ユーザー駆動型Microsoft Entra ハイブリッド結合: Active Directory 用のIntune コネクタをインストールする

開始する前に

• インストールする前に、Active Directory サーバーのIntune コネクタの要件がすべて満たされていることを確認します。

• Intune Connector for Active Directory のインストールと構成を行う管理者には、Active Directory の要件に関する Intune コネクタに記載されているドメイン権限があることを推奨しています (必須ではありません)。 これらの権限を使用すると、Active Directory インストーラーと構成プロセス用のIntune コネクタが、コンピューター コンテナーまたはコンピューター オブジェクトが作成される OU 上のマネージド サービス アカウント (MSA) のアクセス許可を設定できます。

  管理者にこれらのアクセス許可がない場合、適切な権限を持つ別の管理者は、 組織単位 (OU) でコンピューター アカウントの制限を増やす必要があります。

インターネット エクスプローラーセキュリティ強化構成をオフにする

バージョン 6.2504.2001.8 以降では、更新された Intune Connector for Active Directory が、Microsoft インターネット エクスプローラー上に構築された WebBrowser ではなく、Microsoft Edge 上に構築された WebView2 を使用するように切り替えました。 この変更は、Windows Serverの [インターネット エクスプローラーセキュリティ強化構成] 設定をオフにする必要がなくなったことを意味します。 インターネット エクスプローラーセキュリティ強化構成設定の問題を回避するには、Intune コネクタ for Active Directory のバージョン 6.2504.2001.8 以降をインストールしてください。

Active Directory 用のIntune コネクタをダウンロードする

1. Intune Connector for Active Directory がインストールされているサーバーで、Microsoft Intune管理センターにサインインします。

2. [ホーム] 画面で、左側のウィンドウで [デバイス] を選択します。

3. デバイス |[概要] 画面の [プラットフォーム別] で [Windows] を選択します。

4. Windows で |[Windows デバイス ] 画面の [ デバイス オンボード] で、[登録] を選択 します。

5. Windows で |Windows 登録画面の [Windows Autopilot] で、[Intune コネクタ for Active Directory] を選択します。

6. [Intune コネクタ for Active Directory] 画面で、[追加] を選択します。

7. 開いた [コネクタの追加] ウィンドウの [Intune コネクタの構成] で、[Active Directory 用のオンプレミス Intune コネクタのダウンロード] を選択します。 リンクは、 ODJConnectorBootstrapper.exeというファイルをダウンロードします。

Active Directory 用Intune コネクタをサーバーにインストールする

1. ローカル管理者権限を持つアカウントを使用して、Intune Connector for Active Directory がインストールされているサーバーにサインインします。

2. 以前のレガシ Intune Connector for Active Directory がインストールされている場合は、更新された Intune Connector for Active Directory をインストールする前にアンインストールします。 詳細については、「Active Directory 用のIntune コネクタをアンインストールする」を参照してください。

   重要

   以前のレガシ Intune Connector for Active Directory をアンインストールする場合は、アンインストール プロセスの一環としてレガシ Intune Connector for Active Directory インストーラーを実行してください。 従来の Intune Connector for Active Directory インストーラーで、実行時にアンインストールするように求めるメッセージが表示された場合は、それを選択してアンインストールします。 この手順により、以前のレガシ Intune Connector for Active Directory が完全にアンインストールされます。 従来の Intune Connector for Active Directory インストーラーは、Intune Connector for Active Directory からダウンロードできます。

   ヒント

   Active Directory 用の Intune コネクタが 1 つだけのドメインでは、最初に更新された Intune Connector for Active Directory を別のサーバーにインストールすることをお勧めします。 更新された Intune Connector for Active Directory を別のサーバーにインストールしてから、現在のサーバーでレガシ Intune Connector for Active Directory をアンインストールする必要があります。 Intune コネクタ for Active Directory を別のサーバーにインストールすると、現在のサーバーで Intune Connector for Active Directory が更新されている間、ダウンタイムが回避されます。

