PowerShell または Microsoft Graph API を使用してテナント間同期を構成する

[アーティクル]
07/19/2024

この記事では、Microsoft Graph PowerShell または Microsoft Graph API を使用してテナント間同期を構成する主要な手順について説明します。構成すると、Microsoft Entra ID では、ターゲットテナント内の B2B ユーザーが自動的にプロビジョニングおよびプロビジョニング解除されます。 Microsoft Entra 管理センターを使用する詳細な手順については、「テナント間同期を構成する」を参照してください。

前提条件

ソーステナントのアイコン。
ソーステナント

Microsoft Entra ID P1 または P2 ライセンス。詳細については、「License requirements ライセンスの要件」を参照してください。
テナント間アクセス設定を構成するためのセキュリティ管理者ロール。
テナント間同期を構成するためのハイブリッド ID の管理者ロール。
構成へのユーザーの割り当てと、構成の削除を行うクラウドアプリケーション管理者またはアプリケーション管理者ロール。
必要なアクセス許可に同意するためのグローバル管理者ロール。

ターゲットテナントのアイコン。
ターゲットテナント

Microsoft Entra ID P1 または P2 ライセンス。詳細については、「License requirements ライセンスの要件」を参照してください。
テナント間アクセス設定を構成するためのセキュリティ管理者ロール。
必要なアクセス許可に同意するためのグローバル管理者ロール。

ターゲットテナントのアイコン。
ターゲットテナント

PowerShell
Microsoft Graph

PowerShell を開始します。
必要に応じて、Microsoft Graph PowerShell SDK をインストールします。
ソースとターゲットのテナントのテナント ID を取得し、変数を初期化します。
```
$SourceTenantId = "<SourceTenantId>"
$TargetTenantId = "<TargetTenantId>"
```
Connect-MgGraph コマンドを使用してターゲットテナントにサインインし、次の必要なアクセス許可に同意します。
- Policy.Read.All
- Policy.ReadWrite.CrossTenantAccess
```
Connect-MgGraph -TenantId $TargetTenantId -Scopes "Policy.Read.All","Policy.ReadWrite.CrossTenantAccess"
```

以下の手順では、Microsoft Graph Explorer を使用する方法について説明しますが、別の REST API クライアントを使用することもできます。

Microsoft Graph Explorer ツールを起動します。
ターゲットテナントにサインインします。
プロファイルを選択し、[Consent to permissions] (アクセス許可に同意する) を選択します。
次の必要なアクセス許可に同意します。
- Policy.Read.All
- Policy.ReadWrite.CrossTenantAccess
ソースとターゲットのテナントのテナント ID を取得します。この記事で説明する構成例では、次のテナント ID を使用します。
- ソーステナント ID: {sourceTenantId}
- ターゲットテナント ID: {targetTenantId}

手順 2: ターゲットテナントでユーザーの同期を有効にする

ターゲットテナントのアイコン。
ターゲットテナント

PowerShell
Microsoft Graph

ターゲットテナントで、New-MgPolicyCrossTenantAccessPolicyPartner コマンドを使用して、ターゲットテナントとソーステナントの間のテナント間アクセスポリシーに新しいパートナー構成を作成します。要求でソーステナント ID を使用します。

エラー New-MgPolicyCrossTenantAccessPolicyPartner_Create: Another object with the same value for property tenantId already exists が発生した場合は、既存の構成が既に存在する可能性があります。詳細については、「現象 - New-MgPolicyCrossTenantAccessPolicyPartner_Create エラー」を参照してください。

$Params = @{
    TenantId = $SourceTenantId
}
New-MgPolicyCrossTenantAccessPolicyPartner -BodyParameter $Params | Format-List

AutomaticUserConsentSettings : Microsoft.Graph.PowerShell.Models.MicrosoftGraphInboundOutboundPolicyConfiguration
B2BCollaborationInbound      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
B2BCollaborationOutbound     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
B2BDirectConnectInbound      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
B2BDirectConnectOutbound     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
IdentitySynchronization      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantIdentitySyncPolicyPartner
InboundTrust                 : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyInboundTrust
IsServiceProvider            :
TenantId                     : <SourceTenantId>
TenantRestrictions           : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyTenantRestrictions
AdditionalProperties         : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#policies/crossTenantAccessPolicy/partners/$entity],
                               [crossCloudMeetingConfiguration,
                               System.Collections.Generic.Dictionary`2[System.String,System.Object]], [protectedContentSharing,
                               System.Collections.Generic.Dictionary`2[System.String,System.Object]]}

Invoke-MgGraphRequest コマンドを使用して、ターゲットテナントでユーザー同期を有効にします。

Request_MultipleObjectsWithSameKeyValue エラーが発生した場合は、既存のポリシーが既に存在する可能性があります。詳細については、「現象 - Request_MultipleObjectsWithSameKeyValue エラー」を参照してください。
```
$Params = @{
    userSyncInbound = @{
        isSyncAllowed = $true
    }
}
Invoke-MgGraphRequest -Method PUT -Uri "https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/$SourceTenantId/identitySynchronization" -Body $Params
```

Get-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization コマンドを使用して、IsSyncAllowed が True に設定されていることを確認します。

(Get-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization -CrossTenantAccessPolicyConfigurationPartnerTenantId $SourceTenantId).UserSyncInbound

IsSyncAllowed
-------------
True

ターゲットテナントで、crossTenantAccessPolicyConfigurationPartner を作成する API を使用して、ターゲットテナントとソーステナントの間のテナント間アクセスポリシーに新しいパートナー構成を作成します。要求でソーステナント ID を使用します。

Request_MultipleObjectsWithSameKeyValue エラーが発生した場合は、既存の構成が既に存在する可能性があります。詳細については、「現象 - Request_MultipleObjectsWithSameKeyValue エラー」を参照してください。

Request

POST https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners
Content-Type: application/json

{
  "tenantId": "{sourceTenantId}"
}

Response

HTTP/1.1 201 Created
Content-Type: application/json

{
  "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#policies/crossTenantAccessPolicy/partners/$entity",
  "tenantId": "{sourceTenantId}",
  "isServiceProvider": null,
  "inboundTrust": null,
  "b2bCollaborationOutbound": null,
  "b2bCollaborationInbound": null,
  "b2bDirectConnectOutbound": null,
  "b2bDirectConnectInbound": null,
  "tenantRestrictions": null,
  "crossCloudMeetingConfiguration":
  {
    "inboundAllowed": null,
    "outboundAllowed": null
  },
  "automaticUserConsentSettings":
  {
    "inboundAllowed": null,
    "outboundAllowed": null
  }
}

