Microsoft Entra 参加済みとハイブリッド クラウドネイティブ エンドポイントでの Microsoft Entra 参加済み

ヒント

クラウド ネイティブ エンドポイントについては、次の用語が表示されます。

  • エンドポイント: エンドポイントは、携帯電話、Tablet PC、ノート PC、デスクトップ コンピューターなどのデバイスです。 "エンドポイント" と "デバイス" は同じ意味で使用されます。
  • マネージド エンドポイント: MDM ソリューションまたは グループ ポリシー オブジェクトを使用して組織からポリシーを受け取るエンドポイント。 通常、これらのデバイスは組織所有ですが、BYOD または個人所有のデバイスでもかまいません。
  • クラウド ネイティブ エンドポイント: Microsoft Entra に参加しているエンドポイント。 これらはオンプレミス AD に参加していません。
  • ワークロード: 任意のプログラム、サービス、またはプロセス。

条件付きアクセスや Microsoft Entra シングル サインオンなど、多くの重要で価値のあるサービスでは、エンドポイントにクラウド ID が必要です。 organization 所有の Windows エンドポイントの場合、デバイスが Microsoft Entra に参加しているか、ハイブリッド Microsoft Entra に参加している場合、クラウド ID が作成されます。

クラウドネイティブ エンドポイントに移行する場合は、Microsoft Entra に参加しているデバイスとハイブリッド Microsoft Entra に参加しているデバイスの違いを理解する必要があります。

  • Microsoft Entra に参加済み: デバイスは Microsoft Entra に参加しています。 オンプレミスの Azure AD に参加していません。

    詳細については、「Microsoft Entra 参加済みデバイス (別の Microsoft Web サイトが開きます)] を参照してください。

  • ハイブリッド Microsoft Entra 参加済み: デバイスは Microsoft Entra に登録され、オンプレミスの AD ドメインに参加しています。

    詳細については、「ハイブリッド Microsoft Entra 参加済みデバイス (別の Microsoft Web サイトが開きます)] を参照してください。

この機能は、以下に適用されます。

  • Windows クラウドネイティブ エンドポイント

この記事では、Microsoft Entra に参加しているデバイスとハイブリッド Microsoft Entra に参加しているデバイスの違いについて説明します。 クラウドネイティブ エンドポイントとその利点の概要については、「クラウド ネイティブなエンドポイントとは」を参照してください。

Microsoft Entra 参加済みデバイス

Windows デバイスなどのエンドポイントがMicrosoft Entra参加すると、Microsoft Entraとの信頼が確立され、Microsoft Entra に ID (device-id) が生成されます。 エンドポイントは組織によって管理および制御されます。

エンドポイントは Microsoft Entra に参加しています。 オンプレミスの AD ドメインに参加していません。

Windows エンドポイントを Microsoft Entra に参加させるには、いくつかのオプションがあります:

  • Windows Autopilotを使用する。 Windows Autopilot は、Windows Out of Box Experience (OOBE) を通じてユーザーをガイドします。 ユーザーが職場または学校アカウントを入力すると、エンドポイントは Microsoft Entra に参加します。

    Windows Autopilot に登録されているすべてのデバイスは、組織所有のデバイスと自動的に見なされます。 Windows Autopilot は、organization デバイスを Microsoft Entra に参加させ、IT によって管理するために最も採用されているアプローチの 1 つです。

  • Windows Out Of Box Experience (OOBE)を使用する。 ユーザーがデバイスに職場または学校アカウントを入力すると、エンドポイントは自動的に Microsoft Entra に参加します。

  • 設定アプリを使用する。 デバイス上で、エンド ユーザーは設定アプリ ([アカウント]>[職場または学校にアクセスする]>[接続]) を開き、職場または学校のアカウントを使用します。

  • ウィンドウ プロビジョニング パッケージを使用する。 詳細については、次を参照してください:

組織 IT の利点

  • 条件付きアクセスを使用すると、要件を満たす、または満たさない organization リソースへのアクセスを許可または制限できます。
  • 設定と業務データを、エンタープライズ基準に準拠したクラウドを通じてローミングします。 Hotmail などの個人用 Microsoft アカウントは使用されておらず、ブロックできます。
  • Windows Hello for Business を使用すると、資格情報の盗難リスクを減らすことができます。