3. ダウンロードしたODJConnectorBootstrapper.exe ファイルを開き、Intune コネクタ for Active Directory セットアップ インストールを起動します。

4. Intune コネクタ for Active Directory セットアップ インストールの手順を実行します。

5. インストールの最後に、[Active Directory のコネクタIntune起動] チェック ボックスをオンにします。

   注:

   [Intune コネクタ for Active Directory の起動] チェック ボックスをオンにせずに Active Directory セットアップ用コネクタIntuneインストールが誤って閉じられた場合は、[Active Directory用コネクタ] Intune を選択してIntune コネクタを再度開くことができます>Intune[スタート] メニューから Active Directory 用コネクタ。

Active Directory 用のIntune コネクタにサインインする

1. [Intune コネクタ for Active Directory] ウィンドウの [登録] タブで、[サインイン] を選択します。

2. [サインイン] タブで、Intune管理者ロールのMicrosoft Entra ID資格情報でサインインします。 ユーザー アカウントに Intune ライセンスが割り当てられている必要があります。 サインイン プロセスが完了するまでに数分かかる場合があります。

   注:

   Intune Connector for Active Directory の登録に使用されるアカウントは、インストール時の一時的な要件にすぎません。 このアカウントは、サーバーが登録された後は使用されません。

3. サインイン プロセスが完了したら、次の手順を実行します。

   1. [Intune コネクタ for Active Directory が正常に登録されました] 確認ウィンドウが表示されます。 [ OK] を選択 してウィンドウを閉じます。
   2. "<" という名前のマネージド サービス アカウントMSA_name>"が正常に設定されました 確認ウィンドウが表示されます。 MSA の名前は、#####が 5 文字のランダム文字であるmsaODJ#####形式です。 作成された MSA の名前を書き込み、[ OK] を 選択してウィンドウを閉じます。 MSA の名前は、後で、コンピューター オブジェクトを OU に作成できるように MSA を構成するために必要になる場合があります。

4. [登録] タブには、Active Directory 用コネクタが登録Intuneが表示されます。 [サインイン] ボタンが灰色表示され、[マネージド サービス アカウントの構成] が有効になっています。

5. [Intune コネクタ for Active Directory] ウィンドウを閉じます。

Active Directory 用のIntune コネクタがアクティブであることを確認する

認証後、Active Directory 用のIntune コネクタのインストールが完了します。 インストールが完了したら、次の手順に従って、Intuneでアクティブであることを確認します。

1. まだ開いている場合は、Microsoft Intune管理センターに移動します。 [コネクタの追加] ウィンドウがまだ表示されている場合は、閉じます。

   Microsoft Intune管理センターがまだ開いていない場合:

   1. Microsoft Intune 管理センターにサインインします。

   2. [ホーム] 画面で、左側のウィンドウで [デバイス] を選択します。

   3. デバイス |[概要] 画面の [プラットフォーム別] で [Windows] を選択します。

   4. Windows で |[Windows デバイス ] 画面の [ デバイス オンボード] で、[登録] を選択 します。

   5. Windows で |Windows 登録画面の [Windows Autopilot] で、[Intune コネクタ for Active Directory] を選択します。

2. [Intune コネクタ for Active Directory] ページで、次の手順を実行します。

   • [コネクタ名] にサーバーが表示され、[状態] に [アクティブ] と表示されていることを確認します
   • Active Directory 用の更新されたIntune コネクタのバージョンが 6.2501.2000.5 以上であることを確認します。

   サーバーが表示されない場合は、[更新] を選択するか、ページから移動し、[Intune コネクタ for Active Directory] ページに戻ります。

Active Directory 用のIntune コネクタがインストールされると、アプリケーションとサービス のログ>Microsoft>Intune>ODJConnectorService のパスの下にあるイベント ビューアーのログインが開始されます。 このパスの下には、管理ログと運用ログがあります。

OU でのオブジェクトの作成を許可するように MSA を構成する (省略可能)

