チュートリアル: 同期された Active Directory フォレストの Microsoft Entra Cloud Sync に移行する

このチュートリアルでは、Microsoft Entra Connect Sync を使用して同期されたテスト Active Directory フォレストの Microsoft Entra Cloud Sync に移行する方法について説明します。

この記事では、基本的な移行に関する情報を提供します。 運用環境 の移行を試みる前に、Microsoft Entra Cloud Sync への移行に関するドキュメントを確認してください。

このチュートリアルでは、以下の内容を学習します。

考慮事項

このチュートリアルを試す前に、次の点を考慮してください。

• Microsoft Entra Cloud Sync の基本を理解していることを確認します。

• Microsoft Entra Connect Sync バージョン 1.4.32.0 以降を実行していること、および記載されているように同期規則を構成していることを確認します。

• パイロットまたは共存のフェーズでは、パイロット組織単位 (OU)、グループ、ドメイン、または関連する参照先オブジェクトを Microsoft Entra Connect Sync スコープから削除しないでください。 オブジェクトをスコープ内に保持したまま、このチュートリアルで説明するカスタム cloudNoFlow受信ルールおよび JoinNoFlow送信ルールを使用して、Microsoft Entra Connect Sync がオブジェクトの追加、削除、および非参照属性の更新をエクスポートしないようにします。

  Microsoft Entra Connect Sync スコープからオブジェクトを削除すると、Active Directory コネクタ スペース、メタバース、Microsoft Entra コネクタ スペースから削除されます。 この削除により、コネクタ スペース内の参照が削除され、グループ メンバーシップの削除などの参照削除がMicrosoft Entra IDにエクスポートされます。

• Microsoft Entra Cloud Sync がオブジェクトと一致するように、パイロット スコープ内のオブジェクトに ms-ds-consistencyGUID が設定されていることを確認します。

  Microsoft Entra Connect Sync では、グループ オブジェクトの ms-ds-consistencyGUID は既定では設定されません。

• このチュートリアルの手順に正確に従ってください。 この構成は、高度なシナリオ用です。

Microsoft Entra Connect Sync からのスコープの削除を計画する

共存またはパイロット フェーズ中に、Microsoft Entra Connect Sync スコープから OU、グループ、またはドメインを削除しないでください。 この操作は、そのスコープの移行が完了し、Cloud Sync がオブジェクトとその参照に対して権限があることを確認した後にのみ行います。

Microsoft Entra Connect Sync からスコープを削除する前に、次のことを確認してください。

• そのスコープ内のすべてのオブジェクトは、適切なクラウド同期構成に含まれます。
• グループ メンバーやマネージャーなどの関連する参照対象オブジェクトも移行されるか、参照の維持のために Microsoft Entra Connect Sync に依存しなくなります。
• Microsoft Entra Connect Sync がコネクタ スペースから削除し、参照の削除としてエクスポートする可能性があるクロススコープ参照やクロスドメイン参照は残っていません。

Microsoft Entra Connect Sync からドメインを削除するのは、そのドメインの移行が完了した後で、ドメイン間の参照が残っていないと確信している場合のみです。

前提条件

このチュートリアルを完了するために必要な前提条件を次に示します。

• Microsoft Entra Connect 同期のバージョン 1.4.32.0 以降を備えたテスト環境
• 同期の対象範囲に含まれる OU またはグループで、パイロット中に使用可能です。 少数のオブジェクトから始めることをお勧めします。
• プロビジョニング エージェントをホストするために Windows Server 2022、Windows Server 2019、または Windows Server 2016 を実行するサーバー。
• Microsoft Entra Connect Sync のソース アンカーは、objectGuid または ms-ds-consistencyGUID である必要があります

Microsoft Entra Connect を更新する

少なくとも、 Microsoft Entra Connect 1.4.32.0 が必要です。 Microsoft Entra Connect Sync を更新するには、「 Microsoft Entra Connect: 最新バージョンにアップグレードする」の手順に従います。

Microsoft Entra Connect 構成をバックアップする

変更を行う前に、Microsoft Entra Connect の構成をバックアップします。 これにより、以前の構成にロールバックできます。 詳細については、「 Microsoft Entra Connect 構成設定のインポートとエクスポート」を参照してください。

スケジューラの停止

Microsoft Entra Connect 同期は、オンプレミス ディレクトリで発生する変更を、スケジューラを使用して同期します。 カスタム ルールを変更して追加するには、作業中や変更中に同期が実行されないようにスケジューラを無効にする必要があります。 スケジューラを停止するには、次の手順に従います。

