【AZ-104対策】Entra joined / registered / hybrid joinedの違いを整理する
本記事は、AZ-104の勉強中につまずいたポイントを整理するシリーズの第4回です。
- 第1回：Azureネットワーク接続の違いを整理する
- 第2回：Recovery Services コンテナーとBackup vaultの違いを整理する
- 第3回：Log Analytics workspaceとストレージアカウントの違いを整理する
- 第4回：Entra joined、registered、hybrid joinedの違いを整理する（本記事）
- 第5回：ARMテンプレートの基本構造と読み方を整理する
今回は、Microsoft Entra IDのデバイスまわりで出てくる次の3つを整理します。
- Microsoft Entra registered
- Microsoft Entra joined
- Microsoft Entra hybrid joined
どれもMicrosoft Entra IDにデバイスを登録・参加させるものですが、実際には用途が違います。
この記事では、AZ-104対策として「どのデバイスを、どの管理形態で使うのか」に絞って整理します。
結論
最初にざっくりまとめると、次のようになります。
| やりたいこと | 使うもの |
|---|---|
| 個人所有デバイスをMicrosoft Entra IDに登録したい | Microsoft Entra registered |
| 組織所有のWindowsデバイスをクラウド管理したい | Microsoft Entra joined |
| 既存のオンプレミスAD参加済みデバイスをMicrosoft Entra IDにも登録したい | Microsoft Entra hybrid joined |
| BYOD端末でMicrosoft 365などにSSOしたい | Microsoft Entra registered |
| オンプレミスADを使わずに組織端末を管理したい | Microsoft Entra joined |
| 既存のActive Directoryやグループポリシーを引き続き使いたい | Microsoft Entra hybrid joined |
AZ-104対策としては、まず個人所有デバイスはregistered、クラウド管理の組織所有デバイスはjoined、オンプレミスADと併用する組織所有デバイスはhybrid joinedと整理すると分かりやすいです。
前提：Microsoft Entra IDとデバイスの状態
Microsoft Entra IDは、AzureやMicrosoft 365で使われるID管理サービスです。
以前はAzure Active Directory、通称Azure ADと呼ばれていました。
Microsoft Entra IDでは、ユーザーだけでなくデバイスも登録して管理できます。
Microsoft Learnでは、Microsoft Entra IDのデバイスIDによって、組織のリソースにアクセスするデバイスを管理できると説明されています。(Microsoft Learn)
デバイスをMicrosoft Entra IDに登録・参加させる方法には、主に次の3つがあります。
- Microsoft Entra registered
- Microsoft Entra joined
- Microsoft Entra hybrid joined
この3つは名前が似ていますが、個人所有デバイスなのか、組織所有デバイスなのか、オンプレミスADに参加しているのか が違います。
Microsoft Entra registeredとは
Microsoft Entra registeredは、主に個人所有デバイスをMicrosoft Entra IDに登録するための形態です。
いわゆるBYOD、つまり個人所有デバイスを業務で利用する場面で出てきます。
Microsoft Learnでは、Microsoft Entra registeredはBYODやモバイルデバイスのシナリオをサポートするためのものと説明されています。(Microsoft Learn)
Microsoft Entra registeredを使う場面
Microsoft Entra registeredは、主に次のような場面で使います。
- 個人所有のPCを業務で使いたい
- 個人所有のスマートフォンやタブレットからMicrosoft 365を使いたい
- BYOD端末をMicrosoft Entra IDに登録したい
- 組織アカウントでクラウドリソースにSSOしたい
- 条件付きアクセスでデバイスに関する情報を利用したい
Microsoft Entra registeredでは、デバイスそのものを組織所有の管理デバイスとして参加させるというより、個人所有デバイスをMicrosoft Entra IDに登録して、クラウドリソースへのアクセスに利用するイメージです。
Microsoft Entra registeredで押さえること
AZ-104対策としては、次のポイントを押さえておくとよいです。