エンド ユーザーの利点

  • Microsoft Entra と Windows エンドポイントを使用してエンド ユーザーを認証するには、職場または学校のアカウントが必要です。 個人アカウントは使用されません。

  • インターネット接続を使用して Microsoft 365 および SaaS アプリにシングル サインオン (SSO) します。

  • Windows Hello for Business の利便性とセキュリティを使用して、Windows エンドポイントにサインインします。

    Windows Hello for Business でサインインすると、ユーザーはオンラインおよびオンプレミスのアプリとリソースの多くに対して SSO を自動的に使用します。

  • OS 設定は、Microsoft Entra に参加しているすべてのデバイスにローミングされます。

    重要

    Microsoft Entra に参加しているデバイスでリモートで作業しているエンド ユーザーは、キャッシュされた資格情報の有効期限がデバイスで期限切れになったときにサインオンするために VPN を必要としません。 ハイブリッド Microsoft Entra 参加済みデバイスでは、キャッシュされた資格情報の有効期限が切れたときにサインインするには VPN が必要です。

Microsoft Entra 参加済みリソース

ハイブリッド Microsoft Entra 参加済み

ハイブリッド Microsoft Entra に参加しているデバイスは、オンプレミスの AD ドメインに参加し、Microsoft Entra に登録されています。 これらのデバイスでは、初期サインインとデバイス管理のために、オンプレミス ドメイン コントローラー (DC) への確実なネットワーク通信経路が必要です。

デバイスが DC に接続できない場合、ユーザーのサインインが妨げられ、ポリシーの更新プログラムが受信されない可能性があります。

既存のドメイン参加済みデバイスを持つ多くの組織は、Microsoft Entra とエンドポイント管理の利点と機能を求めています。 デバイスをまだ完全にクラウドネイティブにできない場合は、これらの既存のデバイスを Microsoft Entra に登録できます。 既存のデバイスを Microsoft Entra に登録すると、デバイス ID が作成され、デバイスはハイブリッド Microsoft Entra に参加しています。 これらはクラウドネイティブ エンドポイントとは見なされません。

organization の準備ができていて、クラウドネイティブにしたい場合は、Microsoft Entra 参加 (この記事内) が正しい選択です。 既存のデバイスはリセットする必要があります。 より具体的な情報とガイダンスについては、高度な計画ガイドを参照してください。

ハイブリッド Microsoft Entra 参加済みリソース

ドメインに参加している既存のデバイスを Microsoft Entra に登録する方法については、「ハイブリッド Microsoft Entra 参加を構成する」を参照してください。 ハイブリッド Microsoft Entra 参加の構成には、マネージド ドメインとフェデレーション ドメインに関する情報が含まれています。

組織に適したオプションはどれですか?

適切なオプションは、あなたの環境、あなたのエンドポイント、そしてあなたの組織の目標によって異なります。 この決定を行う場合は、将来および長期的な影響について検討してください。

次のようなシナリオを考えてみましょう。

シナリオ Microsoft Entra 参加またはハイブリッド Microsoft Entra 参加
新しい Windows エンドポイントをプロビジョニングしています Microsoft Entra 参加

プロビジョニングと登録する新しい、再生品、または更新された Windows デバイスがある場合は、Microsoft Entra 参加をお勧めします。 Windows には、最新の管理機能、最新の認証など、最新の機能が OS に組み込まれています。 Microsoft Entra Join は、新規およびリセット エンドポイントの既定のオプションにする必要があります。

ハイブリッド Microsoft Entra 参加

新しいエンドポイントにはハイブリッド Microsoft Entra Join を使用できますが、通常はお勧めしません。 ハイブリッド Microsoft Entra Join を使用して参加すると、Windows に組み込まれている最新の機能を使用できない場合があります。
ハイブリッド Microsoft Entra または AD に参加している、以前にプロビジョニングされた既存の Windows エンドポイントがある ハイブリッド Microsoft Entra 参加

