Prepare for directory synchronization to Microsoft 365 (Microsoft 365 へのディレクトリ同期を準備する)

この記事は、Microsoft 365 Enterprise および Office 365 Enterprise の両方に適用されます。

ハイブリッド ID モデルを選択し、このソリューションの 手順 2 で管理者アカウント、 手順 3 でユーザー アカウントの保護を構成した場合、次のタスクはディレクトリ同期を展開することです。 組織にとってのディレクトリ同期の利点は次のとおりです。

  • 組織内の管理プログラムを減らす
  • シングル サインオン シナリオを有効にするオプション
  • Microsoft 365 でのアカウント変更の自動化

ディレクトリ同期を使用する利点の詳細については、「 Microsoft Entra ID を使用したハイブリッド ID」を参照してください。

ただし、ディレクトリ同期では、Active Directory Domain Services (AD DS) が最小限のエラーで Microsoft 365 サブスクリプションの Microsoft Entra テナントと同期するようにするための計画と準備が必要です。

最適な結果を得るために、次の手順に従います。

AD DS の準備

同期を使用して Microsoft 365 にシームレスに移行するには、Microsoft 365 ディレクトリ同期の展開を開始する前に AD DS フォレストを準備する必要があります。

ディレクトリの準備では、次のタスクに重点を置く必要があります。

  • 重複する proxyAddress 属性と userPrincipalName 属性を削除します。

  • 空白の無効な userPrincipalName 属性を、有効な userPrincipalName 属性で更新します。

  • givenName、surname ( sn )、sAMAccountName、displayName、mail、proxyAddresses、mailNickname、および userPrincipalName の各属性から無効な文字と疑わしい文字を削除します。 属性の準備の詳細については、「 Azure Active Directory 同期ツールによって同期されている属性の一覧」を参照してください。

    注:

    これらは、Microsoft Entra Connect で同期される属性と同じです。

マルチフォレスト展開の考慮事項

複数のフォレストと SSO オプションの場合は、 Microsoft Entra Connect のカスタム インストールを使用します。

組織に認証用に複数のフォレスト (ログオン フォレスト) がある場合は、次のことを強くお勧めします。

  • 森林の統合を検討してください。 一般に、複数のフォレストを維持するにはより多くのオーバーヘッドが必要になります。 組織に別のフォレストが必要となるセキュリティ上の制約がない限り、オンプレミス環境を簡略化することを検討してください。
  • プライマリ ログオン フォレストでのみ使用してください。 Microsoft 365 の初期展開には、プライマリ ログオン フォレストにのみ Microsoft 365 を展開することを検討してください。

マルチフォレスト AD DS の展開を統合できない場合、または他のディレクトリ サービスを使用して ID を管理している場合は、Microsoft またはパートナーのサポートを受けてそれらを同期できる可能性があります。

詳細については、「 Microsoft Entra Connect のトポロジ 」を参照してください。

ディレクトリ同期に依存している機能

ディレクトリ同期は、以下の機能のために必要です。

  • Microsoft Entra シームレス シングル サインオン (SSO)
  • Skype の共存
  • 次を含む Exchange ハイブリッド展開:
    • オンプレミスの Exchange 環境と Microsoft 365 の間で完全に共有されたグローバル アドレス一覧 (GAL)。
    • 異なるメール システムの GAL 情報を同期する。
    • Microsoft 365 サービス オファリングにユーザーを追加および削除する機能。 これには次のものが必要です。
      • ディレクトリ同期のセットアップ中に双方向同期を構成する必要があります。 既定では、ディレクトリ同期ツールはディレクトリ情報をクラウドにのみ書き込みます。 双方向同期を構成するときは、ライトバック機能を有効にして、制限された数のオブジェクト属性がクラウドからコピーされ、ローカル AD DS に書き戻されます。 ライトバックは、Exchange ハイブリッド モードとも呼ばれます。
    • オンプレミスの Exchange ハイブリッド展開。
    • 一部のユーザー メールボックスを Microsoft 365 に移動し、他のユーザー メールボックスをオンプレミスに維持する機能。
    • オンプレミスの信頼できる差出人と受信拒否リストは、Microsoft 365 にレプリケートされます。
    • 基本的な委任と代理送信メール機能。
    • 統合されたオンプレミスのスマート カードまたは多要素認証ソリューションがある。
  • 写真、サムネイル、会議室、およびセキュリティ グループの同期

1. ディレクトリ クリーンアップ タスク

AD DS を Microsoft Entra テナントに同期する前に、AD DS をクリーンアップする必要があります。

重要

同期する前に AD DS のクリーンアップを実行しないと、展開プロセスに重大な悪影響を及ぼす可能性があります。 ディレクトリ同期、エラーの特定、再同期のサイクルには、数日、場合によっては数週間かかる場合があります。

