現代の企業経営において、クラウドサービスの活用は避けて通れない要素となっており、特にMicrosoft 365などの導入が急速に進んでいます。

多くの企業では長年、オンプレミスのActive Directory（AD）を使用してユーザーアカウントやデバイスを一元管理してきました。

クラウド環境へ移行する際、既存の資産を活かしつつシームレスなサインオン環境を実現するために不可欠なツールが、Azure AD Connect（現在はMicrosoft Entra Connect）です。

本記事では、Azure AD Connectの基本的な役割から同期の仕組み、具体的な設定方法、そして最新のMicrosoft Entra Connectへの移行プロセスまでを詳しく解説します。

目次 [ close ]
  1. Azure AD Connectとは何か
    1. Azure AD Connectの主な機能
  2. 同期の仕組みとデータフロー
    1. Source Anchor（ソースアンカー）の重要性
    2. 同期サイクルとスケジュール
  3. 選択可能な3つの認証方式
    1. 1. パスワードハッシュ同期 (PHS)
    2. 2. パススルー認証 (PTA)
    3. 3. フェデレーション（AD FS）
    4. 各認証方式の比較表
  4. Azure AD Connectの設定手順
    1. システム要件の確認
    2. インストールと構成の手順
  5. Microsoft Entra Connectへの移行について
    1. 移行の方法：インプレースアップグレードとスウィング移行
    2. 移行時の注意点
  6. トラブルシューティングの基本
  7. まとめ

Azure AD Connectとは何か

Azure AD Connectは、オンプレミスのActive DirectoryとMicrosoft Entra ID（旧称：Azure Active Directory）を連携させるためのハイブリッドアイデンティティソリューションです。

このツールを使用することで、オンプレミスで管理しているユーザー、グループ、連絡先などの情報をクラウド上のディレクトリへと自動的に同期することが可能になります。

ユーザーはオンプレミスと同じ資格情報を使用して、Microsoft 365やAzure上のリソースにアクセスできるようになります。

管理者は一つの場所でアカウントを管理するだけで済むため、運用の負担を大幅に軽減できるというメリットがあります。

なお、Microsoftのブランド再編に伴い、現在はMicrosoft Entra Connectという名称に統合されていますが、基本的な概念や機能は継承されています。

Azure AD Connectの主な機能

Azure AD Connectには、単なるデータ同期だけでなく、ハイブリッド環境を支える複数の重要なコンポーネントが含まれています。

主な機能としては、「同期サービス」「AD FS（Active Directory Federation Services）の構成」「状態監視（Health）」の3点が挙げられます。

同期サービスは、オンプレミスのADとクラウド間でアイデンティティ情報を一致させる中核的な機能です。

AD FSの構成機能を利用すると、より複雑な認証要件や多要素認証（MFA）をオンプレミス側で制御するフェデレーション環境を構築できます。

Health機能は、同期の状態やパフォーマンスをダッシュボードで確認し、エラーが発生した際に迅速に通知を受け取るための仕組みです。

同期の仕組みとデータフロー

Azure AD Connectがどのようにしてデータを一致させているのか、その仕組みを理解することはトラブルシューティングの際にも非常に役立ちます。

同期プロセスは、基本的に「インポート」「同期（マッチング）」「エクスポート」という3つのステップで行われます。

まず、オンプレミスのADから変更があった情報を抽出し、Azure AD Connectサーバー内のデータベースに取り込みます。

次に、取り込んだデータが既にクラウド上に存在するか、あるいは新規作成が必要かを判断するルールを適用します。

最後に、確定した変更内容をMicrosoft Entra IDへと書き出すことで、両方の環境の情報が最新の状態に保たれます。

Source Anchor（ソースアンカー）の重要性

オンプレミスのアカウントとクラウドのアカウントを紐付けるための鍵となる属性を、Source Anchor（ソースアンカー）と呼びます。

この属性は、ユーザー名が変更されたとしても、同一人物であることを識別し続けるために不変である必要があります。

一般的には「objectGUID」というシステム固有のIDが使用されますが、最近の推奨設定では「mS-DS-ConsistencyGuid」が活用されることが多いです。

一度設定したソースアンカーを後から変更することは極めて困難であるため、導入初期の設計段階で慎重に検討しなければなりません。

同期サイクルとスケジュール

標準の設定では、Azure AD Connectは30分間隔でデルタ同期（差分同期）を実行するようにスケジュールされています。

これにより、オンプレミスでパスワードを変更したり新しいユーザーを作成したりした場合、最大でも30分後にはクラウド側へ反映される仕組みです。

急ぎで反映させたい場合には、PowerShellコマンドを使用して手動で同期を開始することも可能です。

PowerShell
# 手動でデルタ同期を開始するコマンド
Start-ADSyncSyncCycle -PolicyType Delta
実行結果
Result
------
Success

選択可能な3つの認証方式

Azure AD Connectを構成する際、最も重要な決定事項の一つが「認証方式」の選択です。

自社のセキュリティポリシーや運用要件に合わせて、以下の3つから最適なものを選択する必要があります。

1. パスワードハッシュ同期 (PHS)