Create identitySynchronization API を使用して、ターゲットテナントでユーザー同期を有効にします。

Request_MultipleObjectsWithSameKeyValue エラーが発生した場合は、既存のポリシーが既に存在する可能性があります。詳細については、「現象 - Request_MultipleObjectsWithSameKeyValue エラー」を参照してください。

Request
```
PUT https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/{sourceTenantId}/identitySynchronization
Content-type: application/json

{
   "displayName": "Fabrikam",
   "userSyncInbound": 
    {
      "isSyncAllowed": true
    }
}
```
Response
```
HTTP/1.1 204 No Content
```

手順 3: ターゲットテナントで招待を自動的に引き換える

ターゲットテナントのアイコン。
ターゲットテナント

PowerShell
Microsoft Graph

ターゲットテナントで、Update-MgPolicyCrossTenantAccessPolicyPartner コマンドを使用して、招待を自動的に引き換え、受信アクセスの同意プロンプトを抑制します。

$AutomaticUserConsentSettings = @{
    "InboundAllowed"="True"
}
Update-MgPolicyCrossTenantAccessPolicyPartner -CrossTenantAccessPolicyConfigurationPartnerTenantId $SourceTenantId -AutomaticUserConsentSettings $AutomaticUserConsentSettings

ターゲットテナントで、crossTenantAccessPolicyConfigurationPartner を更新する API を使用して、招待を自動的に引き換え、受信アクセスの同意プロンプトを抑制します。

Request

PATCH https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/{sourceTenantId}
Content-Type: application/json

{
    "inboundTrust": null,
    "automaticUserConsentSettings":
    {
        "inboundAllowed": true
    }
}

Response

HTTP/1.1 204 No Content

ソーステナントのアイコン。
ソーステナント

PowerShell
Microsoft Graph

PowerShell のインスタンスを開始します。
ソースとターゲットのテナントのテナント ID を取得し、変数を初期化します。
```
$SourceTenantId = "<SourceTenantId>"
$TargetTenantId = "<TargetTenantId>"
```
Connect-MgGraph コマンドを使用してソーステナントにサインインし、次の必要なアクセス許可に同意します。
- Policy.Read.All
- Policy.ReadWrite.CrossTenantAccess
- Application.ReadWrite.All
- Directory.ReadWrite.All
- AuditLog.Read.All
```
Connect-MgGraph -TenantId $SourceTenantId -Scopes "Policy.Read.All","Policy.ReadWrite.CrossTenantAccess","Application.ReadWrite.All","Directory.ReadWrite.All","AuditLog.Read.All"
```

Microsoft Graph Explorer ツールのインスタンスを起動します。
ソーステナントにサインインします。
次の必要なアクセス許可に同意します。
- Policy.Read.All
- Policy.ReadWrite.CrossTenantAccess
- Application.ReadWrite.All
- Directory.ReadWrite.All
- AuditLog.Read.All
[管理者の承認が必要] ページが表示される場合は、同意するためにグローバル管理者ロールが割り当てられているユーザーでサインインする必要があります。

手順 5: ソーステナントで招待を自動的に引き換える

ソーステナントのアイコン。
ソーステナント

PowerShell
Microsoft Graph

ソーステナントで、New-MgPolicyCrossTenantAccessPolicyPartner コマンドを使用して、ソーステナントとターゲットテナントの間のテナント間アクセスポリシーに新しいパートナー構成を作成します。要求でターゲットテナント ID を使用します。

$Params = @{
    TenantId = $TargetTenantId
}
New-MgPolicyCrossTenantAccessPolicyPartner -BodyParameter $Params | Format-List

AutomaticUserConsentSettings : Microsoft.Graph.PowerShell.Models.MicrosoftGraphInboundOutboundPolicyConfiguration
B2BCollaborationInbound      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
B2BCollaborationOutbound     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
B2BDirectConnectInbound      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
B2BDirectConnectOutbound     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyB2BSetting
IdentitySynchronization      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantIdentitySyncPolicyPartner
InboundTrust                 : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyInboundTrust
IsServiceProvider            :
TenantId                     : <TargetTenantId>
TenantRestrictions           : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCrossTenantAccessPolicyTenantRestrictions
AdditionalProperties         : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#policies/crossTenantAccessPolicy/partners/$entity],
                               [crossCloudMeetingConfiguration,
                               System.Collections.Generic.Dictionary`2[System.String,System.Object]], [protectedContentSharing,
                               System.Collections.Generic.Dictionary`2[System.String,System.Object]]}

Update-MgPolicyCrossTenantAccessPolicyPartner コマンドを使用して、招待を自動的に引き換え、送信アクセスの同意プロンプトを抑制します。

$AutomaticUserConsentSettings = @{
    "OutboundAllowed"="True"
}
Update-MgPolicyCrossTenantAccessPolicyPartner -CrossTenantAccessPolicyConfigurationPartnerTenantId $TargetTenantId -AutomaticUserConsentSettings $AutomaticUserConsentSettings

ソーステナントで、crossTenantAccessPolicyConfigurationPartner を作成する API を使用して、ソーステナントとターゲットテナントの間のテナント間アクセスポリシーに新しいパートナー構成を作成します。要求でターゲットテナント ID を使用します。

Request

POST https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners
Content-Type: application/json

{
  "tenantId": "{targetTenantId}"
}

Response

HTTP/1.1 201 Created
Content-Type: application/json

{
  "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#policies/crossTenantAccessPolicy/partners/$entity",
  "tenantId": "{targetTenantId}",
  "isServiceProvider": null,
  "inboundTrust": null,
  "b2bCollaborationOutbound": null,
  "b2bCollaborationInbound": null,
  "b2bDirectConnectOutbound": null,
  "b2bDirectConnectInbound": null,
  "tenantRestrictions": null,
  "crossCloudMeetingConfiguration":
  {
    "inboundAllowed": null,
    "outboundAllowed": null
  },
  "automaticUserConsentSettings":
  {
    "inboundAllowed": null,
    "outboundAllowed": null
  }
}

