【Entra ID ハンズオン】Microsoft Entra Connect クラウド同期 (Cloud Sync)

1.はじめに

本記事は、Microsoft Entra Connect クラウド同期(Cloud Sync) に関する説明です。

Entra Connect（旧名Azure AD Connect）には、現在２つの同期エージェントがあります。

1つ目は、Connect同期と呼ばれ、１つのEntra IDに対して、１つのEntra Connectのみがサポートされます。従来から利用されている同期エージェントです。
２つ目は、複数のADがあるような環境下で、１つのEntra IDに対して、複数の同期エージェントがサポートされます。これはMicrosoft Entra Connect クラウド同期と呼ばれるエージェントによるID同期で、今回はこちらを説明致します。

2.Entra Connect クラウド同期とは

2-1.トポロジー

まず初めに、ADが複数ある環境下において、従来のEntra Connect のConnect同期エージェントでは、以下のようなトポロジーがサポートされていませんでした。

つまり、従来のEntra Connect のConnect同期エージェントでは、以下のようなトポロジーにする必要があります。特に問題なく構成できる場合は良いのですが、ADが複数の拠点にあることにより、Entra ConnectとAD間においてNAT通信が発生してしまい、通信要件を満たせないことも多々ありました。

そんな問題を解消するのが、Microsoft Entra Connect クラウド同期です。
以下図のように、すでにEntra ConnectによるID同期を実施している場合に、追加する形であるADのユーザ情報をEntra IDに同期させることが可能となります。

さらに、複数のADに対して、複数のEntra Connect クラウド同期によるID同期を実施することができます。
加えて、Entra Connect クラウド同期エージェントは、ADとの同居も可能となります。
※Entra Connect Connect同期エージェントもADと同居可能ですが、基本的には非推奨構成となります。

2-2.Entra Connect クラウド同期のデメリット

上記話だけですと、良い事だけのように思えてしまいますが、Entra Connect クラウド同期のデメリットもあります。
個人的に一番大きいと思われるデメリットは、デバイスオブジェクトを同期することができず、Entra Hybrid Joinedを実現できないという点です。つまり、ユーザオブジェクトの同期をすることに限定されるため、Entra Joinedや、Entra Registeredのみになります。

2-3.比較

Microsoft Learnの比較表から、少し項目をピックアップしたのが、以下の比較表です。
他にも同期間隔の違いや、パススルー認証、フィルター機能の違いがありますね。

また、Entra IDからADに、グループプロビジョニングもEntra Connect クラウド同期はサポートしてたりします。ただ、ユーザプロビジョニングがサポートされていないので、なんとも言えない機能です。

3.手順

3-1.前提条件

今回は事前に、以下環境を構築しておきます。
Microsoft Entra Connect クラウド同期でのみサポートされる構成とするため、Windows Server 2022にEntra Connectをインストールしています。

• Hyper-V上に、Windows Server 2025とWindows Server 2022を１台ずつ用意
• 異なるフォレストとして、それぞれのサーバにActive Directoryの設定を実施
• Windows Server 2022には、Entra Connectをインストールさせて同期済み

3-2.ユーザ作成

ADからEntra IDにユーザ同期されることを確認するため、AD上にユーザを作成します。

セキュリティグループを作成し、このグループ内にユーザを追加しています。
これは、グループの同期とグループ内のメンバーも同期されるか確認するためとなり、v-user01とv-user02を所属させています。

さらに、ソフトマッチのテスト用のユーザも作成しています。

ソフトマッチ用のユーザ

User Name	UPNが一致かどうか	e-mailが一致かどうか
match-test-user01	一致	不一致
match-test-user02	不一致	一致

ソフトマッチ
ソフトマッチとは、Entra IDにユーザがある場合において、AD上にも同一のユーザが存在している場合に、Entra Connect (Connect 同期 / クラウド同期) によるID同期を実施した場合でも、ADとEntra IDのユーザを一致させるという処理になります。
ソフトマッチについて、詳しくは以下ブログをご覧ください。

https://jpazureid.github.io/blog/azure-active-directory-connect/aboutSoftMatching/