パスワードハッシュ同期（Password Hash Synchronization）は、最もシンプルで推奨される構成の一つです。

オンプレミスのADに保存されているユーザーのパスワードのハッシュ値を、さらにハッシュ化してクラウド側に同期します。

この方式の利点は、オンプレミスのサーバーが停止していてもクラウドサービスへのサインインが継続できる点にあります。

2. パススルー認証 (PTA)

パススルー認証（Pass-through Authentication）は、パスワード情報をクラウド側に一切保存したくない企業に適しています。

ユーザーがクラウドへサインインしようとすると、オンプレミス側にインストールされたエージェントが、オンプレミスのADに対してリアルタイムで認証照会を行います。

パスワードの管理を完全にオンプレミス側に留めることができるため、厳格なコンプライアンス要件がある場合に選ばれます。

3. フェデレーション（AD FS）

フェデレーション方式は、AD FSなどのフェデレーションサーバーを使用して認証を完全にオンプレミスへ委譲する仕組みです。

非常に高度なアクセス制御が可能ですが、サーバーの運用コストや可用性設計の難易度が高くなるという側面があります。

各認証方式の比較表

比較項目パスワードハッシュ同期 (PHS)パススルー認証 (PTA)フェデレーション (AD FS)
パスワードの保持クラウドにハッシュを保存オンプレミスのみオンプレミスのみ
サーバー負荷低い中程度高い
可用性の依存度低い（クラウド単独で認証可）高い（オンプレ稼働が必須）非常に高い（冗長化が必須）

Azure AD Connectの設定手順

Azure AD Connectの導入には、事前の準備と適切なインストール手順が欠かせません。

ここでは、インストールを開始する前に確認すべき要件と、実際の設定フローの概要を説明します。

システム要件の確認

Azure AD Connectをインストールするサーバーは、ドメインに参加しているWindows Serverである必要があります。

小規模な環境であれば、SQL Server Expressが自動的にインストールされますが、管理対象オブジェクトが10万を超える場合は製品版のSQL Serverが必要です。

また、.NET Framework 4.6.2以上がインストールされていることや、TLS 1.2が有効化されていることも必須条件となります。

インストールと構成の手順

インストールウィザードを実行すると、「簡単設定（Express Settings）」と「カスタム設定（Custom Settings）」のいずれかを選択できます。

単一のフォレストで構成される一般的な環境であれば、簡単設定を選択することで推奨される構成が自動的に適用されます。

カスタム設定では、同期する組織単位（OU）の選択や、特定の属性によるフィルタリング、デバイスライトバックなどの高度な機能を有効にできます。

構成の最後には「ステージングモード」を選択することができ、これは実際の同期を開始せずに設定内容の検証だけを行う場合に非常に便利です。

Microsoft Entra Connectへの移行について

現在、従来の「Azure AD Connect V1.x」はサポートが終了しており、後継となるMicrosoft Entra Connect V2.xへの移行が強く推奨されています。

V2.x系では、内部コンポーネントであるSQL Serverや暗号化ライブラリが最新化されており、セキュリティ強度が向上しています。

移行を検討する際は、現在稼働しているサーバーのOSバージョンがV2.xの要件を満たしているかを確認してください。

移行の方法：インプレースアップグレードとスウィング移行

既存の環境を更新する方法には、大きく分けて2つのアプローチがあります。

一つは、現在稼働しているサーバー上で直接インストーラーを実行するインプレースアップグレードです。

この方法は手順が簡単ですが、万が一失敗した際の影響が大きいため、比較的小規模な環境に向いています。

もう一つは、新しいサーバーを用意して設定を移行するスウィング移行です。

新しいサーバーにMicrosoft Entra Connectをステージングモードでインストールし、現在の本番機と同じ結果が得られることを確認してから役割を交代させます。

業務停止時間を最小限に抑え、確実に移行を完了させたいエンタープライズ環境では、このスウィング移行が推奨されます。

移行時の注意点

古いバージョンのAzure AD Connectで使用されていたTLS 1.0や1.1は、最新版では既定で無効化されています。

そのため、ネットワーク経路上のファイアウォールやプロキシサーバーがTLS 1.2の通信を許可しているかを事前に確認しておく必要があります。

また、V2.xは64ビット版のOSのみをサポートしているため、古い32ビット環境からはサーバーの再構築が必要となります。

トラブルシューティングの基本

運用開始後に同期エラーが発生した場合、まずは「Synchronization Service Manager」を確認するのが鉄則です。

このツールを使用すると、どのオブジェクトでエラーが発生しているのか、その具体的な原因（重複、フォーマット不正など）を特定できます。

例えば、オンプレミス側で「メールアドレス」が他のユーザーと重複している場合、クラウド側への同期はスキップされます。

こうしたエラーは「Azure ポータル」のMicrosoft Entra ID管理画面からも通知として確認できるため、定期的にチェックする習慣をつけましょう。

まとめ

Azure AD Connectは、オンプレミスとクラウドの橋渡し役として、ハイブリッド環境におけるID管理の核心を担うツールです。

正しい同期の仕組みを理解し、自社の要件に合致した認証方式を選択することで、ユーザーの利便性とセキュリティを両立させることができます。

また、現在はMicrosoft Entra Connectへの名称変更とバージョンアップが進んでいるため、旧バージョンを利用している場合は早期の移行計画が必要です。

最新の機能を活用しながら、安定したアイデンティティ基盤の運用を続けていきましょう。