Update crossTenantAccessPolicyConfigurationPartner API を使用して、招待を自動的に引き換え、送信アクセスの同意プロンプトを抑制します。

Request

PATCH https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/{targetTenantId}
Content-Type: application/json

{
    "automaticUserConsentSettings":
    {
        "outboundAllowed": true
    }
}

Response

HTTP/1.1 204 No Content

手順 6: ソーステナントで構成アプリケーションを作成する

ソーステナントのアイコン。
ソーステナント

PowerShell
Microsoft Graph

ソーステナントで、Invoke-MgInstantiateApplicationTemplate コマンドを使って、Microsoft Entra アプリケーションギャラリーからテナントに構成アプリケーションのインスタンスを追加します。
```
Invoke-MgInstantiateApplicationTemplate -ApplicationTemplateId "518e5f48-1fc8-4c48-9387-9fdf28b0dfe7" -DisplayName "Fabrikam"
```

Get-MgServicePrincipal コマンドを使用して、サービスプリンシパル ID とアプリロール ID を取得します。

Get-MgServicePrincipal -Filter "DisplayName eq 'Fabrikam'" | Format-List

AccountEnabled                      : True
AddIns                              : {}
AlternativeNames                    : {}
AppDescription                      :
AppDisplayName                      : Fabrikam
AppId                               : <AppId>
AppManagementPolicies               :
AppOwnerOrganizationId              : <AppOwnerOrganizationId>
AppRoleAssignedTo                   :
AppRoleAssignmentRequired           : True
AppRoleAssignments                  :
AppRoles                            : {<AppRoleId>}
ApplicationTemplateId               : 518e5f48-1fc8-4c48-9387-9fdf28b0dfe7
ClaimsMappingPolicies               :
CreatedObjects                      :
CustomSecurityAttributes            : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCustomSecurityAttributeValue
DelegatedPermissionClassifications  :
DeletedDateTime                     :
Description                         :
DisabledByMicrosoftStatus           :
DisplayName                         : Fabrikam
Endpoints                           :
ErrorUrl                            :
FederatedIdentityCredentials        :
HomeRealmDiscoveryPolicies          :
Homepage                            : https://account.activedirectory.windowsazure.com:444/applications/default.aspx?metadata=aad2aadsync|ISV9.1|primary|z
Id                                  : <ServicePrincipalId>
Info                                : Microsoft.Graph.PowerShell.Models.MicrosoftGraphInformationalUrl
KeyCredentials                      : {}
LicenseDetails                      :

...

サービスプリンシパル ID の変数を初期化します。

必ず、アプリケーション ID の代わりにサービスプリンシパル ID を使用してください。
```
$ServicePrincipalId = "<ServicePrincipalId>"
```
アプリロール ID の変数を初期化します。
```
$AppRoleId= "<AppRoleId>"
```

ソーステナントで、applicationTemplate: instantiate API を使って、Microsoft Entra アプリケーションギャラリーからテナントに構成アプリケーションのインスタンスを追加します。

Request

POST https://graph.microsoft.com/v1.0/applicationTemplates/518e5f48-1fc8-4c48-9387-9fdf28b0dfe7/instantiate
Content-type: application/json

{
  "displayName": "Fabrikam"
}

Response

HTTP/1.1 201 Created
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#microsoft.graph.applicationServicePrincipal",
    "application": {
        "id": "{id}",
        "appId": "{appId}",
        "applicationTemplateId": "518e5f48-1fc8-4c48-9387-9fdf28b0dfe7",
        "createdDateTime": "2023-07-31T23:26:24Z",
        "deletedDateTime": null,
        "displayName": "Fabrikam",
        "description": null,
        "groupMembershipClaims": null,
        "identifierUris": [],
        "isFallbackPublicClient": false,
        "signInAudience": "AzureADMyOrg",
        "tags": [],
        "tokenEncryptionKeyId": null,
        "defaultRedirectUri": null,
        "optionalClaims": null,
        "addIns": [],
        "api": {
            "acceptMappedClaims": null,
            "knownClientApplications": [],
            "requestedAccessTokenVersion": null,
            "oauth2PermissionScopes": [
                {
                    "adminConsentDescription": "Allow the application to access Fabrikam on behalf of the signed-in user.",
                    "adminConsentDisplayName": "Access Fabrikam",
                    "id": "{id}",
                    "isEnabled": true,
                    "type": "User",
                    "userConsentDescription": "Allow the application to access Fabrikam on your behalf.",
                    "userConsentDisplayName": "Access Fabrikam",
                    "value": "user_impersonation"
                }
            ],
            "preAuthorizedApplications": []
        },
        "appRoles": [
            {
                "allowedMemberTypes": [
                    "User"
                ],
                "displayName": "msiam_access",
                "id": "{appRoleId}",
                "isEnabled": true,
                "description": "msiam_access",
                "value": null,
                "origin": "Application"
            }
        ],
        "info": {
            "logoUrl": null,
            "marketingUrl": null,
            "privacyStatementUrl": null,
            "supportUrl": null,
            "termsOfServiceUrl": null
        },
        "keyCredentials": [],
        "parentalControlSettings": {
            "countriesBlockedForMinors": [],
            "legalAgeGroupRule": "Allow"
        },
        "passwordCredentials": [],
        "publicClient": {
            "redirectUris": []
        },
        "requiredResourceAccess": [],
        "verifiedPublisher": {
            "displayName": null,
            "verifiedPublisherId": null,
            "addedDateTime": null
        },
        "web": {
            "homePageUrl": "https://account.activedirectory.windowsazure.com:444/applications/default.aspx?metadata=aad2aadsync|ISV9.1|primary|z",
            "redirectUris": [],
            "logoutUrl": null
        }
    },
    "servicePrincipal": {
        "id": "{servicePrincipalId}",
        "deletedDateTime": null,
        "accountEnabled": true,
        "appId": "{appId}",
        "applicationTemplateId": "518e5f48-1fc8-4c48-9387-9fdf28b0dfe7",
        "appDisplayName": "Fabrikam",
        "alternativeNames": [],
        "appOwnerOrganizationId": "{appOwnerOrganizationId}",
        "displayName": "Fabrikam",
        "appRoleAssignmentRequired": true,
        "loginUrl": null,
        "logoutUrl": null,
        "homepage": "https://account.activedirectory.windowsazure.com:444/applications/default.aspx?metadata=aad2aadsync|ISV9.1|primary|z",
        "notificationEmailAddresses": [],
        "preferredSingleSignOnMode": null,
        "preferredTokenSigningKeyThumbprint": null,
        "replyUrls": [],
        "servicePrincipalNames": [
            "{appId}"
        ],
        "servicePrincipalType": "Application",
        "tags": [
            "WindowsAzureActiveDirectoryIntegratedApp"
        ],
        "tokenEncryptionKeyId": null,
        "samlSingleSignOnSettings": null,
        "addIns": [],
        "appRoles": [
            {
                "allowedMemberTypes": [
                    "User"
                ],
                "displayName": "msiam_access",
                "id": "{appRoleId}",
                "isEnabled": true,
                "description": "msiam_access",
                "value": null,
                "origin": "Application"
            }
        ],
        "info": {
            "logoUrl": null,
            "marketingUrl": null,
            "privacyStatementUrl": null,
            "supportUrl": null,
            "termsOfServiceUrl": null
        },
        "keyCredentials": [],
        "oauth2PermissionScopes": [
            {
                "adminConsentDescription": "Allow the application to access Fabrikam on behalf of the signed-in user.",
                "adminConsentDisplayName": "Access Fabrikam",
                "id": "{id}",
                "isEnabled": true,
                "type": "User",
                "userConsentDescription": "Allow the application to access Fabrikam on your behalf.",
                "userConsentDisplayName": "Access Fabrikam",
                "value": "user_impersonation"
            }
        ],
        "passwordCredentials": [],
        "verifiedPublisher": {
            "displayName": null,
            "verifiedPublisherId": null,
            "addedDateTime": null
        }
    }
}

