チュートリアル - Microsoft Entra Cloud Sync を使用して Active Directory Domain Services にグループをプロビジョニングする

このチュートリアルでは、グループをオンプレミスの Active Directory Domain Services (AD DS) に同期するように Cloud Sync を構成する方法について説明します。

Microsoft Entra ID を Active Directory Domain Services にプロビジョニングする - 前提条件

Active Directory Domain Services (AD DS) へのプロビジョニング グループを実装するには、次の前提条件が必要です。

ライセンスの要件

この機能を使用するには、Microsoft Entra ID P1 ライセンスが必要です。 要件に適したライセンスを見つけるには、「 Microsoft Entra ID の一般公開機能を比較する」を参照してください。

一般的な要件

• 少なくとも ハイブリッド ID 管理者 ロールを持つ Microsoft Entra アカウント。
• MsDS-ExternalDirectoryObjectId 属性を持つオンプレミスの AD DS スキーマ。Windows Server 2016 以降で使用できます。
• ビルド バージョン 1.1.3730.0 以降のプロビジョニング エージェント。

$credential = Get-Credential  

Set-AAD DSCloudSyncPermissions -PermissionType UserGroupCreateDelete -TargetDomain "FQDN of domain" -EACredential $credential

• プロビジョニング エージェントは、Windows Server 2022、Windows Server 2019、または Windows Server 2016 を実行するサーバーにインストールする必要があります。
• プロビジョニング エージェントで、ポート TCP/389 (LDAP) および TCP/3268 (グローバル カタログ) 上の 1 つ以上のドメイン コントローラーと通信できる必要があります。
  • 無効なメンバーシップ参照を除外するためには、グローバルカタログの検索が必要です
• Microsoft Entra Connect Sync のビルド バージョン2.22.8.0
  • Microsoft Entra Connect Sync を使用して同期されるオンプレミスのユーザー メンバーシップをサポートするために必要です
  • AD DS:user:objectGUIDをAAD DS:user:onPremisesObjectIdentifierに同期する必要があります。

Active Directory へのプロビジョニング グループのスケール制限

Active Directory へのグループ プロビジョニング機能のパフォーマンスは、テナントのサイズと、Active Directory へのプロビジョニングのスコープ内にあるグループとメンバーシップの数によって影響を受けます。 このセクションでは、GPAD がスケール要件をサポートしているかどうかを判断する方法と、初期および差分同期サイクルを迅速に実現するために適切なグループ スコープ モードを選択する方法について説明します。

サポートされていないもの

• 50,000 を超えるメンバーのグループはサポートされていません。
• 属性スコープのフィルター処理を適用しない "すべてのセキュリティ グループ" スコープの使用はサポートされていません。

スケールの制限

制限を超えた場合の操作

推奨される制限を超えると、初期同期と差分同期が遅くなり、同期エラーが発生する可能性があります。 その場合は、次の手順に従います。

[選択したセキュリティ グループ] スコープ モードのグループまたはグループ メンバーが多すぎます。

スコープ内グループの数を減らす (より高い値のグループをターゲットにする) 、またはプロビジョニングを複数の個別のジョブに分割し、 スコープを分離します。

"すべてのセキュリティ グループ" スコープ モードのグループまたはグループ メンバーが多すぎます。

推奨どおり、選択したセキュリティ グループのスコープ モードを使用します。

一部のグループのメンバーが 50,000 人を超えています。

複数のグループにメンバーシップを分割するか、段階的なグループ (リージョンや部署別など) を採用して、各グループを上限の下に維持します。

API を使用したグループの選択の拡張

999 を超えるグループを選択する必要がある場合は、サービス プリンシパル API 呼び出しに appRoleAssignment の付与を使用する 必要があります。

API 呼び出しの例を次に示します。

POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalID}/appRoleAssignedTo
Content-Type: application/json

{
  "principalId": "",
  "resourceId": "",
  "appRoleId": ""
}

どこで:

• principalId: グループ オブジェクト ID。
• resourceId: ジョブのサービス プリンシパル ID。
• appRoleId: リソース サービス プリンシパルによって公開されるアプリ ロールの識別子。

クラウドのアプリ ロール ID の一覧を次の表に示します。

詳細情報

AD DS にグループをプロビジョニングする際に考慮すべきその他のポイントを次に示します。

• Cloud Sync を使用して AD DS にプロビジョニングされたグループには、オンプレミスの同期されたユーザーまたはその他のクラウドで作成されたセキュリティ グループのみを含めることができます。
• これらのユーザーは、自分のアカウント に onPremisesObjectIdentifier 属性を設定する必要があります。
• onPremisesObjectIdentifier は、ターゲット AD DS 環境の対応する objectGUID と一致する必要があります。
• オンプレミス ユーザー objectGUID 属性は、いずれかの同期クライアントを使用して、クラウド ユーザー の onPremisesObjectIdentifier 属性に同期できます。
• Microsoft Entra ID から AD DS にプロビジョニングできるのは、グローバル Microsoft Entra ID テナントのみです。 B2C などのテナントはサポートされていません。
• グループ プロビジョニング ジョブは、20 分ごとに実行するようにスケジュールされています。

グループとユーザーの SOA シナリオ

前提条件

このチュートリアルでは、次のことを前提としています。

• AD DS オンプレミス環境がある

• ユーザーを Microsoft Entra ID に同期するようにクラウド同期が設定されている。

• 同期されるユーザーは、Britta Simon と Lola Jacobson の 2 人です。 これらのユーザーは、オンプレミスと Microsoft Entra ID に存在します。

• 組織単位 (OU) は、次の各部門の AD DS に作成されます。

  [表示名]	識別名
  グループ	OU=マーケティング,DC=contoso,DC=com
  Sales	OU=セールス、DC=contoso、DC=com
  Marketing	OU=グループ,DC=contoso,DC=com

クラウドネイティブまたはソース オブ オーソリティ (SOA) で変換されたセキュリティ グループにユーザーを追加する

同期されたユーザーを追加するには、次の手順に従います。

1. Microsoft Entra 管理センターに、少なくともハイブリッド ID 管理者としてサインインします。
2. Entra ID>Groups>All groups に移動します。
3. 上部の検索ボックスに「 Sales」と入力します。
4. 新しい Sales グループを選択します。
5. 左側の [メンバー] を選択 します。
6. 上部にある [メンバーの 追加] を選択します。
7. 上部の検索ボックスに「 Britta Simon」と入力します。
8. Britta Simon の横にチェックを入れて、[選択] を選択します。
9. ユーザーがグループに正常に追加されます。
10. 左端の [ すべてのグループ] を選択します。 Sales グループを使用してこのプロセスを繰り返し、そのグループに Lola Jacobson を追加します。

元の組織単位 (OU) パスへのプロビジョニング用に SOA 変換されたグループを準備する

Microsoft Entra ID からオンプレミスの Active Directory Domain Services (AD DS) の元の OU パスに戻すために、クラウドで管理されるように変換する予定のグループを準備するには、次の手順を実行します。

1. AD DS グループスコープをユニバーサルに変更します。
2. 特別なアプリケーションを作成します。
3. グループのディレクトリ拡張プロパティを作成します。

AD DS グループのグループ スコープをユニバーサルに変更する

1. Active Directory 管理センターを開きます。
2. グループを右クリックし、[ プロパティ] をクリックします。
3. [ グループ ] セクションで、グループ スコープとして [ユニバーサル ] を選択します。
4. [保存] をクリックします。

拡張機能を作成する

Cloud Sync では、 CloudSyncCustomExtensionsApp という特殊なアプリケーションで作成された拡張機能のみがサポートされます。 アプリがテナントに存在しない場合は、アプリを作成する必要があります。 この手順は、テナントごとに 1 回実行されます。