AD DS で、Microsoft 365 ライセンスが割り当てられるユーザー アカウントごとに、次のクリーンアップ タスクを実行します。

  1. proxyAddresses 属性で有効かつ一意の電子メール アドレスであることを確認します。

  2. proxyAddresses 属性に重複する値が存在する場合は削除します。

  3. 可能であれば、ユーザーのユーザー オブジェクトの userPrincipalName 属性に有効で一意の値であることを確認します。 最適な同期エクスペリエンスを実現するには、AD DS UPN が Microsoft Entra UPN と一致していることを確認します。 ユーザーが userPrincipalName 属性の値を持っていない場合、 ユーザー オブジェクトには sAMAccountName 属性の有効かつ一意の値が含まれている必要があります。 userPrincipalName 属性に重複する値が存在する場合は削除します。

  4. グローバル アドレス一覧 (GAL) を最適に使用するには、AD DS ユーザー アカウントの次の属性の情報が正しいことを確認してください。

    • givenName
    • surname
    • displayName
    • 役職
    • 部署
    • 事業所
    • 事業所電話番号
    • 携帯電話番号
    • FAX 番号
    • 番地
    • 都市
    • 都道府県
    • 郵便番号
    • 国または地域

2. ディレクトリ オブジェクトと属性の準備

AD DS と Microsoft 365 の間でディレクトリ同期を正常に行うには、AD DS 属性が適切に準備されている必要があります。 たとえば、Microsoft 365 環境と同期している特定の属性で特定の文字が使用されないようにする必要があります。 予期しない文字によってディレクトリ同期が失敗することはありませんが、警告が返される場合があります。 無効な文字があると、ディレクトリ同期が失敗します。

また、一部の AD DS ユーザーに 1 つ以上の重複する属性がある場合も、ディレクトリ同期は失敗します。 各ユーザーは固有の属性を持つ必要があります。

準備する必要がある属性は以下のとおりです。

  • displayName

    • 属性がユーザー オブジェクトに存在する場合は、Microsoft 365 と同期されます。
    • この属性がユーザー オブジェクトに存在する場合は、値が必要です。 つまり、属性を空白にすることはできません。
    • 最大文字数: 256

  • givenName

    • 属性がユーザー オブジェクトに存在する場合は Microsoft 365 と同期されますが、Microsoft 365 ではそれを必要としたり使用したりしません。
    • 最大文字数: 64

  • mail

    • 属性値はディレクトリ内で一意である必要があります。

      注:

      重複する値がある場合は、その値を持つ最初のユーザーが同期されます。 それ以降のユーザーは Microsoft 365 に表示されません。 両方のユーザーを Microsoft 365 に表示するには、Microsoft 365 の値を変更するか、AD DS の両方の値を変更する必要があります。

  • mailNickname (Exchange エイリアス)

    • 属性値をピリオド (.) で始めることはできません。

    • 属性値はディレクトリ内で一意である必要があります。

      注:

      同期された名前のアンダースコア ("_") は、この属性の元の値に無効な文字が含まれていることを示します。 この属性の詳細については、「 Exchange エイリアス属性」を参照してください。

  • proxyAddresses

    • 複数値属性

    • 値ごとの最大文字数: 256

    • 属性値にスペースを含めることはできません。

    • 属性値はディレクトリ内で一意である必要があります。

    • 無効な文字: <> ( ) ; , [ ] "

    • ウムラウト、アクセント マーク、チルダなど、発音区別符号を含む文字は使用できません。

      無効な文字は、型区切り記号と ":" に続く文字に適用されます。そのため、SMTP:User@contso.com は許可されますが、SMTP:user:M@contoso.com は許可されません。

      重要

      すべての簡易メール転送プロトコル (SMTP) アドレスは、電子メール メッセージング標準に準拠する必要があります。 重複するアドレスや不要なアドレスが存在する場合は、削除します。

  • sAMAccountName

    • 最大文字数: 20
    • 属性値はディレクトリ内で一意である必要があります。
    • 無効な文字: [ \ " | , / : <> + = ; ? * ']
    • ユーザーが無効な sAMAccountName 属性を持っているが、有効な userPrincipalName 属性を持っている場合、ユーザー アカウントは Microsoft 365 で作成されます。
    • sAMAccountName と userPrincipalName の両方が無効な場合は、AD DS userPrincipalName 属性を更新する必要があります。

  • SN (姓)

    • 属性がユーザー オブジェクトに存在する場合は Microsoft 365 と同期されますが、Microsoft 365 ではそれを必要としたり使用したりしません。

  • targetAddress

    ユーザーに対して設定される targetAddress 属性 (SMTP:tom@contoso.com など) が Microsoft 365 GAL に表示される必要があります。 サードパーティのメッセージング移行シナリオでは、これには AD DS 用の Microsoft 365 スキーマ拡張機能が必要になります。 Microsoft 365 スキーマ拡張機能には、AD DS からディレクトリ同期ツールを使用して設定された Microsoft 365 オブジェクトを管理するために役立つ他の属性も追加されます。 たとえば、非表示のメールボックスまたは配布グループを管理するための msExchHideFromAddressLists 属性が追加されます。