servicePrincipalId を保存します。

必ず、アプリケーション ID の代わりにサービスプリンシパル ID を使用してください。
appRoleId を保存します。

手順 7: ターゲットテナントへの接続をテストする

ソーステナントのアイコン。
ソーステナント

PowerShell
Microsoft Graph

ソーステナントで、Invoke-MgGraphRequest コマンドを使用して、ターゲットテナントへの接続をテストし、資格情報を検証します。

$Params = @{
    "useSavedCredentials" = $false
    "templateId" = "Azure2Azure"
    "credentials" = @(
        @{
            "key" = "CompanyId"
            "value" = $TargetTenantId
        }
        @{
            "key" = "AuthenticationType"
            "value" = "SyncPolicy"
        }
    )
}
Invoke-MgGraphRequest -Method POST -Uri "https://graph.microsoft.com/v1.0/servicePrincipals/$ServicePrincipalId/synchronization/jobs/validateCredentials" -Body $Params

ソーステナントで、synchronizationJob: validateCredentials API を使用して、ターゲットテナントへの接続をテストし、資格情報を検証します。

Request

POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/validateCredentials
Content-Type: application/json

{
    "useSavedCredentials": false,
    "templateId": "Azure2Azure",
    "credentials": [
        {
            "key": "CompanyId",
            "value": "{targetTenantId}"
        },
        {
            "key": "AuthenticationType",
            "value": "SyncPolicy"
        }
    ]
}

Response

HTTP/1.1 204 No Content

手順 8: ソーステナントでプロビジョニングジョブを作成する

ソーステナントのアイコン。
ソーステナント

ソーステナントで、プロビジョニングを有効にするには、プロビジョニングジョブを作成します。

PowerShell
Microsoft Graph

使用する同期テンプレート (Azure2Azure など) を決定します。

テンプレートには、事前に構成された同期設定が含まれています。

ソーステナントで、New-MgServicePrincipalSynchronizationJob コマンドを使用して、テンプレートに基づくプロビジョニングジョブを作成します。

New-MgServicePrincipalSynchronizationJob -ServicePrincipalId $ServicePrincipalId -TemplateId "Azure2Azure" | Format-List

Id                         : <JobId>
Schedule                   : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationSchedule
Schema                     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationSchema
Status                     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationStatus
SynchronizationJobSettings : {AzureIngestionAttributeOptimization, LookaheadQueryEnabled}
TemplateId                 : Azure2Azure
AdditionalProperties       : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('<ServicePrincipalId>')/synchro
                             nization/jobs/$entity]}

ジョブ ID の変数を初期化します。
```
$JobId = "<JobId>"
```

使用する同期テンプレート (Azure2Azure など) を決定します。

テンプレートには、事前に構成された同期設定が含まれています。

ソーステナントで、Create synchronizationJob API を使用して、テンプレートに基づいてプロビジョニングジョブを作成します。

Request

POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs
Content-type: application/json

{
    "templateId": "Azure2Azure"
}

Response

HTTP/1.1 201 Created
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('{servicePrincipalId}')/synchronization/jobs/$entity",
    "id": "{jobId}",
    "templateId": "Azure2Azure",
    "schedule": {
        "expiration": null,
        "interval": "PT40M",
        "state": "Disabled"
    },
    "status": {
        "countSuccessiveCompleteFailures": 0,
        "escrowsPruned": false,
        "code": "Paused",
        "lastExecution": null,
        "lastSuccessfulExecution": null,
        "lastSuccessfulExecutionWithExports": null,
        "quarantine": null,
        "steadyStateFirstAchievedTime": "0001-01-01T00:00:00Z",
        "steadyStateLastAchievedTime": "0001-01-01T00:00:00Z",
        "troubleshootingUrl": null,
        "progress": [],
        "synchronizedEntryCountByType": []
    },
    "synchronizationJobSettings": [
        {
            "name": "AzureIngestionAttributeOptimization",
            "value": "False"
        },
        {
            "name": "LookaheadQueryEnabled",
            "value": "False"
        }
    ]
}

jobId を保存します。

手順 9: 資格情報を保存する

ソーステナントのアイコン。
ソーステナント

PowerShell
Microsoft Graph

ソーステナントで、Invoke-MgGraphRequest コマンドを使用して、資格情報を保存します。

$Params = @{
    "value" = @(
        @{
            "key" = "AuthenticationType"
            "value" = "SyncPolicy"
        }
        @{
            "key" = "CompanyId"
            "value" = $TargetTenantId
        }
    )
}
Invoke-MgGraphRequest -Method PUT -Uri "https://graph.microsoft.com/v1.0/servicePrincipals/$ServicePrincipalId/synchronization/secrets" -Body $Params