3-3.Entra Connect クラウド同期エージェントのインストール

Entra 管理センターに移動し、「ハイブリッド管理 > Microsoft Entra Connect」を選択し、「クラウド同期」をクリックします。

クラウド同期の画面は、以下のようになっています。

「Agents > オンプレミスのエージェントをダウンロードします」を選択し、「使用条件に同意してダウンロードする」を選択し、Entra Connec クラウド同期のエージェントをダウンロードします。
このインストーラをADに置きます。

AD上で、インストーラを実行します。

「HR-driven provisioning / Microsoft Entra Cloud Sync」を選択します。

次に、Entra IDの認証が発生するため、ハイブリッドID管理者の権限以上をもつアカウントでサインインを完了します。

「Create gMSA」を選択し、グループ管理サービス アカウント (gMSA) を作成いたします。
このgMSAは、エージェントサービスの実行に利用されます。

gMSA
AD上のユーザーとコンピューターを確認すると、「Managed Service Accounts」の中に、provAgentgMSAというグループ管理サービス アカウントが作成されていることを確認することができます。

対象となるドメイン名を入力します。

確認画面が表示されるので、「Confirm」をクリックします。

問題なければ、完了となりますので、「Exit」をクリックします。

エージェントサービス
AD上でサービスを確認すると、Microsoft Azure AD Connect Provisioning Agentというサービスが作成されています。

3-4.Entra Connect クラウド同期の実行

ここまででエージェントのインストールは完了しました。
Entra 管理センターに移動し、「ハイブリッド管理 > Microsoft Entra Connect」において、「Agents」をクリックすると、先ほどエージェントをインストールしたサーバ名を確認することができます。

「構成 > +新しい構成」を選択し、「ADからMicrosoft Entra IDへの同期」を選択します。

対象となるエージェントを選択し、「パスワードハッシュの同期を有効にする」にチェックを付けた状態で、「作成」をクリックします。

作成すると一覧に新しい構成が追加されます。新しく追加された構成をクリックします。

「スコープフィルター」から「選択した組織単位」にチェックし、オブジェクトの識別名(distinguishedName) を入力し、「追加」を選択します。

オブジェクトの識別名(distinguishedName)

例えば、ドメインがsample.example.com、OUがSAMPLE-OUの場合において、distinguishedNameの表記で記載する場合は、OU=SAMPLE-OU,DC=sample,DC=example,DC=com のような形式で表記されます。

distinguishedNameは、「サーバーマネージャ― > ツール > ADSIエディター」から対象のOUのプロパティからも確認することができます。

概要のところから、「確認して有効にする」を選択し、「構成を有効にする」をクリックし完了です。

4.動作確認

4-1.ID同期

少し待つと自動で、Entra 管理センターにユーザが作成されます。
同期されたユーザは、「オンプレミスの同期が有効」が「はい」になっています。
このとき、UPNとmail addressによるソフトマッチも正常に動作されていました。

グループに関しても同期されており、AD内のメンバーも反映されていました。

注意点
ADから同期されたユーザに関しては、Entra 管理センター上でのプロパティ編集が一部できなくなります。
例えば、表示名、姓、名、ユーザーの種類、ジョブ情報、連絡先情報などの編集ができなくなります。
編集をしようとする場合は、ADで編集して、Entra IDに同期させる必要があります。

4-2.同期NGの確認

また、意図時に、AD上にユーザを2つ作成し、同じmail addressを付与しました。
この場合は、Entra IDにユーザは同期されませんでした。ユーザの一意性を担保するために、UPNやmail addressなどがバッティングする状態では同期できないためです。

また、現実的にはID同期を開始する前、IdFixを利用した確認をします。
IdFixは、Github上にあるツールとなり、ID同期の事前確認をすることができます。

今回のケースでは、以下のような出力となっていました。
ERRORのところを確認すると、Duplicateとなっており、VALUEのところが重複しているという判定をしています。

5.おわりに

今回は、Microsoft Entra Connect クラウド同期に関して、取り上げてみました。
Entra Hybrid Joinedを利用しないのであれば、推奨パターンといえるかもしれませんね。