拡張機能を作成する方法の詳細については、「 クラウド同期ディレクトリ拡張機能とカスタム属性マッピング」を参照してください。

$clientId = $app.AppId
$propName = "extension_{0}_GroupDN" -f ($clientId -replace "-","")
$grp = Get-MgGroup -Filter "displayName eq 'My Security Group'" -ConsistencyLevel eventual
Get-MgGroup -GroupId $grp.Id -Property "id,displayName,$propName" |
  Select-Object id, displayName, @{n=$propName; e={$_."$propName"}}

GET /v1.0/groups/{id}?$select=displayName,extension_<appIdNoHyphens>_GroupDN

プロビジョニングの構成

プロビジョニングを構成するには、次の手順に従います。

1. Microsoft Entra 管理センターに、少なくともハイブリッド ID 管理者としてサインインします。

2. Entra ID>Entra Connect>Cloud 同期に移動します。

   Microsoft Entra Connect Cloud Sync のホームページを示すスクリーンショット。

3. [ 新しい構成] を選択します。

4. [Microsoft Entra ID から AD への同期] を選びます。

   

5. 構成画面で、ドメインとパスワード ハッシュ同期を有効にするかどうかを選択します。[ 作成] を選択します。

   

6. [ 作業の開始 ] 画面が開きます。 ここから、クラウド同期の構成を続行できます。

7. 左側で、 スコープ フィルターを選択します。

8. [グループ スコープ] で、[選択したセキュリティ グループ] を選択します。

   

9. OU を設定するには、次の 2 つの方法があります。

   • カスタム式を使用して、グループが同じ OU で再作成されるようにすることができます。 ParentDistinguishedName 値には、次の式を使用します。

     IIF(
         IsPresent([extension_<AppIdWithoutHyphens>_GroupDistinguishedName]),
         Replace(
             Mid(
                 Mid(
                     Replace([extension_<AppIdWithoutHyphens> _GroupDistinguishedName], "\,", , , "\2C", , ),
                     Instr(Replace([extension_<AppIdWithoutHyphens> _GroupDistinguishedName], "\,", , , "\2C", , ), ",", , ),
                     9999
                 ),
                 2,
                 9999
             ),
             "\2C", , , ",", ,
         ),
     "<Existing ParentDistinguishedName>",
     )
     

     この式は次のとおりです。

     • 拡張機能が空の場合は、既定の OU を使用します。
     • それ以外の場合は、CN 部分を削除し、parentDN パスを保持し、エスケープされたコンマを再び処理します。

     この変更により、完全同期が発生し、既存のグループには影響しません。 Microsoft Graph を使用して既存のグループの GroupDN 属性を設定し、元の OU に戻っていることを確認します。

   • オンプレミスの元の OU パスと CN 情報を保持しない場合は、[ ターゲット コンテナー] で [ 属性マッピングの編集] を選択します。

     1. [マッピングの種類] を [式] に変更します。

     2. 式ボックスに、次のように入力します。

        Switch([displayName],"OU=Groups,DC=contoso,DC=com","Marketing","OU=Marketing,DC=contoso,DC=com","Sales","OU=Sales,DC=contoso,DC=com")

     3. 既定値をOU=Groups,DC=contoso,DC=comに変更します。

        

     4. を選択してを適用します。 ターゲット コンテナーは、グループ displayName 属性に応じて変更されます。

10. カスタム式を使用して、グループが同じ CN で再作成されるようにすることができます。 CN 値には次の式を使用します。

    IIF(
        IsPresent([extension_<AppIdWithoutHyphens>_GroupDistinguishedName]),
        Replace(
            Replace(
                Replace(
                    Word(Replace([extension_<AppIdWithoutHyphens> _GroupDistinguishedName], "\,", , , "\2C", , ), 1, ","),
                    "CN=", , , "", ,
                ),
                "cn=", , , "", ,
            ),
            "\2C", , , ",", ,
        ),
    Append(Append(Left(Trim([displayName]), 51), "_"), Mid([objectId], 25, 12)),
    )
    