ソーステナントで、同期シークレットの追加 API を使用して資格情報を保存します。

Request

PUT https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/secrets 
Content-Type: application/json

{
    "value": [
        {
            "key": "AuthenticationType",
            "value": "SyncPolicy"
        },
        {
            "key": "CompanyId",
            "value": "{targetTenantId}"
        },
        {
            "key": "SyncNotificationSettings",
            "value": "{\"Enabled\":false,\"DeleteThresholdEnabled\":false,\"HumanResourcesLookaheadQueryEnabled\":false}"
        },
        {
            "key": "SyncAll",
            "value": "false"
        }
    ]
}

Response

HTTP/1.1 204 No Content

手順 10: 構成にユーザーを割り当てる

ソーステナントのアイコン。
ソーステナント

テナント間同期が機能するには、少なくとも 1 人の内部ユーザーを構成に割り当てる必要があります。

PowerShell
Microsoft Graph

ソーステナントで、New-MgServicePrincipalAppRoleAssignedTo コマンドを使用して、構成に内部ユーザーを割り当てます。

$Params = @{
    PrincipalId = "<PrincipalId>"
    ResourceId = $ServicePrincipalId
    AppRoleId = $AppRoleId
}
New-MgServicePrincipalAppRoleAssignedTo -ServicePrincipalId $ServicePrincipalId -BodyParameter $Params | Format-List

AppRoleId            : <AppRoleId>
CreatedDateTime      : 7/31/2023 10:27:12 PM
DeletedDateTime      :
Id                   : <Id>
PrincipalDisplayName : User1
PrincipalId          : <PrincipalId>
PrincipalType        : User
ResourceDisplayName  : Fabrikam
ResourceId           : <ServicePrincipalId>
AdditionalProperties : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#appRoleAssignments/$entity]}

ソーステナントで、Grant an appRoleAssignment for a service principal API を使用して構成に内部ユーザーを割り当てます。

Request

POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/appRoleAssignedTo
Content-type: application/json

{
    "appRoleId": "{appRoleId}",
    "resourceId": "{servicePrincipalId}",
    "principalId": "{principalId}"
}

Response

HTTP/1.1 201 Created
Content-Type: application/json
{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('{servicePrincipalId}')/appRoleAssignedTo/$entity",
    "id": "{keyId}",
    "deletedDateTime": null,
    "appRoleId": "{appRoleId}",
    "createdDateTime": "2023-07-31T22:23:48.6541804Z",
    "principalDisplayName": "User1",
    "principalId": "{principalId}",
    "principalType": "User",
    "resourceDisplayName": "Fabrikam",
    "resourceId": "{servicePrincipalId}"
}

手順 11: オンデマンドのプロビジョニングをテストする

ソーステナントのアイコン。
ソーステナント

構成が完了したので、いずれかのユーザーでオンデマンドプロビジョニングをテストできます。

PowerShell
Microsoft Graph

ソーステナントで、Get-MgServicePrincipalSynchronizationJobSchema コマンドを使用してスキーマルール ID を取得します。

$SynchronizationSchema = Get-MgServicePrincipalSynchronizationJobSchema -ServicePrincipalId $ServicePrincipalId -SynchronizationJobId $JobId
$SynchronizationSchema.SynchronizationRules | Format-List

ContainerFilter      : Microsoft.Graph.PowerShell.Models.MicrosoftGraphContainerFilter
Editable             : True
GroupFilter          : Microsoft.Graph.PowerShell.Models.MicrosoftGraphGroupFilter
Id                   : <RuleId>
Metadata             : {defaultSourceObjectMappings, supportsProvisionOnDemand}
Name                 : USER_INBOUND_USER
ObjectMappings       : {Provision Azure Active Directory Users, , , ...}
Priority             : 1
SourceDirectoryName  : Azure Active Directory
TargetDirectoryName  : Azure Active Directory (target tenant)
AdditionalProperties : {}

ルール ID の変数を初期化します。
```
$RuleId = "<RuleId>"
```

New-MgServicePrincipalSynchronizationJobOnDemand コマンドを使用して、オンデマンドでテストユーザーをプロビジョニングします。

$Params = @{
    Parameters = @(
        @{
            Subjects = @(
                @{
                    ObjectId = "<UserObjectId>"
                    ObjectTypeName = "User"
                }
            )
            RuleId = $RuleId
        }
    )
}
New-MgServicePrincipalSynchronizationJobOnDemand -ServicePrincipalId $ServicePrincipalId -SynchronizationJobId $JobId -BodyParameter $Params | Format-List

Key                  : Microsoft.Identity.Health.CPP.Common.DataContracts.SyncFabric.StatusInfo
Value                : [{"provisioningSteps":[{"name":"EntryImport","type":"Import","status":"Success","description":"Retrieved User
                       'user1@fabrikam.com' from Azure Active Directory","timestamp":"2023-07-31T22:31:15.9116590Z","details":{"objectId":
                       "<UserObjectId>","accountEnabled":"True","displayName":"User1","mailNickname":"user1","userPrincipalName":"use
                       ...
AdditionalProperties : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#microsoft.graph.stringKeyStringValuePair]}

ソーステナントで、Get synchronizationSchema API を使用してスキーマルール ID を取得します。

Request

GET https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/{jobId}/schema

Response

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('{servicePrincipalId}')/synchronization/jobs('{jobId}')/schema/$entity",
    "id": "{jobId}",
    "version": "v1.2",
    "synchronizationRules": [
        {
            "containerFilter": null,
            "editable": true,
            "groupFilter": null,
            "id": "{ruleId}",
            "name": "USER_INBOUND_USER",
            "priority": 1,
            "sourceDirectoryName": "Azure Active Directory",
            "targetDirectoryName": "Azure Active Directory (target tenant)",
            "metadata": [

            ...