既定では、MSA は Computers コンテナーにコンピューター オブジェクトを作成するためのみアクセスできます。 MSA には、組織単位 (OU) でコンピューター オブジェクトを作成するためのアクセス権がありません。 MSA が OU でオブジェクトを作成できるようにするには、INTUNE コネクタ for Active Directory がインストールされたディレクトリODJConnectorEnrollmentWizardディレクトリにある ODJConnectorEnrollmentWizard.exe.config XML ファイルに OU を追加する必要があります (通常はC:\Program Files\Microsoft Intune\ODJConnector\)。

OU でのオブジェクトの作成を許可するように MSA を構成するには、次の手順に従います。

1. Intune Connector for Active Directory がインストールされているサーバーで、Intune Connector for Active Directory がインストールされている ODJConnectorEnrollmentWizard ディレクトリ (通常はC:\Program Files\Microsoft Intune\ODJConnector\) に移動します。

2. ODJConnectorEnrollmentWizard ディレクトリで、テキスト エディターで既存の ODJConnectorEnrollmentWizard.exe.config XML ファイル (メモ帳など) を開きます。

3. ODJConnectorEnrollmentWizard.exe.config XML ファイルの add key 要素で、

   • value=の横に、MSA がコンピューター オブジェクトを作成するためのアクセス権を持つ必要がある任意の OU を追加します。
   • OU 名は LDAP 識別名 形式である必要があり、該当する場合はエスケープする必要があります。
   • 複数の OU をサポートするには、各 OU をセミコロン (;)で区切ります。
   • value=の横にある引用符 (") を必ず保持してください。 すべての OU 値は、1 組の引用符内にある必要があります。
   • OrganizationalUnitsUsedForOfflineDomainJoinキー要素の名前は変更しないでください。

   次の例は、LDAP 識別名形式の複数の OU を含む XML エントリの例です。

     <appSettings>
   
       <!-- Semicolon separated list of OUs that will be used for Hybrid Autopilot, using LDAP distinguished name format.
           The ODJ Connector will only have permission to create computer objects in these OUs.
           The value here should be the same as the value in the Hybrid Autopilot configuration profile in the Azure portal - https://learn.microsoft.com/en-us/mem/intune/configuration/domain-join-configure
   
           Usage example (NOTE: PLEASE ENSURE THAT THE DISTINGUISHED NAME IS ESCAPED PROPERLY):
           Domain contains the following OUs:
             - OU=HybridDevices,DC=contoso,DC=com
             - OU=HybridDevices2,OU=IntermediateOU,OU=TopLevelOU,DC=contoso,DC=com
   
           Value: "OU=HybridDevices,DC=contoso,DC=com;OU=HybridDevices2,OU=IntermediateOU,OU=TopLevelOU,DC=contoso,DC=com" -->
   
       <add key="OrganizationalUnitsUsedForOfflineDomainJoin" value="OU=SubOU,OU=TopLevelOU,DC=contoso,DC=com;OU=Mine,DC=contoso,DC=com" />
     </appSettings>
   

   ヒント

   この例では、value= の横にある例の赤いテキストを、LDAP 識別名形式のorganizationの OU に置き換えます。 例に示すように、すべての OU エントリが引用符 (") 内にあり、各 OU がセミコロン (;) で区切られているか確認します。

4. 必要なすべての OU が追加されたら、 ODJConnectorEnrollmentWizard.exe.config XML ファイルを保存します。

5. OU のアクセス許可を変更するための適切なアクセス許可を持つ管理者は、[スタート] メニューから [Intune コネクタ for Active Directory>Intune Connector for Active Directory に移動して、Intune コネクタ for Active Directory を開きます。

   重要

   Active Directory 用Intune コネクタをインストールして構成する管理者に OU アクセス許可を変更するアクセス許可がない場合は、セクション/手順「組織単位のコンピューター アカウントの制限を増やす」に従う必要があります。代わりに、OU のアクセス許可を変更するアクセス許可を持つ管理者が従う必要があります。

6. [Intune コネクタ for Active Directory] ウィンドウの [登録] タブで、[マネージド サービス アカウントの構成] を選択します。