    この式は次のとおりです。

    • 拡張機能が空の場合は、DisplayName + ObjectId からフォールバック CN を生成します。
    • それ以外の場合は CN を抽出し、エスケープされたコンマを一時的に 16 進値に置き換えて処理します。

11. 保存 を選択します。

12. 左側の [ 概要] を選択します。

13. 上部にある [ 確認して有効にする] を選択します。

14. 右側の [構成を 有効にする] を選択します。

テスト構成

1. Microsoft Entra 管理センターに、少なくともハイブリッド ID 管理者としてサインインします。

2. Entra ID>Entra Connect>Cloud 同期に移動します。

   Microsoft Entra Connect Cloud Sync のホームページを示すスクリーンショット。

3. [ 構成] で、構成を選択します。

4. 左側でオンデマンドプロビジョニングを選択します。

5. [選択したグループ] ボックスに「Sales」と入力します。

6. [ 選択したユーザー ] セクションで、テストする一部のユーザーを選択します。

   

7. プロビジョン を選択します。

8. プロビジョニングされたグループが表示されます。

AD DS で確認する

グループが AD DS にプロビジョニングされていることを確認するには、次の手順に従います。

1. オンプレミス環境にサインインします。

2. Active Directory ユーザーとコンピューターを起動します。

3. 新しいグループがプロビジョニングされていることを確認します。

   

SOA 変換されたオブジェクトに対する AD DS へのグループ プロビジョニングの動作

オンプレミス グループの機関ソース (SOA) をクラウドに変換すると、そのグループは AD DS へのグループ プロビジョニングの対象になります。

たとえば、次の図では、SOA または SOATestGroup1 がクラウドに変換されます。 その結果、AD DS へのグループ プロビジョニングのジョブ スコープで使用できるようになります。

• ジョブが実行されると、 SOATestGroup1 が正常にプロビジョニングされます。

• プロビジョニング ログでは、SOATestGroup1 を検索し、グループがプロビジョニングされたことを確認できます。

  

• 詳細は、 SOATestGroup1 が既存のターゲット グループと一致したことを示しています。

  

• ターゲット グループの adminDescription と cn が更新されていることを確認することもできます。

  

• AD DS を見ると、元のグループが更新されていることがわかります。

  

  

クラウドでは、変換された SOA オブジェクトのプロビジョニングが Microsoft Entra ID にスキップされます

SOA をクラウドに変換した後に AD DS でグループの属性を編集しようとすると、Cloud Sync はプロビジョニング中にオブジェクトをスキップします。

たとえば、 グループ SOAGroup3 があり、そのグループ名を SOA Group3.1 に更新するとします。

プロビジョニング ログで、SOAGroup3 がスキップされたことを確認できます。

詳細では、SOA がクラウドに変換されるため、オブジェクトが同期されていないことが説明されています。

入れ子になったグループとメンバーシップ参照の処理

次の表では、さまざまなユース ケースで SOA を変換した後に、プロビジョニングがメンバーシップ参照を処理する方法について説明します。

SOA 変換されたグループをロールバックした後の AD DS へのグループ プロビジョニングの動作

スコープ内に SOA 変換されたグループがあり、SOA 変換されたグループをロールバックして AD DS が所有している場合、AD DS へのグループ プロビジョニングは変更の同期を停止しますが、オンプレミス グループは削除されません。 また、構成スコープからグループを削除します。 グループのオンプレミス制御は、次の同期サイクルで再開されます。

• このオブジェクトはオンプレミスで管理されているため、同期が行われないことを監査ログで確認できます。

  

  AD DS で、グループがまだそのままであり、削除されていないことを確認することもできます。

  

次のステップ

• Microsoft Entra Cloud Sync を使用したグループ の書き戻し
• Microsoft Entra ID ガバナンスを使用してオンプレミスの AD DS ベースのアプリ (Kerberos) を管理する
• Microsoft Entra Connect Sync グループ ライトバック V2 を Microsoft Entra Cloud Sync に移行する