オンプレミスの AD ドメイン (参加済みのハイブリッド Microsoft Entra を含む) に参加している既存のエンドポイントがある場合は、ハイブリッド Microsoft Entra 参加をお勧めします。 デバイスはクラウド ID を取得し、クラウド ID を必要とするクラウド サービスを使用できます。 既存のエンドポイントを持つエンド ユーザーの場合、このオプションの影響は最小限です。

Microsoft Entra 参加

オンプレミスの AD ドメインに参加している既存のデバイス (ハイブリッド Microsoft Entra 参加済みを含む) は、Microsoft Entra 参加済みになるようにリセットする必要があります。 リセットできない場合は、Microsoft Entra に参加するためのサポートされている Microsoft パスはありません。

一般的な質問、回答、シナリオ

このセクションでは、Microsoft Entra に参加しているデバイスとハイブリッド Microsoft Entra に参加しているデバイスに関する一般的な質問に回答します。

ハイブリッド Microsoft Entra 参加は、デバイスの長期的な目標状態または最終目標状態にする必要がありますか?

いいえ、ハイブリッド Microsoft Entra Join は長期的なものでも、どの organization の最終目標でもありません。

制限や制限を受けていない場合 (技術的、政治的、または規制上の理由)、organization は Windows エンドポイント用に参加している Microsoft Entra への移行または移行を計画している必要があります。

既存のハイブリッド Microsoft Entra Join デバイスを Microsoft Entra Join に移動するには、organization どのような戦略を採用する必要がありますか?

この戦略は多くの要因に依存しており、その多くは organization に固有のものです。

通常、Microsoft は補完的なイベントを待つことをお勧めします。 たとえば、ハードウェアの更新、OS のアップグレード、またはデバイスのトラブルシューティングのシナリオ中に、Windows の新しい (またはリセットされた) インスタンスがある場合、Microsoft Entra Join に移動できます。 この方法を使用すると、ユーザーの中断を最小限に抑え、Microsoft Entra Join への変換プロセスを合理化できます。 Windows をリセットせずに既存のデバイスをハイブリッド Microsoft Entra 参加から Microsoft Entra 参加に変換するための Microsoft がサポートするプロセスやパスはないことに注意してください。

Microsoft Entra ハイブリッド参加済みデバイスでは、Windows Autopilot リセットでは Microsoft Entra ハイブリッド参加済みデバイスがサポートされていないため、フル デバイス ワイプを実行する必要があります。

Microsoft Entra Join に移行するには、既存のデバイスを積極的にリセットできます。 このアプローチは、ユーザーにとってより混乱を引き起こす可能性があり、より多くの計画 & テストが必要になります。 ただし、デバイスを数台しか使用できない場合や、Microsoft Entra Join に移行する強力なビジネス ケースがある場合は、このアプローチを使用できます。

organization が Microsoft Entra 参加に移動できないようにするブロックがあります

Microsoft の制御が及ばないブロッカーや課題があり、organization Microsoft Entra Join への完全な移行を妨げる可能性があります。 また、組織とその構成や期待について固有である未知の遮断要因が存在する可能性もあります。 これらの障害は技術的な場合もあれば、他の非技術的理由で発生する場合もあります。

Microsoft Entra Join への移行は、100 か 0 かの命題ではないことに注意してください。 デバイスを Microsoft Entra Join に移動するには、ブロッカーや阻害剤の有無にかかわらず時間がかかります。

Microsoft Entra Join の使用を妨げている可能性のあるブロッカーを特定した場合は、範囲、影響、および解決策を決定します。 クラウドネイティブ エンドポイントに移行するための詳細な計画ガイドが役に立ちます。

Microsoft Entra Join エンドポイントと Hybrid Microsoft Entra Join エンドポイントは同じ環境で共存できますか?

はい、Microsoft Entra Join エンドポイントと Hybrid Microsoft Entra Join エンドポイントは同じ環境で共存できます。 これらは相互に排他的ではありません。

混在環境があると、複雑さ、メンテナンス、およびサポート コストが増加します。 ただし、これらのエンドポイントが置き換えられるかリセットされるまで、ハイブリッド Microsoft Entra Join を使用できます。 ハイブリッド Microsoft Entra 参加は、Windows エンドポイント状態に対する organization の最終目標であってはならないことを忘れないでください。

Microsoft Entra Join システムのユーザーはオンプレミスのリソースにアクセスできますか?

