０. 目次

【今回の内容】

前回はAzure VMにActive Directory（AD DS）の役割を持たせて、オンプレミスのADと同じような働きをしてもらいました。

今回はAzure Active Directory（Azure AD）connectを用いて、オンプレミスのAD（今回は代替としてAzure VMで構築したAD）とAzure ADを同期させます。そうすることで、ユーザーは単一のIDで、オンプレミスとクラウドの両方のアプリケーションへのアクセス権を持つことが出来るようになります。

※今回の検証でのAzure ADは、このブログでいつもAzure portalを使用しているテナントとは異なる、office365テナントのものを使用しています。

AzureでのAzure ADはIDaaS（大まかにはSaaS）に分類されます。

IDaaS：　Identity as a Service

【前提事項】

１．Azure ADテナントにてクラウド専用のグローバル管理者アカウントを作成してあること。（今回はOffice 365を使用しています）

２．以下のAzure VMを構築し、Azure VM ADにドメイン参加していること。

・ADサーバー（今回はWindows Server 2019を用いました）

・クライアントPC（今回はWindows 10を用いました）

・Azure AD connectサーバー（今回はWindows Server 2019を用いました）

３．ドメイン レジストラーにてカスタムドメイン名（インターネットとDNSで参照できるドメイン名）を作成しておくこと。

※Azure ADに追加したカスタムドメイン名がオンプレミスのドメイン名と異なる場合、UPN（User Principal Name）をオンプレミスのADにて設定します。

（１）ADサーバーにて、＜A＞［スタートメニュー］をクリックします。　→　＜B＞［Windows管理ツール］をクリックします。　→　＜C＞［Active Directoryドメインと信頼関係］をクリックします。

（２）＜A＞［Active Directoryドメインと信頼関係］を右クリックします。　→　＜B＞［プロパティ］をクリックします。

（３）＜A＞［代わりのUPNサフィックス］を入力します。　→　＜B＞［追加］をクリックします。　→　＜C＞［OK］をクリックします。

※［代わりのUPNサフィックス］は、Azure AD側にて設定しているカスタムドメイン名です。

（４）＜A＞［スタートメニュー］をクリックします。　→　＜B＞［Windows管理ツール］をクリックします。　→　＜C＞［Active Directoryユーザーとコンピューター］をクリックします。

（５）＜A＞［User］をクリックします。　→　＜B＞［UPNを変更するユーザー］を右クリックします。　→　＜C＞［プロパティ］をクリックします。

※ADにユーザーを登録する方法は、目指せ！WSFC構築　第五章（最終章） ～WSFC構築　後編～２-１.ユーザーとグループの登録を参照してください。

（６）＜A＞上タブ［アカウント］をクリックします。　→　＜B＞展開します。　→　＜C＞先ほど設定した［UPNサフィックス］をクリックします。　→　＜D＞［OK］をクリックします。

これで、ADサーバーでのUPNサフィックスの変更は完了です。

※Azure AD Connectプロビジョニング エージェントをインストールするため、IEセキュリティを無効にしておきます。（後ほど再び有効に変更出来ます。）

（１）Azure AD Connect用サーバーのサーバーマネージャーを開きます。　→　＜A＞［ローカルサーバー］をクリックします。　→　＜B＞［有効］をクリックします。

（２）＜A＞［オフ］にチェックを入れます。　→　＜B＞［OK］をクリックします。

（３）＜A＞［Internet Explorer］をクリックします。　→　＜B＞アドレスバーに［https://www.microsoft.com/en-us/download/details.aspx?id=47594］と入力します。　→　Enterキーを押します。　→　＜C＞［Download］をクリックします。

（４）［実行］をクリックします。

※もしくは、［click here to download manually］をクリックします。

（５）＜A＞チェックを入れます。　→　＜B＞［続行］をクリックします。

（６）［カスタマイズ］をクリックします。

（７）［インストール］をクリックします。

※今回は検証のためチェックを入れておりませんが、必要に応じてチェックを入れてください。

（８）＜A＞デフォルトのままです。　→　＜B＞［次へ］をクリックします。

※パスワード ハッシュの同期：ユーザー パスワードは、パスワードハッシュとして Azure AD に同期され、認証はクラウドで行われます。Microsoft 365、SaaS アプリケーション、Azure ADベースのリソースへのユーザー サインインのみを有効にする場合に用います。

※パススルー認証：ユーザー パスワードはオンプレミスADにパススルーされて検証されます。クラウドに直接パスワードを保存したくない場合に用います。

（９）＜A＞［ユーザー名］［パスワード］を入力します。

※今回は、office365のグローバル管理者のユーザー名とパスワードを入力しました。

（１０）［ディレクトリの追加］をクリックします。

（１１）＜A＞デフォルトのままです。　→　＜B＞［ユーザー名］［パスワード］を入力します。　→　＜C＞［OK］をクリックします。

※エンタープライズ管理者アカウントの［ユーザー名］［パスワード］を入力します。［ユーザー名］は、「ユーザー名＠ドメイン名」または「ドメイン名￥ユーザー名」を入力します。今回は、Azure VM AD作成時のユーザー名とパスワードを入力しました。

