Active DirectoryからMicrosoft Entra IDへの移行：ハイブリッドとクラウド専用の2つの進め方

要点： 移行の行き先は二つあります。ハイブリッドは、Active Directoryを残したまま、Microsoft Entra Connect SyncまたはMicrosoft Entra Cloud SyncでユーザーをMicrosoft Entra IDへ同期します。クラウド専用は、ユーザー、端末、アプリをEntra IDとIntuneへ移し、同期を止めます。中小企業の多くは、まずハイブリッドにし、Active Directoryに依存する最後のアプリがなくなってからクラウド専用へ進みます。新規に同期を組むなら、Connect Syncにしかない機能が必要な場合を除き、MicrosoftはCloud Syncを推奨しています。

この記事は、Active DirectoryドメインとMicrosoft 365を運用している情シス担当者とエンジニアに向けています。読み終えると、進め方を選び、事前チェックリストを一通り確認し、管理センターの正確なメニューに沿って手順を実行し、結果を確認できます。名称、バージョン、制限に関する事実は、2026年10月28日にMicrosoft Learnで確認しました。

最初に知っておくべき名称と状況

• Azure AD Connectは、現在Microsoft Entra Connect Syncです。Microsoftのページによると、Azure AD Connect V1は2022年8月31日に提供終了し、サポート対象外です。
• Microsoft Entra Cloud Syncは、クラウドで管理する代替手段です。ドメイン参加済みサーバーに軽量なエージェントを置き、設定はEntra ID側に保存されます。MicrosoftはこれをハイブリッドID同期の戦略的な方向性と位置づけ、新機能は主にCloud Syncで開発されると述べています。
• Connect Syncの必須アップグレード： Microsoftの前提条件のページによると、2027年4月7日までにConnect Syncをバージョン2.6.84.0以降へ更新し、アプリケーションベースの認証を構成する必要があります。満たさないと同期が止まります。Connect Syncのバージョンの提供終了、認証の変更、Cloud Syncへの移行は、それぞれ時期が異なる場合があるとMicrosoftが述べているため、自社テナントに届く通知も確認してください。

進め方を選ぶ

次のどれか一つに当てはまるなら、ハイブリッドを選びます。

1. サーバー、ファイル共有、プリンター、業務アプリが、まだKerberosやNTLMでActive Directoryに対して認証している。
2. Windows端末がまだドメインに参加していて、グループポリシーに頼っている。
3. 端末管理をすべてIntuneに移す準備ができていない。

次のすべてに当てはまるなら、クラウド専用を選びます。

1. ユーザーが主にMicrosoft 365や、Entra IDでサインインする他のアプリを使っている。
2. 新しい端末をMicrosoft Entra参加にでき、Intuneで管理できる。
3. 残っているオンプレのアプリは、移行できる、置き換えられる、またはMicrosoft Entra Domain Servicesを相手に動かせる。

Microsoftは、Microsoft Entraハイブリッド参加を、Microsoft Entra参加へ向かう道の途中の暫定的なステップと説明し、新しい端末はハイブリッド参加ではなくクラウドネイティブなEntra参加で展開するよう推奨しています。そのため、ハイブリッドのプロジェクトでも、最終形を見据えて計画してください。

