin"=dword:00000001。
  • Windows 10 1803 では、Windows Hello for Business が構成されている場合、二重状態のクリーンアップ後に Windows Hello for Business を再構成する必要があります。 この問題は KB4512509 で解決されています。

Note

Windows 10 と Windows 11 では Azure AD の登録済み状態がローカルで自動的に削除されますが、Azure AD 内のデバイス オブジェクトは、Intune で管理されている場合はすぐには削除されません。 Azure AD 登録済みの状態の削除を確認するには、dsregcmd /status を実行し、それに基づいて、デバイスが Azure AD に登録されていないものと見なすことができます。

1 つのフォレストと複数の Azure AD テナントへの Hybrid Azure AD 参加

それぞれのテナントにデバイスを Hybrid Azure AD 参加として登録するには、AD ではなくデバイスで SCP を構成する必要があります。 これを実現する方法の詳細については、「Hybrid Azure AD Join の対象を絞ったデプロイ」を参照してください。 特定の Azure AD 機能が、単一フォレストと複数の Azure AD テナントの構成では動作しないことを理解しておくことは、組織にとって重要です。

その他の考慮事項

  • 環境で仮想デスクトップ インフラストラクチャ (VDI) を使用する場合は、「デバイス ID とデスクトップ仮想化」を参照してください。

  • Hybrid Azure AD 参加は、FIPS に準拠している TPM 2.0 でサポートされており、TPM 1.2 ではサポートされていません。 FIPS に準拠している TPM 1.2 がデバイスにある場合は、Hybrid Azure AD Join の使用を進める前に、それらを無効にする必要があります。 TPM の FIPS モードを無効にするためのツールは、TPM の製造元に依存するため、Microsoft では提供していません。 サポートが必要な場合は、お使いのハードウェアの OEM にお問い合わせください。

  • Windows 10 1903 リリース以降、TPM 1.2 は Hybrid Azure AD Join では使用されず、それらの TPM を含むデバイスは TPM を持っていないものと見なされます。

  • UPN の変更は、Windows 10 2004 Update 以降でのみサポートされます。 Windows 10 2004 アップデート以前のデバイスの場合は、ユーザーのデバイスで SSO や条件付きアクセスに関する問題が発生する可能性があります。 この問題を解決するには、Azure AD からデバイスの参加を解除 (昇格された特権を使用して "dsregcmd /leave" を実行) し、再度参加する (自動的に行われる) 必要があります。 なお、この問題は Windows Hello for Business でサインインしているユーザーには影響しません。

対象を絞った Hybrid Azure AD Join を確認する

Hybrid Azure AD Join を組織全体に有効にする前に、対象を絞ったロールアウトを実行することができます。 実行方法については、記事「Hybrid Azure AD Join の対象を絞ったデプロイ」を参照してください。

警告

組織には、パイロット グループ内のさまざまなロールやプロファイルからのユーザーのサンプルを含める必要があります。 対象を絞ってロールアウトすると、組織全体に対して有効にする前に、計画で対処されていない可能性のある問題を特定するのに役立ちます。

ID インフラストラクチャに基づいてシナリオを選択する

Hybrid Azure AD 参加は、UPN がルーティング可能かどうかに応じて、マネージド環境とフェデレーション環境の両方で動作します。 サポートされるシナリオについては、ページ下部の表を参照してください。

マネージド環境

マネージド環境は、パスワード ハッシュ同期 (PHS) またはパススルー認証 (PTA) のシームレス シングル サインオンを使用してデプロイできます。

これらのシナリオでは、フェデレーション サーバーを認証用に構成する必要はありません。

Note

段階的なロールアウトを使用するクラウド認証は、Windows 10 1903 Update 以降でのみサポートされます。

フェデレーション環境

フェデレーション環境には、以下の要件をサポートする ID プロバイダーが必要です。 Active Directory フェデレーション サービス (AD FS) を使用しているフェデレーション環境がある場合は、以下の要件は既にサポートされています。