はい。Microsoft Entra Join システムのユーザーはオンプレミスのリソースにアクセスできます。

Microsoft Entra 参加エンドポイントはオンプレミス リソースにアクセスでき、シングル サインオン (SSO) を使用できます。 詳細については、「クラウドネイティブ エンドポイントとオンプレミス リソース」を参照してください。

Intune で管理できるデバイス参加状態は何ですか?

100% クラウド ソリューションである Microsoft Intune は、参加またはハイブリッドMicrosoft Entra参加をMicrosoft Entraする Windows クライアント デバイスを管理できます。 Intuneには、設定の管理、デバイス機能の制御、エンドポイントのセキュリティ保護に役立つさまざまな機能と設定が組み込まれています。

「クラウドネイティブ エンドポイントに移行するための高度な計画ガイド: 知っておくべき Intune の機能」は、これらの機能の一部を一覧表示します。 「Intune とは何か」も優れたリソースです。

ハイブリッド Microsoft Entra 参加エンドポイントでは、オンプレミスのグループ ポリシー オブジェクト (GPO) または Intune を使用してポリシー設定を制御できます。 GPO と Intune を組み合わせて使用することもできますが、この組み合わせでは管理オーバーヘッドと複雑さが増します。 共同管理 (Intune (クラウド) + Configuration Manager (オンプレミス)) を有効にすると、条件付きアクセスなど、一部の Microsoft Entra 機能を使用できます。

いくつかのガイダンスについては、「展開ガイド: セットアップまたは Microsoft Intune に移動する」を参照してください。

デバイス コンプライアンスや条件付きアクセスには、どのようなデバイスの参加状態が必要ですか?

ハイブリッド Microsoft Entra 参加エンドポイントと Microsoft Entra 参加エンドポイントはどちらも、Intune によって管理される場合、または Intune と Configuration Manager によって共同管理されている場合、コンプライアンス ポリシーと条件付きアクセスをサポートします。

ハイブリッド Microsoft Entra 参加に制限はありますか?

はい、ハイブリッド Microsoft Entra 参加には制限があります。

これらの制限事項は、一般に、オンプレミスのみのドメインに参加しているデバイスと同じです。 具体的には、ハイブリッド Microsoft Entra 参加エンドポイントでは、最初のサインインとパスワードの変更のために、オンプレミスの AD ドメイン コントローラーへの見通し線が必要です。 ドメインがダウンしているか利用できない場合、ユーザーはエンドポイントへのサインインがブロックされる可能性があります。 organization がオンプレミス ドメインから移行する場合は、デバイスのハイブリッド Microsoft Entra Join から移行することもできます。

パスワードレス認証を使用する場合、ユーザーにはインターネット アクセスとドメイン コントローラー (DC) への見通し線が必要です。 認証するために、ハイブリッド Microsoft Entra 参加エンドポイントでは Kerberos と NTLM を使用できます。

ハイブリッド Microsoft Entra Join はクラウドネイティブと見なされますか?

いいえ、ハイブリッド Microsoft Entra Join はクラウドネイティブとは見なされません。

クラウド ソリューションは、エンドポイントに Microsoft Entra を参加させることです。 エンドポイントとその ID が作成され、Microsoft Entra に保存されます。 Intune は、設定とポリシーを使用してエンドポイントを管理します。 これらのサービスは、Microsoft 365、Microsoft Defender XDR などの他のクラウド サービスと連携します。

クラウド ネイティブなエンドポイントのガイダンスに従う

  1. 概要: クラウド ネイティブなエンドポイントとは
  2. チュートリアル: Microsoft Intune を使用してクラウドネイティブの Windows エンドポイントを設定する
  3. 🡺 概念: Microsoft Entra 参加済みとハイブリッド Microsoft Entra 参加済み (現在地)
  4. 概念: クラウド ネイティブなエンドポイントとオンプレミス リソース
  5. 高度な計画ガイド
  6. 既知の問題と重要な情報
  • Last updated on