7. "<MSA_name>" という名前のマネージド サービス アカウントが正常に設定された確認ウィンドウが表示されます。 [ OK] を選択 してウィンドウを閉じます。

カスタムのマネージド サービス アカウントを使用する (省略可能)

必要に応じて、コネクタによって自動的に設定される MSA ではなく、独自のマネージド サービス アカウントを使用するようにコネクタを構成できます。

MSA 要件

このセクションでは、MSA の要件について説明します。

• 指定されたアカウントは、Active Directory で次のいずれかのオブジェクト カテゴリを持つサービス アカウントである必要があります。

  • CN=ms-DS-Group-Managed-Service-Account,CN=Schema,CN=Configuration,DC=contoso,DC=com

  • CN=ms-DS-Managed-Service-Account,CN=Schema,CN=Configuration,DC=contoso,DC=com

• サービス アカウントの構成値は、次の形式である必要があります。 <msaAccountName@domain>

• サービス アカウントは、ODJ コネクタのサーバーと同じドメインに存在する必要があります。

• サービス アカウントは、ODJ コネクタをホストしているサーバーにインストールする必要があります。 詳細については、「 Install-ADServiceAccount」を参照してください。

  • sMSA を使用している場合、アカウントは 1 台のマシンにのみリンクできます。
  • gMSA を使用している場合は、gMSA をインストールするサーバーがパスワードにアクセスできる必要があります。

• サービス アカウントには、直接またはグループ メンバーシップを使用して設定できる ローカル の [サービスとしてのログオン ] アクセス許可が必要です。 詳細については、「 サービス ログオンを有効にする」を参照してください。

• ハイブリッド Autopilot フローのコンピューター オブジェクトを作成するには、サービス アカウントに対して手動でアクセス許可を付与する必要があります。 詳細については、「 組織単位 (OU) でコンピューター アカウントの制限を増やす」を参照してください。

設定方法

ODJConnectorEnrollmentWizard.exe.configを更新します。 既定の場所は C:\Program Files\Microsoft Intune\ODJConnector\ODJConnectorEnrollmentWizard。

1. ファイルの appSettings セクション で、次の行を追加します。 <add key="TenantConfiguredManagedServiceAccount" value="{accountname}" />
2. コネクタにサインインします。

OU の更新を無効にする

独自の MSA を使用すると、OrganizationUnitsUsedForOfflineDomainJoin で構成されているに関係なく、コネクタが OU 更新を行うことを無効にします。 エラーを回避するには、 ODJConnectorEnrollmentWizard.exe.configを更新して OU の更新を無効にします。 既定の場所は C:\Program Files\Microsoft Intune\ODJConnector\ODJConnectorEnrollmentWizard。

1. ファイルの appSettings セクション で、次の行を追加します。 <add key="DisableOUUpdates" value="true" />
2. コネクタにサインインします。

インストールを開始する前に、Active Directory サーバーのIntune コネクタの要件がすべて満たされていることを確認します。

Internet Explorer セキュリティ強化の構成を無効にする

Windows Server では既定で、Internet Explorer セキュリティ強化の構成がオンになっています。 インターネット エクスプローラーセキュリティ強化構成により、Intune コネクタ for Active Directory へのサインインに問題が発生する可能性があります。 インターネット エクスプローラーは非推奨であり、ほとんどの場合、Windows Serverにもインストールされていないため、Microsoft はインターネット エクスプローラーセキュリティ強化構成をオフにすることをお勧めします。 インターネット エクスプローラー拡張セキュリティ構成をオフにするには:

1. ローカル管理者権限とドメイン管理者権限を持つアカウントを使用して、Intune Connector for Active Directory がインストールされているサーバーにサインインします。 Intune Connector for Active Directory インストーラーが MSA を適切に作成できるように、ドメイン管理者権限が必要です。

2. サーバー マネージャーを開きます。

3. サーバー マネージャーの左側のウィンドウで、[ローカル サーバー] を選択します。

4. サーバー マネージャーの右側の [プロパティ] ウィンドウで、[IE セキュリティ強化構成] の横にある [オン] または [オフ] リンクを選択します。

5. [Internet エクスプローラー Enhanced Security Configuration]\(インターネット エクスプローラーセキュリティ強化構成\) ウィンドウで、[Administrators:]\(管理者:\) の下の [オフ] を選択し、[OK] を選択します。