移行前チェックリスト

1. Active Directoryに依存するものを洗い出す：LDAP、Kerberos、NTLMを使うアプリ、グループポリシー、ファイル共有、プリンター、RADIUS、VPN、サービスアカウント。
2. すべての端末を参加状態別に一覧にする：ドメイン参加、ハイブリッド参加、Entra参加、未参加。
3. ルーティング可能なドメインを確認する。ユーザーは検証済みのドメインでサインインします。オンプレのUPNサフィックスが検証済みドメインでない場合（例：.local）、Entra IDは同期したユーザーに、代わりにMailNickName@テナント.onmicrosoft.comというサインイン名を割り当てます。Active Directory Domains and Trustsでルーティング可能なサフィックスを追加し、Entra IDでそのドメインを検証してから、最初の同期の前にユーザーのUPNを更新します。
4. ディレクトリを整理する。同期の前に、MicrosoftのIdFixツールで、重複や書式エラーを見つけます。
5. Active Directoryのごみ箱を有効にする（Microsoftが推奨）。
6. ドメインコントローラーを確認する。使用するドメインコントローラーは書き込み可能であること（読み取り専用ドメインコントローラーは非対応）。ドットを含むNetBIOS名も非対応です。
7. クラウド専用の緊急用管理者を作る。オンプレのサービスが止まっても、テナントから締め出されないようにします。MicrosoftはCloud Syncについて、この手順が極めて重要だと述べています。
8. 同期サーバーを決める。ドメイン参加済みで（Microsoftの推奨はWindows Server 2025または2022）、Server Coreは不可です。Tier 0（コントロールプレーン）の資産として扱い、管理アクセスを制限し、NTLMを拒否し、特権アカウントにMFAを必須にします（Microsoft 365でMFAを有効にする方法を参照）。
9. オブジェクト数を確認し、パイロットを計画する。新しいテナントは既定で50,000オブジェクトまで、ドメインを検証すると300,000まで増えます。Connect Syncが既定で使うSQL Express LocalDB（10 GB）では約100,000オブジェクトを管理できます。テスト用ユーザーを数名入れたパイロット用のOUを選び、部門ごとに1名のテスターを置きます。
10. ライセンスを確認する。Connect HealthにはEntra ID P1が必要で、Autopilotによる自動的なIntune登録の構成にはEntra ID P1またはP2が必要です。Intuneのプラン選びはMicrosoft Intuneのプラン比較をご覧ください。
11. バックアップして記録する：現在のConnect Syncの設定を（ウィザードのView or Export Current Configurationで）エクスポートし、ファイルを安全に保管します。

進め方A：ハイブリッド（同期を使う）

Cloud SyncとConnect Syncの選び方

どちらも同じ観点で並べています。

Cloud Sync

• 向いている場合：新規に同期を構築する、単一障害点を避けたい、接続されていない複数のフォレストがある、サーバーの保守を減らしたい。
• 制限：1ドメインあたり最大150,000オブジェクト、グループは最大50,000メンバー、属性ベースのフィルターは限定的、高度な同期ルールなし、フォレスト間参照なし、デバイスのライトバックなし、パススルー認証とAD FSの設定は含まない（別途管理）。
• サーバー要件：ドメイン参加済みのWindows Server 2016以降（2022または2025を推奨）、メモリ4 GB以上、.NET 4.7.1以降、TLS 1.2、送信ポート80と443。

Connect Sync

• 向いている場合：独自の同期ルール、完全な属性ベースのフィルター、非常に大きなグループや規模、フォレスト間参照、またはMicrosoftがConnectだけの機能として挙げるものが必要。
• サーバー要件：ドメイン参加済みでフルGUIのWindows Server、.NET Framework 4.7.2以降（Microsoftの前提条件ページのバナーは4.7.2、本文は最低4.6.2としているため、4.7.2を用意してください）、TLS 1.2、グループ経由ではなく直接割り当てたハイブリッドID管理者またはグローバル管理者のアカウント。簡易設定を使う場合は、エンタープライズ管理者のアカウントも必要です。

Cloud Syncの設定（新規導入）

1. 少なくともハイブリッドID管理者として、Microsoft Entra管理センターにサインインします。
2. Entra ID > Entra Connect > Cloud sync > Agentsを開き、Download on-premises agentを選んで、使用条件に同意します。
3. 同期サーバーでインストーラーを実行します。ハイブリッドID管理者のアカウントでサインインし、Create gMSAを選んでドメイン管理者の資格情報を入力し、ドメインを追加して、Confirmを選びます。
4. Cloud syncでNew configuration > AD to Microsoft Entra ID syncを選び、ドメインを選択し、パスワードハッシュ同期を有効にするかを決めて、Createを選びます。
5. スコープフィルターでSelected organizational unitsを選び、パイロット用のOUだけを追加します。
6. Provision on demandで1人のユーザーをテストし、詳細な結果を読みます。
7. Enable configurationを選びます。Entra管理センターでユーザーを確認します。
8. 範囲を、より多くのOUへバッチで広げます。範囲を変えるたびにRestart syncを使います。