- 主に個人所有デバイス、つまりBYODで使う
- Windowsだけでなく、iOSやAndroidなどでも使われる
- ユーザーはローカルアカウントや個人アカウントでデバイスにサインインする
- 組織アカウントはクラウドサービス利用時に追加される
- 組織所有デバイスの本格的な管理にはMicrosoft Entra joinedのほうが向いている
ざっくり言うと、Microsoft Entra registeredは、個人所有デバイスを組織のMicrosoft Entra IDに登録して使う形態です。
Microsoft Entra joinedとは
Microsoft Entra joinedは、主に組織所有のWindowsデバイスをMicrosoft Entra IDに参加させるための形態です。
オンプレミスのActive Directoryではなく、Microsoft Entra IDを中心にデバイスを管理する構成です。
Microsoft Learnでは、Microsoft Entra joinedは組織内のユーザーが利用するデバイスを対象とする参加方式として説明されています。(Microsoft Learn)
なお、Microsoft Entra joinedはオンプレミスADに参加しない構成ですが、環境によってはオンプレミスリソースへのSSOにも対応できます。
ただし、既存のオンプレミスAD参加やグループポリシーを前提にする場合はMicrosoft Entra hybrid joinedのほうが整理しやすいです。
Microsoft Entra joinedを使う場面
Microsoft Entra joinedは、主に次のような場面で使います。
- 組織所有のWindows PCをクラウド中心で管理したい
- オンプレミスADに依存せずにデバイスを管理したい
- Microsoft Intuneと組み合わせてデバイス管理したい
- Windows Autopilotでデバイスを展開したい
- Microsoft 365やAzureなどクラウドリソースへのSSOを使いたい
Microsoft Entra joinedでは、ユーザーは組織アカウントを使ってWindowsデバイスにサインインします。
Microsoft Entra joinedで押さえること
AZ-104対策としては、次のポイントを押さえておくとよいです。
- 主に組織所有のWindowsデバイスで使う
- オンプレミスADに参加しない
- Microsoft Entra IDに参加する
- ユーザーは組織アカウントでデバイスにサインインする
- Microsoft Intuneと組み合わせて管理しやすい
- クラウド中心のデバイス管理に向いている
ざっくり言うと、Microsoft Entra joinedは、組織所有のWindowsデバイスをMicrosoft Entra IDに参加させてクラウド管理する形態です。
Microsoft Entra hybrid joinedとは
Microsoft Entra hybrid joinedは、オンプレミスActive Directoryに参加しているデバイスを、Microsoft Entra IDにも登録する 形態です。
既存のオンプレミスAD環境を使いながら、Microsoft Entra IDの機能も利用したい場合に出てきます。
Microsoft Learnでは、Microsoft Entra hybrid joined devicesは、オンプレミスのActive Directoryに参加し、Microsoft Entra IDにも登録されるデバイスと説明されています。(Microsoft Learn)
Microsoft Entra hybrid joinedを使う場面
Microsoft Entra hybrid joinedは、主に次のような場面で使います。
- 既存のオンプレミスAD参加済みPCを引き続き使いたい
- グループポリシーを使った管理を継続したい
- オンプレミスリソースとクラウドリソースの両方にSSOしたい
- オンプレミスAD管理とクラウド管理を併用したい
Microsoft Learnでも、Microsoft Entra hybrid joinは既存のオンプレミスWindows Server Active Directoryインフラストラクチャを持つハイブリッド組織に適していると説明されています。(Microsoft Learn)
Microsoft Entra hybrid joinedで押さえること
AZ-104対策としては、次のポイントを押さえておくとよいです。
- オンプレミスADに参加している
- Microsoft Entra IDにも登録される
- 組織所有デバイスで使う
- 既存のADやグループポリシーを継続利用しやすい
- オンプレミスADとの接続が必要になる場面がある
- 既存AD環境を残しながらクラウド機能を利用したい場合に使われる
Microsoft Learnでは、Microsoft Entra hybrid joined devicesはオンプレミスのドメインコントローラーへのネットワーク接続が定期的に必要になると説明されています。(Microsoft Learn)