従来の Intune Connector for Active Directory をサーバーにインストールする

1. 以前にダウンロードした ODJConnectorBootstrapper.exe ファイルを開き、Intune コネクタ for Active Directory セットアップ インストールを起動します。

   注:

   従来の Intune Connector for Active Directory が既にインストールされている場合は、[スタート] メニューの [>Intune Connector for Active Directory>Intune Connector for Active Directory に移動し、[Active Directory 用レガシ Intune コネクタにサインインする] に進みます。

2. [Intune コネクタ for Active Directory セットアップ インストーラー] ウィンドウで、[ライセンスの使用条件に同意する] を選択し、[インストール] を選択します。

   注:

   既定の C:\Program Files\Microsoft Intune\ODJConnector 以外のインストール場所が必要な場合は、[オプション] を選択し、目的のインストール場所を指定します。

3. インストールが完了したら、[Intune コネクタ for Active Directory セットアップ インストーラー] ウィンドウで [今すぐ構成] を選択します。

   注:

   [閉じる] が誤って選択されている場合、または [Active Directory 用コネクタのIntune コネクタ] インストーラー ウィンドウが誤って閉じられた場合は、[スタート] メニューから Intune [Active Directory 用コネクタ>Intune コネクタIntune選択することで、Active Directory 用コネクタの構成にアクセスできます。

レガシ Intune コネクタにサインインする

1. [Intune コネクタ for Active Directory] ウィンドウの [登録] タブで、[サインイン] を選択します。

2. [サインイン] タブで、Intune管理者ロールの資格情報でサインインします。 ユーザー アカウントに Intune ライセンスが割り当てられている必要があります。 サインイン プロセスが完了するまでに数分かかる場合があります。

   注:

   Intune Connector for Active Directory の登録に使用されるアカウントは、インストール時の一時的な要件にすぎません。 このアカウントは、サーバーが登録された後は使用されません。

3. サインイン プロセスが完了すると、[Active Directory の Intune コネクタが正常に登録された] 確認ウィンドウが表示されます。 [ OK] を選択 してウィンドウを閉じます。

4. [登録] タブには、Active Directory 用コネクタIntuneが登録され、[サインイン] ボタンが灰色で表示されます。

5. [Intune コネクタ for Active Directory] ウィンドウを閉じます。

Active Directory 用のレガシ Intune コネクタがアクティブであることを確認する

認証後、Active Directory 用のIntune コネクタのインストールが完了します。 インストールが完了したら、次の手順に従って、Intuneでアクティブであることを確認します。

1. まだ開いている場合は、Microsoft Intune管理センターに移動します。 [コネクタの追加] ウィンドウがまだ表示されている場合は、閉じます。

   Microsoft Intune管理センターがまだ開いていない場合:

   1. Microsoft Intune 管理センターにサインインします。

   2. [ホーム] 画面で、左側のウィンドウで [デバイス] を選択します。

   3. デバイス |[概要] 画面の [プラットフォーム別] で [Windows] を選択します。

   4. Windows で |[Windows デバイス ] 画面の [ デバイス オンボード] で、[登録] を選択 します。

   5. Windows で |Windows 登録画面の [Windows Autopilot] で、[Intune コネクタ for Active Directory] を選択します。

2. [Intune コネクタ for Active Directory] ページで、[コネクタ名] にサーバーが表示され、[状態] に [アクティブ] と表示されていることを確認します。 サーバーが表示されない場合は、[更新] を選択するか、ページから移動し、[Intune コネクタ for Active Directory] ページに戻ります。

Active Directory 用のIntune コネクタがインストールされると、アプリケーションとサービス のログ>Microsoft>Intune>ODJConnectorService のパスの下にあるイベント ビューアーのログインが開始されます。 このパスの下には、管理ログと運用ログがあります。