ソーステナントで、synchronizationJob: provisionOnDemand API を使用して、オンデマンドでテストユーザーをプロビジョニングします。

Request

POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/{jobId}/provisionOnDemand
Content-Type: application/json

{
    "parameters": [
        {
            "ruleId": "{ruleId}",
            "subjects": [
                {
                    "objectId": "{userObjectId}",
                    "objectTypeName": "User"
                }
            ]
        }
    ]
}

Response

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#microsoft.graph.stringKeyStringValuePair",
    "key": "Microsoft.Identity.Health.CPP.Common.DataContracts.SyncFabric.StatusInfo",
    "value": "[{\"provisioningSteps\":[{\"name\":\"EntryImport\",\"type\":\"Import\",\"status\":\"Success\",\"description\":\"Retrieved User 'user1@fabrikam.com' from Azure Active Directory\",\"timestamp\":\"2023-07-31T00:00:16.7866324Z\",\"details\":{\"objectId\":\"{userObjectId}\",\"accountEnabled\":\"True\",\"displayName\":\"User1\",\"mailNickname\":\"user1\",\"userPrincipalName\":\"user1@fabrikam.com\",}

    ...

手順 12: プロビジョニングジョブを開始する

ソーステナントのアイコン。
ソーステナント

PowerShell
Microsoft Graph

これで、プロビジョニングジョブが構成されたので、ソーステナントで、Start-MgServicePrincipalSynchronizationJob コマンドを使用してプロビジョニングジョブを開始します。
```
Start-MgServicePrincipalSynchronizationJob -ServicePrincipalId $ServicePrincipalId -SynchronizationJobId $JobId
```

これで、プロビジョニングジョブが構成されたので、ソーステナントで、同期ジョブの開始 API を使用してプロビジョニングジョブを開始します。

Request
```
POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/{jobId}/start
```
Response
```
HTTP/1.1 204 No Content
```

手順 13: プロビジョニングを監視する

ソーステナントのアイコン。
ソーステナント

PowerShell
Microsoft Graph

これで、プロビジョニングジョブが実行中になったので、Get-MgServicePrincipalSynchronizationJob コマンドを使用して、現在のプロビジョニングサイクルの進行状況と、現在までの統計情報 (ターゲットシステムで作成されたユーザーとグループの数など) を監視します。

Get-MgServicePrincipalSynchronizationJob -ServicePrincipalId $ServicePrincipalId -SynchronizationJobId $JobId | Format-List

Id                         : <JobId>
Schedule                   : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationSchedule
Schema                     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationSchema
Status                     : Microsoft.Graph.PowerShell.Models.MicrosoftGraphSynchronizationStatus
SynchronizationJobSettings : {AzureIngestionAttributeOptimization, LookaheadQueryEnabled}
TemplateId                 : Azure2Azure
AdditionalProperties       : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#servicePrincipals('<ServicePrincipalId>')/synchro
                             nization/jobs/$entity]}

プロビジョニングジョブの状態の監視に加えて、Get-MgAuditLogProvisioning コマンドを使用して、プロビジョニングログを取得し、発生するすべてのプロビジョニングイベントを取得します。たとえば、特定のユーザーについてクエリを実行し、正常にプロビジョニングされたかどうかを判断します。

Get-MgAuditLogDirectoryAudit | Select -First 10 | Format-List

ActivityDateTime     : 7/31/2023 12:08:17 AM
ActivityDisplayName  : Export
AdditionalDetails    : {Details, ErrorCode, EventName, ipaddr...}
Category             : ProvisioningManagement
CorrelationId        : aaaa0000-bb11-2222-33cc-444444dddddd
Id                   : Sync_aaaa0000-bb11-2222-33cc-444444dddddd_L5BFV_161778479
InitiatedBy          : Microsoft.Graph.PowerShell.Models.MicrosoftGraphAuditActivityInitiator1
LoggedByService      : Account Provisioning
OperationType        :
Result               : success
ResultReason         : User 'user2@fabrikam.com' was created in Azure Active Directory (target tenant)
TargetResources      : {<ServicePrincipalId>, }
AdditionalProperties : {}

ActivityDateTime     : 7/31/2023 12:08:17 AM
ActivityDisplayName  : Export
AdditionalDetails    : {Details, ErrorCode, EventName, ipaddr...}
Category             : ProvisioningManagement
CorrelationId        : aaaa0000-bb11-2222-33cc-444444dddddd
Id                   : Sync_aaaa0000-bb11-2222-33cc-444444dddddd_L5BFV_161778264
InitiatedBy          : Microsoft.Graph.PowerShell.Models.MicrosoftGraphAuditActivityInitiator1
LoggedByService      : Account Provisioning
OperationType        :
Result               : success
ResultReason         : User 'user2@fabrikam.com' was updated in Azure Active Directory (target tenant)
TargetResources      : {<ServicePrincipalId>, }
AdditionalProperties : {}

ActivityDateTime     : 7/31/2023 12:08:14 AM
ActivityDisplayName  : Synchronization rule action
AdditionalDetails    : {Details, ErrorCode, EventName, ipaddr...}
Category             : ProvisioningManagement
CorrelationId        : aaaa0000-bb11-2222-33cc-444444dddddd
Id                   : Sync_aaaa0000-bb11-2222-33cc-444444dddddd_L5BFV_161778395
InitiatedBy          : Microsoft.Graph.PowerShell.Models.MicrosoftGraphAuditActivityInitiator1
LoggedByService      : Account Provisioning
OperationType        :
Result               : success
ResultReason         : User 'user2@fabrikam.com' will be created in Azure Active Directory (target tenant) (User is active and assigned
                       in Azure Active Directory, but no matching User was found in Azure Active Directory (target tenant))
TargetResources      : {<ServicePrincipalId>, }
AdditionalProperties : {}

これで、プロビジョニングジョブが実行中になったので、同期ジョブの取得 API を使用して、現在のプロビジョニングサイクルの進行状況と、現在までの統計情報 (ターゲットシステムで作成されたユーザーとグループの数など) を監視します。

Request

GET https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/synchronization/jobs/{jobId}