1. Microsoft Entra Connect Sync を実行しているサーバーで、管理者特権で PowerShell を開きます。
2. Stop-ADSyncSyncCycle を実行します。 Enter キーを押します。
3. Set-ADSyncScheduler -SyncCycleEnabled $false を実行します。

カスタム ユーザー受信規則を作成する

Microsoft Entra接続同期規則エディターで、パイロット用に識別した OU またはグループ内のユーザーに対してcloudNoFlowにTrue属性を設定する受信同期規則を作成します。 この属性は、このチュートリアルの後半で使用する JoinNoFlow 送信規則と共に使用され、Microsoft Entra Connect Sync がこれらのユーザーについてオブジェクトの追加、オブジェクトの削除、および非参照属性の更新をエクスポートしないようにします。 memberやmanagerなどの参照属性の更新は、引き続き参照解決のためにフローできます。

1. デスクトップのアプリケーション メニューから同期規則エディターを開きます。

   

2. [方向] で、ドロップダウン リストから [受信] を選択します。 次に、[ 新しいルールの追加] を選択します。

   

3. [ 説明 ] ページで、次の値を入力し、[ 次へ] を選択します。

   • 名前: ルールにわかりやすい名前を付けます。
   • 説明: わかりやすい説明を追加します。
   • 接続システム: カスタム同期規則を作成する Microsoft Entra コネクタを選択します。
   • 接続されたシステム オブジェクトの種類: ユーザーを選択 します。
   • メタバース オブジェクトの種類: ユーザーを選択 します。
   • リンクの種類: [結合] を選択します。
   • 優先順位: システム内で一意の値を指定します。
   • タグ: このフィールドは空のままにします。

   

4. [ スコープ フィルター ] ページで、パイロットのベースにする OU またはセキュリティ グループを入力します。 OU でフィルター処理するには、識別名の OU 部分を追加します。 この規則は、その OU に含まれるすべてのユーザーに適用されます。 そのため、識別名 (DN) が OU=CPUsers,DC=contoso,DC=comで終わる場合は、このフィルターを追加します。 次へを選択します。

   ルール	属性	オペレーター	価値
   スコープ OU	DN	ENDSWITH	OU の識別名。
   スコープ グループ		ISMEMBEROF	セキュリティ グループの識別名。

   

5. [ 結合 ルール] ページで、[ 次へ] を選択します。

6. [変換] ページ で 、cloudNoFlow 属性の定数変換のソース値 True を追加します。 追加を選択します。

   

すべてのオブジェクトの種類 (ユーザー、グループ、連絡先) に対して同じ手順に従います。 構成されている Active Directory コネクタまたは Active Directory フォレストに従って、手順を繰り返します。

カスタム ユーザー送信規則を作成する

リンクの種類が JoinNoFlow の送信同期規則と、 cloudNoFlow 属性が True に設定されているスコープ フィルターが必要です。 このルールは、Microsoft Entra Connect Sync に対して、これらのユーザーのオブジェクトの追加、オブジェクトの削除、または非参照属性の更新をエクスポートしないように指示します。 memberやmanagerなどの参照属性の更新は、引き続き参照解決のためにフローできます。

1. [ 方向] で、ドロップダウン リストから [ 送信 ] を選択します。 次に、[ ルールの追加] を選択します。

   

2. [ 説明 ] ページで、次の値を入力し、[ 次へ] を選択します。

   • 名前: ルールにわかりやすい名前を付けます。
   • 説明: わかりやすい説明を追加します。
   • 接続システム: カスタム同期規則を作成する Microsoft Entra コネクタを選択します。
   • 接続されたシステム オブジェクトの種類: ユーザーを選択 します。
   • メタバース オブジェクトの種類: ユーザーを選択 します。
   • リンクの種類: JoinNoFlow を選択します。
   • 優先順位: システム内で一意の値を指定します。
   • タグ: このフィールドは空のままにします。

   

3. [ スコープ フィルター ] ページで、[ 属性] で cloudNoFlow を選択します。 [値] で [True] を選択します。 次へを選択します。

   

4. [ 結合ルール ] ページで、[ 次へ] を選択します。

5. [変換] ページ で 、[追加] を選択 します。

すべてのオブジェクトの種類 (ユーザー、グループ、連絡先) に対して同じ手順に従います。

Microsoft Entra プロビジョニング エージェントをインストールする

Basic Active Directory と Azure 環境のチュートリアルを使用している場合は、CP1 を使用します。 エージェントをインストールするには、次の手順に従います。