Connect Syncの設定（新規導入）

1. Microsoft Entra管理センターからインストーラーをダウンロードします（Microsoftは、そこでしか入手できないと述べています）。
2. ドメイン参加済みのサーバーにインストールし、簡易設定かカスタム設定を選びます。特定のサービスアカウント、SQL Server、フィルターが必要ならカスタムを使います。
3. まず、パイロット用のOUだけをフィルターします。
4. 次のコマンドでスケジューラーを確認し、実行します。同期ルールを変更する前にスケジューラーを無効にし、変更後に有効に戻します。コマンドが見つからない場合はImport-Module ADSyncを実行します。

Get-ADSyncScheduler
Set-ADSyncScheduler -SyncCycleEnabled $false
Set-ADSyncScheduler -SyncCycleEnabled $true
Start-ADSyncSyncCycle -PolicyType Delta

1. フィルターをバッチで広げ、バッチごとに差分サイクルを実行します。スタンバイとして、ステージングモードの2台目のサーバーを用意します。

すでにConnect Syncを運用している場合

Microsoftの推奨する順序は、決定ガイドを読み、ガイド付き移行ツールを試し、ツールが対応しない場合だけ文書化された手動のパイロットを使う、というものです。

1. アクティブなサーバーでConnect Syncのウィザードを開き、Configure、続いてTransition to Cloud Syncを選びます。
2. このツールは、対象となるテナントとインストールにだけ表示され、制限があります。対象はフォレスト1つ、スコープ内オブジェクト最大2,000、ドメインごとに含めるコンテナー最大30です。さらに、カスタム同期ルール、グループフィルター、カスタムUPN、ディレクトリ拡張、デバイス同期など、移行を妨げる機能がないことが条件です。
3. 準備状況の確認のあと、無効状態のCloud Sync構成を作成します。Provision on demandでテストしてから有効化します。有効化すると、Connect Syncはステージングモードになります。
4. ユーザー、グループ、メンバーシップ、ライトバックを手動で確認し、2週間の検証期間はConnect Syncをインストールしたままにして、そのあとアンインストールします。
5. ツールが合わない場合、Microsoftは手動の段階的なパイロット手順を文書化しています。参照の検証が終わるまでは、OUやグループをConnect Syncのスコープから外さないでください。グループのメンバーシップが外れることがあります。

進め方B：クラウド専用

1. Active Directoryへの新しい依存を作らない。新しいアプリはすべてEntra IDでサインインします。
2. 端末を移す。新しいWindows端末は、Windows AutopilotでEntra参加にしてIntuneに登録します。ドメイン参加済みやハイブリッド参加済みの既存端末は、Autopilot for existing devicesで再インストールして変換します（このシナリオにはMicrosoft Configuration Managerが必要です）。端末ポリシーの管理は、当社のIntune管理サービスをご覧ください。
3. ファイルと印刷のアクセスを移す。Entra参加の端末がオンプレのリソースへのシングルサインオンを維持できるのは、ドメインコントローラーに直接到達できるときだけです（社外ではVPNが必要）。可能なものはSharePointやOneDriveへ移します。
4. 残っている旧来のアプリに対処する。置き換えるか、LDAP、Kerberos、NTLMが必要なアプリの橋渡しとして、Microsoft Entra Domain Servicesを使います。
5. 何が動かなくなるかを把握する。Microsoftは、Active Directoryのマシン認証に依存するアプリは、Entra参加の端末では動作しないと述べています。これらの端末は、AD DSにコンピューターオブジェクトを持たないためです。 Kerberos、NTLM、マシン認証に依存するものがなくなれば、Active Directoryは不要です。依存するものが残るなら、それがなくなるまで小さなActive Directoryを残します。
6. 同期クライアントを外してから、同期をオフにする。Microsoftは、先にConnect SyncまたはCloud Syncをアンインストールするよう勧めています。そのあと次を実行します。

Connect-MgGraph -Scopes "Organization.ReadWrite.All,Directory.ReadWrite.All"
Get-MgOrganization | Select OnPremisesSyncEnabled
$organizationId = (Get-MgOrganization).Id
$params = @{ onPremisesSyncEnabled = $false }
Update-MgOrganization -OrganizationId $organizationId -BodyParameter $params
Get-MgOrganization | Select OnPremisesSyncEnabled