  • WIAORMULTIAUTHN 要求: この要求は、Windows ダウンレベル デバイスに対してHybrid Azure AD Join を行うために必要です。
  • WS-Trust プロトコル: このプロトコルは、Windows の現在のハイブリッド Azure AD 参加デバイスを Azure AD で認証するために必要です。 AD FS を使用している場合は、次の WS-Trust エンドポイントを有効にする必要があります。/adfs/services/trust/2005/windowstransport/adfs/services/trust/13/windowstransport/adfs/services/trust/2005/usernamemixed/adfs/services/trust/13/usernamemixed/adfs/services/trust/2005/certificatemixed/adfs/services/trust/13/certificatemixed

警告

adfs/services/trust/2005/windowstransport と adfs/services/trust/13/windowstransport はどちらも、イントラネットに接続するエンドポイントとしてのみ有効にする必要があります。Web アプリケーション プロキシを介してエクストラネットに接続するエンドポイントとして公開することはできません。 WS-Trust WIndows エンドポイントを無効にする方法の詳細については、プロキシの WS-Trust Windows エンドポイントを無効にする方法に関するセクションを参照してください。 どのエンドポイントが有効になっているかは、AD FS 管理コンソールの [サービス][エンドポイント] で確認できます。

バージョン 1.1.819.0 以降の Azure AD Connect には、ハイブリッド Azure AD 参加を構成するためのウィザードが用意されています。 このウィザードを使用すると、構成プロセスを大幅に簡略化できます。 Azure AD Connect の必要なバージョンをインストールすることができない場合は、デバイス登録を手動で構成する方法に関するページを参照してください。

Hybrid Azure AD Join に対するオンプレミスの AD ユーザー UPN サポートを確認する

ときには、オンプレミスの AD ユーザー UPN が Azure AD UPN と異なる場合があります。 このような場合、Windows 10 以降の Hybrid Azure AD Join では、認証方法、ドメインの種類、および Windows のバージョンに基づいて、オンプレミスの AD UPN のサポートが提供されます。 環境内に存在できるオンプレミスの AD UPN は 2 種類あります。

  • ルーティング可能なユーザーの UPN: ルーティング可能な UPN には、ドメイン レジストラーに登録されている有効な確認済みドメインがあります。 たとえば、contoso.com が Azure AD 内のプライマリ ドメインの場合、contoso.org は、Contoso 社によって所有され、Azure AD で確認されているオンプレミスの AD 内のプライマリ ドメインです。
  • ルーティング不可能なユーザーの UPN: ルーティングできない UPN には、確認済みドメインがないため、組織のプライベート ネットワーク内でのみ適用されます。 たとえば、contoso.com が Azure AD 内のプライマリ ドメインの場合、contoso.local はオンプレミスの AD 内のプライマリ ドメインですが、インターネットで確認可能なドメインではないため、Contoso 社のネットワーク内でのみ使用されます。

注意

このセクションの情報は、オンプレミスのユーザー UPN に対してのみ適用されます。 オンプレミスのコンピューター ドメイン サフィックスには適用されません (例: computer1.contoso.local)。

次の表は、Windows 10 の Hybrid Azure AD Join における、これらのオンプレミスの AD UPN のサポートに関する詳細を示しています

オンプレミスの AD UPN の種類 ドメインの種類 Windows 10 のバージョン 説明
ルーティング可能 フェデレーション 1703 リリースから 一般公開
ルーティング不可能 フェデレーション 1803 リリースから 一般公開
ルーティング可能 マネージド 1803 リリースから 一般提供されていますが、Windows ロック画面上の Azure AD SSPR は、オンプレミスの UPN が Azure AD UPN と異なっている環境ではサポートされていません。 オンプレミスの UPN は、Azure AD の onPremisesUserPrincipalName 属性に同期する必要があります
ルーティング不可能 マネージド サポートされていません

次のステップ