（１２）［次へ］をクリックします。

（１３）＜A＞チェックを入れます。　→　＜B＞［次へ］をクリックします。

※今回は、Azure ADに追加したカスタムドメイン名とオンプレミスのドメイン名が異なる設定にしました。そうすると、オンプレミスのドメイン名がAzure ADに確認されていない状態となるためチェックを入れています。

（１４）デフォルトのままです。　→　［次へ］をクリックします。

※今回は検証のため、デフォルトのままとしています。状況に応じて変更してください。（以降のデフォルト設定も同様です）

（１５）デフォルトのままです。　→　［次へ］をクリックします。

（１６）デフォルトのままです。　→　［次へ］をクリックします。

（１７）デフォルトのままです。　→　［次へ］をクリックします。

（１８）［資格情報の入力］をクリックします。

（１９）＜A＞［ユーザー名］［パスワード］を入力します。　→　＜B＞［OK］をクリックします。

※［ユーザー名］は、「ドメイン名￥ユーザー名」を入力します。ADサーバー作成時のユーザー名とパスワードを入力します。

（２０）［次へ］をクリックします。

（２１）デフォルトのままです。　→　［インストール］をクリックします。

（２２）［終了］をクリックします。

これで、Azure AD Connectプロビジョニング エージェントのインストールは完了です。

（１）Azure AD Connect用サーバーにて、＜A＞［スタートメニュー］をクリックします。　→　＜B＞［Azure AD Connect］を展開します。　→　＜C＞［Azure AD Connect］をクリックします。

（２）［構成］をクリックします。

（３）＜A＞［デバイスオプションの構成］をクリックします。　→　＜B＞［次へ］をクリックします。

（４）［次へ］をクリックします。

（５）＜A＞［ユーザー名］［パスワード］を入力します。　→　＜B＞［次へ］をクリックします。

※Azure AD テナント全体管理者の［ユーザー名］［パスワード］を入力します。今回はM365のグローバル管理者のものを入力しました。

（６）＜A＞［ハイブリッドAzure AD参加の構成］を選択します。　→　＜B＞［次へ］をクリックします。

（７）＜A＞［Windows10以降のドメインに参加しているデバイス。］にチェックを入れます。　→　＜B＞［次へ］をクリックします。

※今回のクライアントPCはWindows10のためこちらにチェックを入れました。Windows11、Windows Server 2016（Ver.1803）、Windows Server 2019といった場合も、こちらにチェックを入れます。

（８）＜A＞チェックを入れます。　→　＜B＞［追加］をクリックします。

（９）＜A＞［ユーザー名］［パスワード］を入力します。　→　＜B＞［OK］をクリックします。

※エンタープライズ管理者アカウントの［ユーザー名］［パスワード］を入力します。［ユーザー名］は、「ドメイン名￥ユーザー名」を入力します。今回は、Azure VM AD作成時のユーザー名とパスワードを入力しました。

（１０）［構成］をクリックします。

（１１）［終了］をクリックします。

これで、ハイブリッド Azure AD joinの構成は完了です。

（１）Azure Active Directoryのブレードを開きます。　→　［Azure Active Directory］をクリックします。

※今回はMicrosoft365管理センターからAzure ADのブレードを開いています。

（２）［ユーザー］をクリックします。

（３）ADサーバーに登録したユーザーがAzure ADのユーザーとして表示されています。

（１）クライアントPCにRDP接続を行います。　→　＜A＞［別のアカウントを使用する］をクリックします。　→　＜B＞ADサーバーに登録している［ユーザー名］［パスワード］を入力します。→　＜C＞［OK］をクリックします。

※１　［ユーザー名］は、［ユーザー名＠カスタムドメイン名］または、［カスタムドメイン名ユーザー名］を入力します。

※２　ＡＤサーバー上のユーザーアカウントがリモートログインを許可されていない場合、ユーザーのRDP接続の許可を行うには…を参照してください。

（２）＜A＞［Microsoft Edge］をクリックします。　→　＜B＞アドレスバーに［https://portal.azure.com］と入力します。　→　Enterキーを押します。

（２）＜A＞［アカウント］を選択します。

※ハイブリッド Azure AD Joinのおかげで、 RDP接続時にサインイン（ドメイン参加済みデバイスへの Windowsサインイン）したユーザーは、AzureやM365へのパスワード入力が不要となります。

今回は、カスタムドメイン名で検証した画像ですが、RDP接続時にオンプレミスのドメイン名でサインインしても同様です。（Azureサインイン時に、アカウントをカスタムドメイン名で認識してくれます）

（３）ADサーバー上のユーザーでAzure portalにサインイン出来ました。

※office365にもサインインを試みました。

（４）＜A＞［Microsoft Edge］をクリックします。　→　＜B＞アドレスバーに［https://www.office.com］と入力します。　→　Enterキーを押します。

（５）［サインイン］をクリックします。

（６）※Azure Portalの時と同様に、ハイブリッド Azure AD Joinのおかげで、 RDP接続時にサインイン（ドメイン参加済みデバイスへの Windowsサインイン）したユーザーは、パスワードの入力が不要となります。

今回は、カスタムドメイン名で検証した画像ですが、RDP接続時にオンプレミスのドメイン名でサインインしても同様です。（Azureサインイン時に、アカウントをカスタムドメイン名で認識してくれます）

（７）ADサーバー上のユーザーでoffice365にサインイン出来ました。

1