1. 少なくともハイブリッド ID 管理者として Microsoft Entra 管理センターにサインインします。

2. 左側のウィンドウで、[ Entra Connect] を選択し、[ クラウド同期] を選択します。

   

3. 左側のウィンドウで、[エージェント] を選択 します。

4. [ オンプレミス エージェントのダウンロード] を選択し、[ 同意する] を選択してダウンロードします。

   

5. Microsoft Entra Connect プロビジョニング エージェント パッケージをダウンロードしたら、ダウンロード フォルダーから AADConnectProvisioningAgentSetup.exe インストール ファイルを実行します。

6. 開いた画面で、[ ライセンス条項に同意 する] チェック ボックスをオンにし、[ インストール] を選択します。

   

7. インストールが完了すると、構成ウィザードが開きます。 [次へ] を選択して構成を開始します。

   

8. 少なくとも ハイブリッド ID 管理者 ロールを持つアカウントでサインインします。 Internet Explorer のセキュリティ強化が有効になっている場合は、サインインがブロックされます。 その場合は、インストールを閉じ、 Internet Explorer のセキュリティ強化を無効にして、Microsoft Entra Provisioning Agent パッケージのインストールを再起動します。

   

9. [ サービス アカウントの構成] 画面で、グループの管理対象サービス アカウント (gMSA) を選択します。 このアカウントはエージェント サービスの実行に使用されます。 マネージド サービス アカウントが別のエージェントによってドメインに既に構成されていて、2 つ目のエージェントをインストールしている場合は、[ gMSA の作成] を選択します。 システムは既存のアカウントを検出し、gMSA アカウントを使用するために新しいエージェントに必要なアクセス許可を追加します。 メッセージが表示されたら、次の 2 つのオプションのいずれかを選択します。

   • gMSA の作成: エージェントが provAgentgMSA$ マネージド サービス アカウントを作成できるようにします。 グループ管理サービス アカウント ( CONTOSO\provAgentgMSA$ など) は、ホスト サーバーが参加したのと同じ Active Directory ドメインに作成されます。 このオプションを使用するには、Active Directory ドメイン管理者の資格情報を入力します (推奨)。
   • カスタム gMSA の使用: このタスク用に手動で作成したマネージド サービス アカウントの名前を指定します。

   

10. 続行するには、[ 次へ] を選択します。

11. [ Active Directory の接続 ] 画面で、[ 構成済みのドメイン] にドメイン名が表示される場合は、次の手順に進みます。 それ以外の場合は、Active Directory ドメイン名を入力し、[ ディレクトリの追加] を選択します。

    

12. Active Directory ドメイン管理者アカウントでサインインします。 ドメイン管理者アカウントには、有効期限が切れたパスワードがあってはなりません。 エージェントのインストール中にパスワードの有効期限が切れている場合や変更された場合は、新しい資格情報を使用してエージェントを再構成します。 この操作によってオンプレミス ディレクトリが追加されます。 [ OK] を選択し、[ 次へ ] を選択して続行します。

13. [次へ] を選択して続行します。

14. [ 構成の完了 ] 画面で、[確認] を選択 します。 この操作によって、エージェントが登録されて再起動されます。

    

15. 操作が完了すると、エージェントの構成が正常に検証されたことを示す通知が表示されます。 [ 終了] を選択します。 まだ最初の画面が表示される場合は、[ 閉じる] を選択します。

エージェントのインストールを確認する

エージェントの検証は、Azure portal と、エージェントを実行するローカル サーバーで行われます。

Azure portal でエージェントを確認する

Microsoft Entra ID によってエージェントが登録されていることを確認するには、次の手順に従います。

1. 少なくともハイブリッド ID 管理者として Microsoft Entra 管理センターにサインインします。

2. [Entra Connect] を選択し、[クラウド同期] を選択します。

   

3. [ クラウド同期 ] ページで、[ エージェント ] をクリックして、インストールしたエージェントを表示します。 エージェントが表示され、状態が アクティブであることを確認します。

ローカル サーバー上のエージェントを確認する

エージェントが実行されていることを確認するには、次の手順に従います。

1. 管理者アカウントでサーバーにサインインします。

2. [サービス] に移動します。 Start/Run/Services.msc を使用してアクセスすることもできます。

3. [ サービス] で、 Microsoft Azure AD Connect エージェント アップデーター と Microsoft Azure AD Connect プロビジョニング エージェント が存在し、状態が [実行中] であることを確認します。

