ユーザー駆動型 Microsoft Entra ハイブリッド結合: 組織単位 (OU) でのコンピューター アカウントの制限を増やす

Active Directory 用 Intune コネクタの目的は、コンピューターをドメインに参加させ、OU に追加することです。 このため、Active Directory の Intune コネクタに使用されている管理サービス アカウントには、コンピューターがオンプレミス ドメインに参加している OU でコンピューター アカウントを作成するためのアクセス許可が必要です。

Active Directory の既定のアクセス許可では、Active Directory の Intune コネクタによるドメイン参加は、最初は Active Directory の OU にアクセス許可を変更しなくても機能する可能性があります。 ただし、MSA が 10 台を超えるコンピューターをオンプレミス ドメインに参加させようとすると、既定では、Active Directory は 1 つのアカウントで最大 10 台のコンピューターのみをオンプレミス ドメインに参加させることができるため、動作を停止します。

次のユーザーは、10 コンピューターのドメイン参加制限の制限を受けません。

• 管理者グループまたはドメイン管理者グループのユーザー: 最小特権原則モデルに準拠するために、Microsoft では MSA を管理者またはドメイン管理者にすることはお勧めしません。
• Active Directory 内の組織単位 (OU) およびコンテナーに対してコンピューター アカウントを作成するための委任されたアクセス許可を持つユーザー: この方法は、最低特権原則モデルに従うため、推奨されます。

この制限を修正するには、MSA には、コンピューターが参加している組織単位 (OU) のオンプレミス ドメインで コンピューター アカウントの作成 アクセス許可が必要です。 Active Directory の Intune コネクタは、次の条件のいずれかが満たされている場合に、MSA のアクセス許可を OU に設定します。

• Active Directory 用の Intune コネクタをインストールする管理者は、OU にアクセス許可を設定するために必要なアクセス許可を持っています。
• Active Directory 用の Intune コネクタを構成する管理者は、OU のアクセス許可を設定するために必要なアクセス許可を持っています。

Active Directory 用の Intune コネクタをインストールまたは構成している管理者が、OU にアクセス許可を設定するために必要なアクセス許可を持っていない場合は、次の手順に従う必要があります。

1. OU のアクセス許可を設定するために必要なアクセス許可を持つアカウントを使用して、[Active Directory ユーザーとコンピューター] コンソールにアクセスできるコンピューターにサインインします。

2. DSA.msc を実行して、Active Directory ユーザーとコンピューター コンソールを開きます。

3. 目的のドメインを展開し、Windows Autopilot 中にコンピューターが参加する組織単位 (OU) に移動します。

   注:

   Windows Autopilot の展開中にコンピューターが参加する OU は、後ほどドメイン 参加プロファイルの構成と割り当て 手順で指定されます。

4. OU を右クリックし、[ プロパティ] を選択します。

   注:

   コンピューターが OU ではなく既定の Computers コンテナーに参加している場合は、 Computers コンテナーを右クリックして [ 制御の委任] を選択します。

5. 開いた [OU のプロパティ] ウィンドウで、[ セキュリティ ] タブを選択します。

6. [ セキュリティ ] タブで、[ 詳細設定] を選択します。

7. [ セキュリティの詳細設定] ウィンドウで、[ 追加] を選択します。

8. [ アクセス許可エントリ] ウィンドウの [プリンシパル] の横にある [ プリンシパルの選択 ] リンクを選択します。

9. [ ユーザー、コンピューター、サービス アカウント、またはグループの選択 ] ウィンドウで、[ オブジェクトの種類... ] ボタンを選択します。

10. [オブジェクトの種類] ウィンドウで、[サービス アカウント] チェック ボックスをオンにし、[OK] を選択します。

11. [ユーザー、コンピューター、サービス アカウント、またはグループの選択] ウィンドウの [選択するオブジェクト名を入力してください] で、Active Directory の Intune コネクタに使用されている MSA の名前を入力します。

    ヒント

    MSA は、「Active Directory 用の Intune コネクタをインストールする」の手順/セクション中に作成され、##### がランダムな 5 文字の msaODJ##### という名前形式です。 MSA 名が不明な場合は、次の手順に従って MSA 名を見つけます。

    1. Active Directory の Intune コネクタを実行しているサーバーで、[スタート] メニューを右クリックし、[コンピューターの管理] を選択します。
    2. [ コンピューターの管理 ] ウィンドウで、[ サービスとアプリケーション] を展開し、[ サービス] を選択します。
    3. 結果ウィンドウで、Intune ODJConnector for Active Service という名前のサービスを見つけます。 MSA の名前が [ ログオン者 ] 列に表示されます。