    • 最大文字数: 256
    • 属性値にスペースを含めることはできません。
    • 属性値はディレクトリ内で一意である必要があります。
    • 無効な文字: \ <> ( ) ; , [ ] "
    • すべての簡易メール転送プロトコル (SMTP) アドレスは、電子メール メッセージング標準に準拠する必要があります。

  • userPrincipalName

    • userPrincipalName 属性は、ユーザー名の後にアット マーク (@) とドメイン名 (例: user@contoso.com) を続けるインターネット スタイルのサインイン形式にする必要があります。 すべての簡易メール転送プロトコル (SMTP) アドレスは、電子メール メッセージング標準に準拠する必要があります。
    • userPrincipalName 属性の最大文字数は 113 文字です。 次のように、アット マーク (@) の前後に特定の文字数を指定できます。
    • アット マーク (@) の前にあるユーザー名の最大文字数: 64
    • アット マーク (@) に続くドメイン名の最大文字数: 48
    • 無効な文字: \ % & * + / = ? { } | <> ( ) ; : , [ ] " #
    • 使用可能な文字: A – Z、a - z、0 – 9、' 。 - _ ! ^ ~
    • ウムラウト、アクセント マーク、チルダなど、発音区別符号を含む文字は使用できません。
    • @ 文字は各 userPrincipalName 値に必須です。
    • @ 文字を各 userPrincipalName 値の最初の文字にすることはできません。
    • ユーザー名の末尾にピリオド (.)、アンパサンド (&)、スペース、または記号 (@) を含めることはできません。
    • ユーザー名にスペースを含めることはできません。
    • ルーティング可能なドメインを使用する必要があります。たとえば、ローカル ドメインまたは内部ドメインは使用できません。
    • Unicode はアンダースコア文字に変換されます。
    • userPrincipalName ディレクトリ内に重複する値を含めることはできません。

3. userPrincipalName 属性を準備する

Active Directory は、組織内のエンド ユーザーが sAMAccountName または userPrincipalName を使用してディレクトリにサインインできるように設計されています。 同様に、エンド ユーザーは、職場または学校アカウントのユーザー プリンシパル名 (UPN) を使用して Microsoft 365 にサインインできます。 ディレクトリ同期は、AD DS にあるのと同じ UPN を使用して、Microsoft Entra ID に新しいユーザーを作成しようとします。 UPN はメール アドレスのような形式です。

Microsoft 365 では、UPN は電子メール アドレスの生成に使用される既定の属性です。 userPrincipalName (AD DS および Microsoft Entra ID) と proxyAddresses のプライマリ電子メールアドレスを異なる値に設定するのは簡単です。 異なる値に設定されている場合、管理者とエンド ユーザーが混乱する可能性があります。

混乱を防ぐために、これらの属性を揃えることをお勧めします。 Active Directory フェデレーション サービス (AD FS) 2.0 を使用したシングル サインオンの要件を満たすには、Microsoft Entra ID と AD DS の UPN が一致し、有効なドメイン名前空間を使用していることを確認する必要があります。

4. AD DS に代替の UPN サフィックスを追加する

ユーザーの企業資格情報を Microsoft 365 環境に関連付けるために、代替の UPN サフィックスを追加する必要がある場合があります。 UPN サフィックスは、@ 文字の右側の UPN の一部です。 シングル サインオンに使用する UPN には文字、数字、ピリオド、ダッシュ、アンダースコアを含めることができますが、その他の種類の文字を含めることはできません。

Active Directory に代替の UPN サフィックスを追加する方法の詳細については、「 ディレクトリ同期の準備」を参照してください。

5. AD DS UPN と Microsoft 365 UPN を一致させます

ディレクトリ同期を既に設定している場合、Microsoft 365 のユーザーの UPN は、AD DS で定義されているユーザーの AD DS UPN と一致しない可能性があります。 この状態は、ドメインが確認される前にユーザーにライセンスが割り当てられた場合に発生する可能性があります。 これを修正するには、PowerShell を使用して 重複する UPN を修正してユーザーの UPN を更新し、Microsoft 365 UPN が企業のユーザー名とドメインと一致するようにします。 AD DS で UPN を更新し、Microsoft Entra ID と同期する場合は、AD DS で変更を行う前に、Microsoft 365 でユーザーのライセンスを削除する必要があります。

「 How to prepare a non-routing domain (such as local] domain) for directory synchronization (英語情報) についても参照してください。

次の手順

手順 1 から 5 を完了したら、「 ディレクトリ同期の設定」を参照してください。

  • Last updated on