#この記事について
Hybrid AD Join の検証でわかったこととトラシューポイントを記載します。
#Hybrid Azure AD までの処理の流れ
AADC を構成して、Windows 10 クライアントが Hybrid Azure AD Join 状態となるまでの処理過程は以下。
###1. Azure AD Connect が SCP を書き込む
オンプレミス AD のフォレストにある構成パーティションに SCP が書き込まれる。
CN=62a0ff2e-97b9-4513-943f-0d221bd30080,CN=Device Registration Configuration,CN=Services,CN=Configuration,DC=xxxxxxx,DC=xxxxxx"
＊ DC=xxxxxxx,DC=xxxxxx はドメイン名
書き込まれた SCP の情報は、PowerShell から以下コマンドで確認できる。
$scp = New-Object System.DirectoryServices.DirectoryEntry
$scp.Path = "LDAP://CN=62a0ff2e-97b9-4513-943f-0d221bd30080,CN=Device Registration Configuration,CN=Services,CN=Configuration,DC=xxxxxxx,DC=xxxxxx"
$scp.Keywords
出力結果例は以下。
SCP は、サービス接続ポイントの略。
オンプレミス AD に参加しているコンピューター デバイスが、 同期先テナントの Azure AD がどこか？を示す情報。
これが正しく登録されていないと、Hybrid Azure AD Join 状態とはならない。
###2. Windows 10 のタスクで UserCertificate 属性を書き込む
以下のタスクがログイン時と定期的 (1時間間隔ぐらい) に実行され、SCP に登録されているテナント情報を取得し、クライアント端末の userCertificates 属性に事故署名証明書を格納する。
###3. Azure AD Connect の同期でコンピューター オブジェクトが同期される
自己署名証明書が格納されたコンピューター オブジェクトが、Azure AD Connect の同期で Azure AD に同期される。
(証明書が格納されていないコンピューター オブジェクトは同期されない)
ただし、この状態では Azure AD 上ではまだ保留中となる。
###4. Hybrid Azure AD Join の完成
Azure AD に同期された後に、再度以下タスクが実行されることで、Azure AD Join が完了し、Hybrid Azure AD Join 状態となる。
これにより、保留状態から日付が入るのでそれで判断できる。
なお、Azure AD Register もしている場合、Azure AD Register のデバイスは削除したほうが望ましい。
Azure AD Join と Azure AD Register の違いについては、以下 Blog が参考になる。
https://jpazureid.github.io/blog/azure-active-directory/azure-ad-join-vs-azure-ad-device-registration/
もし、保留中から変化しない場合は、以下公開資料を基にトラシューするとよさそう。
https://docs.microsoft.com/ja-jp/azure/active-directory/devices/hybrid-azuread-join-managed-domains
https://jpazureid.github.io/blog/azure-active-directory/troubleshoot-hybrid-azure-ad-join-managed/
###5. Azure AD PRT (Primary Refresh Token) の取得
Hybrid Azure AD Join となった端末に、ユーザーがサインインして認証されたタイミングで Azure AD PRT が取得される。
コマンド プロンプトから dsregcmd /status とすることで確認できる。
#Azure AD Connect の構成
オンプレミスAD と Office 365 (Azure AD) 環境は用意済みとする。
Azure AD Connect のインストーラーは以下から。
https://www.microsoft.com/en-us/download/details.aspx?id=47594
#クライアント側の状態
オンプレAD に参加していない端末では、以下のような画面になるが、
ドメイン参加済みの場合は、オンプレAD や Azure AD の参加項目 (赤枠) がなくなっている。
つまり、すでにオンプレ AD に参加済み端末の場合は、クライアント側での作業は不要ということ。
(明示的に Azure AD に参加ということをしなくて良い)