   

プロビジョニング エージェントのバージョンを確認する

実行中のエージェントのバージョンを確認するには、次の手順に従います。

1. C:\Program Files\Microsoft Azure AD Connect プロビジョニング エージェントに移動します。
2. AADConnectProvisioningAgent.exe を右クリックし、[プロパティ] を選択します。
3. [ 詳細 ] タブを選択します。製品バージョンの横にバージョン番号が表示されます。

Microsoft Entra クラウド同期を構成する

プロビジョニングを構成するには、次の手順に従います。

1. 少なくともハイブリッド ID 管理者として Microsoft Entra 管理センターにサインインします。

2. [Entra ID]>[Entra Connect]>[クラウド同期] に移動します。

   Microsoft Entra Connect Cloud Sync のホームページを示すスクリーンショット。

3. [ 新しい構成] を選択します。

   

4. 構成画面で、ドメインとパスワード ハッシュ同期を有効にするかどうかを選択します。次に、[ 作成] を選択します。

   

5. [ 作業の開始 ] 画面で、[ スコープ フィルターの追加 ] アイコンの横にある [ スコープ フィルターの追加 ] を選択します。 または、左側のウィンドウの [ 管理] で、[ スコープ フィルター] を選択します。

   

6. スコープ フィルターを選択します。 このチュートリアルでは、[ 選択した組織単位] を選択します。 このフィルターは、特定の OU に適用する構成のスコープを設定します。

7. ボックスに、「 OU=CPUsers,DC=contoso,DC=com」と入力します。

   

8. [ 追加>保存] を選択します。

スケジューラの開始

Microsoft Entra Connect Sync は、スケジューラを使用して、オンプレミスディレクトリで発生する変更を同期します。 ルールを変更したら、スケジューラを再起動できます。

1. Microsoft Entra Connect Sync を実行しているサーバーで、管理者特権で PowerShell を開きます。
2. Set-ADSyncScheduler -SyncCycleEnabled $true を実行します。
3. Start-ADSyncSyncCycle を実行します。 次に、「入力」を選択します。

スケジューラが有効になった後、Microsoft Entra Connect Sync は、メタバース内のcloudNoFlow=trueと送信規則でJoinNoFlowを使用するオブジェクトのオブジェクトの追加、オブジェクト削除、および非参照属性の更新のエクスポートを停止します。 参照属性の処理方法は異なります。 memberやmanagerなどの参照属性の更新は、引き続き参照解決のためにエクスポートできます。

オブジェクトが Microsoft Entra Connect Sync のスコープから削除された場合、そのコネクタ スペースとメタバース オブジェクトは削除されます。 そのオブジェクトとの間のすべての参照は、Microsoft Entra コネクタ スペースにドロップし、参照削除としてエクスポートできます。 この動作により、グループ メンバーシップが削除されたり、Microsoft Entra IDでその他の参照が変更されたりする可能性があります。

トラブルシューティング

パイロットが期待どおりに動作しない場合は、Microsoft Entra Connect Sync のセットアップに戻ります。

1. ポータルでプロビジョニング構成を無効にします。
2. 同期規則エディター ツールを使用して、クラウド プロビジョニング用に作成したすべてのカスタム同期規則を無効にします。 無効にすると、すべてのコネクタで完全同期が実行されます。

グループ メンバーシップまたはマネージャー参照を削除しました

この問題は、関連するグループ、ユーザー、連絡先、またはその他の参照先オブジェクトがまだ共存している間に、Microsoft Entra Connect Sync スコープからオブジェクトが削除された場合に発生する可能性があります。 オブジェクトがスコープから削除されると、Microsoft Entra Connect Sync は対応するコネクタ スペースとメタバース オブジェクトを削除します。 この削除により、Microsoft Entra コネクタ スペース内の参照が削除され、参照削除が Microsoft Entra ID にエクスポートされる可能性があります。

回復するには、影響を受けるオブジェクトを Microsoft Entra Connect Sync のスコープに再追加し、完全同期を実行してコネクタ スペースとメタバースの参照を再構築します。 スコープを再度削除する前に、Microsoft Entra Cloud Sync が影響を受けるすべてのオブジェクトをプロビジョニングしていること、およびグループ メンバーシップやマネージャーの関係などの参照が、Cloud Sync プロビジョニング サイクルの後もそのまま残っていることを確認します。

関連コンテンツ

• プロビジョニングとは
• Microsoft Entra Cloud Sync とは