Response

HTTP/1.1 200 OK
Content-type: application/json

{
    "id": "{jobId}",
    "templateId": "Azure2Azure",
    "schedule": {
        "expiration": null,
        "interval": "PT40M",
        "state": "Active"
    },
    "status": {
        "countSuccessiveCompleteFailures": 0,
        "escrowsPruned": false,
        "code": "NotRun",
        "lastSuccessfulExecution": null,
        "lastSuccessfulExecutionWithExports": null,
        "quarantine": null,
        "steadyStateFirstAchievedTime": "0001-01-01T00:00:00Z",
        "steadyStateLastAchievedTime": "0001-01-01T00:00:00Z",
        "troubleshootingUrl": "",
        "lastExecution": {
            "activityIdentifier": null,
            "countEntitled": 0,
            "countEntitledForProvisioning": 0,
            "countEscrowed": 0,
            "countEscrowedRaw": 0,
            "countExported": 0,
            "countExports": 0,
            "countImported": 0,
            "countImportedDeltas": 0,
            "countImportedReferenceDeltas": 0,
            "state": "Failed",
            "timeBegan": "0001-01-01T00:00:00Z",
            "timeEnded": "0001-01-01T00:00:00Z",
            "error": {
                "code": "None",
                "message": "",
                "tenantActionable": false
            }
        },
        "progress": [],
        "synchronizedEntryCountByType": []
    },
    "synchronizationJobSettings": [
        {
            "name": "AzureIngestionAttributeOptimization",
            "value": "False"
        },
        {
            "name": "LookaheadQueryEnabled",
            "value": "False"
        }
    ]
}

プロビジョニングジョブの状態の監視に加えて、List provisioningObjectSummary API を使用してプロビジョニングログを取得し、発生するすべてのプロビジョニングイベントを取得します。たとえば、特定のユーザーについてクエリを実行し、正常にプロビジョニングされたかどうかを判断します。

Request

GET https://graph.microsoft.com/v1.0/auditLogs/provisioning?$filter=((contains(tolower(servicePrincipal/id), '{servicePrincipalId}') or contains(tolower(servicePrincipal/displayName), '{servicePrincipalId}')) and activityDateTime gt 2023-07-30 and activityDateTime lt 2023-07-31)&$top=500&$orderby=activityDateTime desc

Response

ここに示されている応答オブジェクトは、読みやすくするために短縮されています。

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#auditLogs/provisioning",
    "value": [
        {
            "id": "{id}",
            "activityDateTime": "2023-07-31T00:40:37Z",
            "tenantId": "{targetTenantId}",
            "jobId": "{jobId}",
            "cycleId": "{cycleId}",
            "changeId": "{changeId}",
            "provisioningAction": "create",
            "durationInMilliseconds": 4375,
            "servicePrincipal": {
                "id": "{servicePrincipalId}",
                "displayName": "Fabrikam"
            },
            "sourceSystem": {
                "id": "{id}",
                "displayName": "Azure Active Directory",
                "details": {}
            },
            "targetSystem": {
                "id": "{id}",
                "displayName": "Azure Active Directory (target tenant)",
                "details": {
                    "ApplicationId": "{applicationId}",
                    "ServicePrincipalId": "{servicePrincipalId}",
                    "ServicePrincipalDisplayName": "Fabrikam"
                }
            },
            "initiatedBy": {
                "id": "",
                "displayName": "Azure AD Provisioning Service",
                "initiatorType": "system"
            },
            "sourceIdentity": {
                "id": "{sourceUserObjectId}",
                "displayName": "User4",
                "identityType": "User",
                "details": {
                    "id": "{sourceUserObjectId}",
                    "odatatype": "User",
                    "DisplayName": "User4",
                    "UserPrincipalName": "user4@fabrikam.com"
                }
            },
            "targetIdentity": {
                "id": "{targetUserObjectId}",
                "displayName": "",
                "identityType": "User",
                "details": {}
            },
            "provisioningStatusInfo": {
                "status": "success",
                "errorInformation": null
            },
        "provisioningSteps": [
            {
                "name": "EntryImportAdd",
                "provisioningStepType": "import",
                "status": "success",
                "description": "Received User 'user4@fabrikam.com' change of type (Add) from Azure Active Directory",
                "details": {
                    "objectId": "{sourceUserObjectId}",
                    "accountEnabled": "True",
                    "department": "Marketing",
                    "displayName": "User4",
                    "mailNickname": "user4",
                    "userPrincipalName": "user4@fabrikam.com",
                    "netId": "{netId}",
                    "showInAddressList": "",
                    "alternativeSecurityIds": "None",
                    "IsSoftDeleted": "False",
                    "appRoleAssignments": "msiam_access"
                }
            },
            {
                "name": "EntrySynchronizationScoping",
                "provisioningStepType": "scoping",
                "status": "success",
                "description": "Determine if User in scope by evaluating against each scoping filter",
                "details": {
                    "Active in the source system": "True",
                    "Assigned to the application": "True",
                    "User has the required role": "True",
                    "Scoping filter evaluation passed": "True",
                    "ScopeEvaluationResult": "{\"Marketing department filter.department EQUALS 'Marketing'\":true}"
                }
            },

            ...

        }
    ]
}

現象 - 不十分な特権エラー

アクションを実行しようとすると、次のようなメッセージが表示されます。

code: Authorization_RequestDenied
message: Insufficient privileges to complete the operation.

原因

サインインしているユーザーに十分な特権がないか、または必要なアクセス許可のいずれかに同意する必要があります。

解決方法

必要なロールが割り当てられていることを確認します。この記事に出てきた「前提条件」を参照してください。
Connect-MgGraph でサインインするときは、必要なスコープを指定するようにしてください。この記事の「手順 1: ターゲットテナントにサインインする」と「手順 4: ソーステナントにサインインする」を参照してください。

現象 - New-MgPolicyCrossTenantAccessPolicyPartner_Create エラー

新しいパートナー構成を作成しようとすると、次のようなエラーメッセージが表示されます。

New-MgPolicyCrossTenantAccessPolicyPartner_Create: Another object with the same value for property tenantId already exists.

