Microsoft Entra Connect Sync サービスの機能

Microsoft Entra Connect の同期機能には 2 つのコンポーネントがあります。

• Microsoft Entra Connect Sync という名前のオンプレミスのコンポーネント (同期エンジンとも呼ばれます)。
• Microsoft Entra ID に存在するサービス (Microsoft Entra Connect Sync サービスとも呼ばれます)。

このトピックでは、Microsoft Entra Connect Sync サービスの以下の機能のしくみと、Windows PowerShell を使用してそれらを構成する方法について説明します。

Graph PowerShell を使用して Microsoft Entra ディレクトリの構成を確認するには、次のコマンドを使用します。

Connect-MgGraph -Scopes "OnPremDirectorySynchronization.Read.All"

Get-MgDirectoryOnPremiseSynchronization | Select-Object -ExpandProperty Features | Format-List

結果は次のような出力になります。

BlockCloudObjectTakeoverThroughHardMatchEnabled  : False
BlockSoftMatchEnabled                            : False
BypassDirSyncOverridesEnabled                    : False
CloudPasswordPolicyForPasswordSyncedUsersEnabled : False
ConcurrentCredentialUpdateEnabled                : False
ConcurrentOrgIdProvisioningEnabled               : False
DeviceWritebackEnabled                           : False
DirectoryExtensionsEnabled                       : True
FopeConflictResolutionEnabled                    : False
GroupWriteBackEnabled                            : False
PasswordSyncEnabled                              : True
PasswordWritebackEnabled                         : False
QuarantineUponProxyAddressesConflictEnabled      : False
QuarantineUponUpnConflictEnabled                 : False
SoftMatchOnUpnEnabled                            : True
SynchronizeUpnForManagedUsersEnabled             : False
UnifiedGroupWritebackEnabled                     : True
UserForcePasswordChangeOnLogonEnabled            : False
UserWritebackEnabled                             : True
AdditionalProperties                             : {}

Microsoft Entra Connect では、以下の設定が構成されます。

重複属性の回復性

UPN や proxyAddress が重複している場合、そのオブジェクトのプロビジョニングが失敗するのではなく、重複している属性を検疫状態にし、一時的な値を割り当てます。 競合が解決されると、一時的な UPN は自動的に適切な値に変更されます。 詳細については、「ID 同期と重複属性の回復性」をご覧ください。

UserPrincipalName のあいまい一致

この機能を有効にすると、プライマリ SMTP アドレスに加えて UPN にもあいまい一致が有効になります。プライマリ SMTP アドレスでは、あいまい一致が常に有効になっています。 あいまい一致は、Microsoft Entra ID 内の既存のクラウド ユーザーをオンプレミスのユーザーと照合するために使用されます。

オンプレミスの AD アカウントを、クラウドで作成された既存のアカウントと照合する必要がある場合で、Exchange Online を使用していない場合に、この機能は役立ちます。 このような状況では、通常、クラウドで SMTP 属性を設定する理由がありません。

新たに作成される Microsoft Entra ディレクトリでは、この機能が既定で有効になっています。 この機能が有効になっているかどうかを確認するには、次のコマンドレットを実行します。

Connect-MgGraph -Scopes "OnPremDirectorySynchronization.Read.All"

$DirectorySync = Get-MgDirectoryOnPremiseSynchronization
$DirectorySync.Features.SoftMatchOnUpnEnabled

この機能が Microsoft Entra ディレクトリに対して有効になっていない場合は、次のコマンドレットを実行して有効にすることができます。

Connect-MgGraph -Scopes "OnPremDirectorySynchronization.ReadWrite.All"

$SoftMatchOnUpn = @{ SoftMatchOnUpnEnabled = "true" }
Update-MgDirectoryOnPremiseSynchronization -Features $SoftMatchOnUpn `
   -OnPremisesDirectorySynchronizationId $DirectorySync.Id

BlockSoftMatch

この機能が有効になっていると、あいまい一致機能はブロックされます。 お客様は、この機能を有効にし、テナントにソフト一致機能が再度必要になるまでは有効にしたままにすることをお勧めします。 このフラグは、ソフト一致が完了し、不要になった後で、再度有効にする必要があります。

例 - テナント内でのあいまい一致のブロック:

Connect-MgGraph -Scopes "OnPremDirectorySynchronization.ReadWrite.All"

$SoftBlock = @{ BlockSoftMatchEnabled = "true" }
Update-MgDirectoryOnPremiseSynchronization -Features $SoftBlock `
   -OnPremisesDirectorySynchronizationId $DirectorySync.Id

userPrincipalName の更新の同期

これまで、次の 2 つの条件が両方とも当てはまらない限り、オンプレミスから同期サービスを使用して UserPrincipalName 属性を更新することはできませんでした。

• 管理対象ユーザー (非フェデレーション)。
• ユーザーにライセンスが割り当てられていない。

この機能を有効にすると、userPrincipalName がオンプレミスで変更されたときに、パスワード ハッシュ同期またはパススルー認証を使用している場合は、同期エンジンによって userPrincipalName が更新されます。

新たに作成される Microsoft Entra ディレクトリでは、この機能が既定で有効になっています。 この機能が有効になっているかどうかを確認するには、次のコマンドレットを実行します。

Connect-MgGraph -Scopes "OnPremDirectorySynchronization.Read.All"

$DirectorySync = Get-MgDirectoryOnPremiseSynchronization
$DirectorySync.Features.SynchronizeUpnForManagedUsersEnabled

この機能が Microsoft Entra ディレクトリに対して有効になっていない場合は、次のコマンドレットを実行して有効にすることができます。

Connect-MgGraph -Scopes "OnPremDirectorySynchronization.ReadWrite.All"

$SyncUpnManagedUsers = @{ SynchronizeUpnForManagedUsersEnabled = "true" }
Update-MgDirectoryOnPremiseSynchronization -Features $SyncUpnManagedUsers `
   -OnPremisesDirectorySynchronizationId $DirectorySync.Id

この機能を有効にすると、既存の userPrincipalName の値は as-isのままです。 次に userPrincipalName 属性をオンプレミスで変更したときに、ユーザーに関する通常の差分同期によって UPN が更新されます。 この機能を一度有効にすると、無効にすることはできません。

パスワード ハッシュの同期

この機能により、同期エンジンはパスワード ハッシュ同期を使用でき、同期クライアントによって自動的に有効になります。

この機能が有効になっているかどうかを確認するには、次のコマンドレットを実行します。

# Connect to Microsoft Graph
Connect-MgGraph -Scopes "OnPremDirectorySynchronization.Read.All"


# Retrieve DirSync service features
$DirectorySync = Get-MgDirectoryOnPremiseSynchronization
$DirectorySync.Features.PasswordSyncEnabled

たとえば、オンプレミスの Active Directory からの同期を使用停止した後など、パスワード ハッシュ同期が不要になった場合は、次を使用して無効にすることができます。

# Connect to Microsoft Graph
Connect-MgGraph -Scopes "OnPremDirectorySynchronization.ReadWrite.All"

# Disable Password Hash Sync
$DirectorySync = Get-MgDirectoryOnPremiseSynchronization
$DirectorySync.Features.PasswordSyncEnabled = $false
Update-MgDirectoryOnPremiseSynchronization -Features $DirectorySync.Features -OnPremisesDirectorySynchronizationId $DirectorySync.Id

パスワード ライトバック

このプロパティは、Microsoft Entra ID からオンプレミス Active Directory へのパスワード ライトバックが有効かどうかを示します。

関連項目

• Microsoft Entra Connect Sync
• オンプレミス ID と Microsoft Entra ID の統合。