ざっくり言うと、Microsoft Entra hybrid joinedは、オンプレミスAD参加済みデバイスをMicrosoft Entra IDにも登録して使う形態です。
Microsoft Entra registered / joined / hybrid joinedの違い
3つの違いを整理すると、次のようになります。
| 比較項目 | Microsoft Entra registered | Microsoft Entra joined | Microsoft Entra hybrid joined |
|---|---|---|---|
| 主な対象 | 個人所有デバイス | 組織所有Windowsデバイス | 既存のオンプレミスAD参加済みデバイス |
| よくある用途 | BYOD | クラウド中心の端末管理 | 既存AD環境との併用 |
| デバイスの所有者 | 個人 | 組織 | 組織 |
| デバイスのサインイン | ローカルアカウントや個人アカウント | Microsoft Entra IDの組織アカウント | オンプレミスADのドメインアカウント |
| オンプレミスAD参加 | しない | しない | する |
| Microsoft Entra IDとの関係 | 登録される | 参加する | オンプレミスADに参加し、Microsoft Entra IDにも登録される |
| 管理のイメージ | 個人所有デバイスを業務利用できるようにする | クラウド中心で組織デバイスを管理する | 既存AD管理を残しつつクラウド連携する |
| AZ-104での覚え方 | 個人所有デバイス・BYOD | 組織デバイス・クラウド管理 | 既存AD参加デバイス・ハイブリッド管理 |
補足：Intuneとの関係
ここまでMicrosoft Entra ID上でのデバイスの状態を整理しましたが、実際のデバイス管理ではMicrosoft Intuneもよく一緒に出てきます。
Microsoft Entra IDは、ユーザーやデバイスのIDを管理する基盤です。
一方で、Microsoft Intuneは、デバイスの構成やアプリ、コンプライアンスなどを管理するためのサービスです。
そのため、Microsoft Entra IDにデバイスを登録・参加させることと、Intuneでデバイスを管理することは別の概念です。
ただし、実際の運用では、Microsoft Entra joinedのデバイスをIntuneで管理したり、registeredのデバイスに対して条件付きアクセスやアプリ保護ポリシーを使ったりすることがあります。
AZ-104対策としては、まず次のように整理すると分かりやすいです。
- Microsoft Entra ID：ユーザーやデバイスのIDを管理する
- Microsoft Intune：デバイスやアプリを管理する
- 条件付きアクセス：ユーザーやデバイスの状態をもとにアクセスを制御する
この記事では、Intuneの詳細には踏み込まず、Microsoft Entra ID上でのデバイスの状態の違いに絞って整理します。
まとめ
Microsoft Entra registered、Microsoft Entra joined、Microsoft Entra hybrid joinedは、どれもMicrosoft Entra IDに関係するデバイスの状態です。
ただし、使う場面が違います。
| やりたいこと | 選ぶもの |
|---|---|
| 個人所有デバイスをMicrosoft Entra IDに登録したい | Microsoft Entra registered |
| 組織所有のWindowsデバイスをクラウド管理したい | Microsoft Entra joined |
| 既存のオンプレミスAD参加済みデバイスをMicrosoft Entra IDにも登録したい | Microsoft Entra hybrid joined |
| BYODデバイスでMicrosoft 365などにSSOしたい | Microsoft Entra registered |
| オンプレミスADを使わずに組織デバイスを管理したい | Microsoft Entra joined |
| 既存のActive Directoryやグループポリシーを引き続き使いたい | Microsoft Entra hybrid joined |
AZ-104の勉強では、個人所有デバイスやBYODはregistered、クラウド管理の組織所有Windowsデバイスはjoined、オンプレミスADと併用する組織所有デバイスはhybrid joinedと整理すると分かりやすいです。
Microsoft Entra registered / joined / hybrid joinedを名前だけで判断するのではなく、誰のデバイスなのか、オンプレミスADに参加しているのか、どのように管理したいのか考えると整理しやすいです。
この記事がAZ-104を勉強している方の整理に役立てば嬉しいです。