12. [ 名前の確認 ] を選択して、MSA 名の入力を検証します。 入力が検証されたら、[ OK] を選択します。

13. [ アクセス許可エントリ] ウィンドウで、[ 適用先: ] ドロップダウン メニューを選択し、[ このオブジェクトのみ] を選択します。

14. [アクセス権] ですべての項目の選択を解除し、[コンピューター オブジェクトの作成] チェック ボックスのみをオンにします。

15. [ OK ] を選択して、[ アクセス許可エントリ] ウィンドウを閉じます。

16. [ セキュリティの詳細設定] ウィンドウで、[ 適用] または [OK ] を選択して変更を適用します。

Active Directory 用 Intune コネクタの目的は、コンピューターをドメインに参加させ、OU に追加することです。 このため、Active Directory 用 Intune コネクタを実行しているサーバーには、コンピューターがオンプレミス ドメインに参加している OU でコンピューター アカウントを作成するためのアクセス許可が必要です。

Active Directory の既定のアクセス許可では、Active Directory の Intune コネクタによるドメイン参加は、最初は Active Directory の OU にアクセス許可を変更しなくても機能する可能性があります。 ただし、Active Directory 用の Intune コネクタを実行しているサーバーが 10 台を超えるコンピューターをオンプレミス ドメインに参加させようとすると、既定では、Active Directory は 1 つのアカウントで最大 10 台のコンピューターのみをオンプレミス ドメインに参加させることができるため、動作を停止します。

次のユーザーは、10 コンピューターのドメイン参加制限の制限を受けません。

• 管理者またはドメイン管理者グループのユーザー - 最小特権原則モデルに準拠するために、Active Directory の Intune コネクタを実行しているコンピューター アカウントを管理者またはドメイン管理者にすることはお勧めしません。
• Active Directory 内の組織単位 (OU) およびコンテナーに対してコンピューター アカウントを作成するための委任されたアクセス許可を持つユーザー。この方法は、最低特権原則モデルに従うため、推奨されます。

この制限を修正するには、Active Directory 用 Intune コネクタを実行しているサーバーに、コンピューターがオンプレミス ドメインに参加している組織単位 (OU) でコンピューター アカウントの作成アクセス許可が必要です。

Windows Autopilot 中にコンピューターが参加する組織単位 (OU) のコンピューター アカウント制限を増やすには、Active Directory ユーザーとコンピューター コンソールにアクセスできるコンピューターで次の手順を実行します。

1. DSA.msc を実行して、Active Directory ユーザーとコンピューター コンソールを開きます。

2. 目的のドメインを展開し、Windows Autopilot 中にコンピューターが参加する組織単位 (OU) に移動します。

   注:

   Windows Autopilot の展開中にコンピューターが参加する OU は、後ほどドメイン 参加プロファイルの構成と割り当て 手順で指定されます。

3. OU を右クリックし、[ 制御の委任] を選択します。

   注:

   コンピューターが OU ではなく既定の Computers コンテナーに参加している場合は、 Computers コンテナーを右クリックして [ 制御の委任] を選択します。

4. 制御委任ウィザードの「制御の委任ウィザードへようこそ」ウィンドウで、「次へ」を選択します。

5. [ ユーザーまたはグループ] ウィンドウの [選択したユーザーとグループ] で、[ 追加] を選択します。

6. [ このオブジェクトの種類を選択] の横: [ ユーザー、コンピューター、またはグループの選択 ] ウィンドウで、[ オブジェクトの種類] を選択します。

7. [オブジェクトの種類] ウィンドウで、[コンピューター] チェック ボックスをオンにし、[OK] を選択します。 このウィンドウ内の他の項目は、既定値のままにしておくことができます。

8. [ユーザー、コンピューター、またはグループの選択] ウィンドウの [選択するオブジェクト名を入力してください] ボックスに、[Intune Connector for Active Directory のインストール] ステップ中に Intune Connector for Active Directory がインストールされたコンピューターの名前を入力します。

9. [ 名前の確認] を選択して、エントリを検証します。 入力が検証されたら、[ OK] を選択します。

10. [ ユーザーまたはグループ] ウィンドウで、[ 選択したユーザーとグループ: ] に正しいコンピューターが表示されていることを確認し、[ 次へ] を選択します。

11. [ 委任するタスク] ウィンドウで、[ 委任するカスタム タスクの作成] を選択し、[ 次へ] を選択します。

12. [ Active Directory オブジェクトの種類 ] ウィンドウで、次の手順を実行します。

    1. フォルダ内の次のオブジェクトのみを選択します。

    2. [ フォルダ内の次のオブジェクトのみ] で、[ コンピュータ オブジェクト] を選択します。

    3. [ このフォルダーに選択したオブジェクトを作成する ] チェック ボックスをオンにします。

    4. [次へ] を選択します。

13. [アクセス許可] ウィンドウの [アクセス許可:] で、[フル コントロール] チェック ボックスをオンにし、[次へ] を選択します。

    注:

    [フル コントロール] チェック ボックスを選択すると、[アクセス許可: ] の下にある他のすべてのオプションが自動的に選択されます。 チェックボックスの自動選択は正常であり、予期されています。 チェック ボックスが自動的にオンになった後は、オフにしないでください。

14. 「 制御の委任ウィザードの完了 」ウィンドウで、「 完了」を選択します。