原因

以前の構成からのものと思われる、既に存在する構成またはオブジェクトを作成しようとしている可能性があります。

解決方法

構文と、正しいテナント ID を使用していることを確認します。
Get-MgPolicyCrossTenantAccessPolicyPartner コマンドを使用して、既存のオブジェクトを一覧表示します。
既存のオブジェクトがある場合は、Update-MgPolicyCrossTenantAccessPolicyPartner を使用して更新することが必要な場合があります

現象 - Request_MultipleObjectsWithSameKeyValue エラー

ユーザー同期を有効にしようとすると、次のようなメッセージが表示されます。

Invoke-MgGraphRequest: PUT https://graph.microsoft.com/v1.0/policies/crossTenantAccessPolicy/partners/<SourceTenantId>/identitySynchronization
HTTP/1.1 409 Conflict
...
{"error":{"code":"Request_MultipleObjectsWithSameKeyValue","message":"A conflicting object with one or more of the specified property values is present in the directory.","details":[{"code":"ConflictingObjects","message":"A conflicting object with one or more of the specified property values is present in the directory.", ... }}}

原因

前の構成由来の可能性がある、既に存在するポリシーを作成しようとしている可能性があります。

ソリューション

構文と、正しいテナント ID を使用していることを確認します。

Get-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization コマンドを使用して、IsSyncAllowed 設定を一覧表示します。

(Get-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization -CrossTenantAccessPolicyConfigurationPartnerTenantId $SourceTenantId).UserSyncInbound

既存のポリシーがある場合は、Set-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization コマンドを使用して更新を行って、ユーザー同期を有効にすることが必要なことがあります。

$Params = @{
    userSyncInbound = @{
        isSyncAllowed = $true
    }
}
Set-MgPolicyCrossTenantAccessPolicyPartnerIdentitySynchronization -CrossTenantAccessPolicyConfigurationPartnerTenantId $SourceTenantId -BodyParameter $Params

現象 - 不十分な特権エラー

アクションを実行しようとすると、次のようなメッセージが表示されます。

code: Authorization_RequestDenied
message: Insufficient privileges to complete the operation.

原因

サインインしているユーザーに十分な特権がないか、または必要なアクセス許可のいずれかに同意する必要があります。

解決方法

必要なロールが割り当てられていることを確認します。この記事に出てきた「前提条件」を参照してください。
Microsoft Graph Explorer ツールで、必要なアクセス許可に同意していることを確認します。この記事の「手順 1: ターゲットテナントにサインインする」と「手順 4: ソーステナントにサインインする」を参照してください。

現象 - Request_MultipleObjectsWithSameKeyValue エラー

Microsoft Graph API 呼び出しを行おうとすると、次のようなエラーメッセージが表示されます。

code: Request_MultipleObjectsWithSameKeyValue
message: Another object with the same value for property tenantId already exists.
message: A conflicting object with one or more of the specified property values is present in the directory.

原因

以前の構成からのものと思われる、既に存在する構成またはオブジェクトを作成しようとしている可能性があります。

解決方法

要求構文と、正しいテナント ID を使用していることを確認します。
既存のオブジェクトを一覧表示する GET 要求を行います。
既存のオブジェクトがある場合は、POST または PUT を使用して作成要求を行う代わりに、次のように PATCH を使用して更新要求が行うことが必要になることがあります。
- crossTenantAccessPolicyConfigurationPartner を更新する
- crossTenantIdentitySyncPolicyPartner を更新する

現象 - Directory_ObjectNotFound エラー

Microsoft Graph API 呼び出しを行おうとすると、次のようなエラーメッセージが表示されます。

code: Directory_ObjectNotFound
message: Unable to read the company information from the directory.

原因

PATCH を使用して、存在しないオブジェクトを更新しようとしている可能性があります。

解決方法

要求構文と、正しいテナント ID を使用していることを確認します。
オブジェクトが存在しないことを確認する GET 要求を行います。
オブジェクトが存在しない場合は、PATCH を使用して更新要求を行う代わりに、次のように POST または PUT を使用して作成要求を行うことが必要になることがあります。
- identitySynchronization を作成する

次の方法で共有

PowerShell または Microsoft Graph API を使用してテナント間同期を構成する

前提条件

手順 2: ターゲットテナントでユーザーの同期を有効にする

手順 3: ターゲットテナントで招待を自動的に引き換える

手順 5: ソーステナントで招待を自動的に引き換える

手順 6: ソーステナントで構成アプリケーションを作成する

手順 7: ターゲットテナントへの接続をテストする

手順 8: ソーステナントでプロビジョニングジョブを作成する

手順 9: 資格情報を保存する

手順 10: 構成にユーザーを割り当てる

手順 11: オンデマンドのプロビジョニングをテストする

手順 12: プロビジョニングジョブを開始する

手順 13: プロビジョニングを監視する

トラブルシューティングのヒント

現象 - 不十分な特権エラー

現象 - New-MgPolicyCrossTenantAccessPolicyPartner_Create エラー

現象 - Request_MultipleObjectsWithSameKeyValue エラー

現象 - 不十分な特権エラー

現象 - Request_MultipleObjectsWithSameKeyValue エラー

現象 - Directory_ObjectNotFound エラー

次のステップ

フィードバック

その他のリソース

次の方法で共有

PowerShell または Microsoft Graph API を使用してテナント間同期を構成する

前提条件

手順 1: ターゲット テナントにサインインする

手順 2: ターゲット テナントでユーザーの同期を有効にする

手順 3: ターゲット テナントで招待を自動的に引き換える

手順 4: ソース テナントにサインインする

手順 5: ソース テナントで招待を自動的に引き換える

手順 6: ソース テナントで構成アプリケーションを作成する

手順 7: ターゲット テナントへの接続をテストする

手順 8: ソース テナントでプロビジョニング ジョブを作成する

手順 9: 資格情報を保存する

手順 10: 構成にユーザーを割り当てる

手順 11: オンデマンドのプロビジョニングをテストする

手順 12: プロビジョニング ジョブを開始する

手順 13: プロビジョニングを監視する

トラブルシューティングのヒント

現象 - 不十分な特権エラー

現象 - New-MgPolicyCrossTenantAccessPolicyPartner_Create エラー

現象 - Request_MultipleObjectsWithSameKeyValue エラー

次のステップ

フィードバック

その他のリソース

手順 1: ターゲットテナントにサインインする

手順 2: ターゲットテナントでユーザーの同期を有効にする

手順 3: ターゲットテナントで招待を自動的に引き換える

手順 4: ソーステナントにサインインする

手順 5: ソーステナントで招待を自動的に引き換える

手順 6: ソーステナントで構成アプリケーションを作成する

手順 7: ターゲットテナントへの接続をテストする

手順 8: ソーステナントでプロビジョニングジョブを作成する

手順 12: プロビジョニングジョブを開始する