Microsoftは、実行後はディレクトリ同期を再びオンにするまで72時間待つ必要があること、オンプレのいくつかのプロパティ（オンプレのDistinguished NameやSAMアカウント名を含む）が消去されること、支援が必要ならサポートに連絡することを注意しています。必ず最後に、パイロットのあとで行い、トラブルシューティングの手段として使わないでください。

よくある失敗

• IdFixとUPNの確認を飛ばす。対策：重複やルーティング不可のサフィックスは、あとで同期エラーやサインイン障害を引き起こす。
• クラウド専用の緊急用管理者がいない。対策：ほかの何よりも先に作る。
• 同期サーバーを堅牢化していない。Entra ID上のユーザーを変更できてしまいます。対策：Tier 0として扱い、アクセスを制限し、NTLMを拒否し、管理者にMFAを必須にする。
• ソフトマッチを早く無効にしすぎる。既存のクラウドユーザーが一致しないことがあります。対策：一致の作業が終わるまで維持し、不要ならそのあとでソフトマッチとハードマッチの引き継ぎを無効にする。
• 切り替えを急ぎすぎる。オブジェクトを早くConnect Syncのスコープから外すとグループのメンバーシップが消えることがあり、切り替え直後にConnect Syncをアンインストールすると戻す手段を失います。対策：参照を先に検証し、検証期間は無効化したConnect Syncをインストールしたまま残す。

正しくできたかの確認

1. Cloud Syncでは、Entra ID > Entra Connect > Cloud sync > Agentsを開き、各エージェントがアクティブであることを確認します。サーバーで、サービスMicrosoft Azure AD Connect Agent UpdaterとMicrosoft Azure AD Connect Provisioning Agentが実行中であることを確認します。
2. パイロットOUのActive Directory上のユーザー数と、Entra IDに同期されている数を比べます。Microsoftのパイロットガイドは、オンプレ側でGet-ADUser -Filter * -SearchBase "OU=Pilot,DC=contoso,DC=com"（自社のパイロットOUに置き換えてください）を使っています。
3. パイロットOUにテストユーザーを作成し、Entra IDに現れることを確認します。属性を変更して、更新されることを確認します。
4. Connect Syncでは、Get-ADSyncSchedulerを実行し、同期が有効で、次のサイクルが予定されていることを確認します。
5. ドメイン参加済みの端末と、Entra参加の端末の両方から、テストユーザーでサインインします。MFA、ファイル共有、旧来のアプリ一つをテストします。クラウドでのサインインが主になったら、条件付きアクセスの基本ポリシーを追加します。
6. クラウド専用の手順のあとに、Get-MgOrganization | Select OnPremisesSyncEnabledを実行し、値がtrueでなくなったことを確認します。パイロットユーザーのパスワードリセット、メールボックスへのアクセス、サインインが引き続き動くことを確認します。

よくある質問

オンプレのActive DirectoryをMicrosoft Entra IDへ移行する手順を順に教えてください。

移行前チェックリストを順に確認し、パイロットOUでCloud SyncまたはConnect Syncを設定し、バッチで広げます。そのあと、ハイブリッドのままにするか、進め方Bでクラウド専用に進むかを決めます。

Azure AD ConnectとMicrosoft Entra Connectは同じものですか？

はい。Azure AD Connectは名称がMicrosoft Entra Connectに変わり、同期のコンポーネントはMicrosoft Entra Connect Syncです。バージョン1は2022年8月31日に提供終了しました。

Microsoft Entra ConnectとCloud Syncの違いは何ですか？

Connect Syncは、1台のオンプレサーバー上で動く完全な同期エンジンです。Cloud Syncはクラウドで管理され、軽量なエージェントを使いますが、規模、フィルター、ルールに制限があります。

Entra IDへ移行することは、Active DirectoryをAzureへ移すことと同じですか？

いいえ。Entra IDはクラウドのIDサービスであり、ドメインの複製ではありません。Microsoft Entra Domain Servicesは、LDAP、Kerberos、NTLM、ドメイン参加が必要な旧来のアプリ向けに、Azure上でMicrosoftが管理するドメインサービスを提供します。Microsoftは、移行期の機能であり、オンプレのActive Directoryの汎用的な代替でも同期ツールでもないと説明しています。

移行の計画と実行を、日々その作業をしているエンジニアに任せたい場合は、マネージドITクラウドサービスをご覧ください。